Die Regeln der DSGVO für Elternberaterinnen (Teil 1) - Grundlagen und Internet-Präsenz

Ist es als Trageberaterin, Stillberaterin oder Stoffwindelberaterin überhaupt notwendig, sich mit den umfangreichen Regeln der DSGVO auseinander zu setzen - ist es den ganzen Aufwand eigentlich wert? Was kann mir schon passieren? Oder ist die Gefahr eine Strafe zu kassieren wirklich so hoch?

Wie ernst zu nehmen die neuen vereinheitlichten europäischen Regeln zum Datenschutz sind bzw. wieviel Angst man vor den Kontrollen der zuständigen Behörden haben muss, ist noch offen. Fest steht nur, dass Datenschutz und die penible Begutachtung von allen Prozessen die dabei eine Rolle spielen, ab nun zum Geschäftsleben dazu gehört.

Jeder, der beginnt sich mit diesem Thema auseinander zu setzen, ist erst einmal erschlagen von der Flut an Regeln, welchen er sich nun zu unterwerfen hat. In Verbindung mit den vielen ungenauen Expertenaussagen über die konkrete Umsetzung dieser Regeln, sind die meisten von uns stark verunsichert. Denn wie die Gerichte die generell formulierten Regeln später in der Praxis anwenden werden, ist noch offen.

Aufgrund dieser Kombination von Komplexität und Schwammigkeit wird klar: Wer sich das Ziel setzt, alle Anforderungen der DSGVO perfekt umzusetzen, setzt sich einer hohen Frustrationsgefahr aus.

Viel sinnvoller scheint es uns hingegen, sich zunächst den einzelnen Regeln in der Reihenfolge ihrer Wichtigkeit zu widmen. Je nach den eigenen Möglichkeiten sollte dabei versucht werden, eine halbwegs gute Umsetzung zu erreichen.

Im äußersten Falle der Auseinandersetzung mit einer Behörde oder gar einem Gericht, gilt dann nämlich folgendes: Ihr habt es mit Menschen zu tun welche sich anschauen, ob Ihr die aufgestellten Regeln ernst nehmt … oder ob Ihr diese ignoriert. Auf Grundlage dessen wird dann (im äußersten Fall) entweder eine Verwarnung ausgesprochen oder ein Bußgeld verhängt. Wir gehen davon aus, dass bei einer sichtlich bemühten Freiberuflerin oder Einzelunternehmerin nicht die große Keule ausgepackt wird ;)

Österreich

Alle Österreicher unter uns haben sogar von offizieller Seite Grund zum Aufatmen. Hier hat die Politik bereits angekündigt, zunächst nur Verwarnungen auszusprechen, anstatt Verstöße gleich mit hohen Bußgeldern zu belegen (vgl. netzpolitik.org vom 26.04.2018). Aus Deutschland gibt es hierzu leider noch keine klare Stellungnahme.

Wir haben uns mit diesem Artikel vorgenommen, abstrakte Grundlagen weitestgehend außen vor zu lassen und viele konkrete Handlungsanleitungen zu geben. Ein paar wichtige Basics wollen wir nun dennoch kurz erläutern. Das ganze Gesetz könnt Ihr Euch übrigens unter folgendem Link anschauen: dsgvo-gesetz.de.

Art der Daten

Bei der DSGVO geht es um den Schutz von personenbezogenen Daten. Dazu zählen z.B. Namen, Anschrift, Telefonnummer aber auch die IP-Adresse, der Aufenthaltsort, das Lieblingsessen oder die Schuhgröße - also alle Informationen, die sich einer konkreten Person zuordnen lassen (vgl. Art. 4 DSGVO)

Rechtliche Grundlagen für die Datenverarbeitung

Wenn Ihr personenbezogene Daten verarbeiten wollt (d.h. notieren, speichern, weiterleiten, usw.), braucht Ihr dafür eine rechtliche Grundlage.

Die für uns relevanten Grundlagen zur rechtmäßigen Datenverarbeitung sind:

Einwilligung des Betroffenen

Der Nutzer wird über die Datenverarbeitung aufgeklärt und willigt dieser schriftlich, elektronisch oder mündlich ein.

Vertragserfüllung

Die Daten sind für die Erfüllung eines Vertrags oder vorvertraglicher Maßnahmen notwendig (z.B. braucht Ihr die Adresse einer Mami, wenn Ihr eine Trageberatung bei ihr zu Hause durchführen wollt).

