Sample Privacy Policy Template

Die heutige Geschäftswelt ist weitgehend von Daten und den daraus abgeleiteten Informationen abhängig.

Daten sind entscheidend für Unternehmen, die diese Informationen verarbeiten, um ihren Kunden Dienstleistungen und Produkte anzubieten. In einem Unternehmen – von der obersten Führungsebene bis hinunter zur operativen Ebene – ist so gut wie jeder auf Informationen angewiesen.

In einer komplexen Umgebung, in der so viel von den Daten abhängt, die Unternehmen sammeln und verarbeiten, wird der Schutz dieser Informationen immer wichtiger. Unter den Maßnahmen, die Unternehmer ergreifen, um die Daten ihrer Nutzer zu schützen, kommt dem Entwurf einer klaren und präzisen Datenschutzvereinbarung eine zentrale Bedeutung zu.

In diesem Artikel werden wir die Elemente einer Datenschutzvereinbarung besprechen, um Ihnen zu helfen, die Konstrukte einer effektiven Datenschutzvereinbarung besser zu verstehen, die Ihren Kunden Vertrauen einflößt und Sie vor einer Reihe von Haftungsfragen schützt.

Was ist eine Datenschutzrichtlinie?

Eine Datenschutzrichtlinie ist eine Erklärung oder ein rechtliches Dokument, das festlegt, wie ein Unternehmen oder eine Website Daten seiner Kunden und Besucher sammelt, behandelt und verarbeitet. Sie beschreibt explizit, ob diese Daten vertraulich behandelt oder an Dritte weitergegeben oder verkauft werden.

Personenbezogene Informationen über eine Person können Folgendes umfassen:

• Name
• Adresse
• E-Mail
• Telefonnummer
• Alter
• Geschlecht
• Familienstand
• Rasse
• Nationalität
• Religiöse Überzeugungen

Beispielsweise, ein Auszug aus der Datenschutzvereinbarung von Pinterest beschreibt deutlich die Informationen, die Pinterest von seinen Nutzern sowie von anderen Quellen sammelt, denen die Nutzer es ermöglichen, Informationen von Pinterest zu sammeln. Zu den Informationen, die der Nutzer freiwillig angibt, gehören Namen, Fotos, Pins, Likes, E-Mail-Adressen und/oder Telefonnummern usw., die alle als personenbezogene Daten angesehen werden.

Zusätzlich gibt Pinterest an, dass es Standortdaten der Nutzer von mobilen Geräten sammelt, und wenn jemand einen Kauf auf Pinterest tätigt, werden Zahlungs- und Kontaktinformationen – einschließlich Adresse und Telefonnummer – gesammelt. Wenn Nutzer Produkte oder Dienstleistungen für andere kaufen, sammelt Pinterest auch deren Kontaktdaten und Versanddetails.

Nutzer können Pinterest auch die Erlaubnis erteilen, auf Informationen zuzugreifen, die mit anderen Websites wie Facebook und Twitter geteilt werden, indem sie ihr Pinterest-Konto mit diesen verknüpfen. Diese Informationen würden auch Informationen über ihre Freunde und Follower beinhalten. In den Kontoeinstellungen finden Sie Informationen darüber, wie viel Zugriff Pinterest auf die Daten seiner Nutzer hat.

Zusammenfassend lässt sich sagen, dass eine Datenschutzrichtlinie der Ort ist, an dem Sie Ihre Nutzer darüber informieren, wie Sie sicherstellen, dass ihre Privatsphäre durch Ihre Geschäftspraktiken respektiert wird.

Warum Sie eine Datenschutzrichtlinie benötigen

Datenschutz ist kein neues Konzept. Menschen haben sich schon immer Privatsphäre gewünscht, sowohl in ihrem sozialen als auch in ihrem privaten Leben. Aber die Idee der Privatsphäre als Menschenrecht ist ein relativ modernes Phänomen.

Auf der ganzen Welt wurden Gesetze und Vorschriften zum Schutz von Daten entwickelt, die sich auf Behörden, Bildung, Gesundheit, Kinder, Verbraucher, Finanzinstitute usw. beziehen.

