Sie ist in aller Munde – und niemand scheint genau zu wissen, worum es geht: Die EU-Datenschutzgrundverordnung, kurz EU-DSGVO, sorgt für Verunsicherung auch ausserhalb der Europäischen Union. Inwiefern sind Sie als Kleinunternehmer oder Selbständige betroffen? Was müssen Sie tun?
Die gute Nachricht vorweg: inhaltlich beschreibt das Gesetz nicht viel Neues – neu sind vor allem die Sanktionen. Die schlechte: wahrscheinlich müssen Sie als Kleinunternehmer und Freelancer aktiv werden. Und zwar jetzt. Aber beginnen wir von vorne.
Datenschutz ernst genommen
„Der Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten ist ein Grundrecht.“
Damit beginnt die VERORDNUNG (EU) 2016/679 DES EUROPÄISCHEN PARLAMENTS UND DES RATES, die 2016 in Kraft trat und (nach zwei Berichtigungen) seit dem 25. Mai 2018 anwendbar ist. Aus Sicht der Konsumenten eine gute Sache – denn wir alle erhalten die Kontrolle über unsere Daten zurück. Für Unternehmer hingegen bieten personenbezogene Daten Zugang zu wertvollen Marketing-Insights und wirksamen personalisierten Werbeaktionen und sind damit Teil Ihres Unternehmenserfolges. Müssen Sie nun ganz darauf verzichten? Die Antwort ist klar: Jein.
Personenbezogene Daten und ihre Nutzung gemäss EU-DSGVO
Eigentlich ist die DSGVO eine gute Sache: Wir alle erhalten die Kontrolle über unsere Daten zurück._
Natürlich ist es auch in Zukunft nicht verboten, personenbezogene Daten zu erheben – aber nur, wenn Ihre Kundschaft (und das beinhaltet in diesem Fall jeden einzelnen Besucher Ihrer Webseite) ganz genau darüber informiert ist, was Sie mit diesen Daten machen. Was wird gespeichert, wo und wie lange? Wenn Sie diese Daten für Marketingzwecke verwenden, müssen Sie dazu aktive Zustimmung Ihrer Nutzer erhalten. Und wenn Sie einen Newsletter versenden möchten, müssen die Adressaten nachweislich in diese Nutzung eingewilligt haben. Wie das geht? Lesen Sie weiter.
So werden Sie DSGVO konform
Die DSGVO betrifft in Ländern ausserhalb Europas, wie zum Beispiel die Schweiz, alle Unternehmen, die Dienstleistungen oder Waren an Privatpersonen in der EU anbieten – und damit einen sehr grossen Teil der Digital Economy. Ob Einzelunternehmen oder Grosskonzern, kommerziell oder Non-Profit, ob ein Besucher Ihrer Webseite etwas kauft oder nicht: sobald ein Webseitennutzer aus der EU Ihre Webseite aufruft, wirkt die DSGVO.
1. Datenschutz-Check
„Zunächst empfehle ich, einen Datenschutz-Check durchzuführen: Welche Datenverarbeitung findet im Unternehmen überhaupt statt, wie und von wem werden Daten gespeichert“, rät Dr. iur. Paul-Lukas Good, Experte für Datenschutz bei Good & Partner Rechtsanwälte.
Speichern Sie Adressdaten lokal auf Ihrem Computer in einer Excel-Datei, verwenden Sie ein Rolodex für Ihre Kundenadressen oder arbeiten Sie nur noch in der Cloud? Gehen Sie Schritt für Schritt die Prozesse Ihres Unternehmens durch, und notieren Sie sich, wo welche Daten erhoben und gespeichert werden.
2. Informations- und Dokumentationspflicht
Sobald ein Webseitennutzer aus der EU Ihre Webseite aufruft, wirkt die DSGVO.
„Dann ist wichtig, die Datenverarbeitung offenzulegen – und zwar in einer Datenschutzerklärung, beispielsweise für die Nutzer der Website oder einer App, oder in entsprechenden Vertragsklauseln auf Papier“, erklärt Paul-Lukas Good weiter.
