MKB Juristen entwirft individuelle Rechtsdokumente
Es empfiehlt sich, wichtige Verträge, Geschäftsbedingungen und andere juristische Dokumente nicht selbst zusammenzustellen oder zu kopieren. Wir unterstützen Unternehmer mit begrenztem Budget mit maßgeschneiderten Rechtslösungen, transparenten Kosten im Voraus und verständlichen Erklärungen.
- Kundenspezifische Verträge, Geschäftsbedingungen und Rechtsdokumente
- Budgetfreundlich und transparent hinsichtlich der Kosten im Voraus
- Fordern Sie eine kostenlose Beratung oder ein unverbindliches Angebot an
Die größten Fallstricke von Datenschutzerklärungen sind übernommene Texte, die nicht Ihrer tatsächlichen Geschäftspraxis entsprechen, eine falsch gewählte Rechtsgrundlage, unklare Aufbewahrungsfristen und die Verwechslung der Erklärung mit einer Auftragsverarbeitungsvereinbarung oder Cookie-Erklärung. Eine Datenschutzerklärung ist gemäß DSGVO (Art. 13/14) verpflichtend, doch eine Erklärung, die nicht Ihren tatsächlichen Geschäftspraktiken entspricht, bietet keinen Schutz und wirkt sich im Falle einer Durchsetzung sogar nachteilig auf Sie aus. Im Folgenden sind die häufigsten Fehler aufgeführt.
Die kurze Antwort
- Geliehener Text , der nicht Ihrer eigenen Verarbeitung entspricht.
- Falsche Rechtsgrundlage, in der Regel „Einwilligung“, wo diese nicht zulässig ist.
- Unklare Aufbewahrungsfristen wie „nicht länger als nötig“.
- keine Auftragsverarbeiter namentlich genannt und keine Auftragsverarbeiterverträge abgeschlossen.
- Diese Aussage wurde mit der Cookie-Erklärung oder der Datenverarbeitungsvereinbarung verwechselt.
- Veraltet: Wurde nach neuen Prozessen nie aktualisiert.
Fallstricke bei Datenschutzbestimmungen beginnen bereits mit dem übernommenen Text
Der häufigste Fehler: Das Kopieren einer Erklärung von einer anderen Website und das Ersetzen des Namens. Das Ergebnis sind Verarbeitungstätigkeiten, die Sie nicht durchführen, und nicht die, die Sie tatsächlich durchführen. Die DSGVO verlangt, dass die Erklärung Ihre tatsächlichen Praktiken beschreibt. Ein Text, der verspricht, keine Newsletter zu versenden, obwohl Sie dies tun, oder der einen Auftragsverarbeiter nennt, den Sie nicht nutzen, entspricht nicht den Anforderungen. Dies wird bei einer Beschwerde oder einem Audit sofort deutlich.
Die falsche Grundlage
Viele Unternehmer verwenden „Einwilligung“ als Rechtsgrundlage für alle Fälle, in der Annahme, dies sei die sicherste Option. Das ist ein Irrtum. Einwilligung muss freiwillig, spezifisch und widerrufbar sein. Stützt man die Einwilligung auf eine für den Vertrag notwendige Datenverarbeitung (z. B. die Auslieferung einer Bestellung), entsteht ein Problem, sobald die Einwilligung widerrufen wird: Die Datenverarbeitung muss dann eingestellt werden, solange die Daten benötigt werden. Die korrekte Rechtsgrundlage ist in diesem Fall die „Vertragserfüllung“. Wählen Sie die Rechtsgrundlage bewusst und für jeden Zweck korrekt.
Unklare oder fehlende Aufbewahrungsfristen
„Wir speichern Ihre Daten nicht länger als nötig“ ist die am häufigsten zitierte, inhaltsleere Floskel in Datenschutzerklärungen. Sie sagt nichts aus. Die DSGVO fordert eine konkrete Speicherdauer oder ein konkretes Kriterium: Rechnungen sieben Jahre (aus steuerlichen Gründen), Bewerbungsdaten vier Wochen nach Ablehnung, Videoaufnahmen vier Wochen. Fehlende Speicherdauern deuten zudem darauf hin, dass Sie nicht wissen, wie lange Sie welche Daten speichern – genau das, was das Gesetz verhindern will. Machen Sie es konkret.
Prozessoren vergessen und Vereinbarungen fehlen
Eine Erklärung, die die Auftragsverarbeiter nicht nennt, ist unvollständig. Doch der größere Fehler liegt dahinter: Viele Unternehmer erwähnen zwar ihre Zusammenarbeit mit Lieferanten, schließen aber keine Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO) mit diesen ab. Erklärung und Auftragsverarbeitungsvereinbarung sind zwei separate Verpflichtungen. Ihre Buchhaltungssoftware, Ihr Hosting-Anbieter und Ihr E-Mail-Tool verarbeiten personenbezogene Daten in Ihrem Auftrag; mit jedem dieser Anbieter ist eine Auftragsverarbeitungsvereinbarung erforderlich. Die Erklärung benennt sie, die Vereinbarung bindet sie.
Verwechslung der Aussage mit anderen Dokumenten
Eine häufig auftretende Fehlerquelle ist die Verwechslung dreier Dokumente mit unterschiedlichen Funktionen:
- Datenschutzerklärung: Informiert die betroffene Person öffentlich und einseitig.
