DSGVO für Presse-Websites: die Checkliste für Verlage.

Die DSGVO in einem Absatz

Die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) legt den rechtlichen Rahmen für die Verarbeitung personenbezogener Daten von Personen in der EU fest. Sie gilt unabhängig davon, wo der Verantwortliche oder der Auftragsverarbeiter niedergelassen ist, solange die Verarbeitung damit zusammenhängt, Personen in der EU Waren oder Dienstleistungen anzubieten oder ihr Verhalten zu beobachten (Art. 3 Abs. 2). Für Presse-Websites mit Leserbeteiligung bedeutet das: Jedes Leserkonto, jeder per IP nachverfolgte anonyme Kommentar, jede Newsletter-Anmeldung, jede Reaktion auf einen Artikel fällt unter die DSGVO.

Was auf einer Presse-Website als personenbezogene Daten gilt

Die DSGVO definiert personenbezogene Daten ausgesprochen weit (Art. 4 Nr. 1): alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Für eine Presse-Website umfasst das:

• Daten des Leserkontos: Name, E-Mail-Adresse, Passwort-Hash, Profilbild, Biografie
• Interaktionsdaten: Kommentare, Stimmen, Likes, Shares, Verweildauer auf Artikelseiten
• Technische Daten: IP-Adressen, Geräte-Fingerprints, Browser-Kennungen, Sitzungs-Cookies
• Abgeleitete Daten: aus dem Leseverhalten gewonnene Interessen-Tags, Ergebnisse des Audience-Scorings
• Abonnement- und Zahlungsdaten, sofern vorhanden

Die sechs Rechtsgrundlagen (Artikel 6)

Sie dürfen personenbezogene Daten nur verarbeiten, wenn Sie sich auf mindestens eine der sechs in Artikel 6 aufgeführten Rechtsgrundlagen stützen können:

• Einwilligung (Art. 6 Abs. 1 lit. a): ausdrücklich, granular, widerrufbar. Typisch für Marketing, Profiling, optionale Daten.
• Vertrag (Art. 6 Abs. 1 lit. b): erforderlich, um einen Dienst zu erbringen, für den sich der Nutzer angemeldet hat. Typisch für Kontoerstellung und Abonnementverwaltung.
• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c): erforderlich zur Erfüllung einer gesetzlichen Vorgabe (z. B. Aufbewahrungspflichten).
• Lebenswichtige Interessen (Art. 6 Abs. 1 lit. d): für Verlage selten relevant.
• Öffentliches Interesse (Art. 6 Abs. 1 lit. e): vor allem für öffentliche Stellen und öffentlich-rechtliche Medien.
• Berechtigtes Interesse (Art. 6 Abs. 1 lit. f): Ihr Interesse, abgewogen gegen die Rechte des Nutzers. Typisch für Betrugsprävention, anonyme Analysen, Sicherheit.

Für Kommentare und Leserbeteiligung ist die häufigste Kombination Vertrag (Sie stellen eine Beteiligungsfunktion bereit, die der Nutzer bewusst nutzt) und berechtigtes Interesse (Sicherheit, Anti-Spam, Betrug).

Die acht Rechte Ihrer Leser als betroffene Personen (Artikel 12–22)

Sie müssen Nutzern die Ausübung der folgenden Rechte ermöglichen – mit Informationen in verständlicher Sprache und einer Antwort innerhalb eines Monats (Art. 12 Abs. 3):

• Auskunftsrecht (Art. 15) — der Nutzer kann eine Kopie aller Daten anfordern, die Sie über ihn gespeichert haben
• Recht auf Berichtigung (Art. 16) — unrichtige Daten korrigieren
• Recht auf Löschung („Recht auf Vergessenwerden“) (Art. 17) — Daten löschen, wenn keine Rechtsgrundlage für ihre Speicherung mehr besteht
• Recht auf Einschränkung der Verarbeitung (Art. 18) — die Verarbeitung unter bestimmten Umständen begrenzen
• Recht auf Datenübertragbarkeit (Art. 20) — strukturierte Daten exportieren, um den Dienst zu wechseln
• Widerspruchsrecht (Art. 21) — Widerspruch gegen eine auf berechtigtem Interesse beruhende Verarbeitung
• Recht, keiner ausschließlich automatisierten Entscheidung unterworfen zu werden (Art. 22)
• Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77) — in Frankreich die CNIL

