GDPR-Checkliste für Verleger und Website-Betreiber

Es sei denn, Sie leben seit einigen Wochen unter einem Felsen, Sie wurden höchstwahrscheinlich mit E-Mails über GDPR überschwemmt. Wenn Sie nicht auf dem Laufenden sind, ist GDPR (General Data Protection Regulation) eine neue Reihe von Anforderungen an den Schutz der personenbezogenen Daten von EU-Bürgern.

Erste Gespräche begannen vor sechs Jahren, aber es wurde keine Einigung darüber erzielt, wie die endgültige GDPR aussehen würde. bis April 2016als die Compliance-Frist auf den 25. Mai 2018 festgelegt wurde. Der Konformitätsrausch hat sich erst mit Ablauf der Frist erhöht, und GDPR ist nun offiziell in Kraft.

Was genau bedeutet GDPR und was bedeutet es für Webseitenbesitzer und Publisher? Wir werden die wissenswerten Informationen in dieser praktischen Checkliste zusammenfassen.

Wirkt sich GDPR auf Sie aus?

GDPR gilt nicht nur für Unternehmen in der Europäischen Union; es betrifft jedes Unternehmen auf der ganzen Welt, das Daten von EU-Bürgern sammelt, speichert oder verarbeitet. Einige Unternehmen sind stärker betroffen als andere:

• Unternehmen, die ein großes Volumen an Verbraucherdaten verarbeiten oder speichern.
• Technologieunternehmen und Vermarkter
• Datenbroker, die die Datenverarbeitung übernehmen oder unterschiedliche Systeme verbinden.
• Digitale Publisher/Website-Betreiber

Die größte Auswirkung? Es betrifft Unternehmen mit Geschäftsmodellen, die auf der Erfassung und Nutzung von Verbraucherdaten beruhen.

Die Quintessenz: Wenn Sie Daten von in Europa ansässigen Personen erheben, verwenden, speichern oder darauf zugreifen, gilt die DSGVO auch für Sie. Lesen Sie weiter, um zu erfahren, was Verleger - und alle, die für die Überwachung einer Website verantwortlich sind - über die DSGVO wissen müssen.

GDPR-Änderungen auf einen Blick

Was unterscheidet GDPR von den bisherigen Datenschutzbestimmungen?

• Die Definition von privaten Informationen wird erweitert und umfasst nun alle Daten, die eine Person identifizieren könnten - entweder direkt oder indirekt. Dazu gehören Geräteidentifikationsnummern, Geolokalisierungsdaten, IP-Adressen und sogar Cookie-IDs.
• Daten der "Sonderkategorie" sind personenbezogene Daten, die als sensibler eingestuft werden und daher einen noch sichereren Schutz erfordern. Neben Rasse, ethnischer Herkunft, Politik, Religion, Gewerkschaftszugehörigkeit, Gesundheit, Sexualleben und sexueller Orientierung gehören dazu nun auch genetische und biometrische Daten.
• Sie benötigen eine ausdrückliche Einwilligung, um personenbezogene Daten über einen EU-Bürger weiterzugeben. Diese Zustimmung muss eindeutig und spezifisch für jede Datenverarbeitungstätigkeit sein, so dass die EU-Bürger die Möglichkeit haben, der Art der Datenverarbeitung zuzustimmen, mit der sie sich wohlfühlen. Grundsätzlich entscheiden sich Ihre Nutzer nun für die Datenverarbeitung, und Sie müssen sie darüber informieren, dass sie ihre Zustimmung jederzeit widerrufen können.
• Sie können für Verstöße bestraft werden, unabhängig davon, wo sich Ihr Unternehmen befindet.
• Sie sind für Verstöße haftbar, egal ob Sie Dateneigentümer (Controller) oder Datenverarbeiter sind. Das bedeutet, dass Sie für die Einhaltung der DSGVO verantwortlich sind, auch wenn Ihr Unternehmen lediglich Daten im Auftrag eines anderen Unternehmens verarbeitet. Stellen Sie sicher, dass Sie die Schritte Ihrer Anbieter zur Einhaltung der Vorschriften recherchieren und verstehen, wie Sie deren Tools und Dienste weiterhin verantwortungsvoll nutzen können. (Zum Beispiel, wenn Sie ShareThisverwenden soziale Medien Teilen Buttonskönnen Sie eine einfache Compliance mit Hilfe von Das neue GDPR-Compliance-Tool vonShareThis.)
• Publisher sind oft Datenbesitzer, was bedeutet, dass Sie dafür verantwortlich sind, Verstöße innerhalb von 72 Stunden nach der Entdeckung den zuständigen Behörden zu melden.