Diese Daten sind für die Person, zu der sie gehören, von entscheidender Bedeutung. Datenschutz und Datensicherheit verbinden Individuen und Branchen miteinander und steuern komplexe Systeme in unserer Gesellschaft. Von Kreditkartennummern und Sozialversicherungsnummern bis hin zu E-Mail-Adressen und Telefonnummern – unsere sensiblen, persönlich identifizierbaren Informationen sind wichtig. Diese Art von Informationen in unzuverlässigen Händen kann potenziell weitreichende Konsequenzen haben.

Unternehmen oder Websites, die mit Kundendaten umgehen, sind verpflichtet, ihre Datenschutzrichtlinien auf ihren Unternehmenswebsites zu veröffentlichen. Wenn Sie eine Website, eine Web-App, eine mobile App oder eine Desktop-App besitzen, die Nutzerdaten sammelt oder verarbeitet, müssen Sie mit Sicherheit eine Datenschutzrichtlinie auf Ihrer Website veröffentlichen (oder einen In-App-Zugang zur vollständigen Datenschutzvereinbarung bereitstellen).

Es gibt mehrere Gründe, warum eine Website ihre Datenschutzvereinbarung auf ihrer Website veröffentlichen muss.

Hier sind einige der Hauptgründe:

• Gesetzlich vorgeschrieben
• Von Drittanbietern vorgeschrieben
• Erhöht die Transparenz

Lassen Sie uns einen Blick auf jeden dieser Gründe im Detail werfen.

Eine Datenschutzerklärung ist gesetzlich vorgeschrieben

Damit sich Privatpersonen wohlfühlen, wenn sie ihre persönlichen Daten im Internet preisgeben, sollte es eine Art gesetzliche Verpflichtung für Unternehmen geben, diese Daten zu schützen und die Nutzer über den Status und den Zustand ihrer Daten zu informieren.

Länder auf der ganzen Welt haben die Notwendigkeit erkannt, die Daten und die Privatsphäre ihrer Bürger zu schützen. Unternehmen und Websites, die Kundendaten sammeln und/oder verarbeiten, sind verpflichtet, eine Datenschutzvereinbarung zu veröffentlichen und einzuhalten.

Die Mehrheit der Länder hat bereits Gesetze zum Schutz der Datensicherheit und der Privatsphäre ihrer Nutzer erlassen. Diese Gesetze verlangen von Unternehmen, dass sie die ausdrückliche Zustimmung der Nutzer einholen, deren Daten sie speichern oder verarbeiten wollen.

Ein paar dieser Gesetze sind die folgenden:

• CalOPPA in den USA
• GDPR in der EU
• PIPEDA in Kanada

Für ein Unternehmen oder eine Website, die Benutzerdaten in einer bestimmten Region oder einem bestimmten Land sammelt und verarbeitet, ist es sehr wichtig, die Daten- und Datenschutzgesetze zu kennen, die in dieser Region und in der Region Ihrer Kunden und Endbenutzer gelten. Die Nichteinhaltung dieser Gesetze kann zu hohen Geldstrafen oder sogar zur strafrechtlichen Verfolgung führen.

In einigen Fällen müssen Unternehmen länderspezifische Gesetze oder branchenspezifische Vorschriften befolgen.

Zum Beispiel hält General Motors in den USA CalOPPA ein, indem sie einen Kalifornien-spezifischen Abschnitt in ihre Datenschutzrichtlinien aufnehmen:

General Motors informiert seine kalifornischen Nutzer über ihre Rechte durch seine Datenschutzrichtlinien, wie es CalOPPA verlangt.

Wenn Ihre Website/App Nutzer auf der ganzen Welt erreicht, unabhängig davon, wo Sie sich befinden oder Ihren Hauptsitz haben, müssen Sie sicherstellen, dass Sie die Datenschutzgesetze in allen Ländern, die Sie erreichen, befolgen.

Während sich die Gesetze zum Datenschutz und zur Privatsphäre von Region zu Region unterscheiden, muss eine Datenschutzrichtlinie ihre Nutzer umfassend darüber informieren, wie ihre Daten verwendet werden.

