Datenschutzerklärung: Was sind die Best Practices?

Sie fragen sich, welche Informationen in Ihre Datenschutzerklärung gehören? Hier finden Sie die Antworten. Für eine gute Datenschutzerklärung gibt es viele Best Practices. Welche davon gelten, hängt von mehreren Faktoren ab, etwa von der Zielgruppe, der Art der erfassten Daten und der Branche Ihres Unternehmens. Wer medizinische Daten erfasst und verarbeitet, muss zum Beispiel andere Informationen bereitstellen als ein Modehändler. Lesen Sie weiter und erfahren Sie, worauf es beim Verfassen einer Datenschutzerklärung ankommt.

Wozu dient eine Datenschutzerklärung?

Eine Datenschutzerklärung informiert betroffene Personen darüber, wie ihre personenbezogenen Daten verarbeitet werden. Neben Fragen zu Inhalt und Form sollten Sie dabei einen zentralen Grundsatz der Datenschutz-Grundverordnung (kurz „DSGVO“) im Blick behalten, der das Verfassen Ihrer Erklärung bestimmt: den Grundsatz der Transparenz. Er verpflichtet Unternehmen, vollständig über die geplanten Verarbeitungsvorgänge zu informieren. Die Menschen müssen wissen, warum und wie ihre personenbezogenen Daten verwendet werden.

Methodik für klare und transparente Informationen

Damit Sie nichts vergessen, gehen Sie am besten schrittweise vor und erstellen eine Checkliste der Punkte, die eine Datenschutzerklärung inhaltlich und formal erfüllen muss. Außerdem können Sie die Informationen nach Themen gruppieren.

1. Der Verantwortliche

Die erste Gruppe betrifft Informationen zum Verantwortlichen, also Name und vollständige Kontaktdaten der natürlichen oder juristischen Person, die die Daten verarbeitet, sowie gegebenenfalls die Kontaktdaten der oder des Datenschutzbeauftragten, sofern eine Person benannt wurde.

2. Art der Verarbeitung, Rechtsgrundlage und Zwecke der Verarbeitungsvorgänge

Die zweite Gruppe betrifft die Arten der Verarbeitung, die Rechtsgrundlagen, auf die sie sich stützen, und die Zwecke, also die Daseinsberechtigung dieser Verarbeitungsvorgänge. Zu jeder Rechtsgrundlage gehören außerdem die jeweiligen Einzelheiten.

• Stützt Ihr Unternehmen die Verarbeitung personenbezogener Daten zum Beispiel auf die Rechtsgrundlage der Einwilligung, müssen Sie darauf hinweisen, dass die Einwilligung jederzeit widerrufen werden kann.

• Stützt Ihr Unternehmen die Verarbeitung auf seine berechtigten Interessen, sollte die Datenschutzerklärung die verschiedenen berechtigten Interessen nennen, die das Unternehmen verfolgt.

3. Die Rechte der betroffenen Personen

Die dritte Gruppe betrifft die Rechte der betroffenen Personen. Die Datenschutzerklärung muss die verschiedenen Rechte erläutern, die die DSGVO ihnen einräumt. In diesem Zusammenhang sollten Sie auch angeben, ob Ihr Unternehmen automatisierte Entscheidungen trifft, also Entscheidungen ohne menschliches Zutun, etwa allein durch einen Algorithmus. Ist das der Fall, müssen Sie die zugrunde liegende Logik sowie die Tragweite und die angestrebten Auswirkungen dieser Verarbeitung für die betroffenen Personen erläutern. Ergänzen Sie außerdem einen Hinweis auf das Recht, bei der zuständigen Aufsichtsbehörde Beschwerde gegen die Verarbeitungsvorgänge einzulegen.

4. Datenübermittlungen

Die vierte Gruppe betrifft Datenübermittlungen durch Ihr Unternehmen innerhalb und außerhalb der Europäischen Union. Bei Übermittlungen innerhalb der Europäischen Union müssen Sie die Empfänger der Daten angeben, also „eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, der personenbezogene Daten offengelegt werden“ (Artikel 4 Nr. 9 DSGVO). Bei Übermittlungen an ein Drittland oder eine internationale Organisation sind die betroffenen Personen über das Vorliegen eines Angemessenheitsbeschlusses, über geeignete Garantien oder gegebenenfalls über Ausnahmen zu informieren.

