Welche rechtlichen Vorschriften müssen Sie bei der Erstellung einer Homepage beachten?

Am Gespräch über rechtliche Aspekte der eigenen Homepage beteiligt sich neben Mark Zimmermann von Bayern online und Gerrit Eicker von „eicker. Wir sprechen Online“ die Rechtsanwältin Frau Kristina Brückner aus der Kanzlei „Dr. Schnetzer, Roider & Collegen“ in Bayreuth.
Frau Brückner ist Fachanwältin für Familien- und Medizinrecht und ist auch im Erbrecht mit Unternehmensnachfolge tätig. Aktuell berät sie Klienten bei der Einhaltung der EU-Datenschutz-Grundverordnung (DSGVO).

Was gehört laut DSGVO und Telemediengesetz in das Impressum einer Homepage?

• Name
• Anschrift
• Telefonnummer
• Faxnummer (sofern vorhanden)
• Email-Adresse
• Behördliche Zulassungen (z.B. die Aufsichtsbehörde)
• Eintrag im Handelsregister und zuständiges Registergericht
• Umsatzsteuer-Identnummer
• Verantwortlichkeiten für die Homepage (Ersteller der Homepage und der/die Verantwortliche, meist der/die Inhaber(in), müssen namentlich genannt werden)

Vor allen bei größeren Firmenkonstrukten ist es nicht immer einfach, die Verantwortlichkeiten zu benennen.

Als Beispiel wird hier Amazon genannt. Frau Brückner ist aber davon überzeugt, dass in Zukunft auch solche Großkonzerne rechtlich gezwungen werden, ein vollständiges Impressum (z.B. auch mit Telefonnummer) auf ihrer Homepage zu veröffentlichen.

Sie führt weiterhin aus, dass die Rechtsprechung in Bezug auf das relativ junge Medium Internet noch etwas der Entwicklung hinterher hinkt und man sich oft rechtlich noch in einer Grauzone befindet.

Genau für Großunternehmen, wie Google, Amazon oder Facebook, ist aber die DSGVO gedacht und nicht hauptsächlich für kleine und mittelständige Unternehmen. Nichts desto trotz haben in der Region Bayreuth auch schon Mittelständler Besuch vom Datenschutzbeauftragten bekommen. Die erwartete Abmahnwelle bezüglich der Websites ist aber bisher ausgeblieben.

Ein anderes Thema im Bereich Websites sind die Bildrechte. Das Recht am Bild ist im Bürgerliches Gesetzbuch (BGB) geschützt, egal ob im Internet oder in den Printmedien. 

Das heißt: 

• Personen dürfen nicht fotografiert werden, außer mit deren Zustimmung.
• Auch bei posierenden Personen muss für die permanente Veröffentlichung im Internet eine Einverständniserklärung abgegeben werden.
• Der Fotograf riskiert ohne diese Erlaubnis eine Schadensersatzklage.
• Ein normales Foto z.B. von einer Gaststätte von außen ist erlaubt; eine Drohnenaufnahme oder eine Aufnahme in den Räumen der Gaststätte bedürfen der Zustimmung des Betreibers.
• Fotografiert der Betreiber selbst seine Gäste, ist auch eine bestenfalls schriftliche Erlaubnis zur Veröffentlichung der Fotos notwendig oder er macht die Gesichter unkenntlich.
• Die Zustimmung für das Bild kann nicht zurückgezogen werden, außer es steht permanent auf einer Homepage – dann ist ein Widerruf möglich.
• Ausnahmen gibt es bei Massenveranstaltungen. Die Personenanzahl dabei ist aber nicht definiert, sondern juristisch eine Einzelfallentscheidung, ab wann es nicht mehr vertretbar ist, von jedem Einzelnen eine Einverständniserklärung zu erhalten.
• Auch ein gut sichtbarer Aushang am Eingang z.B. eines Biergartens mit dem Hinweis, dass fotografiert wird, reicht in Bezug auf das Recht am Bild nicht aus.
• Bei Fotografien für die Patientendatenbank in einer Arztpraxis ist ebenfalls die Zustimmung des Patienten notwendig, die auch verweigert bzw. widerrufen werden kann.

Die Rechtsprechung hinkt zurzeit den neuen Medien hinterher, aber in Zukunft wird es laut der Rechtsanwältin Kristina Brückner auf alle Fälle spezielle Kammern geben, die sich mit elektronischen Medien befassen.

Die DSGVO für Gastronomiebetriebe

Bezüglich der Gäste haben Gastronomiebetriebe laut Frau Brückner keine Auflagen im Sinne der DSGVO.
Trotzdem haben sie sich Gastronomen nach dieser Verordnung zu richten, da den eigenen Mitarbeitern, Aushilfen oder Minijobbern in ihren Arbeitsverträgen mitgeteilt werden muss, dass ihre Daten zum Zwecke der Abrechnung elektronisch gespeichert werden. Frau Brückner betont, dass die Zustimmung seitens des Mitarbeiters nicht verweigert werden kann. Anders ist das beim Recht am Bild. Bei Mitarbeitern des Gastronomiebetriebes ist eine, am besten schriftliche, Zustimmung für die Veröffentlichung eines Bildes auf der Homepage notwendig.