Zum Beispiel ist die GDPR die derzeit strengste Datenschutzgesetzgebung der Welt und eine der Hauptanforderungen an jedes Unternehmen, das in ihren Geltungsbereich fällt, ist es, eine GDPR-konforme Datenschutzerklärung zu haben, die einige sehr spezifische Informationen enthält und leicht verständlich geschrieben ist.

Ob Ihre Website ein Selbsthilfe-Blog ist oder ein Spiel, das bei Google Play gehostet wird, es liegt in Ihrer Verantwortung, Ihre Endnutzer umfassend darüber zu informieren, wie etwaige verbundene Drittanbieter ihre Daten sammeln und verarbeiten und (wenn möglich) zu welchem Zweck.

Eine Datenschutzerklärung ist bei Diensten von Drittanbietern erforderlich

Abgesehen von den geltenden Gesetzen verlangen einige Anbieter wie Apple, Amazon und Google von Website- und App-Betreibern, dass sie eine Datenschutzvereinbarung veröffentlichen, wenn sie einen ihrer Dienste nutzen.

Viele Websites und Apps nutzen In-Page/In-App-Werbung von Drittanbietern, um Einnahmen zu generieren. Da diese Werbung auch Nutzerdaten sammelt, müssen die Websites oder Apps von Drittanbietern die Erlaubnis ihrer Nutzer für die Weitergabe ihrer persönlichen Daten einholen.

Wenn Sie zum Beispiel Google Analytics auf Ihrer Website verwenden, müssen Sie gemäß den Nutzungsbedingungen von Google Analytics eine Vereinbarung zum Datenschutz veröffentlichen. Darüber hinaus müssen Sie auch offenlegen, dass Sie Google Analytics verwenden und einige Informationen darüber, wie es Daten sammelt und verarbeitet:

Wenn Sie ein Google-App-Entwickler sind, verlangen die Datenschutzrichtlinien, dass Sie Ihre Nutzer darüber informieren, welche Daten Sie sammeln, warum Sie sie sammeln und was Sie damit machen.

Einige der beliebtesten Dienste von Drittanbietern verlangen von Website- und App-Besitzern, dass sie Datenschutzvereinbarungen auf ihren Websites veröffentlichen. Zu diesen Diensten gehören unter anderem:

• Amazon Affiliates
• ClickBank
• Google Play Store
• Google Analytics
• Google AdSense
• Google AdWords
• Facebook Apps
• Twitter Lead Generation
• Apple’s App Store

Drittanbieter wie Google, Facebook und Amazon verlangen von ihren Nutzern (Website- und App-Betreibern), dass sie ihre Nutzer explizit darüber informieren, ob sie Werbefunktionen, Cookies oder Tracking-Dienste auf ihren Websites/Apps verwenden, um bessere Nutzererlebnisse auf Basis des vorherigen Surfverhaltens zu ermöglichen.

So informiert Ookla – ein Unternehmen, das Festnetz- und Mobilfunknetze testet – seine Nutzer in seiner Datenschutzvereinbarung darüber, dass es Cookies, Logdateien, Flash-Cookies, lokale Speicher etc. verwendet, in seinen Website-basierten und mobilen Anwendungen verwendet, um (1) die Leistung zu verbessern, (2) besser zu verstehen, wie die Software von Ookla funktioniert, und (3) dem Benutzer ein personalisiertes Erlebnis zu bieten.

Eine Datenschutzrichtlinie für mehr Transparenz

Firmen, deren Geschäftsmodell sich um den Umgang mit sensiblen Kundendaten dreht, finden es unglaublich wichtig, Vertrauen zu ihren Benutzern aufzubauen. Eine klare und umfassende Datenschutzvereinbarung, die den Benutzern genau sagt, welche Informationen das Unternehmen sammelt und was es mit diesen Informationen macht, schafft Vertrauen in ein Unternehmen. Es gibt den Nutzern ein Gefühl der Sicherheit, zu wissen, wie viel Kontrolle sie über ihre persönlichen Daten unter den Bedingungen haben, für die sie sich angemeldet haben.