5. Kategorien der erfassten Daten

Die fünfte Gruppe betrifft die Daten selbst, und zwar:

1. Welche Arten von Daten erfasst werden, zum Beispiel Identifikationsdaten (Name, Vorname, Adresse) oder Finanzdaten (Kontonummer).
2. Die Dauer, für die diese personenbezogenen Daten gespeichert werden.
3. Ihr Unternehmen muss die betroffenen Personen darüber informieren, ob sie im Rahmen eines Vertrags verpflichtet sind, personenbezogene Daten bereitzustellen. In diesem Fall ist zu erläutern, ob eine Leistung von der Bereitstellung der Daten abhängt und welche Folgen es hat, wenn die Daten nicht bereitgestellt werden.
4. Ihr Unternehmen muss die gesetzlichen oder behördlichen Pflichten nennen, die mit der Bereitstellung personenbezogener Daten verbunden sind.

Wie vermitteln Sie diese Informationen?

In der Regel sollten die Informationen schriftlich oder, wo sinnvoll, elektronisch bereitgestellt werden.

• Die Informationen müssen präzise, transparent, verständlich und leicht zugänglich sowie in klarer und einfacher Sprache formuliert sein. Zudem sollten sie an die Zielgruppe und die Tätigkeit des Unternehmens angepasst sein. Auf einer Website muss die Datenschutzerklärung außerdem jederzeit von jeder Seite aus leicht erreichbar sein.
• Am besten versetzen Sie sich in die Lage der Menschen, die von dieser Erklärung betroffen sind: der Personen, deren Daten Ihr Unternehmen erfasst und verarbeitet.
• Bewährt hat sich, die Informationen auf mehreren Ebenen anzubieten, sodass Betroffene gezielt auf ein Thema klicken können, um mehr zu erfahren. Auch Icons oder Piktogramme helfen, Botschaften zu vermitteln.
• Sie können die Datenschutzerklärung auch von Testpersonen lesen lassen, um zu prüfen, ob sie klar und leicht verständlich ist.

Ist die Arbeit mit der fertigen Erklärung erledigt?

Nicht ganz. Idealerweise überprüfen Sie die Datenschutzerklärung regelmäßig, um sicherzustellen, dass sie vollständig, leicht verständlich und transparent ist. Bei dieser Überprüfung kann Ihr Unternehmen Anfragen oder Anmerkungen zur Verständlichkeit berücksichtigen und gegebenenfalls Änderungen bei der Erfassung und Verarbeitung von Daten einarbeiten. Wenn Ihr Unternehmen zudem plant, personenbezogene Daten für einen anderen Zweck zu verarbeiten als den, für den sie ursprünglich erhoben wurden, muss die betroffene Person vorab informiert werden. Ein Beispiel: Sie haben E-Mail-Adressen zunächst erfasst, damit Kundinnen und Kunden ein persönliches Konto auf Ihrer Website anlegen können (erster Zweck), möchten dieselben Adressen nun aber auch für Newsletter nutzen (zweiter Zweck). Dann müssen Sie die betroffenen Personen klar darüber informieren. Wann muss ich informieren, wenn ich personenbezogene Daten direkt bei den Personen erhebe? Der Verantwortliche muss diese Informationen zum Zeitpunkt der Erhebung der Daten bereitstellen. Muss ich die betroffenen Personen immer informieren? Nein, wenn die betroffenen Personen bereits über die entsprechenden Informationen verfügen, entfällt diese Pflicht.

*

Mit einer guten Checkliste und einer passenden Methodik haben Sie alles, was Sie für eine hervorragende Datenschutzerklärung brauchen.

Sie möchten mehr über die DSGVO erfahren? Hier finden Sie 15 Fragen, die Sie sich zur europäischen Verordnung noch immer stellen.

Dieser Artikel stammt von Frédéric DECHAMPS, Nathan VANHELLEPUTTE und Adeline BALZA, Anwältin und Anwälte der belgischen Kanzlei Lex4u.