Nachdem seinerzeit noch – der – Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) im Februar 2023 das Bundespresseamt anwies, den Betrieb der Facebook-Fanpage der Bundesregierung einzustellen (wir berichteten), reichte das Bundespresseamt (BPA) Klage gegen den Bescheid ein. Das zuständige Verwaltungsgericht Köln entschied nun, dass die Bundesregierung die Facebook-Fanpage zu Zwecken der Öffentlichkeitsarbeit weiterbetreiben darf.

Hintergrund des Verfahrens

Nach dem Urteil des Europäischen Gerichtshofs (Rs. C-201/16) zur gemeinsamen Verantwortlichkeit zwischen dem Plattformbetreiber Meta und dem Betreiber der jeweiligen Facebook-Fanpage sowie einer Entschließung der Datenschutzkonferenz (DSK) aus Juni 2018, richtete sich der Bundesbeauftragte im Mai 2019 in einem ersten Rundschreiben sowie im Juni 2021 in einem zweiten Rundschreiben an alle Ministerien, Behörden und öffentlichen Stellen des Bundes und wies auf die datenschutzrechtlichen Problematiken bei dem Betrieb von Facebook-Fanpages hin.

Die genauen rechtlichen Probleme bei Betrieb einer Facebook-Fanpage hatte zudem die DSK im März 2022 erneut in einem Kurzgutachten dargestellt. Worauf ebenfalls ein entsprechender Beschluss der DSK zur Task Force Facebook-Fanpages ergangenen ist. Daraufhin ging der Bundesbeauftragte noch weiter und versendete entsprechende Anhörungen zu Facebook-Fanpages. Hieraus resultierte letzten Endes die Untersagungsverfügung für das Bundespresseamt.

Zur Begründung hieß es zum damaligen Zeitpunkt unter anderem: „Alle Behörden stehen in der Verantwortung, sich vorbildlich an Recht und Gesetz zu halten. Dies ist nach dem Ergebnis meiner Prüfungen beim Betrieb einer Fanpage wegen der umfassenden Verarbeitung personenbezogener Daten der Nutzenden aktuell unmöglich.“ Konkret: „Das BPA hat entgegen Artikel 26 Absatz 1 Satz 2 DSGVO keinen hinreichenden Vertrag über die gemeinsame Verantwortlichkeit mit Meta geschlossen. […] Ferner hat das BPA fahrlässig gegen § 25 Absatz 1 Satz 1 TTDSG verstoßen, da für die bei Besuch einer Fanpage ausgelöste Speicherung von [Cookies], […] keine wirksame Einwilligung eingeholt wird, obwohl dies erforderlich ist.“

Entscheidung des Gerichts

In seiner Entscheidung vom 17. Juli 2025 (Az. 13 K 1419/23) folgte das Verwaltungsgericht Köln dieser Argumentation ausdrücklich nicht. In der Pressemitteilung heißt es hierzu: „Nicht das Bundespresseamt, sondern allein Meta ist zur Einholung einer Einwilligung der Endnutzenden für die Platzierung von „Cookies“ verpflichtet. Es besteht kein ausreichender Ursachen- und Wirkungszusammenhang zwischen dem Betrieb der „Fanpage“ durch das Bundespresseamt und dem mit der Speicherung und dem Auslesen der „Cookies“ verbundenen Fernzugriff auf die Endgeräte der Nutzer.“

Und: „Auch nach der DSGVO sind Meta und das Bundespresseamt nicht gemeinsam für die beanstandeten Datenverarbeitungen verantwortlich. Der Beitrag des Bundespresseamtes zur Speicherung und zum Auslesen der „Cookies“ erschöpft sich in dem Betrieb der „Fanpage“. Insbesondere kann das Bundespresseamt keine Parameter für die Platzierung der „Cookies“ und die Auswertung der erhobenen Daten vorgeben. Die bloße Ermöglichung einer Datenverarbeitung begründet nach Auffassung der Kammer indessen nicht die notwendige gemeinsame Festlegung der Mittel der Datenverarbeitung.“