Rechtliche Pflicht

Ihr braucht die Daten z.B. für das Finanzamt

berechtigtes Interesse

Ihr sammelt z.B. statistische Daten Eurer Website-Besucher, da Ihr gerne wissen möchtet, für welche Themen sie sich besonders interessieren, um Euer zukünftiges Angebot daran zu orientieren.

(vgl. Art. 6 DSGVO)

Grundsätze der Datenverarbeitung

Der Artikel 5 der DSGVO nennt verschiedene Grundsätze zur Verarbeitung personenbezogener Daten. Neben den Anforderungen, dass alles rechtmäßig, redlich, richtig, sicher und transparent erfolgen soll, erscheinen uns die folgenden Punkte besonders relevant:

Daten­sparsamkeit

Es sollten nur die Daten erhoben werden, welche für den konkreten Zweck notwendig sind. Dieses gilt zumindest für Pflichtangaben einer Abfrage (Wenn man z.B. in einem Kontaktformular eine nicht unbedingt notwendige Information, wie z.B. das Geburtsdatum der Mami, als freiwillig kennzeichnet, dann ist es okay.)

Zweckbindung

Die Daten dürfen nur für den Einsatzzweck verwendet werden, zu welchem sie erhoben wurden. (Wenn ich z.B. die Adresse von einer Mami bekommen habe, um bei Ihr eine Trageberatung zu machen, dann darf ich diese nicht dazu verwenden, um ihr in einem halben Jahr eine Einladung zu einem Tragekurs zu schicken.)

Speicher­begrenzung

Gespeicherte Daten sollen nur solange einer konkreten Person zuzuordnen sein, wie es für die Verarbeitung notwendig oder gesetzliche gefordert ist. (In der Theorie wäre es z.B. nicht mehr notwendig ein Beratungsprotokoll länger als zwei Jahre nach der Beratung aufzubewahren, da dann nicht mehr mit Nachfragen der Mami zu rechnen ist.)

Umgang mit Gesundheitsdaten

Ein grundlegender Punkt für die Anwendung der DSGVO auf den Alltag einer Elternberaterin sind die Kategorien von Daten, mit denen sie theoretisch oder praktisch umgeht. Hierzu gehören nämlich auch Informationen, welche in den Bereich der Gesundheitsdaten einzuordnen sind. Der Umgang mit diesen Informationen zählt für die DSGVO neben z.B. religiöser Zugehörigkeit oder politischer Meinung zur Verarbeitung besonderer Kategorien personenbezogener Daten und gelten als besonders schützenswert.

Pflichten

Für jeden, der mit seiner gewerblichen Tätigkeit hier einzuordnen ist, sieht die Vorordnung weitere Pflichten vor. So muss in jedem Fall ein höherer Maßstab an den Schutz der Daten angelegt werden. Bei "umfangreicher Bearbeitung" der besonders schützenswerten Daten muss zudem eine Datenschutz-Folgenabschätzung stattfinden und ein externer Datenschutzbeauftragter ist hierfür zu bestellen (bzw. darf der Datenschutzbeauftrage nicht Mitglied der Unternehmensführung sein, bei Einzelunternehmen müsste somit in jedem Fall ein Externer angeheuert werden) (vgl. security-insider.de).

Eine Datenschutz-Folgenabschätzung und ein externer Datenschutzbeauftragter sind mit hohen Kosten verbunden und wären mit dem Verdienst einer Trageberaterin o.ä. nur schwer wirtschaftlich zu stemmen.

Verarbeitungsumfang

Die Frage, die wir uns nun erstmal stellen müssen, ist: Ab wann liegt für den Gesetzgeber eine umfangreiche Bearbeitung vor? Und genau hierfür gibt es im Gesetz keine Definition.

Für uns ist klar ersichtlich, dass Trageberaterinnen, Kangatrainerinnen und besonders Stillberaterinnen, Doulas oder Hebammen mit zahlreichen Informationen des Kindes oder der Mutter umgehen, welche deren Gesundheit betreffen (z.B. eine evtl. Hüftdysplasie des Kindes, Geburtsmodus bzw. Geburtsverletzungen der Mutter, usw.). Viele Beraterinnen fragen diese Daten bereits bei er Vorbereitung auf den Beratungstermin standardmäßig ab.

Ihr könnt jedoch erstmal aufatmen: Nach unserem derzeitigen Kenntnisstand ist davon auszugehen, dass der direkte persönliche Umgang mit Klienten nicht als umfangreiche Bearbeitung einzustufen ist (vgl. die Einschätzung von infosec.ch). Dieses betrifft wohl eher auf z.B. ein Krankenhaus zu. Dennoch gilt es die hierzu gültige Rechtsprechung im Auge zu behalten.

