 | ||||||||||||||||||||||||||||||||||||
Navigation • Home
| Was gehört in eine Datenschutzerklärung für die Webseite
Sie stellen Urlaubsfotos oder Bilder vom Vereinsfest online, ohne Kontaktformular, ohne Newsletter, ohne Werbung. Trotzdem fallen Daten an, und zwar bevor das erste Foto auf dem Bildschirm erscheint: Der Webserver Ihres Hosters notiert zu jeder abgerufenen Datei die IP-Adresse des Besuchers, die Uhrzeit und den verwendeten Browser. Eine IP-Adresse gilt nach der Rechtsprechung des Europäischen Gerichtshofs in der Regel als personenbezogenes Datum, und wer solche Daten verarbeitet, muss die Betroffenen informieren. Dafür gibt es die Datenschutzerklärung für die Webseite. Was gehört hinein, wenn man eine eigene Bildergalerie betreibt? Dieser Beitrag geht die Frage am konkreten Fall durch und ordnet die Vorgaben der Datenschutz-Grundverordnung (DSGVO) ein. Eine Rechtsberatung ist er nicht; bei gewerblichen Seiten oder echten Zweifeln lohnt der Blick eines Anwalts oder Datenschutzberaters.
Rund 50 Logzeilen für einen einzigen GaleriebesuchRechnen wir nach, was ein einzelner Besucher hinterlässt. Er öffnet eine Kategorie mit 40 Fotos. Sein Browser fordert dafür die Seite an, zwei Stylesheets, die Skripte für die große Ansicht und 40 Vorschaubilder. Das sind rund 50 Anfragen, und zu jeder schreibt der Webserver eine Zeile in sein Zugriffsprotokoll: IP-Adresse, Zeitpunkt, Dateiname, Kennung des Browsers. Blättert der Gast danach durch zehn Fotos in der großen Ansicht, kommen zehn Zeilen dazu. Bei 30 Besuchern am Tag sammeln sich so leicht 1.500 Zeilen täglich an, ohne dass jemand etwas eingetippt hat. Diese Protokolle führt der Webserver des Hosters. Wie lange er sie aufhebt und ob er die IP-Adressen kürzt, steht meist in seiner Dokumentation oder im Kundenmenü, bei manchen Tarifen lässt es sich dort einstellen. Klären Sie das, bevor Sie den ersten Satz schreiben, denn der Text muss beschreiben, was auf Ihrem Webspace geschieht. Artikel 13 DSGVO verlangt die Information zum Zeitpunkt der Erhebung, also schon beim Seitenaufruf. Deshalb gehört ein Link „Datenschutz“ auf jede einzelne Seite, auch auf jede Galerieseite, getrennt vom Impressum. Ein Generator aus dem Netz liefert eine Datenschutzerklärung für die Webseite in wenigen Minuten. Brauchbar wird sie erst, wenn Sie das Ergebnis kräftig kürzen. Typischerweise beschreibt die Vorlage ein Analysewerkzeug, einen Newsletter und Knöpfe sozialer Netzwerke, die auf Ihrer Galerie nirgends vorkommen, und ist damit schlicht falsch. Gleichzeitig fehlt in solchen Vorlagen oft das, was Ihre Seite ausmacht, etwa ein Anmeldebereich, der jeden Login-Versuch protokolliert, oder Fotos, auf denen Menschen zu erkennen sind. Was in jede Datenschutzerklärung für die Webseite gehörtArtikel 13 DSGVO zählt in zwei Absätzen auf, worüber Sie informieren müssen. Für eine private oder kleine geschäftliche Galerie lässt sich die Aufzählung auf sieben Bausteine verdichten. Jeder sollte in Ihrem Text eine eigene, auffindbare Stelle haben:
Am häufigsten fehlt bei kleinen Seiten der Punkt Empfänger. Ihr Hoster sieht technisch jede Anfrage und verarbeitet die Daten in Ihrem Auftrag. Dafür schließen Sie mit ihm einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO, den die meisten deutschen Anbieter im Kundenmenü bereitstellen. In der Erklärung nennen Sie den Hoster dann mit Namen und Sitz. Welche Rechtsgrundlage zu welchem Vorgang passtJede Verarbeitung braucht eine Grundlage aus Artikel 6 Absatz 1 DSGVO. Für eine Galerie kommen drei in Betracht, und eine Prüffrage hilft bei der Zuordnung: Braucht die Seite den Vorgang, um sicher zu funktionieren, oder kommt er obendrauf? Was für den Betrieb nötig ist, stützen Sie auf das berechtigte Interesse (Buchstabe f) und nennen dieses Interesse ausdrücklich. Eine Bestellung von Abzügen per E-Mail fällt unter Buchstabe b, alles Zusätzliche wie Reichweitenmessung oder ein eingebettetes Video braucht eine Einwilligung (Buchstabe a). Speichert die Seite dafür etwas auf dem Gerät des Besuchers, gilt zusätzlich § 25 TDDDG, und die Einwilligung holt das Cookie-Banner ein.