Abzuwarten bleibt, ob – zwischenzeitlich die – Bundesbeauftragte für Datenschutz und Informationsfreiheit gegen die Entscheidung Berufung einlegen wird. Offen ist auch, welche Auswirkungen das Urteil auf das laufende Verfahren der Sächsischen Datenschutz- und Transparenzbeauftragten gegen die Sächsische Staatskanzlei haben wird. In diesem Zusammenhang berichtete die sächsische Datenschutzaufsichtsbehörde zuletzt, dass Meta eine Drittanfechtungsklage gegen die Untersagungsverfügung eingereicht hat – mit der Begründung, dass allein Meta für die Datenverarbeitung verantwortlich sei und daher ausschließlich die irische Datenschutzaufsicht zuständig wäre

Fazit

Das Verwaltungsgericht Köln hat entschieden: Die Bundesregierung darf ihre Facebook-Fanpage weiter betreiben. Laut Gericht ist allein Meta – also der Plattformbetreiber – für die Einhaltung der datenschutzrechtlichen Anforderungen in Bezug auf Cookies verantwortlich, nicht das Bundespresseamt. Eine gemeinsame Verantwortung sieht das Gericht nicht, da das Bundespresseamt keinen Einfluss auf die Cookie-Nutzung hat. Ob die Bundesdatenschutzbeauftragte gegen das Urteil vorgeht, bleibt offen. Auch in ähnlichen Fällen könnten sich daraus wichtige Folgen ergeben.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Security & Privacy wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

Wie kommunizieren Sie Datenschutz? Bei der Betrachtung der datenschutzrechtlichen Anforderungen stehen meist die diversen Dokumentationspflichten des Verantwortlichen, beispielsweise die Bereitstellung von Datenschutzinformationen gemäß Art. 13 DS-GVO , die vertragliche Einbindung externer Dienstleister im Rahmen einer Auftragsverarbeitung gemäß Art. 28 DS-GVO oder die Erstellung des Verzeichnisses der Verarbeitungstätigkeiten gemäß Art. 30 DS-GVO im Fokus. Gleichwohl diese Dokumentationspflichten einen zentralen Aspekt der datenschutzrechtlichen Normierungen darstellen, kann in der alltäglichen Datenschutz-Praxis die richtige Kommunikation dieser Thematik einen sehr großen Einfluss auf die erfolgreiche Umsetzung der gesetzlichen Anforderungen nehmen. Nachdem wir uns in der vergangenen Woche bereits die Erwartungen der beteiligten Akteure sowie die interne Kommunikation angesehen haben, setzen wir uns heute mit der externen Kommunikation auseinander.

Datenschutz extern kommunizieren

Verantwortliche sollten sich grundsätzlich bewusst sein, dass sämtliche Datenverarbeitungen und Datenschutzinformationen, welche für Externe einsehbar sind, ihr datenschutzrechtliches Aushängeschild darstellen. Im Rahmen der Werkzeuge digitaler Kommunikation betrifft dies insbesondere die bereits erwähnten Internetseiten, Präsenzen in sozialen Netzwerken und Apps. Die Einbeziehung datenschutzrechtlicher Expertise kommt jedoch in diesem Bereich häufig zu kurz.

Durch Verantwortliche wird regelmäßig die Begründung des Missverhältnisses zwischen Aufwand und Nutzen einer detaillierten datenschutzrechtlichen Betrachtung sowie einer vollständig datenschutzkonformen Umsetzung der Datenverarbeitungen vorangestellt. Grundsätzlich wird jedoch im Rahmen der Umsetzung rechtlicher Anforderungen ein Vergleich von Aufwand und Nutzen nur in seltenen Fällen zugunsten des (wirtschaftlichen) Nutzens ausfallen. Hingegen ist regelmäßig eine Abwägung zwischen Aufwand und Risikobereitschaft zu empfehlen. Schließlich hat nach Art. 77 DS-GVO „jede betroffene Person […] das Recht auf Beschwerde bei einer Aufsichtsbehörde […], wenn die betroffene Person der Ansicht ist, dass die Verarbeitung […] gegen diese Verordnung verstößt.“ Das heißt, grundsätzlich steht allen Nutzenden der diversen Kommunikationskanäle ein Beschwerderecht zu, sofern diese auch nur der Ansicht sind, der Verantwortliche verstoße gegen datenschutzrechtliche Bestimmungen. Allein aus dem hieraus erwachsenden Risiko sollte vermehrt eine Betrachtung der datenschutzrechtlichen Aspekte erfolgen. Alternativ ist von einer hohen Risikobereitschaft auszugehen. Unter Berücksichtigung der Sanktionsmöglichkeiten der Aufsichtsbehörden, einschließlich der Möglichkeit zur Untersagung ganzer Datenverarbeitungen, kann dies jedoch kaum den Zielen einer erfolgreichen digitalen Kommunikation entsprechen.

