Datenschutz und Privatsphäre: die Datenschutzerklärung
Um den Konsumenten davon zu überzeugen, dass er Online-Shopping nicht nur in einem legalen und sicheren Umfeld betreiben kann, sondern auch seine personenbezogenen Daten und nicht zuletzt seine Privatsphäre im Internet geschützt werden, bedarf es einer Reihe gezielter Maßnahmen.
Eine klar und konkret formulierte, leicht zugängliche und jederzeit abrufbare Datenschutzer-klärung stellt eine ganz wesentliche Maßnahme zur Vertrauensbildung des Internet-Nutzers gegenüber einem Betreiber eines Webportals dar. Der Online-Nutzer soll möglichst benutzerfreundlich darüber informiert werden, wie personenbezogene Daten behandelt - also ermittelt, verarbeitet und übermittelt werden. Sie sollte separat, von jeder beliebigen Stelle des Webportals aufrufbar, und als solche gekennzeichnet angeführt werden.
1. Ermittlung, Speicherung und Schutz von [1, 2, 12, 13, 14, 18]
personenbezogenen Daten
Im Sinne der Vertrauensbildung ist es unerlässlich, den Kunden darüber zu informieren, welche Daten zu welchem Zweck erhoben werden und wie diese vor unbefugten Zugriffen geschützt werden. Es ist dabei geboten, Daten nur im unbedingt erforderlichen Umfang zu ermitteln und sie auch nur solange zu speichern, wie dies notwendig ist.
Beispiel: "Wir ersuchen Sie nur um Bekanntgabe jener persönlichen Informationen, welche wir zur Auftragserfüllung unbedingt benötigen. Bei der Übertragung wie auch der Speicherung von personenbezogenen Daten werden Verschlüsselungsverfahren und Zugriffskontrollsysteme der letzten Generation eingesetzt, um diese vor unbefugten Zugriffen bestmöglich zu schützen."
zahlungsrelevante Daten
Zumindest eben so wichtig wie der Schutz personenbezogener Daten ist der Schutz von zahlungsrelevanten Informationen, wenn ein Online-Shop mit der Möglichkeit zu Online-Zahlungen betrieben wird. Im Sinne der Vertrauensbildung ist es daher von entscheidender Bedeutung, den Kunden detailliert über den Schutz dieser sensiblen Informationen aufzuklären.
Beispiel: "Der Schutz Ihrer zahlungsrelevanten Informationen, beispielsweise der Kreditkartendaten, hat für uns höchste Priorität. Die Abwicklung des gesamten Zahlungsprozesses erfolgt deshalb über einen zertifizierten österreichischen Payment Service Provider, welcher über beste Sicherheitssysteme verfügt und an uns nur das Ergebnis der Transaktionen weiterleitet. Detaillierte Informationen über dieses Unternehmen können Sie unter <Link> abrufen. Durch diese Vorgangsweise wird eine missbräuchliche Verwendung Ihrer Daten nahezu ausgeschlossen."
2. Datennutzung
Nutzung der Daten zur Abwicklung eines Geschäftsfalls [3, 4, 13]
Werden die vom Online-Nutzer etwa beim Online-Shopping übermittelten Daten ausschließlich dazu verwendet, um den jeweiligen konkreten Geschäftsfall - also beispielsweise eine Bestellung - abzuwickeln, so genügt es, dem Kunden diese Tatsache in entsprechender Form zu vermitteln. Um Missverständnisse zu vermeiden, sollte dabei darauf hingewiesen werden, dass die übermittelten personenbezogenen Daten in keinem Fall an Dritte weitergegeben und damit vertraulich behandelt werden. Obwohl die Weitergabe von Kunden- und Bestelldaten zur Auftragserfüllung - beispielsweise an einen Logistikdienstleister - auch vom Datenschutzgesetz her ausdrücklich gestattet ist, empfiehlt es sich, gegebenenfalls auf diesen besonderen Umstand hinzuweisen.
Beispiel: "Die von Ihnen zur Verfügung gestellten Daten werden ausschließlich zur Auftragserfüllung herangezogen. Um Ihnen die bestellte Ware zustellen zu können, müssen wir Name und Anschrift an unsere Logistikpartner weiterleiten. Wir behalten uns außerdem das Recht vor, Name, Anschrift sowie das Geburtsdatum zu Bonitätsprüfungszwecken an den <Gläubigerschutzverband> weiterzuleiten, sofern Sie unser Angebot zum Kauf auf Rechnung in Anspruch nehmen wollen."
Nutzung der Daten für Zusendungen [1, 5, 12]
Die Zusendung von Werbeinformationen (vor allem in elektronischer Form) ist nur dann gestattet, wenn der Kunde bei der Erhebung von personenbezogenen Daten die Möglichkeit zur kostenfreien und problemlosen Ablehnung hat odereine explizite Zustimmung zu dieser vorliegt. Auch Kundendaten, die im Zuge von direkten Anfragen oder Bestellungen ermittelt wurden, dürfen nur dann für Zusendungen von Werbeinformationen herangezogen werden, wenn eine Ablehnung bei der Aufnahme in einen Verteiler möglich war oder eine explizite Zustimmung vorliegt. [11]
Beispiel: "Wir möchten Sie gerne über Angebote und neueste Trends am Laufenden halten. Selbstverständlich wahren wir aber auch in diesem Zusammenhang Ihre Privatsphäre und lassen Ihnen unsere Kataloge und Newsletter nur dann zukommen, wenn Sie dies ausdrücklich wünschen."
