DSGVO für Online Shops im Jahr 2022
Worauf müssen Online-Händler achten, um Abmahnungen wegen Datenschutz-Verstößen zu vermeiden.
Viele Händler betreiben, neben ihrem stationären Ladenlokal auch einen Onlineshop. Die Zahl der Händler die ausschließlich über einen Onlineshop ihre Waren verkaufen, wächst noch schneller. Im B2C Bereich ergänzen Onlinehändler ihre Vertriebskanäle über bekannte Plattformen wie Amazon oder eBay.
Egal welche E-Commerce Methoden eingesetzt werden, es stellen sich immer die gleichen rechtlichen Fragen:
- Wie müssen Bestellprozess, Preisangaben und Lieferangaben aussehen?
- Wie sind AGB, Impressum und eine Datenschutzerklärung zu gestalten?
- Und was muss rund um die Widerrufsbelehrung beachtet werden?
Mehr hierzu zeigt auch die Tulos DSGVO Checkliste für Online-Shops. Kostenlos!
Vermeiden Sie Abmahnungen für Datenschutzverstöße durch Verbraucherschutzverbände und Abmahnvereine oder verärgerte Kunden.
Datenschutzverstöße werden auch als Wettbewerbsverstoß gewertet. Abmahnungen können also beides beinhalten.
Dass die Datenschutzerklärung oder das Impressum der DSGVO entsprechen muss, hat inzwischen jeder Online-Shop-Betreiber verstanden. Hier macht kaum ein Händler Fehler, es gibt ja auch genügend Generatoren, die diese Texte rechtskonform für wenig Geld erstellen.
Aber, unbeabsichtigte Datenschutzverstöße merkt der Onlinehändler oft nicht.
Er sieht nicht selten überrascht und verärgert auf die Abmahnung in seinem Postfach.
Typische Fehler, die keiner haben will.
- eine nicht DSGVO konforme Einbindung eines Facebook-Like-Buttons
- Fehler in der AGB
- veraltete/unsichere Software für den Online-Shop. Das ist besonders unnötig, wenn der Software-Hersteller eindeutig empfohlen hat, diese (veraltete) Softwareversion wegen ihrer bekannten Schwachstellen zu aktualisieren.
- Unsicherer Zugriff auf die Webseiten, zum Beispiel durch unzureichende Passwörter. Teuer wird es, wenn Kundendaten durch Hacker ausgespäht wurden.
Verbraucherschützer sammeln Ärger-Shops.
Online-Händler mit den unten genannten Geschäftspraktiken können schlechter bewertet werden oder sogar wegen DSGVO Verstoß abgemahnt werden.
Zwei Beispiele, worauf Verbraucherschützer achten:
1. Keine Möglichkeit von Gastbestellungen
Online-Shops müssen grundsätzlich die Möglichkeit schaffen, auch ohne Kundenkonto Bestellungen anzunehmen.
Die Gesetzgrundlage ist hierbei der Grundsatz der Datenminimierung.
Der Grundsatz der Datenminimierung besagt, dass nur die personenbezogenen Daten verarbeitet werden dürfen, die für die Vertragserfüllung notwendig sind. Für eine Bestellung im Online-Shop sind das also klassischerweise der Name, die Lieferanschrift, Rechnungsadresse und die E-Mail-Adresse.
In einem Kundenkonto werden die Daten auf Vorrat gespeichert, um mögliche, künftige Bestellungen zu erleichtern. Bei einer erstmaligen Bestellung kann der Händler nicht per se unterstellen, dass er Kundendaten für mögliche, aber ungewisse zukünftige Geschäfte auf Vorrat vorhalten darf. Für die Einrichtung eines fortlaufenden Kundenkontos ist eine entsprechende, bewusste Einwilligungserklärung des Kunden erforderlich.
Hinzu kommt das Problem der Freiwilligkeit einer Einwilligungserklärung. Da es sich bei der Anlegung eines Kundenkontos um keine erforderliche Datenverarbeitung handelt, muss der Kunde seine Einwilligung geben. Eine Einwilligung muss laut DSGVO freiwillig erfolgen. Es darf also kein Druck auf die Kunden ausgeübt werden.
Es gibt aber auch Ausnahmen: So kann es für Fachhändler bei bestimmten Berufsgruppen für die Vertragserfüllung erforderlich sein, Bestellungen nur über Kundenkontos zuzulassen. Der Grundsatz der Datenminimierung muss dennoch beachtet werden. So sollten Kundenkonten nach einer kurzen Frist bei Inaktivität automatisch gelöscht werden.