Worin besteht der Unterschied zwischen einem Datenverantwortlichen und einem Datenverarbeiter? Ein Datenverantwortlicher ist die Stelle, die für die Festlegung der folgenden Punkte verantwortlich ist wie personenbezogene Daten verarbeitet werden und warum. Die Datenverarbeiter hingegen übernehmen die eigentliche Verarbeitung im Auftrag des Kontrolleurs. Publisher sind in den meisten Fällen Datenverantwortliche.

Was Sie wissen (und tun) müssen, wenn Sie ein HerausgeberWebsite-Betreiber sind

Als a Herausgebergeben Sie Ihren Benutzern wahrscheinlich eine Vielzahl von Möglichkeiten, mit Ihren Inhalten zu interagieren, von Schaltflächen, die es ihnen ermöglichen Ihnen auf Social Media folgenum Abschnitte zu Ihren Artikeln zu kommentieren, um einfache Wege zu finden. auf Ihre Inhalte reagieren. Die meisten Websites verwenden Cookies, um Benutzer zu erkennen und ein personalisierteres Erlebnis zu ermöglichen. All diese Aktivitäten können dazu führen, dass Daten über Ihre Benutzer gesammelt werden, was die Verlage für die Einhaltung der GDPR-Richtlinien verantwortlich macht.

Wir haben die Handlungsschritte und die Pflichtaufgaben, die jeder HerausgeberWebsite-Betreiber kennen muss, um die GDPR einzuhalten, unten aufgeführt.

Unverzichtbare interne To-Dos

• Ernennen Sie jemanden, der für die Einhaltung der DSGVO verantwortlich ist. Einige Unternehmen müssen nach den neuen Vorschriften einen Datenschutzbeauftragten (DSB) ernennen, darunter Behörden und alle Datenverarbeiter, die in großem Umfang tätig sind, obwohl dies für kleinere Verlage wahrscheinlich nicht erforderlich ist. Auch wenn Sie nicht verpflichtet sind, einen DSB zu ernennen, ist es in Ihrem Interesse, jemanden zu ernennen, der die Entwicklung einer Strategie zur Einhaltung der DSGVO leitet, die laufende Einhaltung überwacht und über neue Entwicklungen der DSGVO auf dem Laufenden bleibt.
• Schulen Sie Ihre Mitarbeiter zum Thema GDPR. Jeder, der mit Nutzer-, Kunden- oder Besucherdaten in Berührung kommt, sollte wissen, wer in der Organisation für die GDPR-Strategie verantwortlich ist, und verstehen, welche GDPR-Verstöße auftreten können.
• Dokumentation ist Ihr neuer BFF. Dokumentieren Sie klar und deutlich alle Schritte bei der Erhebung, Verwendung, Speicherung und Weitergabe personenbezogener Daten und stellen Sie sicher, dass alle Änderungen an diesen Prozessen auch sofort dokumentiert werden.
• Regelmäßig prüfen. Um sicherzustellen, dass Ihr Unternehmen die Vorschriften einhält, sollten Sie Ihre digitale Umgebung, Ihre Prozesse und Ihre Dokumentation regelmäßig überprüfen.

Verwalten von Lieferanten

• Bewerten Sie Ihre Anbieter und informieren Sie sich über deren Compliance. Als Herausgeber arbeiten Sie wahrscheinlich mit einer Reihe von Anbietern für verschiedene Aspekte Ihrer Tätigkeit zusammen, z. B. für Analysen und Werbung. Im Rahmen der DSGVO müssen Sie feststellen, ob Ihre Anbieter mit der DSGVO konform sind. Verleger arbeiten oft mit zahlreichen Drittanbietern zusammen, und jetzt ist ein guter Zeitpunkt, um diese Partnerschaften zu bewerten und zu verfeinern. Seien Sie wählerisch, mit wem Sie zusammenarbeiten.
• Vermitteln Sie Ihre Datenpolitik. Möglicherweise müssen Sie Ihre Lieferantenverträge überarbeiten, um Ihre Erwartungen an den Umgang mit Daten einzubeziehen. Informieren Sie alle Anbieter, mit denen Sie in irgendeiner Form im Zusammenhang mit Daten zusammenarbeiten, über Ihre Datenpolitik.
• Legen Sie in Ihren Verträgen Verfahren für die Benachrichtigung bei Datenschutzverletzungen fest. Im Falle einer Datenschutzverletzung ist der Anbieter dafür verantwortlich, den Eigentümer der Daten (den für die Verarbeitung Verantwortlichen) so schnell wie möglich über die Verletzung zu informieren. Es ist ratsam, diesen Prozess, die Fristen und andere Benachrichtigungsanforderungen schriftlich festzuhalten.
• Sammeln Sie keine personenbezogenen Daten. Wenn die Daten Ihrer Benutzer unter die Definition der "personenbezogenen Daten" von GDPR fallen, ergreifen Sie Maßnahmen, um sie nicht ohne ausdrückliche Zustimmung des Benutzers zu sammeln oder an Dritte weiterzugeben.

