Abkürzungen, die nicht funktionieren
Wir sehen es regelmäßig: Unternehmer, die glauben, mit einem cleveren Konstrukt der DSGVO entkommen zu können. Das ist verständlich - das Gesetz fühlt sich wie eine Last an. Aber die Realität ist, dass kreative Umgehung Sie mehr kostet als ehrliche Compliance.
Hier sind die gängigsten Tricks und warum sie nicht funktionieren.
”Ich stelle einfach einen Cookie-Banner auf”
Ein Cookie-Banner ist kein Allheilmittel. Wenn der Banner nicht richtig konfiguriert ist, nicht-essentielle Cookies bereits vor der Einwilligung geladen werden oder die Auswahl nicht wirklich frei ist (zum Beispiel kein deutlicher Ablehnungs-Button), genügt es nicht. Aufsichtsbehörden schauen nicht auf den Banner selbst, sondern auf das, was technisch passiert.
”Ich lasse alle eine allgemeine Einwilligung unterschreiben”
Eine breite, generische Einwilligung (“Ich stimme der Verarbeitung meiner Daten zu”) genügt nicht. Die Einwilligung muss pro Zweck spezifisch, informiert und freiwillig erteilt sein. Sie können nicht alles in einer einzigen Checkbox bündeln.
”Ich speichere die Daten auf einem Server außerhalb der EU”
Die DSGVO folgt den Daten, nicht dem Server. Wenn Sie Daten von Personen in der EU verarbeiten, spielt es keine Rolle, wo Sie sie speichern. Das Gesetz gilt.
”Ich nenne es einfach nicht personenbezogene Daten”
Es spielt keine Rolle, wie Sie es nennen. Wenn die Daten direkt oder indirekt einer Person zugeordnet werden können, handelt es sich um personenbezogene Daten. Eine Kundennummer, die mit einem Namen verknüpft werden kann, ist ein personenbezogenes Datum. Eine IP-Adresse ist ein personenbezogenes Datum.
”Ich lasse es von einem Auftragsverarbeiter erledigen, dann bin ich nicht verantwortlich”
Auslagern ist möglich, aber nicht die Verantwortung. Als Verantwortlicher bleiben Sie für das verantwortlich, was mit den Daten geschieht, auch wenn Sie die Verarbeitung auslagern. Sie müssen einen Auftragsverarbeitungsvertrag abschließen und die Kontrolle behalten.
”Ich habe eine Datenschutzerklärung, also bin ich konform”
Eine Datenschutzerklärung ist ein Anfang, aber nur eine von vielen Pflichten. Ohne Verzeichnis der Verarbeitungstätigkeiten, ohne Sicherheitsmaßnahmen, ohne Auftragsverarbeitungsverträge und ohne ein Verfahren für Datenschutzverletzungen und Auskunftsersuchen sind Sie nicht konform.
Was funktioniert
Folgen Sie der Intention des Gesetzes:
- Seien Sie transparent darüber, was Sie mit Daten machen
- Erheben Sie nicht mehr als nötig
- Schützen Sie, was Sie haben
- Respektieren Sie die Rechte der Betroffenen
- Dokumentieren Sie Ihre Entscheidungen
Es ist weniger Arbeit als die meisten Umgehungskonstruktionen, und es funktioniert tatsächlich.
GDPRWise hilft Ihnen, Schritt für Schritt alle Pflichten zu erfüllen. Keine Tricks, keine Umwege.