Willkommen beim Datenschutz-Wiki der TU Ilmenau
Hinweise Impressum Datenschutzerklärung

Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

--- webseiten [2019/06/11 22:49] – [Betroffenenrechte] Admin
+++ webseiten [2019/07/05 16:37] (aktuell) – Admin
@@ Zeile 1: / Zeile 1: @@
-<WRAP center round alert 60%> <font inherit/inherit;;#e74c3c;;inherit>**Der folgende Text ist ein <fs x-large>Entwurf</fs> und noch nicht als Artikel Bestandteil dieses Wiki!**</font> </WRAP>
 ====== Webseiten ======
-**Webseiten** meint für diesen Artikel vor allem solche Seiten die frei zugänglich im Internet stehen. Sie stellen eine besondere Herausforderung für den [[Datenschutz]] dar, weil sie das Aushängeschild einer Organisation darstellen. In teilweise abgeschwächter Form gelten die Aussagen in diesem Artikel natürlich auch für Seiten, die nur geschlossenen Gruppen zugänglich sind (**Intranet**).
+**Webseiten** meint für diesen Artikel vor allem solche Seiten die frei zugänglich im Internet stehen. Sie stellen eine besondere Herausforderung für den [[:datenschutz|]] dar, weil sie das Aushängeschild einer Organisation darstellen. In teilweise abgeschwächter Form gelten die Aussagen in diesem Artikel natürlich auch für Seiten, die nur geschlossenen Gruppen zugänglich sind (**Intranet**).
-Webseiten bedeuten zwangsläufig, dass [[personenbezogene Daten]] [[Verarbeitung|verarbeitet]] werden.
+Webseiten bedeuten zwangsläufig, dass [[:personenbezogene_daten|]] [[:verarbeitung|verarbeitet]] werden.
-===== IP-Adresse =====
+===== Personenbezogene Daten =====
-Das betrifft zunächst die [[IP-Adresse|IP-Adressen]] der Nutzer der Webseite.((Der EuGH ordnet IP Adressen immer als personenbezogenes Datum ein. Vgl. [[https://www.heise.de/newsticker/meldung/EuGH-korrigiert-Urteil-zum-Datenschutz-von-IP-Adressen-3595077.html|heise.de:EuGH korrigiert Urteil zum Datenschutz von IP-Adressen ]].)) Damit sind auch alle darauf aufbauenden Verarbeitungen durch Analysetools((Vgl. in der Wikipedia [[https://de.wikipedia.org/wiki/Web_Analytics|Web Analytics]].)) grundsätzlich Verarbeitungen personenbezogener Daten.
+==== IP-Adresse ====
-===== Cookies =====
+Das betrifft zunächst die [[:ip-adresse|IP-Adressen]] der Nutzer der Webseite.((Der EuGH ordnet IP Adressen immer als personenbezogenes Datum ein. Vgl.  [[https://www.heise.de/newsticker/meldung/EuGH-korrigiert-Urteil-zum-Datenschutz-von-IP-Adressen-3595077.html|heise.de:EuGH korrigiert Urteil zum Datenschutz von IP-Adressen ]])) Damit sind auch alle darauf aufbauenden Verarbeitungen durch [[Web Analytics|Analysetools]] grundsätzlich Verarbeitungen personenbezogener Daten.
-Ein weiteres eher technisches Thema sind [[Cookie|Cookies]]. Cookies sollten möglichst sparsam eingesetzt werden auch wenn sie nur dem Komfort des Webseitenbesuchers dienen und sich am Ende des Besuchs selbst löschen (Session-Cookies). Auf weitergehende Cookies (Tracking-Cookies) sollte möglichst komplett verzichtet werden.
+==== Cookies ====
-===== Einbindung von Drittanbietern =====
+Ein weiteres eher technisches Thema sind [[:cookie|Cookies]]. Cookies sollten möglichst sparsam eingesetzt werden auch wenn sie nur dem Komfort des Webseitenbesuchers dienen und sich am Ende des Besuchs selbst löschen (Session-Cookies). Auf weitergehende Cookies (Tracking-Cookies) sollte möglichst komplett verzichtet werden.
