DSB: Bereits die öffentliche Bekanntgabe der E-Mail-Adresse oder ein Kontaktformular auf der Website löst Informationspflicht aus.

 

DSB: Bereits die öffentliche Bekanntgabe der E-Mail-Adresse oder ein Kontaktformular auf der Website löst Informationspflicht aus.

Die DSB hat am 22. August 2019 (DSB-D130.206/0006-DSB/2019) eine Entscheidung zur Frage der Datenerhebung auf einer bzw. über eine Website gefällt. Eine Datenschutzinformation ist unter bestimmten Minimalanforderungen bereits notwendig.

 

 

 

Kontaktformular und Buchungsmöglichkeit auf Website.

 

Im Verfahren hat der Verantwortliche ein Kontaktformular sowie eine Buchungsmöglichkeit auf der Website angeboten.

 

 

 

Daher ist die DSB davon ausgegangen, dass der Verantwortliche (über die Website) personenbezogene Daten erhebt und zwar zumindest Vorname und Nachname sowie die E-Mailadresse.

 

 

 

Wenn daher ein Betreiber einer Website ein Kontaktformular und/oder eine E-Mail-Adresse zur Kontaktaufnahme auf der Website bereitstellt, dann muss er auch damit rechnen, dass betroffene Personen dieses „Service“ nutzen.

 

Da der Betreiber der Website daher als Verantwortlicher mit dieser Nutzung rechnen muss, erhebt er über diesen „Kanal“ auch personenbezogene Daten von betroffenen Personen.

 

 

 

Verpflichtende Angaben nach ECG.

 

§ 5 Abs 1 Z 3 ECG schreibt jedem Betreiber eines Dienstes der Informationsgesellschaft, und dazu zählen Websiten jedenfalls, vor, dass dieser „Angaben, auf Grund deren die Nutzer mit ihm rasch und unmittelbar in Verbindung treten können, einschließlich seiner elektronischen Postadresse“ leicht und unmittelbar zugänglich zur Verfügung stellt.

 

 

 

Der OGH hat zu dieser Bestimmung bereits entschieden, dass sowohl die elektronische Postadresse als auch zumindest ein weiterer Kommunikationsweg zur Verfügung zu stellen ist.

 

 

 

Wie ist die Informationspflicht zu erfüllen.

 

Wie im Online-Kontext diese Informationspflicht erfüllt werden kann, wurde bereits im Blog behandelt.

 

 

 

Rechtsgrundlage

 

Diese Erhebung bedarf einer Rechtsgrundlage, die entweder in der Anbahnung eines Vertragsverhältnisses durch die betroffenen Personen liegt (Art 6 Abs 1 lit b DSGVO), oder der Abwicklung eines Vertragsverhältnisses dient (zB bei Anfragen zum Vertrag bzw. dessen Durchführung; daher Art 6 Abs 1 lit b DSGVO), oder sich auf das berechtigte Interesse des Verantwortlichen an der Verarbeitung von Daten von Personen, die aktiv mit dem Verantwortlichen Kontakt aufnehmen, zur Erhebung dieser Kontaktdaten um die Anfrage abwickeln zu können.

 

 

 

Informationspflicht

 

Neben der Rechtsgrundlage ist auch an die Erfüllung der Informationspflicht zu denken. Wenn ein Websitebetreiber diese Kontaktmöglichkeit gibt, dann hat er iSd Art 13 DSGVO auch eine ausreichende Datenschutzinformation für diese Kontaktaufnahme sowie die nachfolgende Verarbeitung der personenbezogenen Daten zur Verfügung zu stellen, da er über diesen Kanal auch personenbezogene Daten erhebt bzw. damit rechnen muss, derartige Daten zu erheben.

 

 

 

Minimumstandards:

 

1.   Jeder Betreiber einer Website ist gem. § 5 Abs 1 Z 3 ECG verpflichtet, die E-Mail-Adresse anzugeben, sodass diesen auch die Verpflichtung trifft, eine Datenschutzinformation zumindest für diese Art der Kontaktaufnahme auf der Website zur Verfügung zu stellen, damit er die Informationspflicht gem. Art 13 DSGVO erfüllt.

 

2.   Jede Organisation, die ein Kontaktformular auf der Website veröffentlicht, und zulässt, dass Websitebesucher über diese Website Informationen an den Betreiber versenden, erheben personenbezogene Daten und müssen daher die Nutzer auch über die Datenerhebung iSd Art 13 DSGVO informieren.
_________________________________________________

 

 

 

 

Dieses Dokument stellt ein Muster dar / Es wird keine Haftung für

die Richtigkeit oder Vollständigkeit des Inhalts übernommen.