Aufgrund der Komplexität und des Zusammenwirkens der rechtlichen Materie sowie der zahlreichen technischen Aspekte, ist im Rahmen digitaler Kommunikationsmittel stets der Datenschutzbeauftragte einzubeziehen. Mit diesem gemeinsam sollte ebenfalls die Erstellung der erforderlichen Datenschutzinformationen nach Art. 13 DS-GVO (auch „Datenschutzerklärungen“ genannt) erfolgen. Dabei ist unbedingt zu berücksichtigen, dass sowohl das Interesse als auch die Akzeptanz von ausufernden Datenschutzinformationen meist gering ist. Freilich muss eine solche Information inhaltlich den rechtlichen Anforderungen genügen, dies bedeutet jedoch keine Pflicht zum Füllen einer solchen mit inhaltsleeren Floskeln. Beispielsweise kann die Formulierung „Wir freuen uns sehr über Ihr Interesse an unserem Unternehmen. Datenschutz hat einen besonders hohen Stellenwert für die Geschäftsleitung. […]“ nicht überzeugen und wirkt nahezu ironisch, wenn die Datenverarbeitungen und Informationen erkennen lassen, dass es dem Verantwortlichen deutlich an datenschutzrechtlicher Expertise oder Willen mangelt. Auch ein häufig vorkommendes Zitieren der einzelnen Begriffsbestimmungen nach Art. 4 DS-GVO wird durch keine einzige datenschutzrechtliche Norm gefordert und führt lediglich zum ergebnislosen Aufblähen einer, dem Normtext nach, der Transparenz dienenden Erläuterung der Datenverarbeitungen.

Unumstritten bedingt eine solche Formulierung der Datenschutzinformationen einer detaillierten Auseinandersetzung mit den jeweiligen Datenverarbeitungen. Dies kann zugleich als Chance gesehen werden, die jeweiligen Datenverarbeitungen zu betrachten und deren zwingende Erforderlichkeit zu hinterfragen. In der Praxis kommt es nicht selten vor, dass im Rahmen der Nutzung von Analysesoftwares nur ein Bruchteil der Ergebnisse für die tatsächliche Auswertung, z.B. der Reichweitenanalyse, benötigt werden. Gängige Anbieter ermöglichen beispielsweise detaillierte Aussagen über bestimmte demografische Merkmale und Interessen der Nutzenden. Werden diese Kategorien personenbezogener Daten für die tatsächliche Auswertung nicht zwingend benötigt, widerspricht eine solche Datenverarbeitung dem Grundsatz der Datenminimierung gemäß Art. 5 Abs. 1 lit. c) DS-GVO und ist mithin unzulässig.

Weiterhin dürfen im Rahmen einer Datenschutzinformation ausschließlich Datenverarbeitungen beschrieben werden, welche tatsächlich auch in dieser Form bei einer Nutzung erfolgen. Oftmals finden sich in Datenschutzinformationen Ausführungen zur Nutzung einer externen Videoplattform, obwohl keine Videos über externe Dienste eingebettet werden. Auf Anfrage heißt es dann meist, dass die aufgeführte Videoplattform in Zukunft durchaus genutzt werden könnte und der entsprechende Textabschnitt für mögliche Änderungen bestehen bleibt. Nach überwiegender Auffassung handelt es sich in diesen Fällen um eine unzutreffende und damit intransparente Datenschutzinformation, somit um einen Verstoß gegen Art. 5 Abs. 1 lit. a), Art. 12 Abs. 1 Satz 1 sowie Art. 13 DS-GVO. In diesem Zusammenhang ist ebenfalls darauf hinzuweisen, dass sogenannte „Generatoren für Datenschutzerklärungen“ ausschließlich mit Vorsicht zu gebrauchen sind. Sie ermöglichen bereits mit wenigen Klicks die Erstellung umfassender Datenschutzinformationen, welche meist jedoch nicht auf die Besonderheiten einer Internetseite angepasst sind. Werden digitale Kommunikationskanäle mehrsprachig zur Verfügung gestellt, ist in den gleichen Sprachen ebenfalls die Datenschutzinformation bereitzustellen.

