Abkuerzungen, die nicht funktionieren
Wir sehen es regelmaessig: Unternehmer, die glauben, mit einem cleveren Konstrukt der DSGVO entkommen zu koennen. Das ist verstaendlich - das Gesetz fuehlt sich wie eine Last an. Aber die Realitaet ist, dass kreative Umgehung Sie mehr kostet als ehrliche Compliance.
Hier sind die gaengigsten Tricks und warum sie nicht funktionieren.
”Ich stelle einfach einen Cookie-Banner auf”
Ein Cookie-Banner ist kein Allheilmittel. Wenn der Banner nicht richtig konfiguriert ist, nicht-essentielle Cookies bereits vor der Einwilligung geladen werden oder die Auswahl nicht wirklich frei ist (zum Beispiel kein deutlicher Ablehnungs-Button), genuegt es nicht. Aufsichtsbehoerden schauen nicht auf den Banner selbst, sondern auf das, was technisch passiert.
”Ich lasse alle eine allgemeine Einwilligung unterschreiben”
Eine breite, generische Einwilligung (“Ich stimme der Verarbeitung meiner Daten zu”) genuegt nicht. Die Einwilligung muss pro Zweck spezifisch, informiert und freiwillig erteilt sein. Sie koennen nicht alles in einer einzigen Checkbox buendeln.
”Ich speichere die Daten auf einem Server ausserhalb der EU”
Die DSGVO folgt den Daten, nicht dem Server. Wenn Sie Daten von Personen in der EU verarbeiten, spielt es keine Rolle, wo Sie sie speichern. Das Gesetz gilt.
”Ich nenne es einfach nicht personenbezogene Daten”
Es spielt keine Rolle, wie Sie es nennen. Wenn die Daten direkt oder indirekt einer Person zugeordnet werden koennen, handelt es sich um personenbezogene Daten. Eine Kundennummer, die mit einem Namen verknuepft werden kann, ist ein personenbezogenes Datum. Eine IP-Adresse ist ein personenbezogenes Datum.
”Ich lasse es von einem Auftragsverarbeiter erledigen, dann bin ich nicht verantwortlich”
Auslagern ist moeglich, aber nicht die Verantwortung. Als Verantwortlicher bleiben Sie fuer das verantwortlich, was mit den Daten geschieht, auch wenn Sie die Verarbeitung auslagern. Sie muessen einen Auftragsverarbeitungsvertrag abschliessen und die Kontrolle behalten.
”Ich habe eine Datenschutzerklaerung, also bin ich konform”
Eine Datenschutzerklaerung ist ein Anfang, aber nur eine von vielen Pflichten. Ohne Verzeichnis der Verarbeitungstaetigkeiten, ohne Sicherheitsmassnahmen, ohne Auftragsverarbeitungsvertraege und ohne ein Verfahren fuer Datenschutzverletzungen und Auskunftsersuchen sind Sie nicht konform.
Was funktioniert
Folgen Sie der Intention des Gesetzes:
- Seien Sie transparent darueber, was Sie mit Daten machen
- Erheben Sie nicht mehr als noetig
- Schuetzen Sie, was Sie haben
- Respektieren Sie die Rechte der Betroffenen
- Dokumentieren Sie Ihre Entscheidungen
Es ist weniger Arbeit als die meisten Umgehungskonstruktionen, und es funktioniert tatsaechlich.
GDPRWise hilft Ihnen, Schritt fuer Schritt alle Pflichten zu erfuellen. Keine Tricks, keine Umwege.