Ihre Datenschutzvereinbarung sollte Ihre Nutzer darüber informieren, wie Ihre Website oder App mit ihren persönlichen Daten umgeht. Ihre Nutzer müssen auch über den Grund für die Sammlung von Informationen informiert werden, sowie darüber, wie lange ihre Daten auf Ihren Servern gespeichert werden.

Auch wenn Sie keine persönlichen Daten sammeln, sollten Sie diese Tatsache in einer Datenschutzrichtlinie offenlegen. Das hilft bei der Transparenz, denn die Nutzer erwarten, dass sie eine Datenschutzrichtlinie sehen. Wenn Sie überhaupt keine haben, könnten Nutzer annehmen, dass Sie viele persönliche Daten sammeln und diese nicht offenlegen, anstatt gar keine zu sammeln.

Die Suchmaschine DuckDuckGo verfolgt keine Suchanfragen von Nutzern und speichert auch keine Online-Suchhistorie in irgendeiner Weise. Ihre Datenschutzvereinbarung besagt, dass sie keine Benutzerinformationen sammelt oder weitergibt.

Um Ihre Datenschutzrichtlinie transparent und genau zu machen, führen Sie eine Selbstprüfung des Datenschutzrechts durch. So können Sie herausfinden, wie die Datenschutzpraktiken Ihres Unternehmens aussehen und welche Informationen Sie Ihren Nutzern in einer Datenschutzrichtlinie offenlegen müssen.

Beispiel für eine Website-Datenschutzrichtlinie

Um Ihren Nutzern gegenüber transparent zu machen, welche personenbezogenen Daten Sie sammeln und was Sie damit tun, müssen Sie eine Datenschutzvereinbarung auf Ihrer Website veröffentlichen oder einen In-App-Zugang zu ihr ermöglichen.

Websites veröffentlichen in der Regel einen Link zur vollständigen Datenschutzvereinbarung in der Fußzeile der Website, während Apps die Datenschutzvereinbarung in der Regel in ein „Über“- oder „Rechtliches“-Menü einfügen.

Ein weiterer beliebter Ort für E-Commerce-Store-Apps und Websites ist die Kassenseite oder die Seite für die Kontoregistrierung, wenn Sie keine E-Commerce-Komponente haben, aber Nutzern erlauben, Konten zu erstellen.

Medium verlinkt seine Datenschutzvereinbarung in der Fußzeile seiner Website:

Das Format und Thema der Datenschutzvereinbarung ist konsistent mit dem Rest der Website und hat keine Ankernavigation.

Sie enthält die folgenden Klauseln:

1. Informationen, die wir sammeln& Wie wir sie verwenden
2. Weitergabe von Informationen
3. Öffentliche Daten
4. Datenspeicherung
5. DritteParty Embed
6. Tracking & Cookies
7. Ändern oder Löschen Ihrer persönlichen Daten
8. Datensicherheit
9. Geschäftsübertragungen
10. Email von Medium
11. Änderungen an dieser Richtlinie
12. Fragen

Es gibt auch einen Abschnitt, der sich speziell an EU-Benutzer richtet und Informationen enthält, die von der GDPR gefordert werden, wie z. B.:

1. Die Rechtsgrundlagen für das Sammeln und Verarbeiten von Daten
2. Welche Drittparteien (wie z.B. Zahlungsabwickler) Medium einbezieht und Daten mit ihnen teilt
3. Wie lange Daten aufbewahrt werden
4. Die Rechte von EU-Datensubjekten
5. Wie man eine Anfrage zum Thema Zugang stellt
6. Kontaktinformationen für den EU-Beauftragten von Medium

Wenn Ihr Unternehmen Nutzer in der EU hat, wie Medium es tut, müssen Sie diese Art von Informationen in Ihre Datenschutzrichtlinie aufnehmen, um mit der GDPR konform zu sein.

Werfen wir nun einen Blick auf einige Beispiele für spezifische Klauseln, die Ihre Datenschutzrichtlinie enthalten sollte.

Beispiele für nützliche Klauseln für Ihre Datenschutzrichtlinie

Ihre Datenschutzrichtlinie muss korrekt und leicht verständlich sein und alle notwendigen Informationen enthalten, die gesetzlich vorgeschrieben sind und der Transparenz dienen.