2. Werbung mit Kundendaten und nach Benutzerverhalten ohne Einwilligung
Online-Händler haben durch die fortlaufenden Kundenkonten grundsätzlich die Möglichkeit, das Verhalten der Kontobesitzer auszuwerten und zielgerichtete Werbung zu versenden. Diese Form der Datenverarbeitung benötigt eine gesonderte Einwilligung. Denn dies ist eine Datenverarbeitung, die über die bloße Einrichtung und Führung eines fortlaufenden Kundenkontos hinausgeht. Die Nutzung dieser Kundeninformationen ist nicht bereits durch eine Einwilligung zur Einrichtung und Führung des fortlaufenden Kundenkontos abgedeckt.
Fazit.
Vor allem für Online-Händler, die sich bisher noch nicht viel mit Datenschutzrecht beschäftigt haben, empfehlen wir, den Datenschutz ernst zu nehmen, um unnötige Risiken zu vermeiden:
- Der Onlineshop und die Prozesse der Warenwirtschaft sollten stabil laufen und gegen Datenpannen sowie Cyberkriminalität geschützt sein. Was zu beachten ist steht hier
- Verstöße gegen die Gesetze des Datenschutzes sind ernst zu nehmen.
- Fehler können zu teuren Abmahnungen und Ärger mit dem Verbraucherschutz führen.
- Ein Datenschutzbeauftragter ist nicht immer gesetzlich vorgeschrieben. Er lohnt sich aber immer. Er kennt die Grenzen zwischen legaler und illegaler Datenverarbeitung. Tulos Datenschutzbeauftragte können zudem auch die erforderlichen Maßnahmen technisch umsetzen.
Gender-Hinweis
In unseren Texten verwenden wir nicht immer gender-neutrale Wörter. Chancengleichheit ist für uns aber selbstverständlich – unabhängig von Herkunft, sexueller Identität, Geschlecht, Alter und Religion. Für Tulos Consulting gehören Inklusion, Vielfalt und Toleranz zu den zentralen Werten des Unternehmens. Personenbezeichnungen in Web und Print gelten gleichermaßen für alle Geschlechter, es sei denn, dies ist explizit anderweitig definiert.
Datenschutz in der Arztpraxis
Hier finden Sie typische Beispiele aus der Arztpraxis, gefährliche Schwachstellen und eine Checkliste für die DSGVO Konformitätsprüfung.
Im Gesundheitsbereich ist der Datenschutz von entscheidender Bedeutung. Die Betroffenen und die Öffentlichkeit reagieren überaus sensibel, wenn es zu Datenpannen kommt.
Die Bestellung eines Datenschutzbeauftragten ist erst ab 20 Personen in der Praxis Vorschrift. Tulos-Datenschutzbeauftragte lohnen sich aber immer. Denn sie oder er wissen, worauf man für den Datenschutz achten muss und sorgen für reibungslose und sichere Abläufe, Technik inklusive. Abgesehen davon kosten sie nicht viel. Tulos berechnet für die Gestellung eines Datenschutzbeauftragten für Arztpraxen 90,00€/Arzt und Monat, zzgl. der gesetzlichen MwSt.
Typische Beispiele aus der Arztpraxis für die Datenerhebung und deren Weitergabe
Zum einen spielt die Datenerhebung eine wichtige Rolle. Dabei geht es um die Frage welche Daten eines Patienten gesammelt werden dürfen. Zum anderen muss die Datenweitergabe den Regularien der DSGVO entsprechen.
- Am Empfangstresen, an dem die Patienten in Empfang genommen werden und ihr Anliegen mitteilen, muss die Erhebung von Patienteninformationen vertraulich sein.
- Dritte dürfen nicht mithören können, wenn über Diagnosen informiert wird. Das kann passieren, wenn Ärzte und Arzthelfer sich über Testergebnisse und Diagnosen von Patienten in der Nähe des Wartezimmers befinden
- Akten und Computer dürfen nicht unbeaufsichtigt bleiben, zum Beispiel, wenn das Praxispersonal den Empfangsbereich verlässt oder der Arzt sein Arztzimmer.
- Sämtliche Informationen, welche sich in der Patientenakte befinden, dürfen nicht automatisch an Versicherungen oder Dritte weitergegeben werden.
- Um die Herausgabe der personenbezogenen Daten rechtskonform zu gestalten, muss in der Regel eine Einwilligungserklärung des Betroffenen vorliegen.
- Bei Gemeinschaftspraxen ist die Datenweitergabe unter Ärzten in der Regel nur dann zulässig, wenn diese die Patienten auch betreuen. Allerdings darf sich der Datenaustausch nur auf die für die Betreuung des einzelnen notwendigen Informationen beschränken. Jeder Informationsaustausch, der sich außerhalb dieses Rahmens befindet, ist unzulässig.