Abbestellung von Zusendungen [5, 8, 12]
Der Kunde muss die Möglichkeit haben, jeglichen Bezug von Werbeinformationen jederzeit und kostenlos abzubestellen. Zu diesem Zweck sind exakte Informationen, wie dies rasch und unkompliziert erfolgen kann, unbedingt erforderlich.
Beispiel: "Sollten Sie keine Zusendungen mehr von uns erhalten wollen, können Sie diese natürlich jederzeit kostenlos abbestellen. Es steht Ihnen zu diesem Zweck ein Formular unter <Link> sowie eine MitarbeiterIn unseres Unternehmens unter <E-Mail Adresse> zur Verfügung. Darüber hinaus ist das Austragen aus unserem Newsletter-Abonnement durch einen eigens dafür vorgesehenen Link am Ende jeder Nachricht möglich."
Übermittlung der Daten an Partnerunternehmen [3, 4, 5, 10, 17]
Wenn personenbezogene Daten von Kunden für Werbeinformationen an Dritte weitergegeben werden sollen, ist es obligatorisch, einerseits die explizite Zustimmung des Kunden zur Weiterleitung persönlicher Daten durch den Online-Anbieter einzuholen, als auch andererseits exakte Angaben über die Namen von Partnerunternehmen wie auch die Art der Werbeinformation zu geben.
Beispiel: "Um Ihnen ein größtmögliches Angebot und bestmögliche Preise bieten zu können, stehen wir innerhalb unseres Konzerns aber auch darüber hinaus mit einigen Unternehmen in engem Kontakt. Sollten Sie auch von diesen Angebote in Form von Katalogen und Newslettern erhalten wollen, leiten wir, selbstverständlich nur mit Ihrer ausdrücklichen Zustimmung, Ihren Namen und Ihre Anschrift sowie Ihre E-Mail Adresse gerne an diese <Partnerunternehmen> weiter."
3. Recht auf Auskunft, Berichtigung, Sperrung und Löschung gespeicherter Daten [6, 7, 8, 16]
Jedem Betroffenen ist Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn er dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Die Auskunft hat die verarbeiteten Daten, Informationen über ihre Herkunft, gegebenenfalls an wen diese weitergeleitet wurden, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. In beidseitigem Einvernehmen kann die Auskunft auch mündlich erfolgen. Unrichtige oder entgegen gesetzlichen Bestimmungen verarbeitete Daten sind richtigzustellen oder zu löschen, sobald die Unrichtigkeit von Daten oder die Unzulässigkeit ihrer Verarbeitung bekannt geworden ist. Die Daten sind jedenfalls binnen acht Wochen zu löschen, wenn der Betroffene dies wünscht.
Beispiel: "Sie haben jederzeit ein Recht auf kostenlose Auskunft, Berichtigung, Sperrung und Löschung Ihrer gespeicherten Daten. Sie können uns in dieser Angelegenheit in schriftlicher Form an die E-Mail Adresse <E-Mail Adresse> oder postalisch an den im Impressum angegebenen Firmensitz kontaktieren. Dieses Recht ist nur insofern eingeschränkt, als wir die Löschung zur Wahrung unserer Ansprüche aussetzen können."
4. Privatsphäre - Cookies und andere Kennzeichnungselemente [6, 9, 15, 19]
In Bezug auf Datenschutz und die Privatsphäre des Kunden ist es geboten, den Nutzer über den Zweck der Speicherung von Cookies und anderen Kennzeichnungselementen möglichst benutzerfreundlich zu informieren und ihn prinzipiell auch auf das Recht hinzuweisen, eine Speicherung zu verweigern. In der Datenschutzrichtlinie für elektronische Kommunikation (Richtlinie 2002/58/EG) wird unmissverständlich zum Ausdruck gebracht, dass die ?in elektronischen Endgeräten gespeicherten Informationen Teil der Privatsphäre des Nutzers sind? und die Speicherung von Cookies ohne dessen Einwilligung ?eine ernsthafte Verletzung der Privatsphäre darstellen kann?. Ein leichtfertiger Umgang mit Cookies oder anderen Kennzeichnungselementen ist daher nicht nur im Sinne der E-Commerce Quality Richtlinie abzulehnen, sondern kann auch rechtliche Konsequenzen nach sich ziehen. Sollte es aus Gründen der Usability und den momentan zur Verfügung stehenden technischen Möglichkeiten unabdingbar sein, sensible, personenbezogene Daten in Cookies abzuspeichern, ist es im Sinne der Vertrauensbildung und zum Schutz der Privatsphäre unabdingbar den Benutzer klar und deutlich auf die Speicherung personenbezogener Daten in Cookies oder anderen Kennzeichnungselementen hinzuweisen, sowie den Inhalt dieser in der Datenschutzerklärung anzuführen und auf die daraus resultierenden Gefahren vor allem bei der gemeinsamen Nutzung eines Computers durch mehrere Personen hinzuweisen.