Datenverarbeitungen, welche zur Darstellung einer Internetseite oder zur Bereitstellung einer App technisch nicht zwingend erforderlich sind, bedürfen darüber hinaus in der Regel einer informierten und freiwilligen Einwilligung der jeweiligen Nutzenden. Hierunter fallen insbesondere Analysedienste, Implementierungen von Medieninhalten über externe Dienstleister sowie das Setzen entsprechender Cookies. Nach Erwägungsgrund 32 zur DS-GVO erfordert eine Einwilligung stets „eine eindeutige bestätigende Handlung“, womit die betroffene Person „unmissverständlich bekundet“, dass sie mit der Verarbeitung personenbezogener Daten einverstanden ist. Unzulässig sind dementsprechend sogenannte Cookie-Banner, welche den Nutzenden keine tatsächliche Wahl über das Setzen von Cookies oder die Vornahme weiterer Datenverarbeitungen lassen. Hierzu zählen beispielsweise Cookie-Banner mit der folgenden Formulierung: „Wir verwenden Cookies. Durch den Besuch der Internetseite erklären Sie sich mit der Verwendung von Cookies einverstanden.“ Umstritten ist das sogenannte „Nudging“ und die Verwendung sogenannter „Dark Patterns“. Hierbei werden Cookie-Banner so dargestellt, dass Nutzende zur Einwilligung in die weitere Datenverarbeitung geführt werden. Dies wird in der Regel visuell durch das farbliche Hervorheben des Buttons zur Einwilligung und das Erschweren der Ablehnung der Datenverarbeitung realisiert. Die Anwendung derartiger Techniken kann in der Regel nicht mit den Grundsätzen der Fairness, Transparenz und Datenminimierung in Einklang gebracht werden.

Abschließend ist auf einen in der Praxis weit verbreiteten Fehler hinzuweisen: Die dargestellten Transparenzanforderungen im Zusammenhang mit Datenschutzinformationen gelten ebenfalls für Präsenzen in sozialen Netzwerken. Das heißt, auch für diese digitale Kommunikationskanäle ist zu beschreiben, welche konkreten Datenverarbeitungen durch den Verantwortlichen sowie den Betreiber des sozialen Netzwerks als sogenannten gemeinsamen Verantwortlichen durchgeführt werden. Hierbei reicht es nicht aus und stellt ebenfalls einen Verstoß gegen datenschutzrechtliche Anforderungen dar, sofern ausschließlich eine Verlinkung auf die Datenschutzinformation der Internetseite erfolgt. Jeder Kommunikationskanal bedarf einer separaten Beschreibung der jeweils vorgenommenen Datenverarbeitungen. Die Implementierung derartiger Informationen gestaltet sich hingegen schwierig. Während einige soziale Netzwerke für die Verlinkung separate Felder vorsehen, muss in anderen sozialen Netzwerken die Biografie oder der Link zur Internetseite verwendet werden, um Datenschutzinformationen bereitstellen zu können. In diesem Zusammenhang eignen sich extra hierfür angelegte Landingpages.

