Hilfe mit der DSGVO
inkl. Checkliste

Da die DSGVO eine Verordnung der EU ist, wirkt sie in Deutschland wie ein deutsches Gesetz. Das heißt, sie gilt zunächst für jede natürliche und juristische Person. Artikel 2 DSGVO grenzt den sachlichen Anwendungsbereich auf jede nicht rein private Verarbeitung personenbezogener Daten. Wenn Sie als Online-Händler beispielsweise Kundenkonten anlegen, die Interessen der Besucher ihrer Website mit Analyse-Tools wie Google Analytics speichern oder einen Newsletter verschicken, verarbeiten Sie personenbezogene Daten und müssen sich an die Vorgaben der DSGVO halten.

Die DSGVO gilt für alle Unternehmen, die eine komplette oder teilweise automatisierte Verarbeitung personenbezogener Daten (z.B. Name, Anschrift, IP-Adresse, E-Mail-Adresse) vornehmen (z. B. Speicherung von Kundendaten in eine Computer-Datenbank).

Mit der interaktiven Checkliste des Händlerbundes finden Sie im Handumdrehen heraus, inwiefern Sie von der Datenschutzgrundverordnung betroffen sind: DSGVO-Checkliste.

Ja, die generelle Anwendbarkeit ist nicht an die Unternehmensgröße oder Umsatzhöhe gekoppelt. Spezielle Hinweise erhalten Einzelunternehmer und kleine Händler in unserem Mini-Guide.

Die DSGVO regelt unter welchen Voraussetzungen Sie Daten speichern und verarbeiten dürfen. Darüber hinaus enthält Sie Normen, die vorgeben, wann Daten gelöscht werden müssen.

Die DSGVO schützt nicht jede Art von Daten, sondern nur personenbezogene Daten. Der Begriff ist in Artikel 4 Nummer 1 legaldefiniert. Personenbezogene Daten sind alle Informationen, die sich auf eine bestimmbare natürliche Person beziehen. Dazu gehören beispielsweise Name, Alter, Adresse, aber auch Vorlieben und Klicks auf Internetseiten.

In Artikel 5 DSGVO sind sechs Grundsätze normiert, die bei jeder Datenverarbeitung einzuhalten sind.

1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz
2. Zweckbindung
3. Datenminimierung
4. Richtigkeit
5. Speicherbegrenzung
6. Vertraulichkeit

Artikel 6 Absatz 1 DSGVO legt fest, unter welchen Voraussetzungen Daten verarbeitet werden dürfen. Es gibt sechs möglich Gründe. Für Webseitenbetreiber am wichtigsten sind die Varianten a und f. Hiernach brauchen Sie entweder die Einwilligung der betroffenen Person oder Sie müssen ein berechtigtes Interesse haben. Für Online-Händler sind darüber hinaus die Varianten b und c relevant. Hiernach dürfen Sie Daten auch dann verarbeiten, wenn dies notwendig ist, um einen Vertrag oder eine rechtliche Verpflichtung zu erfüllen.

Schon der Grundsatz "Datenminimierung" in Artikel 5 DSGVO enthält eine Löschpflicht. Generell dürfen Sie Daten nur so lange speichern, wie dies notwendig ist. Dabei kommt es darauf an, warum Sie die Daten ursprünglich speichern wollten und durften. Darüber hinaus müssen Sie Daten löschen, wenn die betroffene Person dies verlangt und die weiteren Voraussetzungen des Artikel 17 DSGVO erfüllt sind.

Mit der Verordnung 2016/679, der sogenannten Datenschutz-Grundverordnung, wurde die Pflicht zum Erstellen eines "Verzeichnis von Verarbeitungstätigkeiten" eingeführt. Ein solches Verzeichnis ist eine durch das europäische Datenschutzrecht vorgeschriebene Auflistung aller Verarbeitungstätigkeiten personenbezogener Daten.