 

 

DATENSCHUTZINFORMATION iSd Art 13 DSGVO

 

E-Mail-Kommunikation / Kontaktformular

 

 

 

Verantwortlicher	[Angabe darüber, wer der Verantwortliche ist, inkl. Adresse, Telefonnummer sowie sonstige Angaben, die es ermöglichen, dass der Verantwortliche direkt von den betroffenen Personen kontaktiert werden kann]
Datenschutz­beauftragter	Es ist kein Datenschutzbeauftragter bestellt, da keine gesetzliche Notwendigkeit besteht. [Alternativ: Angabe des Datenschutzbeauftragten, sofern ein solcher bestellt ist, mit Kontaktdaten]
Zweck	1.        E-Mail-Adresse auf der Website: Die Angabe der E-Mail-Adresse auf der Website ist gem. § 5 Abs 1 Z 3 ECG vorgeschrieben. Wenn Sie uns Nachrichten über die E-Mail-Adresse senden, dann werden wird die bekannt gegebenen Daten erheben, speichern und für die Beantwortung der Anfrage verarbeiten. 2.     Kontaktformular: Wir stellen das Kontaktformular zur Verfügung, damit betroffene Personen mit uns kommunizieren können. Wenn Sie uns Informationen über das Kontaktformular senden, dann werden wird die bekannt gegebenen Daten erheben, speichern und für die Beantwortung der Anfrage verarbeiten.
Rechtsgrundlage	Wenn Sie mit uns in einer Vertragsbeziehung stehen, oder eine derartige anbahnen, oder mit Personen in einer Vertragsbeziehung stehen, die einen Vertrag mit uns abgeschlossen haben, dann verarbeiten wir ihre Daten aufgrund Art 6 Abs 1 lit b DSGVO (Vertrag / Vertragsanbahnung). Wenn Sie (ohne vertragliche Basis) mit uns in Kontakt treten, dann verarbeiten wir die Daten in unserem berechtigten Interesse daran, Ihnen zu antworten, und diese Antwort auch zu dokumentieren.
Speicherdauer	Wir speichern die Daten, sofern diese sich nicht auf einen Vertrag beziehen, bis zum Ende des [dritten] Geschäftsjahres nach Kontaktaufnahme. Wenn die Daten einen Vertrag betreffen, dann speichern wir die Daten für die gesamte Vertragslaufzeit, und für die gesetzliche Aufbewahrungspflicht von 7 Jahren nach Beendigung des Geschäftsjahres, in dem der Geschäftsfall abgeschlossen wurde. Wenn sich die Daten auf einen Vertrag beziehen, bei dem eine Schadenersatzverpflichtung über einen Zeitraum von 30 Jahren bestehen kann, speichern wir die Daten für den Zeitraum der Verjährung etwaiger Schadenersatzansprüche.
Empfänger-kategorien	Die Daten werden an unseren Provider [Angabe: ..], der als Auftragsverarbeiter für uns tätig ist, weitergegeben, da dieser die Nachricht an uns übermittelt. Die Daten werden im Anlassfall an Finanzbehörden, sonstige Behörden, unseren Steuerberater, und Rechtsberater oder auch an Sub-Auftragnehmer, Lieferanten, Kunden, Kooperationspartner übermittelt, sofern diese von der Information, die übermittelt wird, betroffen sind.
Datenübertrag-barkeit	Abhängig davon, ob Sie uns die Daten iSd Art 20 DSGVO bereitgestellt haben, besteht ein Recht auf Datenübertragbarkeit.

 

 

 

Eine Übermittlung an Empfänger in einem Drittland (außerhalb der EU) oder an eine internationale Organisation ist nicht vorgesehen. [Alternativ: Hinweis auf die Datenübermittlung in ein Drittland und die Rechtsgrundlage].

 

Es besteht keine automatisierte Entscheidungsfindung (Profiling). Es ist weder vertraglich noch gesetzlich vorgeschrieben, dass die Daten bereitgestellt werden und es gibt auch keine Verpflichtung dazu. Wenn die Daten nicht bereitgestellt werden, kann jedoch die Information nicht verarbeitet werden, um zB eine Antwort auf die Anfrage zu geben.

 

Als betroffener Person steht Ihnen grundsätzlich das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Widerspruch zu.

 

Wenn Sie glauben, dass die Verarbeitung Ihrer Daten gegen das Datenschutzrecht verstößt oder Ihre datenschutzrechtlichen Ansprüche sonst in irgendeiner Weise verletzt worden sind, steht es Ihnen frei, bei einer Aufsichtsbehörde (in Österreich: Österreichische Datenschutzbehörde; siehe www.dsb.gv.at) Beschwerde zu erheben.

_________________________________________________________________________

 

11.10.2019, Autor

Michael Schweiger, zert DSBA