Fazit

Bei der Betrachtung der Umsetzung datenschutzrechtlicher Anforderungen stehen die Dokumentationspflichten im Fokus. Dabei ist jedoch zwingend zu berücksichtigen, dass Datenschutz nicht von der Dokumentation, sondern insbesondere von der praktischen Umsetzung und einer angemessenen Kommunikation lebt. Eine besondere Herausforderung besteht dabei in den unterschiedlichen Erwartungen der jeweiligen Akteure. Um die datenschutzrechtlichen Anforderungen und Erwartungen umfassend umzusetzen, bedarf es einer funktionierenden Datenschutzorganisation und der Möglichkeit Missstände und Verbesserungspotenziale offen zu kommunizieren. Dem Datenschutzbeauftragten kommt hier eine zentrale Rolle zu, gleichwohl er nicht für die tatsächliche Umsetzung verantwortlich ist. Zusätzlich können Dienstleister einen entscheidenden Beitrag zur datenschutzkonformen Verarbeitung personenbezogener Daten leisten. Insbesondere im Rahmen der Erstellung und Bereitstellung digitaler Kommunikationskanäle empfiehlt sich die Aufnahme etwaiger Anforderungen in den Dienstleistungsverträgen. Schließlich stellen Internetseiten, Präsenzen in sozialen Netzwerken und Apps sowie deren Datenschutzinformationen das datenschutzrechtliche Aushängeschild des Verantwortlichen dar. Aufgrund der Komplexität der Thematik sowie der rechtlichen Risiken, empfiehlt sich stets die Einbindung des Datenschutzbeauftragten und eine detaillierte Auseinandersetzung mit den rechtlichen Anforderungen. Es sind eine Vielzahl von Besonderheiten zu berücksichtigen, jedoch zeigt sich in der Praxis, dass oftmals auch mit geringem wirtschaftlichem Aufwand in einigen Bereichen ein enormes Potenzial für datenschutzkonforme Lösungen vorhanden ist. Auf die rechtlichen Grundvoraussetzungen haben Verantwortliche keinen Einfluss, gleichwohl aber wie sie mit diesen umgehen können und wollen. Frei nach Art. 25 DS-GVO gilt: Datenschutz ist Einstellungssache. Dies betrifft gleichermaßen Mensch und Maschine.

Dieser Beitrag war ein Bestandteil der Jahrestagung des Sächsischen Museumsbundes e.V. unter dem Titel „Museen und digitale Kommunikation“
am 21. März 2022 in Hoyerswerda.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Im Silicon Saxony e.V. nimmt er die Funktion als Leiter des Arbeitskreises Privacy & Security wahr. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.

IST EINE EINWILLIGUNG ERFORDERLICH?

Zunächst sollte die Internetseite hinsichtlich eingebundener Drittinhalte, Cookies und Scripts überprüft werden. Unter Umständen ist hierbei die Einbindung Ihres Dienstleisters, welcher die Internetseite erstellt hat und / oder technisch betreut, erforderlich. Im ersten Schritt kann jedoch bereits eigenständig eine Überprüfung mit kostenfreien Anwendungen bei der Erstellung einer ersten Übersicht dienen. Hierfür geeignet scheinen insbesondere Webbkoll, BuiltWith, Ghostery und uBlock Origin. Darüber hinaus bieten auch einige Internetbrowser über integrierte Analysefunktionen.

Die Auflistung der eingesetzten Drittinhalte, Cookies und Scripts sollte kritisch hinterfragt werden: Welche dieser sind (technisch) zwingend erforderlich? Welche optionalen Technologien werden tatsächlich aktiv genutzt? Wurde die / der Datenschutzbeauftragte vor der Implementierung über die Verwendung in Kenntnis gesetzt? Bestehen datenschutzfreundlichere Alternativen?

Erfolgt ein Einsatz von Drittinhalten, Cookies und Scripts, die für einen Einsatz der Internetseite technisch zwingend erforderlich sind, das heißt ein fehlerfreier Aufruf der Internetseite ohne Implementierung und Nutzung dieser gänzlich unmöglich ist, bedarf es keiner Einwilligung der Personen, welche die Internetseite aufrufen. Das betrifft in der Regel zum Beispiel Cookies zur technischen Gewährleistung einer Anmeldung zu einem internen Bereich oder Warenkorbfunktionen zur Abwicklung einer Online-Bestellung.

WELCHE ANFORDERUNGEN WERDEN AN EINE WIRKSAME EINWILLIGUNG GESTELLT?

Grundsätzlich empfiehlt sich bei der Nutzung einwilligungsbedürftiger Drittinhalte, Cookies und Scripts die Verwendung eines sogenannten „Consent-Tools“ (auch: „Cookie-Banner“). Werden hingegen ausschließlich technisch erforderliche Inhalte verwendet, bedarf es eines solchen Banners nicht. In diesem Fall genügt eine Information über die verwendeten Inhalte im Rahmen der Datenschutzinformation (auch: „Datenschutzerklärung“).