-Auch Angebot von Drittanbietern sollten sparsam genutzt werden: [[Like-Button]], [[Zählpixel]] und ähnliche Gadgets((Vgl. in der Wikipedia [[https://de.wikipedia.org/wiki/Z%C3%A4hlpixel|Zählpixel]] und in der englischen Wikipedia [[https://en.wikipedia.org/wiki/Web_beacon|Web beacon]] und [[https://en.wikipedia.org/wiki/Facebook_like_button|Facebook like button]].)) helfen vor allem den jeweiligen Anbietern Nutzerprofile zu erstellen. Eine ungefährlichere Alternative ist es, wenn beispielsweise ein Link zu einer Facebookseite in die Webseite integriert werden soll, nur eine Graphik mit einem einfachen Hyperlink zu verwenden. Damit fließen erst dann Daten zu Facebook, wenn der Webseitenbesucher auf Link klickt (und folglich willentlich auf eine Seite von Facebook geht).
+==== Einbindung von Drittanbietern ====
-===== Personenbezogene Daten in den Inhalten von Webseiten =====
+Auch Angebot von Drittanbietern sollten sparsam genutzt werden: [[:like-button|Like-Button]], [[:zaehlpixel|Zählpixel]] und ähnliche Gadgets((Vgl. in der Wikipedia  [[https://de.wikipedia.org/wiki/Z%C3%A4hlpixel|Zählpixel]]  und in der englischen Wikipedia  [[https://en.wikipedia.org/wiki/Web_beacon|Web beacon]]  und  [[https://en.wikipedia.org/wiki/Facebook_like_button|Facebook like button]]))   helfen vor allem den jeweiligen Anbietern Nutzerprofile zu erstellen. Eine ungefährlichere Alternative ist es, wenn beispielsweise ein Link zu einer Facebookseite in die Webseite integriert werden soll, nur eine Graphik mit einem einfachen Hyperlink zu verwenden. Damit fließen erst dann Daten zu Facebook, wenn der Webseitenbesucher auf Link klickt (und folglich willentlich auf eine Seite von Facebook geht).
-Ein weiteres typisches Thema ist, dass auf einer Webseite für die Inhalte Daten von Menschen, insbesondere Mitarbeitern, verwendet werden. Das können zum Beispiel Bilder sein oder auch Kontaktdaten, wie Telefonnummer oder Emailadresse. Auch dadurch liegt eine [[Verarbeitung]] personenbezogener Daten vor.
+==== Personenbezogene Daten in den Inhalten von Webseiten ====
+Ein weiteres typisches Thema ist, dass auf einer Webseite für die Inhalte Daten von Menschen, insbesondere Mitarbeitern, verwendet werden. Das können zum Beispiel Bilder sein oder auch Kontaktdaten, wie Telefonnummer oder Emailadresse. Auch dadurch liegt eine [[:verarbeitung|]] personenbezogener Daten vor.
 ===== Rechtmäßigkeit der Verarbeitung =====
@@ Zeile 27: / Zeile 27: @@
 ==== Besucher ====
-Wie immer bei der Verarbeitung personenbezogener Daten ist dies nur zulässig, wenn die [[Rechtmäßigkeit der Verarbeitung]] sichergestellt ist. Für Besucher von Webseiten wird als Rechtfertigungsgrund vielfach auf die [[Einwilligung]] mit all ihren Nachteilen zurückgegriffen werden müssen (Details siehe Artikel [[Einwilligung]]). Allerdings sollten gerade öffentliche Einrichtungen bedenken, dass die Nutzung von Webseiten nicht immer freiwillig ist sondern bisweilen einem faktischen Zwang unterliegt, der teilweise wesentlich stärker ist, als dass was eher für die Privatwirtschaft unter dem Stichwort [[Kopplungsverbot]] diskutiert wird: Wenn an einer Hochschule eine Lehrveranstaltung nur sinnvoll besucht wird, wenn gleichzeitig notwendige Unterlagen für die Lehrveranstaltung nur über [[moodle]] zur Verfügung gestellt werden (Skripten, [[E-Learning]]-Bausteine, digitale Kopien aus Lehrbüchern soweit zulässig) dann ist die Einwilligung der Studierenden in die Verarbeitung personenbezogener Daten bei moodle keinesfalls mehr freiwillig und folglich unwirksam.