- Löschung von Patientendaten
Bei einem Behandlungsvertrag sind das z.B. 10 Jahre nach Abschluss der Behandlung. In Einzelfällen kann aus ärztlicher Sicht eine längere Aufbewahrung geboten sein (z.B. Risikogeburten für Mutter und/oder Kind oder chronischen Krankheiten).
Hier Mehr Beispiele und Informationen erhalten Sie bei einem Erstgespräch. Kostenlos!
Typische Schwachstellen in der Arztpraxis die zu teuren Konsequenzen führen können.
Gefährliche Bequemlichkeit und Alltagsstress in der Praxis.
Unaufmerksamkeit ist oft die Ursache, wenn vertrauliche Patienteninformationen für Unbefugte sichtbar sind, zum Beispiel, am Empfang oder auf dem Arzt-Schreibtisch.
Solche Missgeschicke können Patientenvertrauen gefährden und rechtliche Konsequenzen nach sich ziehen.
Mangelnde Kenntnisse im Umgang mit der Datenvereinbarung.
Unsachgemäßer Umgang mit vertraulichen Informationen und der EDV verursacht unnötig mehr Aufwand und ist auch ein Sicherheitsrisiko. Deshalb verlangt die DSGVO nachweisliche Kenntnisse im Umgang mit personenbezogenen Daten.
Mangelhafter Nachweis der DSGVO Erfordernisse.
Medizinische Einrichtungen müssen nachweisen, dass Ihre Praxis den Anforderungen des Datenschutzes entsprechen. Eine Prüfung durch die Datenschutzbehörde oder eine Beschwerde verursacht ungeplante Aufwände und im schlimmsten Fall eine teure Abmahnung.
Mangelhaft integrierte Praxis-Abläufe mit der Datenverarbeitung.
Die meisten Arztpraxen haben viele Abläufe digitalisiert. Viele Daten werden aber immer noch parallel auf Papier, digital und auf Drucker oder Fax verarbeitet. Das ist nicht nur aufwändig, dadurch passieren auch viele Fehler. Eine nachweisliche Kontrolle ist schwierig bis unmöglich. Für eine DSGVO Konformität muss die Kontrolle jedoch nachgewiesen werden.
Fazit
Viele Arztpraxen haben oft so viel zu bewältigen, dass der Datenschutz oft vernachlässigt wird. Das ist aber gefährlich. Daher ist es wichtig möglichst einfache Prozesse einzuführen auch bei Hektik eine sichere Datenverarbeitung möglich machen. Ein Datenschutzbeauftragter leistet hier wertvolle Hilfe.
Datenschutzbeauftragte von Tulos kennen die Anforderungen der DSGVO für medizinische Einrichtungen. Sie begleiten Arztpraxen bei der Umsetzung der erforderlichen Maßnahmen, einschließlich der IT-Systeme.
Tulos Datenschutz Checkliste für die Arztpraxis zum kostenlosen Download
Google Maps DSGVO konform auf der eigenen Webseite einbinden
Schritt für Schritt Erklärung wie man Google Maps in eine Webseite DSGVO konform einbindet.
Eine Onlinekarte hat fast jede Unternehmenswebseite. Sie informiert über den Firmenstandort. Sie hilft Kunden das Unternehmen zu finden. Für Handel und Dienstleistungen, die ihr Geschäft nicht nur Online betreiben ist dieser Wegweiser sehr hilfreich.
Aber Achtung! Wer Kartendienste falsch in die Webseite einbindet, kann mit teuren Abmahnungen rechnen, denn diesen Verstoß kann jeder sehen. Viele Kartenanbieter, die einen Quellcode zur Integration der Maps anbieten, lassen sich nicht DSGVO konform nutzen.
Google Maps in die Webseite einbinden
- Für die gewerbliche Nutzung von Google Maps benötigt man einen „Google Maps API Key“. Diese Programmschnittstelle generiert Google, wenn man sich in der Google Cloud Plattform anmeldet.
- Zunächst muss die Einbindung von Karten in die Datenschutzerklärungaufgenommen werden. Diese klärt den User über die Übertragung der Daten zu den Kartenportalen
- Google Maps erfordert eine 2-Klick-Lösung.
Der Nutzer muss vor dem Laden von Google Maps ausdrücklich darüber informiert werden, dass seine persönlichen Daten bzw. seine IP-Adresse an Google weitergeleitet werden können.
