Compliance · DSGVO
DSGVO für Presse-Websites: die Checkliste für Verlage.
Was die DSGVO ist, in einem Absatz
Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) legt den rechtlichen Rahmen für die Verarbeitung personenbezogener Daten von EU-Bürgern fest. Sie gilt unabhängig davon, wo der Verantwortliche oder der Auftragsverarbeiter niedergelassen ist, solange die Verarbeitung damit zusammenhängt, Personen in der EU Waren oder Dienstleistungen anzubieten oder ihr Verhalten zu beobachten (Artikel 3.2). Für Presse-Websites mit Leserbeteiligung bedeutet das: Jedes Leserkonto, jeder per IP nachverfolgte anonyme Kommentar, jede Newsletter-Anmeldung, jede Reaktion auf einen Artikel fällt unter die DSGVO.
Was auf einer Presse-Website als personenbezogene Daten gilt
Die DSGVO definiert personenbezogene Daten ausgesprochen weit (Artikel 4.1): alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Für eine Presse-Website umfasst das:
- Daten des Leserkontos: Name, E-Mail-Adresse, Passwort-Hash, Profilbild, Biografie
- Interaktionsdaten: Kommentare, Stimmen, Likes, Shares, Verweildauer bei Artikeln
- Technische Daten: IP-Adressen, Geräte-Fingerprints, Browser-Kennungen, Sitzungs-Cookies
- Abgeleitete Daten: aus dem Leseverhalten gewonnene Interessens-Tags, Ergebnisse des Audience-Scorings
- Abonnement- und Zahlungsdaten, sofern zutreffend
Die sechs Rechtsgrundlagen (Artikel 6)
Sie dürfen personenbezogene Daten nur verarbeiten, wenn Sie sich auf mindestens eine der sechs in Artikel 6 aufgeführten Rechtsgrundlagen stützen können:
- Einwilligung (6.1.a), ausdrücklich, granular, widerrufbar. Verwendet für Marketing, Profiling, optionale Daten.
- Vertrag (6.1.b), erforderlich, um einen Dienst zu erbringen, für den sich der Nutzer angemeldet hat. Verwendet für die Kontoerstellung, die Abwicklung von Abonnements.
- Rechtliche Verpflichtung (6.1.c), erforderlich zur Erfüllung einer gesetzlichen Vorgabe (z. B. Aufbewahrungspflichten).
- Lebenswichtige Interessen (6.1.d), für Verlage selten relevant.
- Öffentliches Interesse (6.1.e), vor allem für den öffentlichen Sektor / öffentlich-rechtliche Medien.
- Berechtigtes Interesse (6.1.f), Ihr Interesse, abgewogen gegen die Rechte des Nutzers. Verwendet für Betrugsprävention, anonyme Analysen, Sicherheit.
Für Kommentare und Leserbeteiligung ist die häufigste Kombination Vertrag (Sie erbringen einen Teilnahmedienst, für den sich der Nutzer entschieden hat) plus berechtigtes Interesse (Sicherheit, Anti-Spam, Betrug).
Die acht Leserrechte (Artikel 12–22)
Sie müssen den Nutzer in die Lage versetzen, die folgenden Rechte in verständlicher Sprache und innerhalb eines Monats auszuüben (Artikel 12.3):
- Auskunftsrecht (Art. 15) — der Nutzer kann eine Kopie aller Daten anfordern, die Sie über ihn vorhalten
- Recht auf Berichtigung (Art. 16) — unrichtige Daten korrigieren
- Recht auf Löschung / Recht auf Vergessenwerden (Art. 17) — Daten löschen, wenn keine berechtigte Grundlage für ihre Aufbewahrung besteht
- Recht auf Einschränkung (Art. 18) — die Verarbeitung unter bestimmten Umständen begrenzen
- Recht auf Datenübertragbarkeit (Art. 20) — strukturierte Daten exportieren, um den Dienst zu wechseln
- Widerspruchsrecht (Art. 21) — Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung
- Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22)
- Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77) — in Frankreich die CNIL
Internationale Übermittlungen (Kapitel V)
Wenn Ihr Kommentarsystem oder Ihre Leserdatenbank außerhalb der EU gehostet wird, verlangt die DSGVO Garantien nach den Artikeln 44–50. Nach dem Schrems-II-Urteil (EuGH, 16. Juli 2020) stützen sich Übermittlungen in die Vereinigten Staaten auf das EU-US Data Privacy Framework (in Kraft seit Juli 2023), wobei der EDPB häufig zusätzliche ergänzende Maßnahmen verlangt. Viele Verlage finden es einfacher, die Daten vollständig in der EU zu halten.
