26. Juli 2017    Datenschutz-Grundverordnung 2018 : Was kommt auf Shop-Betreiber zu?

Bisher waren für Shop-Betreiber das Bundesdatenschutzgesetz (BDSG) und das Telemediengesetz (TMG) die für den Datenschutz wesentlichen Gesetzesnormen. Nach § 13 Abs. 1 TMG ist der Anbieter von Telemedien verpflichtet die Nutzer seines Dienstes zu Beginn des Nutzungsvorgangs über Art, Umfang und Zweck der Erhebung und Verwendung personenbezogener Daten, sowie deren Verarbeitung in allgemein verständlicher Form zu unterrichten. Als personenbezogene Daten gelten Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (§ 3 Abs. 1 BDSG).  

Einige gesetzliche Vorschriften werden ab 25. Mai 2018 durch die DSGVO ergänzt, andere bleiben bestehen und manche Bestimmungen des BDSG und des TMG werden durch die DSGVO vollständig ersetzt. Auch ab 25. Mai 2018 werden nur personenbezogene Daten datenschutzrechtliche Informationspflichten auslösen. Diesbezüglich unterscheiden sich BDSG und DSGVO nicht.

Auswirkungen hat die DSGVO jedoch auf die Beurteilung, ob eine IP-Adresse personenbezogen ist und datenschutzrechtlichen Informationspflichten unterliegt. Entscheidend dabei ist, ob der Webseitenbetreiber über die notwendigen Mittel verfügt, die ihm die Bestimmung der hinter diesen Daten stehenden Person grundsätzlich ermöglicht. Unerheblich ist dabei, ob die hinter den Daten stehende Person tatsächlich im konkreten Fall identifiziert werden kann.  

In diesem Sinne hat der Europäische Gerichtshof (EuGH) am 19.10.2016 (C-582/14) entschieden, dass „eine dynamische IP-Adresse, die von einem Anbieter beim Zugriff auf seine allgemein zugängliche Website gespeichert wird, für den Betreiber ein personenbezogenes Datum darstellt, wenn er über rechtliche Mittel verfügt, die es ihm erlauben, den Nutzer anhand der Zusatzinformationen, über die dessen Internetzugangsanbieter verfügt, bestimmen zu lassen.“

Nach der DSGVO wird erst dann keine Informationspflicht ausgelöst, wenn die Daten tatsächlich anonym sind, d.h. bei Informationen, die in einer Weise anonymisiert worden sind, so dass die betroffene Person nicht oder nicht mehr identifiziert werden kann.

Gerne beraten wir Sie zu den Pflichten Ihres Unternehmens. Auch können Sie uns zum externen Datenschutzbeauftragen Ihres Unternehmens bestellen. Schreiben Sie uns eine Email.

weiterführende Links:

Wortlaut der EU-DSGVO (ABl.  L  119 vom 4.5.2016, S. 1; L 314 vom 22.11.2016, S. 72) : Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 

Gesetzentwurf zur Anpassung des Bundesdatenschutzgesetzes an die Datenschutz-Grundverordnung : BT-Drucksache 18/11325 vom 24. Februar 2017

Entscheidung des EuGH zur Bestimmbarkeit einer Person anhand der IP-Adresse : EuGH-Entscheidung Gz. C-582/14 vom 19. Oktober 2016