- Bei WordPress gibt es Plugins, für die rechtssichere Karteneinbindung
- Die drei der bekanntesten WordPress Google Maps Widgets sind:
- WP Google Maps
- Maps Widget for Google Maps
- WP Store Locator
- Alternative, OpenStreetMap ist grundsätzlich möglich, doch auch diese sind nicht immer datenschutzkonform. Einfachster Weg ist die Prüfung, ob die Karten durch das Privacy-Shield-Programm zertifiziert sind
- Wer zusätzlich einen Routenplaner anbieten will, sollte darauf achten, dass diese Funktion beim Einbinden von Google Maps in die Website funktioniert. Jedes Widget bzw. jeder Website-Baukasten und jedes CMS haben ihre Eigenheiten.
Was kostet Google Maps.
- Kostenlos bis 28.500 monatliche Kartenaufrufe.
- Kosten von Tool bzw. Plugin zur Einbindung von Google Maps in die Website, siehe Preislisten der Tools
Fazit: Kartenanbieter mit datenschutzkonformer Map-Einbindung
Ohne Probleme lassen sich die Kartendienste, von OpenStreetMap mit Hauptsitz innerhalb der EU oder Bing Maps sowie Google Maps einbinden.
Alle nehmen am Privacy-Shield-Programm teil. Wer Google Maps datenschutzkonform einbinden möchte, braucht zusätzlich immer eine Datenschutzerklärung auf seiner Website, die den Besucher über die Übertragung personenbezogener Daten aufklärt.
Stille Post: Warum müssen Informationen korrekt sein? DSGVO relevant!
Datenintegrität bedeutet die verlässliche Korrektheit von Daten. Das ist wichtig und keineswegs selbstverständlich! Denn eine der Gefahren ist die ungewollte Veränderung der Information. Jeder kennt das lustige Spiel „Stille Post“; also das Weiterreichen und die damit manchmal verbundenen, falschen Informationen. Im richtigen Leben ist das aber kein Spaß!
Zusätzlicher Aufwand oder Vertrauensverlust sind die häufigsten Schäden, wenn Daten zerstört oder ungewollt verändert werden.
Auch die DSGVO verlangt nach korrekten, personenbezogenen Informationen, denn dies sind Schutzrechte in der EU.
Für die DSGVO und IT-Sicherheit gehört Daten-Integrität zu einem wichtigen Schutzziel.
In Artikel 5 DSGVO steht: „Personenbezogene Daten müssen in einer Weise verarbeitet werden, die eine angemessene Sicherheit der personenbezogenen Daten gewährleistet, einschließlich Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust, unbeabsichtigter Zerstörung oder unbeabsichtigter Schädigung durch geeignete technische und organisatorische Maßnahmen („Integrität und Vertraulichkeit“).“
Die DSGVO Art. 32 Abs. 1 Buchst. b verlangt „die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen“
Sicherheitsmaßnahmen müssen auch in den technisch-organisatorischen Maßnahmen (TOM) dokumentiert werden.
Ungewollt veränderte Informationen, in Dateien genau wie auf Papier, kommen im Alltag sehr häufig vor. Daher wundert es, dass viele Datenschutzkonzepte ihren Fokus auf Backups, Verschlüsselung und Verfügbarkeit legen. Veränderungen an den Daten führen aber dazu, dass die Daten nicht mehr nutzbar sind. Das ist genauso schlimm wie verlorene Daten.
Personenbezogene Daten müssen also vor Manipulationen geschützt sein, so das Datenschutz-Gesetz. Alle anderen wertvollen Informationen sollten aber auch geschützt werden. Bei der Umsetzung der DSGVO nutzt Tulos oft Informationssicherheits-Standards, wie die ISO27001. Der Standard ist weltweit verbreitet und man erreicht dadurch die Schutzziele sowohl für die DSGVO als auch für die Informationssicherheit anderer unternehmenswertvoller Daten.
Maßnahmen für die Kontrolle und den Schutz der Integrität personenbezogener Daten dürfen also nicht fehlen, da Verantwortliche die Sicherheit der Verarbeitung auch in diesem Punkt gewährleisten müssen.
Empfehlungen und Checkliste des BayLDA zur Integrität
Das Bayerische Landesamt für Datenschutzaufsicht (BayLDA) nennt in seiner Checkliste zur „Good Practice bei technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO“ Maßnahmen, um den Grundsatz der Integrität personenbezogener Daten umzusetzen.
Die Datenschutz-Aufsichtsbehörde: „Verantwortliche müssen sowohl den Datenaustausch mit anderen Stellen über elektronische Kommunikationsnetze als auch den physikalischen Transport von mobilen Datenträgern und Dokumenten absichern. Vertraulichkeit und Integrität der personenbezogenen Daten sollen nicht beeinträchtigt werden.“
Tipp aus der Praxis:
Digitale Signaturen können bei der Datenweitergabe Sicherheit geben. Außerdem sind kryptographische Verfahrenund Hashwerte ebenfalls bei sehr vertraulichen Daten empfohlen.