Der Hoster fehlt in dieser Tabelle mit Absicht. Artikel 28 ist keine Rechtsgrundlage, sondern regelt die Arbeit im Auftrag. Der Hoster gehört deshalb zum Baustein Empfänger, und zwar für alle Vorgänge zugleich. Ob Sie Fotos von Personen überhaupt zeigen dürfen, klären die Seiten zur DSGVO bei Fotos und zur Einwilligung genauer. Bei der Speicherdauer weichen viele auf Formeln wie „so lange wie erforderlich“ aus. Besser ist eine Zahl, die Sie belegen können. Löscht Ihr Hoster die Zugriffsprotokolle nach 14 Tagen, steht im Text 14 Tage. Mails zu einer Anfrage löschen Sie, sobald die Sache erledigt ist, es sei denn, es ging um eine bezahlte Bestellung. Dann gelten handels- und steuerrechtliche Aufbewahrungsfristen, die ebenfalls in den Text gehören. Drei Musterabsätze zum AnpassenDie folgenden Formulierungen decken die drei Vorgänge ab, die bei einer selbst betriebenen Galerie fast immer anfallen, und passen in jede Datenschutzerklärung für die Webseite. Alles in eckigen Klammern ersetzen Sie durch Ihre eigenen Werte:
Prüfen Sie im ersten Absatz jedes Feld gegen das, was Ihr Hoster tatsächlich mitschreibt. Kürzt er die IP-Adresse, ergänzen Sie das, sonst lassen Sie es weg. Der zweite Absatz betrifft nur Fremde, die sich am Login versuchen, und Sie selbst, denn normale Besucher melden sich nirgends an. Den dritten brauchen Sie nur, wenn auf Ihren Fotos Menschen zu sehen sind. Versprechen Sie darin nur, was Sie tun: Wer die Metadaten nicht entfernt, streicht den Satz und holt das besser nach. Den Text aktuell haltenEine Datenschutzerklärung für die Webseite veraltet, sobald sich an der Seite etwas ändert, und bei einer Galerie passiert das oft unbemerkt. Prüfen Sie den Text spätestens bei diesen Anlässen:
Gleichen Sie den Text nach jedem Umbau ab und einmal im Jahr ohne Anlass. Öffnen Sie dabei die Galerie mit den Entwicklerwerkzeugen des Browsers. Jede Adresse, die im Reiter „Netzwerk“ nicht zu Ihrer eigenen Domain gehört, muss im Text auftauchen. Was das Bildergalerie-Script selbst speichertBeim Bildergalerie-Script lässt sich genau sagen, was die Software selbst verarbeitet. Die öffentliche Galerie, also die Seite 
Bei den Fotos wertet die Galerie aus den EXIF-Daten nur die Ausrichtung aus und verändert das Original nicht. Hat das Handy einen Standort in die Datei geschrieben, bleibt er im Original erhalten, und das Original ist unter seiner Adresse im Ordner Das Systemprotokoll betrifft auch Fremde. Probiert jemand am Login unter Rechenbeispiel zur SpeicherdauerEine feste Frist in der Erklärung müssen Sie auch einhalten. Klicken Sie den Knopf jeweils am Monatsersten, ist der älteste Eintrag kurz vor dem nächsten Klick bis zu 90 plus 31, also 121 Tage alt. Ehrlich formuliert lautet die Angabe dann „höchstens vier Monate“, wie im Musterabsatz oben. Wer wirklich „90 Tage“ zusagen will, braucht eine tägliche Löschung, zum Beispiel per Cronjob beim Hoster mit dem Befehl Den Datenschutz-Link in die Galerie einbauenDie Vorlage
Die beiden Adressen passen Sie an Ihre Homepage an. Ist die Galerie per iframe in eine andere Seite eingebettet, steht der Link dort meist schon, aber jede Kategorie lässt sich auch direkt unter Häufige FragenDiese Fragen kommen von Galeriebetreibern am häufigsten, wenn der Text steht. Muss ich eine Datenschutzerklärung für die Webseite auch ohne Kontaktformular haben?Ja. Die Pflicht hängt nicht am Formular, sondern daran, dass personenbezogene Daten anfallen, und das geschieht mit dem ersten Seitenaufruf im Zugriffsprotokoll des Hosters. Auch eine private Galerie ist nicht ausgenommen: Die Ausnahme für rein persönliche Tätigkeiten greift nach der Rechtsprechung des EuGH nicht, sobald Inhalte für jeden im Internet abrufbar sind. Brauche ich für die Galerie ein Cookie-Banner?Für die Galerie selbst nicht. Die öffentlichen Seiten setzen keine Cookies und laden nichts von fremden Servern. Das Sitzungscookie der Verwaltung ist für die Anmeldung unbedingt erforderlich und braucht nach § 25 Abs. 2 TDDDG keine Einwilligung. Ein Banner wird erst nötig, wenn Sie in die Vorlage Statistik, Videos oder Karten fremder Anbieter einbauen. Was tue ich, wenn eine abgebildete Person die Löschung verlangt?Löschen Sie das Foto in der Verwaltung unter „Bilder verwalten“ mit „Löschen“. Damit entfernt die Galerie das Original, das Vorschaubild und die verkleinerte Kopie für die große Ansicht. Löschen Sie es auch aus Ihren Sicherungen oder notieren Sie, dass es beim Zurückspielen nicht wieder online gehen darf, und bestätigen Sie der Person die Löschung. Wie beantworte ich eine Auskunftsanfrage?Innerhalb eines Monats und vollständig. Für die Galerie heißt das: Ihren Hoster nach Protokolleinträgen zur genannten IP-Adresse fragen, im Systemprotokoll nach dieser Adresse suchen, etwa per phpMyAdmin mit Verwandte ThemenZur Datenschutzerklärung für die Webseite gehören bei einer Galerie fast immer das Impressum und die Frage nach dem Cookie-Banner, dazu die Rechte der abgebildeten Personen. | |||||||||||||||||||||||||||||||||||