Das klingt erst einmal sehr Abstrakt. Im Grunde ist man nun verpflichtet eine Dokumentation und Übersicht über alle Verfahren zu führen, bei denen personenbezogene Daten verarbeitet werden. Dazu müssen bestimmte Angaben vermerkt sein, wie:

• Datenkategorie
• der Kreis der betroffenen Personen
• der Zweck der Verarbeitung
• die Datenempfänger

Um unseren Mitgliedern und allen Interessierten das Leben ein wenig zu erleichtern haben wir eine Mustertabelle zusammengestellt. Sie beinhaltet eine ganze Reihe von Beispieleinträgen, welche für im eCommerce tätige Unternehmen typisch sind.

Kostengünstige Mustervorlage für ein Verzeichnis von Verarbeitungstätigkeiten zum Download im HB Marketplace

Es handelt sich hierbei lediglich um ein Muster, das beispielhaft typische Verarbeitungsvorgänge im eCommerce darstellt. Es dient lediglich als Hilfe zur Erstellung des "Verzeichnis der Verarbeitungstätigkeiten" (VVT) nach Art. 30 I DSGVO. Das Muster kann nicht unmittelbar als VVT verwendet werden. Vielmehr ist es in jedem Fall individuell auf das jeweilige Unternehmen anzupassen.

Ein wichtiger Teil der DSGVO sind die Betroffenenrechte. So haben betroffene Personen selbst die Möglichkeit aktiv zu werden und müssen nicht auf das Eingreifen einer Datenschutzbehörde warten.

• Artikel 15 DSGVO enthält ein Auskunftsrecht. Hiernach darf eine betroffene Person den Verantwortlichen Fragen, ob er sie betreffende Daten verarbeitet. Wenn ja darf sie weitere Auskünfte verlangen.
• Nach Artikel 16 DSGVO gibt es ein Recht auf Berichtigung inkorrekter Daten.
• Artikel 17 DSGVO gibt ein Recht auf Löschung.
• Die Verarbeitung kann nach Artikel 18 DSGVO eingeschränkt werden.
• Nach Artikel 20 DSGVO hat jeder Betroffene das Recht darauf, dass seine Daten auf Wunsch bereitgestellt und übertragen werden.

Die EU hat mit der DSGVO nicht nur neue Regeln für den Umgang mit personenbezogenen Daten geschaffen, sondern auch die möglichen Strafen und Bußgelder erhöht. Nun kann eine Datenschutzbehörde Bußgelder in Höhe von bis zu 20 Millionen Euro oder bis zu 4 Prozent des weltweiten Vorjahresumsatzes verhängen. Auch große, weltweit agierende Unternehmen, können jetzt effektiv bestraft werden. Aufgrund der hohen Bußgelder sollten Sie Beschwerden von Nutzern und Hinweisen von Datenschutzbehörden immer nachgehen und Ihren Umgang mit personenbezogenen Daten rechtskonform gestalten.

Eine Abmahnung ist ein Schreiben von einer anderen natürlichen oder juristischen Person, die verlangt, dass Sie sich von nun an die DSGVO halten. Sie können beispielsweise abgemahnt werden, weil Sie auf Ihrer Website keine Datenschutzerklärung erstellt haben oder diese unvollständig ist. In der Regel sind mit einer Abmahnung Kosten verbunden. Die DSGVO selbst sagt nichts darüber, ob Abmahnungen möglich sind oder nicht. Allerdings haben mehrere Gerichtsurteile Abmahnungen auf Grundlage der DSGVO für rechtmäßig gehalten. Der Grund dafür ist, dass jeder Verstoß gegen die DSGVO einen Wettbewerbsvorteil gegen Konkurrenten darstellt, die sich an die DSGVO halten. Deswegen darf ein Konkurrent Sie grundsätzlich abmahnen. Teilweise gibt es Unternehmen oder Anwälte, die sich auf Abmahnungen spezialisiert haben. Ab wann ein solches Geschäftsmodell missbräuchlich ist, ist unklar. Im Zweifel kostet selbst eine unberechtigte Abmahnung Nerven und Geld. Die beste Vorsorge ist ein korrekter Umgang mit personenbezogenen Daten.