Benutzerverwaltung

• Entwickeln Sie neue Datenschutzhinweise. Wie bereits erwähnt, muss die Einwilligung jetzt ausdrücklich und spezifisch sein. Stellen Sie also sicher, dass Ihre Hinweise in einfacher Sprache verfasst und für die Nutzer leicht verständlich sind, damit sie der Datenerhebung und -verarbeitung zustimmen können. Erläutern Sie klar und deutlich, welche Daten Sie erheben wollen, warum, und was Sie damit vorhaben, einschließlich der Frage, wie die Daten gespeichert werden und ob sie an Dritte weitergegeben werden.
• Entwickeln Sie ein Verfahren zur Information der Nutzer, zur Einholung der Einwilligung und zur Verwaltung der Einwilligung. Denken Sie daran, dass in der EU ansässige Personen ihre Zustimmung zur Datenverarbeitung jederzeit widerrufen können. Sie brauchen also ein klares Verfahren, um den Überblick darüber zu behalten, welche Zustimmung Sie für welche Personen erhalten haben. ShareThis' Werkzeug zur Einhaltung der GDPR macht es einfach, Ihren Benutzern die Kontrolle über ihre Daten zu geben.
• Entwickeln Sie Strategien, um Nutzern den Zugang zu ihren Daten zu ermöglichen. Nach der Datenschutz-Grundverordnung können in der EU ansässige Personen jederzeit Kopien ihrer personenbezogenen Daten anfordern, und die für die Datenverarbeitung Verantwortlichen müssen dieser Aufforderung zeitnah nachkommen. Machen Sie den Nutzern personenbezogene Daten zugänglich und ermöglichen Sie ihnen, etwaige Ungenauigkeiten problemlos zu korrigieren.
• Entwickeln Sie Verfahren zur Erkennung von Datenschutzverletzungen und zur Information der betroffenen Nutzer und Behörden. Wenn es zu einer Sicherheitsverletzung kommt, sollten Sie und Ihre Mitarbeiter wissen, welche Schritte sofort zu unternehmen sind. Wer ist für die Benachrichtigung der Behörden zuständig? Wie stellen Sie fest, ob Sie betroffene Personen benachrichtigen müssen? Welche Informationen müssen Sie in einer Benachrichtigung über eine Sicherheitsverletzung angeben? All diese Informationen sollten sofort zugänglich sein, und es sollte eine Person geben, die für die Durchführung jedes Schrittes verantwortlich ist (auch wenn es dieselbe Person ist, die alle Aufgaben erledigt).
• Vergessen Sie nicht das Recht auf Vergessenwerden. Nach der DSGVO können EU-Bürger verlangen, dass ihre Daten werden gelöscht. Publisher (und alle anderen dem GDPR unterliegenden Unternehmen) müssen sich rechtzeitig an die Vorschriften halten. Daher ist es unerlässlich, einen definierten Prozess für die Erfüllung dieser Anforderungen zu haben. Das bedeutet auch, "angemessene Schritte" zu unternehmen, um alle Verarbeiter oder andere Dritte, die die Daten berührt haben, zu informieren.

Die Einhaltung der GDPR-Richtlinien scheint vielen Publishern und Website-Besitzern entmutigend, aber sobald man einmal verstanden hat, was die Vorschriften bedeuten, ist klar, dass es sich hierbei um vernünftige und (meist) praktische Anforderungen handelt, die die Privatsphäre der Benutzer stärken. Während Sie Partnerschaften erneut besuchen, die Vertragssprache überarbeiten und neue Richtlinien und Verfahren entwickeln müssen, lohnt es sich, kostspielige Strafen zu vermeiden und vor allem Ihren Benutzern die Privatsphäre zu geben, die sie verdienen.