Nach unserem derzeitigen Kenntnisstand müsst Ihr demnach keine Datenschutz-Folgenabschätzung durchführen und keinen Datenschutz­beauftragten anheuern.

Berechtigungsgrundlage

Das Verarbeiten von Gesundheitsdaten ist aber auch in Bezug auf die notwendige Berechtigungsgrundlage ein Sonderfall. Die im Punkt Rechtliche Grundlagen für die Datenverarbeitung aufgeführten Gründe greifen hier nämlich nicht. Die Verordnung hat für Gesundheitsdaten gesonderte Anforderungen vorgesehen.

Während wir die normalen Daten einer Person zumeist aufgrund ihrer „Notwendigkeit für die Vertragserfüllung“ erheben (Art. 6 Abs. 1b DSGVO), ist diese Grundlage für Gesundheitsdaten jedoch nicht anwendbar.

Da wir mit unserer Beratungstätigkeit keinen anerkannten medizinischen Beruf ausüben (für diese gelten nämlich Sonderrechte), steht uns nur eine Möglichkeit für die rechtmäßige Verarbeitung von Gesundheitsdaten offen: Die freiwillige Einwilligung des Betroffenen (Art. 9 Abs. 1a DSGVO).

Kommen wir nun zu den konkreten Maßnahmen, welche es umzusetzen gilt. Die größte Relevanz besitzt dabei alles, was von außen sichtbar und somit von jedem überprüfbar ist. Daher widmen wir uns zuerst Euren Präsenzen im Internet (wie z.B. einer Website oder Profilen in sozialen Netzwerken).

Website

Eine Website sammelt zahlreiche Daten des Besuchers. Diese kann er zum einen selbständig durch z.B. Kontaktformulare, Blog-Kommentare oder eine Newsletter-Anmeldung abgeben. Aber auch indirekt werden Informationen wie die IP-Adresse und das Surf-Verhalten durch Tracking-Tools (z.B. Google-Analytics) oder Social-Plugins (z.B. Facebook-Like-Button) gesammelt. Damit dieses DSGVO-konform passiert, muss Du folgendes umsetzen:

Einige der Punkte werden für Euch auch mit durchschnittlicher Technikkompetenz recht komplex wirken. Hierfür solltet Ihr Euch dann kompetente Unterstützung aus Eurem Bekanntenkreis holen ;)

Datenschutzerklärung

• Muss von jeder Seite der Website aus direkt erreichbar sein. Also nicht in einem Untermenü, sondern direkt z.B. im Kopfbereich oder der Fußzeile.
• Da dieses Dokument sehr komplex ist und individuell angepasst werden muss, sollte man sich hierfür unbedingt eines Generators bedienen. Es lassen sich einige kostenlose Generatoren im Internet finden, es gibt aber auch spezialisierte Kanzleien, bei denen man ein Abo abschließen kann (10€ - 15€ pro Monat). Der Vorteil der Abo-Pakete ist, dass sie umfassende Infos, maßgeschneiderte Rechtstexte sowie eine Haftungsübernahme enthalten.
• Meine absolute Empfehlung geht an den
  • Datenschutz-Generator von Dr. Schwenke. Er ist für Kleinunternehmer kostenlos. Gegenüber anderen von uns ausprobierten Generatoren hat er den Vorteil, dass die erstellte Datenschutzerklärung auch die direkte Arbeit mit Klienten oder Kunden einschließt, also nicht nur auf Internetgeschäfte beschränkt ist.
• Weitere Generatoren sind z.B.
  • IT-Recht-Kanzlei (Starter-Paket für 9,90€ pro Monat / übrigens unsere Wahl für die Betreuung unseres Shops)
  • e-Recht24 (derzeit nur kostenpflichtige Variante ab 14,90 € pro Monat verfügbar)
• Ihr solltet die Seite mit der Datenschutzerklärung so konfigurieren, dass sie nicht von Google indexiert wird (damit sie niemand findet, der auf der Suche nach typischen Fehlern ist, um diese abzumahnen)

Impressum

• Es hat zwar nichts direkt mit der DSGVO zu tun, soll aber der Vollständigkeit halber hier auch genannt werden (da es oft nicht richtig eingebunden wird). Auch dieses muss direkt, also nicht als Untermenü versteckt, von jeder Seite aus erreichbar und eindeutig bezeichnet sein.