+Wie immer bei der Verarbeitung personenbezogener Daten ist dies nur zulässig, wenn die [[:rechtmaessigkeit_der_verarbeitung|]] sichergestellt ist. Für Besucher von Webseiten wird als Rechtfertigungsgrund vielfach auf die [[:einwilligung|]] mit all ihren Nachteilen zurückgegriffen werden müssen (Details siehe Artikel [[:einwilligung|]]). Allerdings sollten gerade öffentliche Einrichtungen bedenken, dass die Nutzung von Webseiten nicht immer freiwillig ist sondern bisweilen einem faktischen Zwang unterliegt, der teilweise wesentlich stärker ist, als dass was eher für die Privatwirtschaft unter dem Stichwort [[:kopplungsverbot|Kopplungsverbot]] diskutiert wird: Wenn an einer Hochschule eine Lehrveranstaltung nur sinnvoll besucht wird, wenn gleichzeitig notwendige Unterlagen für die Lehrveranstaltung nur über [[:moodle|]] zur Verfügung gestellt werden (Skripten, [[:e-learning|E-Learning]]-Bausteine, digitale Kopien aus Lehrbüchern soweit zulässig) dann ist die Einwilligung der Studierenden in die Verarbeitung personenbezogener Daten bei moodle keinesfalls mehr freiwillig und folglich unwirksam.
 ==== Inhalte von Webseiten ====
-Auch wenn die Inhalte von Webseiten personenbezogene Daten beinhalten wird der erste Impuls häufig lauten, Einwilligung einzuholen. Gerade bei Mitarbeitern (Siehe auch [[Beschäftigtendatenschutz]].) sind aufgrund von Art. 88 DSGVO und darauf gestützt § 26 BDSG bzw. die jeweiligen Landesdatenschutzgesetze die Hürden für eine wirksame Einwilligung außerordentlich hoch.  Eine Alternative sind vergütete Model-Verträge mit der Folge, dass der Rechtfertigungsgrund nicht mehr die [[Einwilligung]] sondern die [[Erfüllung eines Vertrages]] ist. Auch die [[Erfüllung einer rechtlichen Verpflichtung]] und die [[Wahrnehmung einer Aufgabe]] kommen in Betracht. Allerdings sollte auch der Grundsatz der [[Datenminimierung]] bzw. das Erforderlichkeitsprinzip strikt beachtet werden. Dienstliche(!) Emails und Telefonnummern sowie Sprechzeiten und in der Regel auch die Namen zuständiger Mitarbeiter werden also meist erforderlich sein. Ob sich eine Mitarbeiterin in Mutterschutz/Elternzeit befindet, ist dagegen nicht erforderlich anzugeben.
+Auch wenn die Inhalte von Webseiten personenbezogene Daten beinhalten wird der erste Impuls häufig lauten, Einwilligung einzuholen. Gerade bei Mitarbeitern (Siehe auch [[:beschaeftigtendatenschutz|]].) sind aufgrund von Art. 88 DSGVO und darauf gestützt § 26 BDSG bzw. die jeweiligen Landesdatenschutzgesetze die Hürden für eine wirksame Einwilligung außerordentlich hoch. Eine Alternative sind vergütete Model-Verträge mit der Folge, dass der Rechtfertigungsgrund nicht mehr die [[:einwilligung|]] sondern die [[:erfuellung_eines_vertrages|Erfüllung eines Vertrages]] ist. Auch die [[:Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung|Erfüllung einer rechtlichen Verpflichtung]] und die [[:Verarbeitung für die Wahrnehmung einer Aufgabe|Wahrnehmung einer Aufgabe]] kommen in Betracht. Allerdings sollte auch der Grundsatz der [[:datenminimierung|Datenminimierung]] bzw. das Erforderlichkeitsprinzip strikt beachtet werden. Dienstliche(!) Emails und Telefonnummern sowie Sprechzeiten und in der Regel auch die Namen zuständiger Mitarbeiter werden also meist erforderlich sein. Ob sich eine Mitarbeiterin in Mutterschutz/Elternzeit befindet, ist dagegen nicht erforderlich anzugeben.
 ===== Betroffenenrechte =====
-Unabhängig von Rechtfertigungsgrund sind die [[Betroffenenrechte]] zu wahren.
