Da Eventlocations im ständigen Kontakt mit Kunden stehen, müssen sie sich an zahlreiche Vorschriften und Gesetze des Datenschutzes halten. Da ist es wichtig, alle Grundlagen und relevanten Regelungen zu kennen. Was ist erlaubt und was nicht? In unserem Interview mit dem Datenschutzbeauftragten Felix Großklaß haben wir die wichtigsten Fragen aus der Sicht von Eventlocations gestellt, um etwas Klarheit zu schaffen. Er ist ein Experte auf dem Gebiet des Datenschutzes und arbeitet als betrieblicher Datenschutzbeauftragter bei der Innovationsberatung team red aus Berlin.
Also weit ausgelegt: alle. Unternehmen, Verwaltungen, Ärzte, Schulen und nicht zuletzt natürlich auch die Betroffenen selbst (so nennen wir im Datenschutz diejenigen, um deren Daten es schlussendlich geht). Es wäre hilfreich, wenn hier jede und jeder wenigstens ein Basiswissen zu den Rechten und Pflichten hätte, damit nicht quasi alles erstmal unmöglich ist nur, weil man mit Daten arbeitet. Aber um auf Ihre Frage zurückzukommen: Datenschutz betrifft tatsächlich alle.
Dann fangen wir doch mal vorn an. Was sind die 5 wichtigsten Punkte zum Thema Datenschutz auf meiner eigenen Eventlocation-Website?
Da sprechen Sie eins der aktuellen Lieblingsthemen im Datenschutz an. Ich versuche es mal mit den 5 Punkten, aber damit erhebe ich keinen Anspruch auf Vollständigkeit:
- Eine klare, verständliche Datenschutzerklärung, bei der die Betroffenen verstehen, was warum mit ihren Daten geschieht. Es gilt dabei der Grundsatz: Im Datenschutz möchte niemand überrascht werden.
- Nur die Sachen erheben, die ich auch brauche. Es ist niemandem geholfen, wenn man beispielsweise bei WordPress einfach alle Plugins in die Seite drückt und einfach mal alles trackt und erhebt, ohne einen Plan zu haben, was man mit den Daten machen möchte.
- Prüfung von datenschutzfreundlichen Alternativen: Tracking ist für viele Websitebetreiber wichtig, aber viele beschäftigen sich nicht damit, ob die Tools, die sie verwenden, denn nicht auch datenschutzfreundliche Alternativen haben. Muss es Google Analytics sein oder reicht vielleicht Matomo für das, was ich wissen möchte? Brauche ich eine Onlineeinbindung meiner Googlewebfonts oder kann ich die nicht auch in die Seite einbetten, sodass nichts nachgeladen wird?
- Interaktionselemente auf der Seite: Wenn es irgendwo Formulare oder Ähnliches gibt, bei denen Daten erhoben werden, sollte direkt dort in klaren, einfachen Worten darüber informiert werden, was mit den Daten passiert. Beispiel Newsletter: Da kann man einfach runterschreiben, dass die in das Formular eingegebenen Daten nur für die Zustellung des Newsletters verwendet werden und für nichts Anderes. Wenn das anders ist, dann sollte das auch da stehen, damit die Betroffenen dann selbst entscheiden können, ob sie das möchten.
Anders verhält es sich bei Social-Media Elementen wie dem Like-Button von Facebook oder der Möglichkeit des Teilens. Da ist kein zusätzlicher Text nötig, da den Nutzenden klar sein dürfte, was bei der Interaktion mit diesen Elementen geschieht. Hier würde ich aber immer empfehlen, diese Elemente als reine Opt-In-Lösung zu gestalten. Dazu gibt es auch technische Lösungen, die man sich beispielsweise auf der Homepage der Tagesschau ansehen kann. - Cookies: Das ist vielleicht der schwierigste Bereich, da hier gerade aufgrund einiger Gerichtsurteile mächtig Unsicherheit herrscht, wie das mit den Cookies rechtskonform gelöst werden kann. Sicher ist nur, dass alle Cookies, die nicht unbedingt für den Betrieb der Website oder den Service dahinter erforderlich sind, einer Einwilligung bedürfen. Und das BEVOR sie anfangen zu arbeiten. Dies wird nun zu unterschiedlichen Dingen führen. Einige werden wieder behaupten, dass man gar keine Cookies mehr verwenden darf, andere wiederum werden sagen, dass man für alles eine Einwilligung braucht. Was richtig ist, ist dass Websitebetreiber sich gründlich überlegen müssen, welche Cookies tatsächlich notwendig sind und wie sie für alle anderen die nötigen technischen Voraussetzungen schaffen, um die Möglichkeiten für Einwilligung und auch den Widerruf derselben zu ermöglichen. Eine Möglichkeit könnte sein, die Cookies in Zukunft als eigenes Feld im Footer einer Homepage erreichbar zu machen und hier den Userinnen und Usern die Einstellungen zu überlassen.