Newsletter & Kommentare mit Abo-Funktion

• Diese müssen mit dem sog. Double-Opt-In-Verfahren bestätigt werden. Dass heißt, der Nutzer bekommt nach der Anmeldung nochmal eine E-Mail mit einem Bestätigungslink.
• Grundsatz der Datensparsamkeit: Es sollte nur die E-Mail-Adresse als Pflichtfeld im Anmeldeformular gekennzeichnet / konfiguriert sein. Denn nur diese braucht Ihr, um einen Newsletter versenden zu können.
• Über dem Anmelde-Button musst Du in etwa folgenden Hinweis geben:

Kontaktformulare

• Über dem Sende-Button solltest Du folgenden Hinweis geben:
  Bitte beachte meine Datenschutzerklärung
• Grundsatz der Datensparsamkeit: Auch hier solltest Du entweder nur die E-Mail-Adresse oder Telefonnummer als Pflichtfeld konfigurieren. Alle weiteren Angaben wie Name oder Anschrift müssen optional sein.

Social-Media-Plugins

• Da niemand genau weiß, was Facebook mit seinen gesammelten Daten macht, ist es für alle Facebook-Website-Plugins nicht möglich, eine rechtskonforme Belehrung bereit zu stellen oder Einwilligung zu erhalten (vgl. IT-Recht-Kanzlei)
• Schlussfolgerungen:
  • Entweder direkt auf Facebook verlinken, z.B. Facebook-Logo mit Link zu facebook.com/tragemami.shop (siehe z.B. unsere Footer)
  • oder via Shariff-Lösung einbinden. Das ist ein Plugin für Social-Media-Buttons, welches keine Nutzerdaten an die Plattformen weiterleitet. (Wir selbst verwenden dieses überhalb und unterhalb dieses Beitrags, dort könnt Ihr es Euch einmal anschauen.)
• Das gilt auch für andere Social-Media-Plugins, wie z.B. von Instagram oder Pinterest

SSL-verschlüsselung

• Deine Webseite muss eine sichere Verbindung über SSL erlauben. Prüfen kannst Du das, indem Du Deine Webadresse mit vorangehendem https:// aufrufst. Klappt es (und bleibt das "https" stehen), dann ist alles in Ordnung. Wenn nicht, solltest Du Dich einmal mit Deinem Hoster in Verbindung setzen oder die Google-Suche verwenden um zu erfahren, welche Schritte hierfür einzuleiten sind.

Cookie-Banner

• Obwohl man ihn heute im Internet überall sieht, ist es nach derzeitiger juristischer Meinung gar nicht klar, ob er überhaupt notwendig ist. Vorsichtshalber raten aber inzwischen alle Experte dazu, ihn auf seiner Website einzubinden (vgl. z.B. e-Recht24)
• In allen gängigen Content-Management-Systemen und Website-Baukästen ist er inzwischen schon enthalten oder als Plugin nachrüstbar, z.B. für Wordpress oder zum selbst einbauen von Insites (letzteren verwenden wir auf dieser Seite).
• Eine Vorlage für den Hinweistext liefert z.B. e-Recht24:
  „Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen zu Cookies erhalten Sie in unserer Datenschutzerklärung“
• Aber noch ganz wichtig: Der Cookie-Banner birgt sogar eine juristische Gefahr in sich, wenn er nämlich im aktiven Zustand das Menü mit der Datenschutzerklärung verdeckt (welche ja stets sichtbar verlinkt sein muss).

Google-Analytics

• Wenn Ihr dieses auf Eurer Seite eingebunden habt, müsste Ihr die IP anonymisieren und ein Skript einbinden, welches die Deaktivierung des Trackings durch den Besucher ermöglicht. Mehr Infos findest Ihr z.B. hier bei Finn Hillebrandt

Youtube-Videos

• Diese müssen so eingebunden werden, dass der Besucher nicht getrackt werden kann. Mehr Infos z.B. bei Martina Honecker

Facebook

Auf Deiner Facebook-Fanpage solltest Du folgende Vorkehrungen treffen:

