Was macht ProvenExpert?
ProvenExpert ist ein deutscher Online-Service, über den Unternehmen Feedback ihrer Kunden und Geschäftspartner einholen können. ProvenExpert bietet dazu branchenspezifische Umfragevorlagen an, die Bewertungen generieren. Unternehmen erhalten so wichtige Einblicke in die Kundenzufriedenheit und decken ungenutzte Potenziale auf. Gleichzeitig erzeugt ProvenExpert aus den gesammelten Bewertungen ein Siegel, das sie auf ihrer Webseite einbinden können. Was müssen Unternehmen datenschutzrechtlich beachten, wenn sie ProvenExpert auf ihrer Seite einbinden?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Warum ist ProvenExpert datenschutzrechtlich relevant?
Unternehmen erheben Daten ihrer Webseitenbesucher, sobald diese eine Seite mit einem ProvenExpert-Plugin besuchen. ProvenExpert stellt dann eine Verbindung zu seinem Server her und speichert Daten dazu, welche Seiten User auf der Webseite besucht haben.
Geben User eine Bewertung über ProvenExpert ab, erfasst und speichert der Anbieter ihre E-Mail-Adresse und technische Daten wie ihre IP-Adresse und Informationen über den verwendeten Webbrowser. Unternehmen geben auf diese Weise personenbezogene Daten an ProvenExpert weiter. Sie müssen dafür besondere datenschutzrechtliche Pflichten erfüllen.
ProvenExpert datenschutzkonform nutzen
Um ProvenExpert datenschutzkonform zu nutzen, müssen Unternehmen diese Vorgaben beachten:
Nutzer-Einwilligung einholen
Um das Verhalten von Usern auf einer Seite zu tracken, setzt ProvenExpert Cookies ein. Derzeit ist nicht klar, welche Daten die Cookies erheben. Um sich rechtlich abzusichern, sollten Unternehmen daher eine Einwilligung der User in die Cookies einholen. Dafür eignet sich ein Cookie Consent Tool. Mit diesem können Unternehmen datenschutzkonform die Erlaubnis in die Datenerhebung abfragen.
Vertrag zur Auftragsverarbeitung abschließen
Immer dann, wenn Unternehmen Daten von Dritten weisungsgebunden verarbeiten lassen, müssen sie mit diesen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Unternehmen erheben über ProvenExpert personenbezogene Daten und geben diese an den Anbieter weiter. Dafür benötigen sie einen AV-Vertrag. Dieser sollte erklären,
- welche personenbezogenen Daten sie an ProvenExpert weitergeben,
- wie lange ProvenExpert diese Daten speichert,
- warum ProvenExpert diese Daten speichert und
- welche Rechte und Pflichten die Verantwortlichen haben.
Datenschutzerklärung aktualisieren
Unternehmen müssen die Verwendung von ProvenExpert in ihrer Datenschutzerklärung erwähnen. Sie sollten Nutzer darauf hinweisen, dass sie über ProvenExpert personenbezogene Daten erheben und an den Anbieter weitergeben. Dabei sollten sie erklären,
- warum sie personenbezogene Daten über ProvenExpert erheben,
- wie lange sie die Daten speichern wollen,
- welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO),
- dass sie für die Datenweitergabe mit ProvenExpert einen AV-Vertrag geschlossen haben und
- dass User der Datenerhebung und -speicherung jederzeit widersprechen können.
Darüber hinaus sollten sie Nutzer auf die Datenschutz- und Nutzungsbestimmungen von ProvenExpert verweisen. User können dann selbst überprüfen, warum und wie der Anbieter ihre Daten verarbeitet.
Rechtsprechung zu ProvenExpert
Bisher liegt, soweit ersichtlich, keine Rechtsprechung zu ProvenExpert vor. Für den Einsatz der Software sollten Unternehmen jedoch diese Urteile und Einschätzungen beachten:
Datenschutzbehörde Hamburg zum AV-Vertrag
5.000 Euro musste ein deutsches Versandunternehmen zahlen, weil es mit einem beauftragten Postdienstleister keinen AV-Vertrag geschlossen hatte. Die Strafe hatte die Datenschutzbehörde Hamburg im Dezember 2018 ausgesprochen.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
300.000 Euro musste der Fußball-Bundesligaclub VfB Stuttgart zahlen. Er hatte Mitgliederdaten an Dienstleister weitergegeben, ohne mit diesen einen AV-Vertrag zu schließen. Die Datenschutzbehörde Baden-Württemberg wertete das als DSGVO-Verstoß. Sie sprach das Bußgeld daher im März 2021 aus.
Europäischer Gerichtshof zur Verwendung von Cookies
Cookies, die das Userverhalten tracken, benötigen eine Einwilligung der Nutzer. Das stellte der Europäische Gerichtshof (EuGH) am 01.10.2019 fest. Um die Einwilligung einzuholen, dürfen Seitenbetreiber die Checkbox im Cookie Banner nicht vormarkieren. Nutzer müssen das Häkchen selbst setzen, um ihr Einverständnis zu geben (Az. C-673/17).
Bundesgerichtshof zur Verwendung von Cookies
Der Bundesgerichtshof (BGH) kam zum gleichen Ergebnis wie der EuGH: Tracking Cookies sind einwilligungsbedürftig. Seitenbetreiber müssen User aktiv in die Datenerhebung einwilligen lassen (Urteil vom 28.05.2020, I ZR 7/16).