Hash-Verfahren erkennen Manipulation an Daten, da sich dadurch Hash-Werte verändern. Hash-Werte sind für Daten digitale Fingerabdrücke. Wer also Hash-Werte von Daten zu einem bestimmten Zeitpunkt erzeugt und dies an einem späteren Zeitpunkt wiederholt, erkennt, ob die Daten verändert wurden oder gleich geblieben sind.
Quellen: Oliver Schonschek, Datenschutz-Praxis, DSGVO, BayLDA
Datenschutz in der Immobilienwirtschaft
Die wichtigsten DSGVO-Erfordernisse die man als Makler und Vermieter einhalten sollte, um sein Unternehmen vor Datenschutz-Sanktionen zu schützen. Immobilien sind oft Opfer von Rechtsstreitigkeiten in denen mangelnder Datenschutz eine Schwachstelle darstellt.
Der Datenschutz ist für Makler, Hausverwalter und Vermieter besonders wichtig, denn in der Immobilienwirtschaft werden besonders sensible Informationen verarbeitet.
In der Immobilienwirtschaft werden besonders sensible Informationen verarbeitet. Trotzdem vernachlässigen Immobilienmakler und Hausverwalter meist unbewusst die gesetzlichen Anforderungen der DSGVO. Sogar die einfachsten Regeln, um hoch vertrauliche Daten zu schützen, werden ignoriert. Kein Wunder, dass diese Branche besonders unter Datenschutz-Sanktionen und Cyberschäden leidet.
1. Vermietung von Immobilien
Ein klassischer Bereich intensiver Datenverarbeitung ist die Vermietung. Vermieter erhalten oft extrem sensible Daten wie Schufa Auskunft und Einkommensnachweise, um die Bonität potenzieller neuer Mieter zu überprüfen. Wer hier die Datenschutz-Anforderungen nicht korrekt einhält, riskiert empfindliche Strafen.
Für Makler und Vermieter ist hier das Risiko besonders groß, weil erstens oft die Unschuldsnachweispflicht beim eigenen Unternehmen liegt und zweitens Mieter in der Regel bei Gericht wohlwollend behandelt werden.
Im Datenschutzrecht gilt der Grundsatz der „Datenminimierung“, wonach Daten nur insoweit verarbeitet werden dürfen, wie dies für einen konkreten Zweck erforderlich und angemessen ist. Vor dem Hintergrund dieses Grundsatzes ist eine vollständige Erfassung aller Daten „auf Vorrat“ zu Beginn des Vermietungsprozesses unzulässig. Die Aufsichtsbehörden teilen den Vermietungsprozess in drei Abschnitte:
- vor/bei der Besichtigung
- Mietinteressent äußert konkretes Interesse an der Immobilie
- kurz vor/bei Vertragsschluss
Dabei dürfen in jedem Abschnitt nur bestimmte Informationen von den Mietinteressenten abgefragt werden. Nach Auffassung der Aufsichtsbehörden dürfen Einkommensnachweise erst verlangt werden, wenn bereits ein konkreter Mietinteressent ausgewählt wurde.
Hier die Regel:
1. vor/bei der Besichtigung
- Kontaktdaten
- Daten zu Suchkriterien
- Vorlegen des Wohnberechtigungsscheines
2. Mietinteressent äußert konkretes Interesse an der Immobilie
- Höhe des Nettoeinkommens
- Anzahl der einziehenden Personen
- Beruf, Arbeitgeber
- Eröffnetes Verbraucherinsolvenzverfahren
- Name und Höhe des Nettoeinkommens eines Bürgen
3. kurz vor/bei Vertragsschluss
- Einkommensnachweise
- Bonitätsauskünfte
2. Umgang mit Auskunfteien
Um die Bonität eines Mietinteressenten zu überprüfen, werden häufig Auskunfteien wie die Schufa angefragt. Dies ist jedoch nur eingeschränkt zulässig und sollte – soweit zur Beurteilung der Bonität noch erforderlich – erst kurz vor Vertragsschluss mit einem Mietinteressenten erfolgen. Gängige Praxis der Vermieter ist es auch, von Mietinteressenten die Vorlage einer Selbstauskunft zu verlangen, obwohl diese Informationen enthält, die für das Mietverhältnis irrelevant sind.
Regelmäßig gibt es derzeit neue Urteile zum Schadenersatz nach DSGVO. Und sie fallen immer häufiger zugunsten der betroffenen Person aus.
Informationspflichten des Vermieters
Der Vermieter muss Mietinteressenten bzw. Mieter vor der ersten Datenerhebung über die Datenverarbeitung im Vermietungsprozess und im anschließenden Mietverhältnis informieren. Die Zwecke und Rechtsgrundlagen der Datenverarbeitung, die Dauer der Speicherung und potentielle Empfänger der Daten müssen erläutert werden.