Datenschutzerklärung

• Pfad: [Info] - [Datenrichtlinie]
• Dort den Link zu der Datenschutzerklärung auf Deiner Website einfügen. Wenn Du keine Website hast, dann kannst Du z.B. einen Beitrag oder eine Notiz auf Facebook erstellen und diese verlinken.
• Update 06.06.2018: Sich auf Facebook rechtskonform zu verhalten ist besonders aufgrund der neusten Rechtsprechung (EuGH Urteil vom 05.06.2018) relevant. Betreiber einer Facebook-Fanpage oder -Gruppe sind demnach theoretisch mitverantwortlich bei Datenschutzverstößen, welche durch Facebook begangen werden (vgl. onlinehaendler-news.de). Was sich daraus nun konrekt für die Praxis ergibt und ob von offizieller Seite eventuell bald neue Aussagen hierzu gemacht werden, bleibt abzuwarten.
• Update 14.06.2018: Unsere IT-Recht-Kanzlei hat heute alle Ihre Mandanten darüber informiert, dass ihrer Ansicht nach für Facebook eine gesonderte Datenschutzerklärung einzufügen ist, welche sich auf die konkreten Datenverarbeitungen von Facebook bezieht. Diese sollte dann auch nicht über den Link eingebunden werden, sondern als Beitrag oder Notiz direkt platziert werden (mehr Infos hierzu bei IT-Recht-Kanzlei). Die IT-Recht-Kanzlei bietet diese spezielle Facebook-Datenschutzerklärung kostenpflichtig an.
  Der oben empfohlene Datenschutz-Generator, welcher für Kleinunternehmer kostenfrei ist, hat sich der veränderten Rechtslage offenbar aber auch schon angenommen und wurde entsprechend aktualisiert.
• Update 25.06.2018: Facebook hat zeitnahe Updates angekündigt, um Seitenbetreibern eine rechtskonforme Präsenz auf der Plattform zu erleichtern (vgl. Händlerbund) (damit sollten dann die umständliche Variante mit der Datenschutzerklärung als angepinnter Beitrag überflüssig werden).

Impressum

• Wie auf der Website solltest Du auch hier Dein Impressum hinterlegen. Das ist ebenfalls unter Info zu finden.

Instagram

Impressum

• Es hat zwar auch hier nichts direkt mit der DSGVO zu tun, aber auch in Instagram muss Dein Impressum verlinkt sein, um rechtskonform unterwegs zu sein. Dazu gelten folgende Regeln:
  • Nutze dafür den Link in der Bio
  • Es muss entweder Impressum: vor dem Link stehen, oder das Wort Impressum in der Web-Adresse enthalten sein (z.B. www.tragemami.shop/­impressum, siehe unser Instagram-Profil)
• Da die Verschwendung des einzigen Links, welchen Du aus Instagram setzen kannst, ziemlich schade ist, kannst Du Dich auch einer Alternative bedienen. Es ist zulässig, dass der Instagram-Link auf eine Webseite führt, welche nicht direkt das Impressum beinhaltet, sondern sich auf dieser gleich sichtbar ein Link zum Impressum befindet. Eine Lösung hierfür lässt sich mit linktr.ee realisieren. Am besten ist es jedoch, wenn man solch eine Link-Sammlung auf seiner Webseite selbst baut (da linktr.ee ja auch wieder ein externer Datenverarbeiter ist).

Fotos

Die rechtmäßige Verwendung von Fotos ist ein weiteres heiß diskutiertes Themenfeld der DSGVO. Zusammengefasst gilt die Regel: Von allen Personen, welche auf Euren Fotos abgebildet werden, braucht Ihr eine Einverständniserklärung (und das bereits beim Machen des Fotos, und nicht erst beim Veröffentlichen). Ausgenommen davon ist der persönliche oder familiäre Rahmen.

Der einfachste Weg ist es also, nur Fotos von sich selbst, seiner Familie oder seinen Freunden ins Netz zu stellen (von Freunden und Familienangehörigen braucht Ihr zwar auch eine Zustimmung für die Veröffentlichung, dort ist die Gefahr wohl aber nicht so hoch, dass sie sich bei der Datenschutzbehörde über Euch beschweren ;)

Sollten Eure veröffentlichten Fotos andere Personen abbilden, dann holt Euch von diesen im Vorfeld eine Genehmigung. Ein Beispiel aus der Trageberater-Praxis wären z.B. Fotos von einer Kursgruppe, welche man auf Facebook posten oder auf seiner Website verwenden möchte. In diesem Fall solltet Ihr alle Kursteilnehmer gleich zu Beginn des Kurses eine Genehmigung unterschreiben lassen (pro Teilnehmer ein gesondertes Dokument). Wir haben im Netz mal nach einem Muster gesucht und auf der Seite der activeMind.AG eines gefunden, welches Ihr anpassen könnt.

Wenn Du diese Punkte umsetzen konntest, dann bist Du von außen schon erstmal nicht so leicht angreifbar.