Bei einem erstmaligen Aufruf der Internetseite muss gewährleistet sein, dass diese zunächst ausschließlich im technisch erforderlichen Umfang dargestellt wird. Sofern darüber hinaus die Nutzung von Cookies, Drittinhalten und Scripts gewünscht ist, dürfen diese erst nach erteilter Einwilligung der Nutzenden geladen werden. Das Einholen einer rein formalen Einwilligung, wobei eine Datenverarbeitung bereits vor oder gänzlich unabhängig von der konkreten Einwilligung stattfindet, ist unzulässig. Die konkrete Einwilligung der Nutzenden ist stets technisch exakt abzubilden.

Der Europäische Datenschutzausschuss (EDSA) setzt für eine wirksame Einwilligung bereits vor Abgabe der Einwilligung folgende Informationen voraus: Angaben zur verantwortlichen Stelle, Darstellung der konkreten Verarbeitungszwecke, die Kategorien der personenbezogenen Daten, Absicht einer automatisierten Entscheidungsfindung sowie der Übermittlung personenbezogener Daten in ein datenschutzrechtliches Drittland. Weiterhin ist gemäß Art. 7 Abs. 3 DS-GVO ebenfalls vor Abgabe der Einwilligung auf das Bestehen des Widerrufrechts hinzuweisen.

Eine Einwilligung ist tatsächlich nur dann als wirksame Einwilligung zu klassifizieren, sofern die Nutzenden tatsächlich eine Wahl über Zustimmung oder Ablehnung erhalten. Die oftmals vorzufindende Formulierung, wonach die Internetseite Cookies verwendet und mit dem weiteren Besuch von einer Zustimmung ausgegangen wird, erfüllt diese Anforderung nicht. Derartige „Cookie-Banner“ sind schlichtweg nutzlos und aus datenschutzrechtlicher Sicht absolut unzureichend. Ebenfalls als unzulässig einzuordnen sind vorausgefüllte Auswahlfelder oder das sogenannte „Nudging“, also das Beeinflussen der Nutzenden, der Verwendung zuzustimmen, indem die weiteren Optionen (z.B. „Ablehnen“ oder „weitere Einstellungen“) kaum lesbar oder nur schwer auffindbar integriert werden.

Übrigens: Die getätigte Einwilligung darf und sollte aus Gründen der Nachweisbarkeit gespeichert werden. So kann auch vermieden werden, dass Nutzende bei erneutem Aufrufen der Internetseite wiederholt der Datenverarbeitung zustimmen oder diese ablehnen müssen. Das permanente Abfragen wird durch die datenschutzrechtlichen Vorschriften weder verlangt, noch trägt dies zu einem positiven Nutzungserlebnis bei.

WAS BEDEUTET DAS FÜR EINZELNE DATENVERARBEITUNGEN?

Im weiteren Verlauf soll nun kurz dargestellt werden, welchen Maßnahmen in der Regel bei der Implementierung der folgenden Kategorien von Drittinhalten, Cookies und Scripts beachtet werden sollte.

Analyse des Nutzungsverhaltens: Bei einem Einsatz von Analyse- und Trackingdiensten werden durch diese in der Regel Cookies gesetzt, die hinsichtlich der Darstellung der Internetseite als nicht technisch erforderlich zu klassifizieren sind, sodass es grundsätzlich einer Einwilligung der Nutzenden bedarf. Einige Anbieter solcher Dienste werben explizit damit, dass durch den Verzicht einer Cookie-Setzung und stattdessen der Verwendung einer Fingerprinting-Methode das Einwilligungserfordernis umgangen werden kann. Aufgrund der (datenschutzrechtlichen) Vergleichbarkeit beider Methoden sind solche Aussagen mit Vorsicht zu betrachten. Hier bedarf es zuvor einer grundlegenden Überprüfung im Einzelfall.

Darstellung von Karteninhalten: Je nach gewähltem Kartendienst erfolgt oder unterbleibt bei der Nutzung der Karteninhalte das Setzen von Cookies. Mit Blick auf den Grundsatz der Datenminimierung gemäß Art. 5 Abs 1. lit. c DS-GVO sowie auf die Anforderung eines Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen gemäß Art. 25 DS-GVO, sollte eine möglichst datensparsame Kartendarstellung gewählt werden. Sofern eine Cookie-Setzung unausweichlich ist, bedarf es für die Darstellung der Karteninhalte in der Regel der Einwilligung der Nutzenden.