Zu erwähnen ist auch ob Cookies sofort wieder gelöscht werden oder dauerhaft bestehen bleiben bzw. ob Kennzeichnungselemente verwendet werden, auf die der Benutzer keinen Zugriff hat.
Beispiel: "Um Ihnen unser Angebot so angenehm wie möglich zu gestalten, verwenden wir wie viele andere Unternehmen sogenannte Cookies. Cookies sind kleine Textdateien, die eine Wiedererkennung des Nutzers ermöglichen. Es werden aber keine personenbezogenen Daten, wie z.B. Ihr Name oder Ihre Adresse gespeichert. Sie können also anhand dieser Informationen nicht persönlich identifiziert werden. Wir setzen Cookies ein, um unser Angebot für Sie anzupassen und die Nutzung dieses zu analysieren. Wenn Sie das Setzen von Cookies trotzdem nicht wünschen, können Sie unsere Angebote
grundsätzlich auch ohne diesen nutzen. Ihr Browser lässt sich so einstellen, dass Cookies nur mit Ihrem Einverständnis erstellt oder generell abgelehnt werden."
Linksammlung zu den relevanten Gesetzen, die diesem Text zugrunde liegen:
[1] Datenschutzgesetz 2000 i. d. F. BGBl. I Nr. 13/2005, insbesondere DSG 2000 § 6 (Verwendung von Daten - Grundsätze)
[2] Datenschutzgesetz 2000 i. d. F. BGBl. I Nr. 13/2005, insbesondere DSG 2000 § 14 und 15 (Datensicherheitsmaßnahmen)
[3] Datenschutzgesetz 2000 i. d. F. BGBl. I Nr. 13/2005, insbesondere DSG 2000 § 7 (Zulässigkeit der Verwendung von Daten)
[4] Datenschutzgesetz 2000 i. d. F. BGBl. I Nr. 13/2005, insbesondere DSG 2000 § 8 (Schutzwürdige Geheimhaltungsinteressen)
[5] Telekommunikationsgesetz 2003 i. d. F. BGBl. I Nr. 178/2004, insbesondere TKG § 107 (Unerbetene Nachrichten)
[6] Datenschutzgesetz 2000 i. d. F. BGBl. I Nr. 13/2005, insbesondere DSG 2000 § 26 Abs 1 (Auskunftsrecht)
[7] Datenschutzgesetz 2000 i. d. F. BGBl. I Nr. 13/2005, insbesondere DSG 2000 § 27 Abs 1 (Recht auf Richtigstellung oder Löschung)
[8] Datenschutzgesetz 2000 i. d. F. BGBl. I Nr. 13/2005, insbesondere DSG 2000 § 28 Abs 2 (Widerspruchsrecht)
[9] Telekommunikationsgesetz 2003 i. d. F. BGBl. I Nr. 178/2004, insbesondere TKG § 96 (Datenschutz - Allgemeines)
[10] Gewerbeordnung 1994 i. d. F. BGBl. I Nr. 42/2008, insbesondere GewO 1994 § 151 (Adressverlage und Direktmarketingunternehmen)
[11] Verwaltungsgerichtshof (VwGH), Erkenntnis vom 25.03.2009, Geschäftszahl 2008/03/0008
[12] Richtlinie 2002/58/EG i. d. F. ABl. L 337 (Richtlinie 2009/136/EG) vom 18.12.2009, insbesondere Artikel 13 (Unerbetene Nachrichten)
[13] Richtlinie 95/46/EG i. d. F. ABl. L 281 vom 23.11.1995, insbesondere Artikel 7 (Grundsätze in Bezug auf die Zulässigkeit der Verarbeitung von Daten)
[14] Richtlinie 95/46/EG i. d. F. ABl. L 281 vom 23.11.1995, insbesondere Artikel 10 (Information bei der Erhebung personenbezogener Daten bei der betroffenen Person)
[15] Richtlinie 95/46/EG i. d. F. ABl. L 281 vom 23.11.1995, insbesondere Artikel 11 (Informationen für den Fall, dass die Daten nicht bei der betroffenen Person erhoben wurden)
[16] Richtlinie 95/46/EG i. d. F. ABl. L 281 vom 23.11.1995, insbesondere Artikel 12 (Auskunftsrecht)
[17] Richtlinie 95/46/EG i. d. F. ABl. L 281 vom 23.11.1995, insbesondere Artikel 14 (Widerspruchsrecht der betroffenen Person)
[18] Richtlinie 95/46/EG i. d. F. ABl. L 281 vom 23.11.1995, insbesondere Artikel 17 (Sicherheit der Verarbeitung)
[19] Richtlinie 2002/58/EG i. d. F. ABl. L 337 (Richtlinie 2009/136/EG) vom 18.12.2009, insbesondere Artikel 5 Abs 3 (Vertraulichkeit der Kommunikation)
<< zurück