Tipp:
Vermieter können entsprechende Datenschutzhinweise als Anlage zum Mietinteressentenfragebogen/Mietvertrag beilegen.
Löschung der Daten
Die Löschung der Daten wird von Vermietern und Maklern oft versehentlich vergessen oder absichtlich vermieden. Das ist immer wieder eine Schwachstelle, wenn diese Unternehmen juristisch angegriffen werden. Die DSGVO wird allzu oft als Druckmittel verwendet, um Recht zu bekommen.
Vermieter sollten wissen, wann personenbezogene Daten von Mietinteressenten und Mietern zu löschen sind. Makler und Vermieter sind zur Löschung verpflichtet, wenn der ursprüngliche Verarbeitungszweck entfällt und keine (bspw. steuer- und handelsrechtlichen) Aufbewahrungspflichten bestehen. Das gilt z.B. wenn der Mieter ausgezogen ist und ein neuer Mieter die Wohnung bewohnt. Nach dem Ende der Mieterauswahl, also nach Vertragsabschluss, darf ein Vermieter grundsätzlich nur die Daten weiterhin speichern, die zur Durchführung des Mietverhältnisses oder zur Erfüllung gesetzlicher Pflichten notwendig sind. Also keine Auskünfte betreffend seiner oder ihrer Bonität.
Datenweitergaben an Dritte
Die Weitergabe von Informationen von Betroffenen, also oft Mieter oder Mietinteressenten ist selbstverständlich ich in der DSGVO geregelt. Vermieter und Makler sollten prüfen, inwieweit Mieterdaten an Dritte, z.B. Hausverwaltungen, Makler und sonstige Dienstleistungsunternehmen, weitergegeben werden dürfen. Gelegentlich müssen Datenschutzverträge mit entsprechenden Dienstleistern abgeschlossen werden.
Kommunikation mit Mietern
Ein gutes Verhältnis zwischen Vermieter und Mieter ist immer hilfreich. Selbstverständlich werden zwangsläufig personenbezogene Daten der Mieter verarbeitet. Wenn es um Dinge rund um den Vertrag oder die Nebenkosten geht, ist der Austausch von personenbezogenen Daten unvermeidbar und erlaubt.
Etwas Anderes kann in Fällen gelten, in denen die Datenverarbeitung nur am Rande Berührungspunkte mit dem Mietvertrag aufweist (z.B. Veranstaltung eines Mieterfestes, Newsletter-Versand). In diesen Fällen bedarf die Datenverarbeitung einer gesonderten Prüfung, insbesondere ist zu prüfen, ob eine Einwilligung der Mieter erforderlich ist.
Daneben können datenschutzrechtliche Vorgaben beim Einsatz bestimmter Kommunikationsmittel (z.B. Messenger-Dienste) nötig sein. Neben der Frage der Rechtmäßigkeit der Datenverarbeitung stellen sich in diesen Fällen immer wieder Probleme bezüglich der Weitergabe der Kommunikationsdaten an die Betreiber der Dienste, so die Erfahrung der Kanzlei Taylor Wessing in Wien.
3. Immobilien- bzw. Unternehmenskauf
Was für die Vermietung gilt, gilt selbstverständlich auch für den Verkauf von Immobilien oder Unternehmen mit Immobilien. Auch hier sind vertrauliche und weniger vertrauliche, personenbezogene Daten, Bestandteil der Dokumente oder Information, die im Verkaufsprozess verarbeitet werden.
Rechtmäßigkeit der Weitergabe von Mieterdaten im Verkaufsprozess
Bei Immobilientransaktionen stellt der Verkäufer dem Käufer in den einzelnen Phasen des Verkaufs Informationen zur Verfügung, um eine Prüfung wertbildender Faktoren des Zielobjekts zu ermöglichen. Bei der Weitergabe oder beim Empfang personenbezogener Daten müssen die Parteien die datenschutzrechtlichen Anforderungen berücksichtigen. Der Verkauf einer vermieteten Immobilie enthält vertrauliche Daten von Unbeteiligten, die einen Einfluss auf den Wert der Immobilie haben können. In den meisten Fällen müssen personenbezogene Daten anonymisiert werden. Grundsätzlich gilt aber, je näher eine Vertragseinigung rückt, desto mehr Informationen dürfen ausgetauscht werden.
Informationspflichten
Selbstverständlich sind auch bei Transaktionen Informationspflichten zu beachten. So muss jedenfalls das Unternehmen, das personenbezogene Daten im Rahmen einer Transaktion offenlegt, die betroffenen Mieter darüber meistens informieren.