Darstellung von Videoinhalten: Werden bei einem Abspielen eingebundener Videoinhalte keine Cookies gesetzt und findet darüber hinaus keine Übermittlung personenbezogener Daten in ein datenschutzrechtliches Drittland statt, so kann eine Implementierung in der Regel ohne Einwilligung der Nutzenden erfolgen. Eine mögliche Rechtsgrundlage der Datenverarbeitung stellt dann das berechtigte Interesse der verantwortlichen Stelle gemäß Art. 6 Abs. 1 S. 1 lit. f DS-GVO dar. Als Anforderung ist hierbei jedoch zu nennen, dass das Video nur durch einen extra Klick der Nutzenden und nicht automatisch starten darf. So zumindest führt es die FAQ des Bayrischen Landesamtes für Datenschutzaufsicht aus.

Einbindung von Webschriftarten oder Scripts: Beliebt – und oftmals mit einem Hinweis auf die Performance der Internetseite begründet – sind sogenannte Webschriftarten („Fonts“) oder Scripts, die bei einem Aufruf der Internetseite durch die Nutzenden von externen Servern geladen werden. Grundsätzlich lässt sich diese Datenverarbeitung auf das berechtigte Interesse der verantwortlichen Stelle stützen, jedoch sollte eine lokale Installation auf den Servern der verantwortlichen Stelle bevorzugt werden. Ein Drittstaatentransfer sollte grundsätzlich unterbleiben.

Hinweis: Erfolgt im Rahmen der Implementierung und Nutzung der oben aufgeführten Drittinhalte eine Übermittlung personenbezogener Daten in ein datenschutzrechtliches Drittland, so bedarf es für die Übermittlung einer gesonderten Rechtsgrundlage.

WAS IST DARÜBER HINAUS DATENSCHUTZRECHTLICH ZU BEACHTEN?

Unabhängig von der Einwilligungsbedürftigkeit sind sämtliche Datenverarbeitungen in der Datenschutzinformation der Internetseite darzustellen. Die notwendigen Inhalte richten sich hierbei insbesondere nach Art. 13 DS-GVO. Da die Datenverarbeitungen auf jeder Internetseite unterschiedlich sind, gibt es nicht die „eine“ richtige Datenschutzinformation. Aus diesem Grund sollten auch die Ergebnisse sogenannter „Generatoren für Datenschutzerklärungen“ detailliert überprüft und gegebenenfalls angepasst werden.

Kommen im Zusammenhang mit der Internetseite Dienstleister zum Einsatz, die personenbezogene Daten im Auftrag verarbeiten (z.B. Hosting, Wartung und Pflege, Analyse und Tracking), so sind mit diesen zwingend Verträge zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DS-GVO zu schließen. Darüber hinaus muss die verantwortliche Stelle über die Datenverarbeitungen der Internetseite gemäß Art. 30 Abs. 1 DS-GVO ein Verzeichnis der Verarbeitungstätigkeiten führen.

FAZIT

Mit der Bereitstellung und dem Betrieb einer Internetseite gehen zahlreiche datenschutzrechtliche Verpflichtungen einher, die einer detaillierten Betrachtung bedürfen. Aus diesem Grund sollte der / die Datenschutzbeauftragte frühestmöglich bei der Erstellung oder Änderung der Internetseite einbezogen werden. Sollten Sie bei der datenschutzrechtlichen Überprüfung Ihrer Internetseite oder bei der Erstellung einer passgenauen Datenschutzinformation Unterstützung benötigen, können Sie hierfür gern das DID Dresdner Institut für Datenschutz kontaktieren.

Über den Autor: Max Just, LL.M. ist Wirtschaftsjurist und als externer Datenschutz- und Informationssicherheitsbeauftragter beim DID Dresdner Institut für Datenschutz tätig. Neben diversen öffentlichen Stellen berät er ebenfalls verschiedene IT- und mittelständische Unternehmen. Für Anregungen und Reaktionen zu diesem Beitrag können Sie den Autor gern per E-Mail kontaktieren.