Die DSGVO ist für alle Betriebsgrößen bindend. Ab 9 Mitarbeitern ist ein interner oder externen Datenschutzbeauftragter zu benennen. Dabei sind Teilzeitkräfte als vollwertige Mitarbeiter zu zählen. Der interne Datenschutzbeauftragte ist unkündbar.

Auch bezüglich der Lieferanten gelten im Gastronomiebetrieb die Bestimmungen der DSGVO. Werden dabei Ansprechpartner elektronisch gespeichert, muss mit dessen Arbeitgeber ein Vertrag geschlossen werden mit der Erlaubnis zur Datenspeicherung, ein sogenannter Auftragsverarbeitungsvertrag. Diese Verträge sind überall dort notwendig, wo personenbezogene Daten hingelangen.

Wenn man Daten elektronisch speichert, ist es laut Kristina Brückner immens wichtig, ein Auftragsverarbeitungsverzeichnis zu erstellen, welches als Erstes von der Datenschutzbehörde überprüft wird. Jede Verarbeitungstätigkeit von Daten, die Verantwortlichkeiten und der Workflow müssen dort aufgeführt werden. Je nachdem, wie viel man investieren will, gibt es auf dem Markt dazu Mustervorlagen oder professionelle Software, die man nutzen kann.

Außerdem müssen sogenannte TOMs (technisch-organisatorische Maßnahmen) festgehalten werden. Die Rechtsanwältin nennt hier z.B. die Dokumentation aller Maßnahmen zur Sicherung des Kassenbestandes, der Sperreinrichtungen für den Gastronomiebetrieb oder der Sicherungsmaßnahmen, um elektronische Daten vor dem Zugriff Fremder zu schützen.

Wie wird eine Website DSGVO-gerecht aufgebaut?

• Betreiber einer Homepage müssen jedem Besucher mitteilen, dass man Cookies verwendet.
  

Folgende Angaben gehören in die Datenschutzerklärung:

• Verwendete Tracking-Tools 
• Bei Kontaktformularen muss angegeben sein, wie und wo die Daten gespeichert werden und an wen sie eventuell weiter gegeben.
• Der zuständige Landesdatenschutzbeauftragte 
• Verantwortlichkeiten für den Datenschutz innerhalb des Unternehmens
• Maßnahmen bei Datenpanne (Daten müssen z-B. dem Betroffenen in maschinenlesbarer zur Verfügung gestellt werden können)
• Das Widerspruchsrecht muss genannt und deutlich abgesetzt sein (z.B. in einer anderen Farbe).
• Aktualisierungsdatum der Datenschutzerklärung
• Hinweis bei genutzten externen Link, dass man für deren Inhalt nicht verantwortlich ist, um die Haftung auszuschließen
• Angabe der zuständigen Schlichtungsstelle

Die Rechtsanwältin Kristina Brückner weist darauf hin, dass in Deutschland Vergehen gegen die DSGVO ein Straftatbestand sind. Geldstrafen werden im Einzelfall entschieden, da es noch keine feste Rechtsprechung gibt. Die Höchstgeldstrafe beläuft sich aber auf 4 % des Brutto-Umsatzes im Jahr.

Und wie sieht es mit dem Schredder im Unternehmen aus? Da nur Aktenvernichter ab Sicherheitsstufe P4 die Anforderungen der DSGVO erfüllen, ist es ratsam auch den Schredder zu überprüfen und gegebenenfalls zu ersetzen, um auf der sicheren Seite zu sein.

Zusammenfassend ist zu sagen:

Jeder, der personenbezogene Daten speichert, braucht die Zustimmung des Betroffenen und dessen Datenschutzerklärung. Das Gesetz schreibt keine schriftliche Zustimmung vor, sondern nur die Information über die Speicherung und Weiterverwendung, aber Frau Brückner rät zur schriftlichen Dokumentation, um bei Bedarf den Nachweis zu erleichtern. Ein Aushang an einer öffentlichen Stelle reicht juristisch meist nicht aus. Die Rechtsanwältin empfiehlt die Hinzuziehung eines Experten, wie z.B. eines externen Datenschutzbeauftragten oder eines, auf die DSGVO-spezialisierten,  Rechtsanwalts oder einer Rechtsanwältin, um Geldstrafen oder Schadenersatzforderungen aufgrund verletzter Bildrechte oder wegen Nichtbeachtung der DSGVO zu vermeiden. 

Sie haben Fragen zu einer neuen Homepage? Kontaktieren Sie uns einfach per Mail an Mark.Zimmermann@Bayern-Online.de