Gemäss Artikel 13 der DSGVO besteht eine Informationspflicht bei der Erhebung personenbezogener Daten – und dazu gehören unter anderem folgende Angaben:
- Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters und, falls vorhanden, die Kontaktdaten des Datenschutzbeauftragten
- Zwecke und Rechtsgrundlage der Verarbeitung der personenbezogenen Daten
- Gegebenenfalls die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten
- Die Dauer, während der die personenbezogenen Daten gespeichert werden; falls dies nicht möglich ist, die Kriterien für die Festlegung dieser Dauer
Darüber hinaus müssen Sie die betroffene Person über ihre Rechte informieren und jederzeit Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung der personenbezogenen Daten garantieren. Kein leichtes Unterfangen – besonders, wenn Sie mit Plugins von Drittanbietern arbeiten.
3. Vorsicht bei Cookies, Plugins & Tools
„Schon beim Facebook-Like Button müssen Sie sich fragen, ob die Datenverarbeitung noch zulässig ist“, warnt Good, „denn dieser ist nichts anderes als eine Standleitung Ihrer Webseite zu Facebook.“
Gemäss besagtem Artikel 13 müssten Sie genau erklären, was Facebook mit den Daten macht – und so lange Sie diese Information nicht von Facebook erhalten, können Sie den neuen Vorschriften nicht genügen. Tools wie Google Analytics bieten die Möglichkeit, die Datennutzung nach Bedarf einzustellen und zu anonymisieren – „wobei es fraglich bleibt, wie anonymisiert diese Daten tatsächlich sind“, so Good.
Meistens werden Datenspuren in Form von Cookies erfasst – und dann ist ein Cookie-Disclaimer von Nöten. Den Idealfall macht beispielsweise Cookie Bot vor: Eine detaillierte Erklärung, die dem Nutzer die Möglichkeit gibt, Datensammlung für Präferenzen und Statistiken abzuwählen – und, ganz korrekt, aktiv für Marketingzwecke anzumelden. Denn in Sachen Marketing gilt nur noch das Opt-In-Prinzip. Ob jemand dieses letzte Häkchen setzen wird, und was das für die Zukunft des personalisierten Marketings bedeutet, wird sich zeigen.
4. Sonderfall Newsletter: Double Opt-In
Die Sammlung von Daten ist das Eine, die Nutzung für Marketingzwecke das Andere. Ob Sie eine E-Mail-Adresse aus Ihrer Datenbank für den Versand eines Marketing-Newsletters verwenden dürfen, hängt davon ab, ob Sie die Einwilligung des Nutzers nachweislich eingeholt haben. Nachweislich bedeutet in den allermeisten Fällen „Double-Opt-In“: Nutzer bestätigen die Angabe ihrer E-Mail-Adresse über einen Registrierungslink, den sie nach der Anmeldung erhalten. Das gilt nicht nur für Neuanmeldungen, sondern Ihre gesamte bestehende Mailingliste – und daran führt kein Weg mehr vorbei.
5. Die DSVGO, die Schweiz und Sie
Als zistemo-Nutzer speichern Sie rechnungsbezogene Daten Ihrer Kunden auf Ihrem zistemo-Konto in unserer Cloud – und diese wiederum liegt auf sicheren Servern in der Schweiz. Was das für Sie konkret bedeutet, lesen Sie in unserer eigenen Datenschutzerklärung unter https://zistemo.de/privacy/. „Das Spannende an der DSVGO ist die Schnittstelle zwischen Recht und Technik: es reicht nicht, rechtlich einwandfreie AGBs zu kreieren – die technische Umsetzung muss gewährleistet sein“, so Good zum Schluss.
Der Schutz personenbezogener Daten für uns elementar – auch aus persönlicher Überzeugung. Darum haben Sie bei zistemo jederzeit das Datenruder in der Hand, und profitieren voll und ganz von den Vorzügen einer umfassenden Cloud-Anwendung.
Noch nicht dabei? Probieren Sies aus! Kostenlos und unverbindlich. Und ja: vollkommen DSGVO-konform.
zistemo