+Unabhängig von Rechtfertigungsgrund sind die [[:betroffenenrechte|]] zu wahren.
-===== Infrastruktur für Widerruf/Widerspruch =====
+==== Infrastruktur für Widerruf/Widerspruch ====
 Das bedeutet insbesondere, dass für den Fall von Einwilligungslösungen eine funktionierende Infrastruktur für die unverzügliche Bearbeitung eines etwaigen Widerrufs der Einwilligung vorgehalten werden muss.
-Soweit ein [[Widerspruch]] zulässig ist, muss auch dafür die nötige Infrastruktur vorgehalten werden.
+Soweit ein [[:widerspruch|Widerspruch]] zulässig ist, muss auch dafür die nötige Infrastruktur vorgehalten werden.
+==== Datenschutzerklärung ====
+Das bekannteste Thema ist sicherlich die [[:datenschutzerklaerung|]]. Es gibt eine gewisse Palette von Generatoren, die teilweise auch eine recht ordentliche Qualität liefern. Allerdings gibt es eine Tendenz gerade von automatisch erstellten Datenschutzerklärungen, Besucher mit irrelevanten Informationen zu überschütten (z.B. Informationen über die Rechtmäßigkeit der Verarbeitung zum Schutz lebenswichtiger Interessen bei einer harmlosen Webseite). Hier ist weniger in der Regel mehr. Nicht beachtet wird im Übrigen regelmäßig, dass auch für andere Gruppen von betroffenen Personen (z.B. abgebildete Mitarbeiter) Datenschutzerklärungen zur Verfügung gestellt werden müssen - allerdings in der Regel nicht öffentlich sondern nur für die betroffenen Personen.
+Zur Erreichbarkeit der Datenschutzerklärung: Auch wenn es Ausnahmen gibt, sollte für eine gute Handhabbarkeit eine 1-Klick Politik gelten: Die Datenschutzerklärung sollte für einen Besucher von jeder (Unter-)Seite aus mit einem Klick erreichbar sein.
+Für Mitarbeiter genügt es aber in der Regel, wenn alle betroffenen Arbeitnehmer die Datenschutzerklärung mit geringem Aufwand im Intranet heraussuchen können.
+===== Sicherheit der Verarbeitung =====
+Personenbezogene Daten müssen sicher verarbeitet werden (Vgl. [[https://dejure.org/gesetze/DSGVO/32.html|Art. 32]] [[DSGVO]]). Wichtigster Punkt dürfte die Verschlüsselung sein.
+===== To Do =====
+  * Sparsamer Umgang mit Cookies
+  * Vorsicht bei Einbindung von Drittanbietern
+  * Datenschutzerklärung für Besucher mit einem Click erreichbar
+  * Verschlüsselung
+  * Standardisiertes CMS verwenden (vor allem, wenn Nutzer Eingaben tätigen können und/oder eine Datenbank angebunden ist)
+  * Personenbezogene Daten nur im Rahmen der Rechtsgrundlagen und der Erforderlichkeit online stellen
+    * namentlich benannte Ansprechpartner und dienstliche Telefonnummern sind in der Regel in Ordnung
+    * nicht in Ordnung sind in aller Regel weitergehende persönliche Daten: Familienstand, Elternzeit, Kinder, Geburtstag
-===== Datenschutzerklärung =====
+{{tag>Artikel}}
-Das bekannteste Thema ist sicherlich die [[Datenschutzerklärung]]. Es gibt eine gewisse Palette von Generatoren, die teilweise auch eine recht ordentliche Qualität liefern. Allerdings gibt es eine Tendenz gerade von automatisch erstellten Datenschutzerklärungen, Besucher mit irrelevanten Informationen zu überschütten (z.B. Informationen über die Rechtmäßigkeit der Verarbeitung zum Schutz lebenswichtiger Interessen bei einer harmlosen Webseite). Hier ist weniger in der Regel mehr. Nicht beachtet wird im Übrigen, dass auch für andere Gruppen von betroffenen Personen (z.B. abgebildete Mitarbeiter) Datenschutzerklärungen zur Verfügung gestellt werden müssen.
-{{tag>Entwurf}}

Zuletzt angesehen:

Unterschiede

Suche

Navigation

Drucken/exportieren

Werkzeuge

QR-Code