Tipp:
Informationen über eine mögliche Datenweitergabe an Dritte können bereits in abstrakter Form in die allgemeinen Datenschutzhinweise aufgenommen werden, um die Notwendigkeit eines späteren Tätigwerdens zu vermeiden.
4. Videoüberwachung von Immobilien
Die Videoüberwachung von Häusern ist eines der häufigsten Stolpersteine der Immobilienwirtschaft. Sie ist auch eines der beschwerdeträchtigsten Bereiche.
Zulässigkeit der Videoüberwachung/Datenschutz-Folgenabschätzung
Wer bei Häusern eine Videoüberwachung durchführt oder durchführen lässt, sollte sorgfältig prüfen, ob der Zweck und die Wahrung der Interessen rechtmäßig sind. Meistens ist eine Datenschutzfolgenabschätzung durchzuführen. Selbstverständlich sind die Dauer der Speicherung, Zugriff auf die Informationen und Kameratyp sorgfältig zu prüfen. Die Abläufe müssen dokumentiert sein.
Informationspflichten
Zudem muss die Videoüberwachung durch ein Piktogramm kenntlich gemacht werden. Die betroffenen Personen müssen über den Zweck der Videoüberwachung, ihre Rechtsgrundlage und die Dauer der Datenspeicherung informiert werden.
Datenlöschung
Videoaufnahmen sollten grundsätzlich spätestens nach 48 Stunden gelöscht werden. In Ausnahmefällen und guter Begründung ist auch eine längere Speicherung möglich.
Sicherheit
Die Filme der Videoüberwachung müssen ausreichend vor Missbrauch geschützt werden. Dies kann z.B. durch eine Verschlüsselung der Aufnahmen und eine kontrollierte Zugriffsberechtigung geschehen.
5. „Smart Home, Smart Building“
Die Welt von Internet of Things (IOT) verbreitet sich auch in der Immobilienwirtschaft. „Smart Meter“ für Energiemessungen oder intelligente Licht- und Alarmsysteme in Wohnimmobilien verbessern mittels vernetzter Geräte und automatisierter Abläufe die Wohnqualität und Sicherheit.
Auch aus Vermietersicht werten IOT-Systeme Häuser auf. So kann man zum Beispiel automatisch Nebenkosten ermitteln und in ein ERP System überführen. Dass dabei personenbezogene Daten übermittelt und verarbeitet werden, ist klar. Also gilt auch hier die DSGVO.
Vermieter müssen prüfen, ob die Datenverarbeitung von einer entsprechenden Rechtsgrundlage gedeckt ist. In Betracht kommt z.B. die Einwilligung der betroffenen Person (z.B. eines Mieters). Damit eine Einwilligung wirksam ist, muss diese über die Datenverarbeitung informieren.
Auch wenn eine Rechtgrundlage zur Datenverarbeitung und die Einwilligung vorliegen, sollten Unternehmen den Grundsatz der Datenminimierung beachten. Danach dürfen (auch) bei „Smart Home“-Anwendungen personenbezogene Daten nur insoweit verarbeitet werden, wie dies für den verfolgten Zweck erforderlich und angemessen ist.
Sicherheit
Die Daten aus IOT-Systemen müssen ausreichend vor Missbrauch geschützt werden. Dies kann, z.B. durch eine Verschlüsselung der Aufnahmen, eine kontrollierte Zugriffsberechtigung geschehen.
6. Allgemeine datenschutzrechtliche Anforderungen
Wie alle Unternehmen, die personenbezogene Daten in größerem Umfang verarbeiten, müssen Vermieter und Makler die allgemeinen datenschutzrechtlichen Anforderungen entsprechen:
- Verarbeitungsverzeichnis: Ein Verzeichnis, das Informationen zu den Datenverarbeitungstätigkeiten enthält (z.B. zu den Verarbeitungszwecken, den verarbeiteten Daten und den Fristen für eine Löschung der Daten).
- Datenschutzbeauftragter: Ein Datenschutzbeauftragter lohnt sich immer. Er oder sie kennt die Grenzen zwischen legaler und illegaler Datenverarbeitung.
- Betroffenenrechte: Unternehmen müssen sicherstellen, dass die Rechte der betroffenen Personen (z.B. auf Auskunft, Löschung und Widerspruch) erfüllt werden.
- Meldepflichten: Im Fall einer Verletzung des Schutzes personenbezogener Daten sind – unter bestimmten Voraussetzungen – innerhalb von 72 Stunden nach Kenntniserlangung die Aufsichtsbehörden und ggf. auch die betroffenen Personen zu informieren.