Internationale Übermittlungen (Kapitel V)

Wenn Ihr Kommentarsystem oder Ihre Leserdatenbank außerhalb der EU gehostet wird, verlangt die DSGVO geeignete Garantien nach den Artikeln 44–50. Nach dem Schrems-II-Urteil (EuGH, 16. Juli 2020) stützen sich Übermittlungen in die Vereinigten Staaten auf das EU-US Data Privacy Framework (in Kraft seit Juli 2023), wobei der EDSA häufig ergänzende Maßnahmen verlangt. Für viele Verlage ist es einfacher, die Daten vollständig in der EU zu halten.

Rollen: Wer ist Verantwortlicher, wer ist Auftragsverarbeiter

Für die Leserdaten Ihrer Presse-Website gilt:

• Sie (der Verlag) sind der Verantwortliche — Sie entscheiden, warum und wie die Daten verarbeitet werden (Art. 4 Nr. 7).
• Ihr Kommentarsystem / Moderationstool (Logora, Disqus, Viafoura usw.) ist in der Regel ein Auftragsverarbeiter — es verarbeitet Daten in Ihrem Auftrag und gemäß den Weisungen in einem Auftragsverarbeitungsvertrag (Art. 28).

Der Auftragsverarbeitungsvertrag ist nach Art. 28 Abs. 3 verpflichtend. Er muss Gegenstand, Dauer, Art, Zweck, Datenarten, Kategorien betroffener Personen sowie Ihre Pflichten und Rechte als Verantwortlicher festlegen. Ohne einen unterzeichneten Auftragsverarbeitungsvertrag dürfen Sie keinen externen Auftragsverarbeiter rechtmäßig für personenbezogene Daten einsetzen.

Was das in der Praxis für Ihren Verlagsbetrieb bedeutet

• Datenschutzerklärung auf Ihrer Website, in verständlicher Sprache, mit Auflistung jeder Verarbeitungstätigkeit (Artikel 13–14)
• Cookie-Banner nur, wenn erforderlich — Cookies, die weder dem Tracking noch dem Targeting dienen, sind ausgenommen (Leitlinien der CNIL zur ePrivacy-Richtlinie)
• Unterzeichnete Auftragsverarbeitungsverträge mit jedem externen Auftragsverarbeiter: Kommentarsystem, Moderationstool, Analytics, Ad-Tech, E-Mail-Dienst
• Verzeichnis von Verarbeitungstätigkeiten (Artikel 30) — eine interne Übersicht über alle Verarbeitungstätigkeiten
• Benennung eines Datenschutzbeauftragten (Artikel 37), wenn Sie eine umfangreiche Verarbeitung oder systematische Überwachung durchführen
• Meldung von Datenschutzverletzungen innerhalb von 72 Stunden an die Aufsichtsbehörde (Artikel 33) und, wenn ein hohes Risiko besteht, an die betroffenen Nutzer

Wie Logora damit umgeht

• Auftragsverarbeitungsvertrag mit jedem Kunden, aufgebaut gemäß Art. 28 Abs. 3
• Hosting ausschließlich in der EU bei OVH, Frankreich — keinerlei Übermittlung außerhalb der EU
• First-Party-Daten — Leserkonten sind Teil der Datenbank des Verlags, nicht der von Logora
• Standardmäßig keine Tracking-Cookies von Drittanbietern; alle Analysen sind anonym und kommen ohne Cookies aus
• Datenexport für Auskunftsersuchen direkt im Administrationsbereich — eine Anfrage nach Artikel 15 lässt sich mit einem Klick erfüllen
• Löschanfragen pro Nutzer umsetzbar; die Löschung erstreckt sich gemäß den Aufbewahrungsregeln des Verlags auch auf Kommentare und Stimmen

Quellen

• Verordnung (EU) 2016/679 (DSGVO) — Volltext auf EUR-Lex
• CNIL — französische Datenschutzbehörde (englischsprachige Seite)
• Europäischer Datenschutzausschuss (EDSA) — Leitlinien
• Schrems-II-Urteil (EuGH C-311/18)
• EU-Datenschutzvorschriften — Europäische Kommission

Sie möchten den Umgang mit Ihren Leserdaten prüfen lassen? Vereinbaren Sie einen 60-minütigen Termin mit unserem Team.