Was ist OpenStreetMap?
OpenStreetMap ist eine quelloffene Karte, die Unternehmen auf ihrer Webseite einbinden können, um beispielsweise ihren Unternehmensstandort anzuzeigen. User können über die Anwendung die Karte aufrufen und so zum Beispiel Routen planen. Was müssen Seitenbetreiber bei OpenStreetMap datenschutzrechtlich beachten?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Darum ist OpenStreetMap datenschutzrechtlich bedenklich
Webseitenbetreiber binden OpenStreetMap über ein iframe bzw. durch den Abruf der Kartenbilder vom Server des Anbieters ein. Auf diese Weise erhebt die Map automatisch Daten zum User, unter anderem die IP-Adresse. Dabei handelt es sich um personenbezogene Daten. Seitenbetreiber müssen dafür Vorgaben aus der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) beachten.
OpenStreetMap datenschutzkonform verwenden
Um OpenStreetMap datenschutzkonform zu verwenden, müssen Seitenbetreiber diese Pflichten beachten:
Nutzer-Einwilligung einholen
Unternehmen müssen die Erlaubnis der User einholen, wenn sie von ihnen personenbezogene Daten wie die IP-Adresse erheben. Sie können die Einwilligung über einen Cookie Banner abfragen. Rechtlich sicher passt ein Cookie Consent Tool den Cookie Banner an.
Vertrag zur Auftragsdatenverarbeitung abschließen
Unternehmen erheben über OpenStreetMap personenbezogene Daten und geben diese an den dahinterstehenden Anbieter weiter. Sie müssen mit OpenStreetMap daher einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Das gibt Art. 28 DSGVO vor. Ob das derzeit möglich ist, ist unklar. Auf der Webseite von OpenStreetMap findet sich kein Verweis zum Abschluss eines AV-Vertrags.
Grundsätzlich müsste ein AV-Vertrag mit OpenStreetMap festhalten,
- welche Nutzerdaten OpenStreetMap speichert,
- wie lange OpenStreetMap die Nutzerdaten speichert,
- zu welchem Zweck OpenStreetMap die Daten verarbeitet und
- welche sonstigen Rechte und Pflichten beide Parteien haben.
Datenschutzerklärung aktualisieren
Unternehmen müssen in ihrer Datenschutzerklärung informieren, wie sie OpenStreetMap verwenden. Dabei sollten sie angeben,
- welche Daten sie über OpenStreetMap erheben,
- warum sie diese Daten erheben,
- warum sie die Daten an OpenStreetMap weitergeben,
- welche Rechtsgrundlage ihnen die Datenweitergabe erlaubt (Art. 6 Abs. 1 lit. a DSGVO),
- dass sie für die Datenweitergabe mit OpenStreetMap einen AV-Vertrag geschlossen haben (falls möglich) und
- dass User der Datenerhebung und Datenweitergabe jederzeit widersprechen können.
Eigenen Tile Server nutzen
OpenStreetMap erlaubt den Betrieb eines eigenen Tile Servers. Der Tile Server wird stets mit der aktuellen Datenbasis von OpenStreetMap versorgt. Er wird über eine Javascript-Logik angesteuert. Das ist für Unternehmen die datenschutzfreundlichste Variante, um die Karten von OpenStreetMap zu verwenden. Die Installation des Servers gilt jedoch als technisch kompliziert.
Rechtsprechung zu OpenStreetMap
Bisher gibt es keine Rechtsprechung zum Thema Datenschutz und OpenStreetMap. Da Webseiten durch die Einbindung der Karten jedoch personenbezogene Daten an den Dienst versenden, stehen sie in der Pflicht, Nutzer in ihrer Datenschutzerklärung darüber aufzuklären. Dazu hat das Landgericht Hamburg sowohl am 10.03.2016 als auch am 09.08.2018 entschieden, dass Webseitenbetreiber nur Analysedienste wie Google Analytics – die ebenfalls personenbezogene Daten erheben und speichern – verwenden dürfen, wenn sie in ihrer Datenschutzerklärung darüber informieren (Az. 312 O 127/16 und 406 HKO 120/16). Diese Urteile könnten analog auf den Einsatz von OpenStreetMap Anwendung finden. Das bedeutet: Informieren Webseitenbetreiber in ihrer Datenschutzerklärung Nutzer nicht darüber, wie, warum und in welchem Umfang sie Daten erheben und an OpenStreetMap versenden, erfüllen sie nicht die Voraussetzungen des deutschen Datenschutzes.