- Datenschutz-Management-System: Zur Bewältigung der zahlreichen datenschutzrechtlichen Anforderungen empfiehlt es sich häufig, ein Datenschutz-Management-System einzuführen. Im Rahmen dieses Systems sollten v.a. Rollen und Verantwortlichkeiten festgelegt und Konzepte, Richtlinien und Standardvorgehensweisen zu bestimmten Vorgängen entwickelt werden (z.B. zur beschriebenen Erfüllung der Betroffenenrechte und Meldepflichten).
Quellen:
DSGVO, Anwaltskanzlei Taylor Wessing, Dr. Paul Voigt, Partner, Wiebke Reuter, LL.M.
Künstliche Intelligenz und der Datenschutz
Wer im Vertrieb tätig ist kennt natürlich die Vorteile von künstlicher Intelligenz, will heißen, weniger Aufwand und mehr Leads.
Ja, aber was ist mit dem Datenschutz?
Drei Fragen um zu klären, wo sich die Fußangeln befinden.
Tulos Consulting GmbH sind Experten für den Datenschutz und IT-Sicherheit. Wir haben langjährige Erfahrung aus der Praxis mit CRM-Systemen, wie Hubspot, Salesforce und andere.
Was sind denn die größten Risiken, wenn man künstliche Intelligenz im Vertrieb einsetzt?
Zuallererst der Vertrauensverlust der Kunden, denn das ist bei Umfragen die häufigst genannte Befürchtung.
Wir alle wissen, dass wirklich gute Kundenbeziehungen auf Vertrauen basieren.
Kunden wollen zwar möglichst individuell betreut werden, und das geht mit KI besonders effizient. Sie erwarten aber, einen vertrauenswürdigen und datenschutzkonformen Umgang mit ihren Daten.
Jetzt zu Risiko-Punkt 2. Das sind die Haftungs-Schäden und Sanktionen.
Unternehmen machen sich juristisch angreifbar, wenn sie die massenhafte Verarbeitung von Daten mit KI nicht beherrschen.
z.B. da wird die DSGVO gerne hergenommen um Rechtstreite, auch für völlig andere Themen, durchzusetzen.
Typische Forderungen sind Abfindungen der Mitarbeiter, Abmahnungen von Wettbewerbern oder Haftungsforderungen von Kunden.
Und schließlich die Wiederbeschaffungskosten für verlorene unternehmenswichtiger Daten.
Cyberangriffe, durch Hacker, die mit KI aufwändig aufbereitete oder gekaufte Kundeninformationen, verfälschen oder stehlen oder Zugänge kapern, um Lösegelder zu verlangen.
Die Nachrichten berichten fast täglich News über Cyberangriffe.
CRM-Systeme stehen als Opfer auf Platz eins.
Kein Wunder, denn die Beute ist lukrativ und leicht am Markt zu Geld zu machen.
Von den drei größten Risiken, jetzt die größten Fehler, die KI-Systeme für den Vertrieb verursachen können?
Mit KI-Systemen können Vorhersagen getroffen oder Empfehlungen und Entscheidungen generiert werden – ganz ohne im Vorhinein festgelegte Regeln oder Berechnungsvorschriften.
Die Ergebnisse können unvorhersehbar und falsch sein
Betroffene, also auch potenzielle Kunden, können schnell verärgert werden, wenn falsche Annahmen aus KI-Systemen getroffen werden oder ihnen gar schaden.
Stichwort, das eben erwähnte Kundenvertrauen
Menschen haben das Recht auf korrekte Datenverarbeitung ihrer Person, alles andere ist strafbar und
verantwortlich hierfür ist immer das Unternehmen.
Und wieder ein Einfallstor für die sprichwörtlichen Abmahnvereine.
Wie bekommt man die Risiken in den Griff?
Wie ein Flugzeugpilot vor dem Start, sollte man einen Check machen, was geplant ist.
- Welche Daten werden gefüttert?
- Welche Ergebnisse sollen erzielt werden?
Nur so bekommt man seine Datenverarbeitung in den Griff.
Weil KI in so vielen Bereichen innerhalb des Vertriebs Daten auswerten kann, gibt es hier keine pauschale Lösung.
Ich empfehle immer einen Datenschutzbeauftragten begleitend einzusetzen. Er oder sie kennt die Linien zwischen legaler und illegaler Datenverarbeitung und kann von Fall zu Fall die Risiken einschätzen.
Das hat auch noch den sympathischen Vorteil, dass im Schadensfall ein Datenschutzbeauftragter fast immer gegenüber Betroffenen oder Behörden schneller zur Schlichtung beiträgt.
Die KI und der Datenschutz
Im folgenden Video erklärt Tulos-Gründer und Datenschutzexperte Roderich Pilars de Pilar, wie sich der Einsatz von Künstlicher Intelligenz (KI) in Unternehmen mit dem Datenschutz vereinbaren lässt.
