Social Media wie Facebook, YouTube und Instagram haben sich bereits seit langer Zeit einen wichtigen Platz im leben von aktiven Internetbenutzern eingenommen. Häufig ersetzen sie größere Teile dessen, was durch soziale Kontakte vor der Digitalisierung im wirklichen Leben stattgefunden hat. Immer mehr Nutzer sind jedoch verunsichert, denn insbesondere Facebook hat in der vergangenen Zeit vermehrt für Schlagzeilen gesorgt. Aus Angst vor Datenmanipulation und Datenmissbrauch haben sich immer mehr Nutzer gegen eine Internetpräsenz in den sozialen Netzwerken entschieden.
Berechtigt ist aus diesem Grund die Frage, welche Auswirkungen die DSGVO auf das Verhältnis mit Daten hat, wenn es sich um die gewerbliche Betätigung über soziale Netzwerke handelt. Diese Frage spielt für Unternehmen eine essenzielle Rolle: Im wirtschaftlichen Miteinander bedeutet Social Media schließlich nicht ausschließlich die Möglichkeit zur Selbstdarstellung, sondern vor allem auch die Möglichkeit zur Werbung und Abgrenzung von der Konkurrenz.
Social Media & Co.: Wann kommt die DSGVO zur Anwendung?
Die Datenschutzgrundverordnung kommt ausschließlich dann zur Anwendung, wenn identifizierende beziehungsweise personenbezogene Daten verarbeitet werden. Dazu gehören jedoch nicht nur Personennamen, Bildaufnahmen, E-Mail-Adressen und Telefonnummern, sondern auch Cookies, digitale Fingerprints und IP-Adressen. Der Grund: Mit ihrer Hilfe können User als Adressaten von Remarketing Ads identifiziert werden (zum Beispiel wenn User auf anderen Websites Werbung für Produkte sehen, die sie sich vorher in einem online Shop angesehen haben).
Die Verarbeitung umfasst alle möglichen Umgänge mit Daten, sei es Auswertung, Speicherung oder die Gewährung eines Zugriffs gegenüber Dritten (Webhoster auf dem Kundendatenserver). Das bedeutet, dass bereits den Umgang mit Daten von Kunden, Lieferanten, Mitarbeitern oder dem Betrieb eine erlaubnispflichtige Verarbeitung für die Website darstellt.
Internetpräsenz vs. Social Media Auftritt: Wann überschneiden sich die beiden?
Jedes Gewerbe, das eine Webseite betreibt, hat über sogenannte Plug-ins oder Buttons eine Verbindung zu den eigenen Social Media Inhalten. Bereits hier kann es zu einem ersten Verstoß gegen die DSGVO-Bestimmungen geben, denn einige der Plug-ins und Buttons übermitteln bei aktiver Betätigung Daten an das mit der Website verbundene Social Media Network. Das stellt juristisch bereits eine Verarbeitung von persönlichen Daten dar – diese bedarf der DSGVO einer entsprechenden Einwilligung. Sollte diese nicht vorliegen, so zählt die Verarbeitung als Verstoß gegen die gültigen Datenschutzvorschriften.
Eine sogenannte Zweiklicklösung schafft hier Abhilfe: Dabei muss die Datenübertragung von den Usern vormals eingewilligt werden, bevor eine Verbindung zum jeweiligen sozialen Netzwerk hergestellt wird.
Erlaubt ist die Datenverarbeitung zur Vertragserfüllung
Die Datenverarbeitung ist erlaubt, wenn sie zur Erfüllung von Verträgen oder zur Beantwortung von Auskünften erforderlich ist. Somit dürfen zum Beispiel Elektroshops Kundendaten für Zwecke der Lieferung und Zahlung an Transportunternehmen und Finanzdienstleister weiterverarbeiten. Maßnahmen im online Marketing wie zum Beispiel Remarketing oder Reichweitanmessung mit Google Analytics, sind hingegen für eine Vertragserfüllung nicht erforderlich. Auf Grundlagen von speziellen Erlaubnisgrundlagen wie der berechtigten Einwilligungen oder Interessen können sie allerdings zulässig sein.
Zulässiges Online Marketing ohne Einwilligung der User: Die Kriterien
- Pseudonymisierung: Keine IP-Adressen, E-Mail-Adressen, Personennamen oder weitere personenidentifizierende Daten werden verarbeitet.
- Ausreichende Informationen: eine transparente und verständliche Unterrichtung der User in der Datenschutzerklärung.
- Erwartungshaltung: Es werden Maßnahmen im online Marketing verwendet, die von Usern als üblich/erwartet betrachtet werden.
- Geringes Beeinträchtigen der User: Mit dem Detailgrad der User-Profile und dem möglichen Beeinträchtigen der User nimmt das berechtigte Interesse am online Marketing ab. Wenn beispielsweise ausschließlich das Remarketing von Produkten betrieben wird, dann wirk dies viel weniger beeinträchtigend als das hauptsächliche Interessenprofil der User. Eine auf die Nutzer zugeschnittene Werbung kann beim Remarketing sogar willkommen sein. Umgekehrt können die eingesetzten Profile zu zwecken der Preisbestimmung für Bonitätseinschätzung und Produkte eine positive wirtschaftliche Auswirkung für User haben.
- Das sogenannte Opt-out: Es ist möglich, der Verarbeitung der Daten durch Widerspruch zu entgehen. Dafür muss das Opt-out effektiv sein und nicht nur die Verwendung für Werbezwecke, sondern auch die Verarbeitung von Daten Verhindern.
DSGVO im Social Media: Welche Beschränkungen gibt es bei der Einwilligung für Datenverarbeitung?
Der Nutzer kann der Verarbeitung von Daten erst ab einem Alter von 16 Jahren einwilligen. Das bedeutet, dass Websites, die sich an Minderjährige richten, im online Marketing weitaus eingeschränkter sind. In solchen Fällen ist bereits der Einsatz von Remarketing-Maßnahmen verboten. Des Weiteren gibt es eine Einschränkung durch das sogenannte Kopplungsverbot: Verboten ist es, die Erfüllung von Verträgen von Einwilligungen abhängig zu machen. Darin sehen insbesondere Verbraucherschützer eine Einschränkung der Möglichkeit, eine Einwilligung für online Marketingmaßnahmen einzuholen.
Umsetzung der DSGVO im Gewerbe: Die Maßnahmen
- Dokumentierung und Prüfung von Schutzmaßnahmen (Back-ups, Verschlüsselung, Software-Updates, Berechtigungskonzept etc.)
- Zulässigkeitsprüfung und Übersicht von allen zur Verarbeitung bezogenen Daten.
- Abschluss von Verträgen zur Auftragsverarbeitung mit weiteren Subunternehmen und Dienstleistern.
- Ab zehn beschäftigten im Gewerbe muss ein Datenschutzbeauftragter benannt werden.
- Verpflichtung und Belehrung von Mitarbeitern durch Vertraulichkeitsverpflichtungserklärungen und Schulungen.
- Das Einrichten von Verfahren zu schnellen Reaktionen auf Berechtigung von Daten, Wünsche nach entsprechenden Lösungen sowie auf Datentransfers und Auskünfte.
- Bei Datenpannen müssen Prozesse für die Meldung an Betroffene und Behörden vorliegen.
- Ein regelmäßiges, vollständiges, verständliches und transparentes Update der Datenschutzerklärung.
- Die Verarbeitung der Webseite muss überwacht und bei gewissen Änderungen halbjährig geprüft werden.