Generell sollte jede Privacy Policy-Vereinbarung mindestens die folgenden Klauseln enthalten:

• Welche Informationen werden gesammelt und wie
• Wie werden die Informationen verwendet
• Wie werden die Informationen gespeichert und geschützt
• Kontaktinformationen zum Unternehmen
• Verwendung von Cookies, Logfiles und Tracking
• Wie ein Nutzer der Datenerfassung/-nutzung widersprechen kann

Hier ist jede einzelne in Aktion.

Welche Informationen werden gesammelt und wie

Datenschutzvereinbarungen informieren Nutzer darüber, welche Informationen von ihnen gesammelt werden. Dazu gehören Informationen, die Benutzer freiwillig und aktiv zur Verfügung stellen, wenn sie sich für die Nutzung von Diensten registrieren, sowie Informationen, die automatisch von ihnen gesammelt werden können, z. B. durch die Verwendung von Cookies.

Sie können festlegen, wie Sie Informationen klassifizieren, z. B. öffentliche, private oder persönliche Informationen. Dies hilft dem Benutzer, genau zu wissen, was diese Begriffe im restlichen Dokument der Datenschutzrichtlinie bedeuten.

Hier ist ein Beispiel, wie Sie eine Klausel konstruieren können, um Ihren Benutzern diese Informationen zu erklären:

Die Datenschutzrichtlinie von PBS Kids informiert die Benutzer darüber, welche Informationen es von ihnen sammelt. Sie beschreibt die Informationen, die sie sammelt, sowie einen kurzen, aber weiterführenden Abschnitt nach jeder Art von Informationen, der weitere Informationen liefert:

Wie die Informationen verwendet werden

Einer der Hauptzwecke von Datenschutzvereinbarungen ist es, den Benutzern zu erklären, wie die Informationen, die das Unternehmen sammelt, verwendet werden.

Pinterest hat in seiner Datenschutzvereinbarung einen ziemlich großen Abschnitt darüber, was wir mit den gesammelten Informationen machen. Im ersten Absatz heißt es, dass die Website die Informationen verwendet, um den Nutzern ihre Dienste zur Verfügung zu stellen. Weiter wird erklärt, wie die Informationen verwendet werden, um Benutzer zu identifizieren, ihre Transaktionen zu bearbeiten, Empfehlungen auszusprechen und auf ihre Fragen und Kommentare zu antworten.

Wie die Informationen gespeichert und geschützt werden

Eine weitere wichtige Klausel, die Sie in Ihre Datenschutzvereinbarung aufnehmen sollten, betrifft die Art und Weise, wie Sie die Informationen, die Sie von den Besuchern Ihrer Website sammeln, speichern und schützen. Sie können erklären, auf welche Weise Sie Informationen speichern und welche Maßnahmen Sie ergreifen, um diese Informationen zu schützen.

Beispielsweise besagt die Datenschutzvereinbarung von Caffe Nero, dass die Informationen der Benutzerkonten durch ein Passwort geschützt sind und erklärt, welche Schritte die Benutzer unternehmen können, um einen unbefugten Zugriff auf ihre Konten zu verhindern.

Darüber hinaus heißt es, dass die Website Schritte unternimmt, um so viel Sicherheit wie möglich zu gewährleisten, allerdings wird nicht garantiert, dass die ergriffenen Maßnahmen einen unbefugten Zugriff verhindern:

Shopify gibt in seiner Datenschutzrichtlinie an, dass es die Industriestandards für das Informationssicherheitsmanagement befolgt, um sensible Benutzerdaten zu schützen. Es heißt auch, dass das Unternehmen jährlich Audits durchführt, um sicherzustellen, dass der Umgang mit den Kreditkarteninformationen der Benutzer den Richtlinien der Branche entspricht. Abschließend wird darauf hingewiesen, dass die absolute Sicherheit der persönlichen Daten der Nutzer nicht garantiert werden kann, da keine Übertragungsmethode im Internet zu 100% sicher ist.