- Auftragsverarbeitungsvertrag: Bindet Ihre Lieferanten, ein Vertrag gemäß Art. 28 DSGVO.
- Cookie-Erklärung: Beschreibt die Tracking-Technologie auf Ihrer Website, die mit dem Cookie-Banner verlinkt ist.
Wer glaubt, alles mit einem einzigen Dokument abdecken zu können, vernachlässigt seine Pflichten. Ein Cookie-Banner ohne Cookie-Erklärung oder eine Aussage, die besagt, dass Cookies „einfach so“ gesetzt werden, ohne Banner und Ablehnungsmöglichkeit, ist unvollständig.
Praktisches Beispiel
Ein Onlineshop kopiert die Aussage eines Konkurrenten. Darin wird behauptet, keine Marketing-Cookies zu verwenden, obwohl der Shop selbst einen Werbepixel einsetzt. Außerdem wird eine fiktive Aufbewahrungsfrist genannt, und die Vereinbarung zur Datenverarbeitung mit dem E-Mail-Marketing-Tool fehlt. All dies kommt nach einer Kundenbeschwerde ans Licht. Der Fehler lag nicht im Fehlen einer Aussage, sondern in einer Aussage, die nicht der Realität entsprach – ein trügerisches Sicherheitsgefühl.
Ehrliche Empfehlung
Die meisten Fallstricke lassen sich auch ohne Anwalt vermeiden: Dokumentieren Sie Ihre Datenverarbeitungsvorgänge selbst, anstatt sie zu kopieren, wählen Sie für jeden Zweck die korrekte Rechtsgrundlage, legen Sie Aufbewahrungsfristen fest und schließen Sie Datenverarbeitungsvereinbarungen ab. Für ein einfaches Unternehmen genügen die gebotene Sorgfalt und eine gute Vorlage. Ziehen Sie einen Anwalt hinzu, sobald Sie bei der Wahl der Rechtsgrundlage unsicher sind, besondere Kategorien personenbezogener Daten verarbeiten, Profile erstellen oder Daten außerhalb der EU weitergeben. Gerade in diesen Situationen sind Fehler am kostspieligsten und die Durchsetzung der Gesetze am strengsten.
Lesen Sie mehr: Was ist eine Datenschutzerklärung ? Wie verfasst man eine ? Oder lassen Sie eine Datenschutzerklärung erstellen ?
Häufig gestellte Fragen
Ein übernommener Text, der nicht Ihren eigenen Verarbeitungstätigkeiten entspricht. Die DSGVO verlangt, dass die Erklärung Ihre tatsächliche Praxis beschreibt. Eine kopierte Erklärung, die Verarbeitungstätigkeiten erwähnt, die Sie nicht durchführen, oder umgekehrt, ist nicht konform und im Falle einer Beschwerde oder einer Prüfung ungültig.
Die Einwilligung muss freiwillig und widerrufbar sein. Wenn Sie die Verarbeitung als vertragserfüllend einstufen, müssen Sie die Verarbeitung einstellen, sobald jemand seine Einwilligung widerruft, solange Sie die Daten noch benötigen. Die korrekte Rechtsgrundlage ist dann die „Vertragserfüllung“.
Die Formulierung ist zu vage. Die DSGVO schreibt eine konkrete Aufbewahrungsfrist oder ein bestimmtes Kriterium vor, beispielsweise Rechnungen sieben Jahre lang, Bewerbungsdaten vier Wochen nach Ablehnung und Videoaufnahmen vier Wochen lang. Ein vager Satz vermittelt den Eindruck, dass Sie nicht wissen, wie lange Sie welche Daten aufbewahren.
Sie benötigen eine Auftragsverarbeitungsvereinbarung (Art. 28 DSGVO) mit jedem Anbieter, der in Ihrem Auftrag personenbezogene Daten verarbeitet, beispielsweise Buchhaltungssoftware, Hosting-Anbieter oder E-Mail-Tools. Die Datenschutzerklärung nennt diese Anbieter; die Vereinbarung ist für sie verbindlich. Beides sind separate Verpflichtungen, die Sie nicht ignorieren dürfen.
Nein. Die Cookie-Erklärung beschreibt die Tracking-Technologie auf Ihrer Website detailliert und enthält neben dem Cookie-Banner eine Opt-out-Option. Die bloße Aufnahme der Cookies in die Erklärung ohne Banner und Opt-out-Option ist unvollständig.
Ja. Ein häufiger Fehler ist eine Erklärung, die nach neuen Verarbeitungstätigkeiten, anderen Lieferanten oder geänderten Aufbewahrungsfristen nie aktualisiert wurde. Eine veraltete Erklärung, die nicht mehr Ihrer Praxis entspricht, erfüllt nicht die Transparenzanforderungen der DSGVO.
Die meisten Fallstricke lassen sich durch sorgfältiges Vorgehen vermeiden. Ziehen Sie einen Anwalt hinzu, sobald Sie bei der Wahl der Rechtsgrundlage unsicher sind, besondere Kategorien personenbezogener Daten verarbeiten, Profile erstellen oder Daten außerhalb der EU weitergeben. Hier sind Fehler am kostspieligsten und die Durchsetzung der Gesetze am strengsten.