Insgesamt ist das Feld Websites und das daran gekoppelte Onlinemarketing gerade aufgrund der sich ändernden Rechtsprechung massiv im Umbruch und ich kann hier nur jedem empfehlen, sich selbst in diesen Dingen zu informieren und bei Bedarf sich fachliche Hilfe zu holen.
Das hängt natürlich stark davon ab, in welcher Tiefe Sie auf dem Laufenden gehalten werden möchten. Es gibt gute und auch für Laien verständliche Angebote im Netz, die teilweise von Beratungsunternehmen, teilweise von Anwälten und nicht zuletzt auch von den Aufsichtsbehörden zur Verfügung gestellt werden. Es gibt natürlich auch einen Haufen Fachmagazine und speziell in Deutschland auch viele Bücher dazu, wie bei jedem Thema, aber da würde ich nur rangehen, wenn ich mich nicht nur auf dem Laufenden halten, sondern auch professionell weiterbilden möchte.
Helfen kann mir da ja ein Datenschutzbeauftragter. Bestelle ich diesen intern aus meinem Team oder kaufe ich mir die Leistung extern ein? Was sollte ich bei der Entscheidung beachten?
Letzten Endes ist das in meinen Augen auch immer eine Frage der Unternehmenskultur. Manche möchten gerne jemanden aus den eigenen Reihen haben, damit die Person im Idealfall intern besser anerkannt wird. Andere wollen aus den gleichen Gründen gerne jemand von extern haben.
Darüber hinaus ist zu beachten, dass interne Datenschutzbeauftragte nicht nur einen höheren Kündigungsschutz genießen, sondern auch vom Betrieb mit den entsprechenden Mitteln zur Ausübung ihrer Tätigkeit ausgestattet werden müssen. Das betrifft Fortbildungen, Literatur aber i.d.R. auch ein eigenes Büro. Auch muss die Fachkunde sichergestellt sein, da ein nicht fachkundiger Datenschutzbeauftragter gleichgesetzt wird mit keinem Datenschutzbeauftragten. Das wird natürlich nur in Kontrollfällen unangenehm.
Sie arbeiten ja sowohl als Datenschutzbeauftragter für externe Unternehmen, als auch intern als betrieblicher Datenschutzbeauftragter bei team red. Was genau steckt hinter team red und wie lange beschäftigen Sie sich bereits mit dem Thema Datenschutz?
team red beschäftigt sich als Innovationsberatung seit 2002 mit der Transformation unserer Mobilität. Im Rahmen diverser Projekte zur Markt- und Meinungsforschung, aber auch zum Veranstaltungsmanagement war Datenschutz bei uns schon immer ein wichtiges Thema. 2014 entschlossen wir uns, durch zunehmende Kundenanfragen ausschließlich zu diesem Thema, einen Kompetenzbereich Datenschutz aufzubauen. So können wir die aktuellen Anforderungen an den Datenschutz stets mit unseren eigenen Projekterfahrungen abgleichen – das macht unsere Empfehlungen zum Datenschutz um einiges belastbarer. Informationen zu unseren Projekten finden Sie bei Interesse auf unserer Webseite.
Im zweiten Teil des Interviews geht es um Fragen wie „Welche Rolle spielt der Zugang zu meinem Büro beim Thema Datenschutz?„, „Wie lange darf ich Kundendaten für eigene Dokumentationszwecke aufbewahren?“ und „Benötige ich eine Einwilligung für Namensschilder auf einem Event?„. Außerdem erhalten wir wertvolle Informationen darüber, wer Sie bei einem Verstoß gegen die DSGVO rechtlich überhaupt belangen kann.
Schauen Sie also demnächst wieder bei uns vorbei. Am besten folgen Sie uns auf unserer eventano-Facebookseite, damit Sie den zweiten Teil zum Thema „Datenschutz für Eventlocations“ nicht verpassen.