Kontaktinformationen des Unternehmens

Als Geschäftsinhaber ist es wichtig, dass Sie die Kontaktinformationen Ihres Unternehmens in Ihre Datenschutzvereinbarung aufnehmen. Im Allgemeinen werden die Kontaktinformationen am Ende der Datenschutzrichtlinie hinzugefügt und enthalten eine physische (Straßen-)Adresse, eine E-Mail-Adresse und/oder eine Telefonnummer. Je mehr Kontaktinformationen Sie zur Verfügung stellen können, desto besser.

Die British Heart Foundation bietet eine Kontaktklausel an, die sowohl eine Postanschrift als auch eine E-Mail-Adresse für die Kontaktaufnahme enthält:

Verwendung von Cookies, Protokolldateien und Tracking

Websites und Apps verwenden Cookies, um Benutzerinformationen zu speichern, Benutzern personalisierte Erfahrungen zu bieten und den Webverlauf ihrer Benutzer zu erfassen. Andere Websites können Cookies auch für andere Zwecke verwenden und sogar Dritten Zugriff auf diese Cookies gewähren.

In jedem Fall sind Website-Betreiber verpflichtet, ihre Nutzer über die Tools zu informieren, die das Unternehmen verwendet, um Nutzerinformationen zu sammeln und ihr Verhalten zu verfolgen, einschließlich Cookies.

Hier ist ein Blick darauf, wie Discord die Verwendung von Cookies in seiner Datenschutzerklärung anspricht:

Die meisten Websites und App-Betreiber verwenden Logdateien, um automatisch Informationen über die IP-Adresse, den Browser, die Daten/Zeit etc. ihrer Nutzer zu sammeln und zu speichern und für verschiedene Zwecke zu nutzen.

Hier ist, wie AWeber erklärt, wie es die Informationen verwendet, die von Besuchern mit Hilfe von Log-Dateien in seiner Datenschutzvereinbarung gesammelt werden:

Beachten Sie, wie es einfache Beschreibungen und klare Begriffe verwendet, um die Verwendung dieser Dateien zu beschreiben, was hilfreich ist, da die meisten Menschen wahrscheinlich keine Ahnung haben, was diese Arten von Dateien tatsächlich zu tun sind.

Opt-Out-Policy-Klausel

Apps und Websites sollten ihre Kunden über ihr Recht informieren, bestimmte Aspekte oder Dienste, die von einer Website angeboten werden, abzulehnen.

Die Datenschutzrichtlinie von Forever 21 zum Beispiel informiert Kunden über ihr Recht, sich von allen Diensten des Unternehmens abzumelden.

Beachten Sie, wie die Klausel in viele kurze Teile mit einfachen, klaren Anweisungen für jede Methode des Opt-Out aufgeteilt ist.

Fazit

Unabhängig davon, ob Sie eine Website oder eine App besitzen, die Benutzerdaten sammelt, verarbeitet und/oder speichert, haben Sie bestimmte Verantwortlichkeiten gegenüber Ihren Benutzern. Die primäre Verantwortung als Website-Betreiber besteht darin, die persönlichen Daten der Nutzer sicher zu verwahren, ihre Privatsphäre bestmöglich zu schützen und sie über die Speicherung und Verarbeitung ihrer Daten zu informieren, indem Sie eine Datenschutzrichtlinie bereitstellen.

Halten Sie Ihre Datenschutzrichtlinie korrekt und aktuell und versenden Sie gegebenenfalls Aktualisierungsmitteilungen für die Datenschutzrichtlinie.

Wenn Ihre Website, Web-App, mobile App oder Desktop-App in irgendeiner Form personenbezogene Daten von ihren Endnutzern sammelt, ist es wahrscheinlich, dass Sie entweder gesetzlich oder von Drittanbietern verpflichtet sind, eine Datenschutzvereinbarung auf Ihrer Website/App zu veröffentlichen.

Als Website-Besitzer müssen Sie sich bewusst sein:

• Die Datenschutzgesetze in der Gerichtsbarkeit, in der Ihr Unternehmen ansässig ist und in der sich Ihre Benutzer befinden.
• Die Anforderungen der Nutzungsbedingungen von Drittanbieter-Diensten, mit denen Ihre Website verbunden ist.