Rollen: Wer ist Verantwortlicher, wer ist Auftragsverarbeiter
Für die Leserdaten Ihrer Presse-Website gilt:
- Sie (der Verlag) sind der Verantwortliche — Sie entscheiden, warum und wie die Daten verarbeitet werden (Art. 4.7).
- Ihr Kommentarsystem / Moderationstool (Logora, Disqus, Viafoura usw.) ist in der Regel ein Auftragsverarbeiter — es verarbeitet Daten in Ihrem Auftrag, nach den Weisungen in einem Auftragsverarbeitungsvertrag (Art. 28).
Der Auftragsverarbeitungsvertrag ist nach Artikel 28.3 verpflichtend. Er muss Gegenstand, Dauer, Art, Zweck, Datenarten, Kategorien betroffener Personen sowie Ihre Pflichten und Rechte als Verantwortlicher festlegen. Ohne einen unterzeichneten Auftragsverarbeitungsvertrag dürfen Sie keinen externen Auftragsverarbeiter rechtmäßig für personenbezogene Daten einsetzen.
Was das in der Praxis für Ihren Verlagsbetrieb bedeutet
- Datenschutzerklärung auf Ihrer Website, in verständlicher Sprache, mit Auflistung jeder Verarbeitungstätigkeit (Artikel 13–14)
- Cookie-Banner nur, wenn erforderlich — nicht-tracking-, nicht-targeting-Cookies sind ausgenommen (Leitlinien der CNIL zur ePrivacy-Richtlinie)
- Unterzeichnete Auftragsverarbeitungsverträge mit jedem externen Auftragsverarbeiter: Kommentarsystem, Moderationstool, Analytics, Ad-Tech, E-Mail-Dienst
- Verzeichnis von Verarbeitungstätigkeiten (Artikel 30) — ein internes Register, das alle Verarbeitungstätigkeiten auflistet
- Benennung eines Datenschutzbeauftragten (Artikel 37), wenn Sie eine umfangreiche Verarbeitung oder systematische Überwachung durchführen
- Meldung von Datenschutzverletzungen innerhalb von 72 Stunden an die Behörde (Artikel 33) und an betroffene Nutzer, wenn ein hohes Risiko besteht
Wie Logora damit umgeht
- Auftragsverarbeitungsvertrag mit jedem Kunden unterzeichnet, strukturiert gemäß Artikel 28.3
- Hosting ausschließlich in der EU bei OVH, Frankreich — niemals eine Übermittlung außerhalb der EU
- First-Party-Daten — Leserkonten gehören zur Datenbank des Verlags, nicht zu Logora
- Keine Tracking-Cookies von Drittanbietern standardmäßig; jede Analyse ist anonym und cookielos
- Auskunfts-Export direkt im Administrationsbereich integriert — ein Klick, um eine Anfrage nach Artikel 15 zu erfüllen
- Bearbeitung des Löschrechts auf Einzelnutzerbasis, wobei sich die Löschung gemäß der Aufbewahrungsrichtlinie des Verlags auf Kommentare und Stimmen erstreckt
Quellen
- Verordnung (EU) 2016/679 (DSGVO) — Volltext auf EUR-Lex
- CNIL — französische Datenschutzbehörde (Englisch)
- Europäischer Datenschutzausschuss (EDPB) — Leitlinien
- Schrems-II-Urteil (EuGH C-311/18)
- EU-Datenschutzvorschriften — Europäische Kommission
Sie möchten Ihr Setup für Leserdaten prüfen lassen? Buchen Sie ein 60-minütiges Gespräch mit unserem Team.