Datenschutzerklärung für tawk.to

Warum ist tawk.to datenschutzrechtlich relevant?

Unternehmen erheben über tawk.to verschiedene Daten ihrer Kunden. Dazu zählen unter anderem

• der Chatverlauf,
• der Chatzeitpunkt und
• die IP-Adresse.

Je nachdem, welche Angaben Kunden in dem Chat machen, erheben Unternehmen personenbezogene Daten. Sie geben diese an den Anbieter von tawk.to weiter. Diese hat seinen Sitz in den USA und damit in einem Drittstaat außerhalb der EU. Unternehmen müssen daher verschiedene Pflichten aus der Datenschutz-Grundverordnung (DSGVO) und dem Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG)  beachten.

tawk.to datenschutzkonform verwenden

Um tawk.to datenschutzkonform zu verwenden, müssen Unternehmen diesen Anforderungen der DSGVO nachkommen:

Nutzer-Einwilligung einholen

Tawk.to verwendet Tracking Cookies. Dafür benötigen Seitenbetreiber die Einwilligung der Nutzer. Sie können diese zum Beispiel über ein Cookie Consent Tool einholen. Dies erstellt für Webseiten einen Cookie Banner, der rechtssicher die Erlaubnis von Nutzern in die Datenerhebung einholt.

Vertrag zur Auftragsverarbeitung abschließen

Unternehmen geben die Daten, die sie über tawk.to erheben, an den Anbieter des Tools weiter. Dafür müssen sie mit diesem einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) schließen. Denn: Art. 28 DSGVO gibt vor, dass Unternehmen mit Dritten einen AV-Vertrag schließen müssen, wenn sie personenbezogene Daten zur weisungsgebundenen Verarbeitung an diese weiterreichen.

Der Vertrag muss dabei aufführen,

• welche personenbezogenen Daten tawk.to erhält und speichert,
• wie lange der Anbieter diese speichert,
• warum er die Daten speichert und
• welche Rechte und Pflichten die Verantwortlichen haben.

Datenschutzerklärung anpassen

Unternehmen, die tawk.to verwenden, müssen das in ihrer Datenschutzerklärung erwähnen. In diesem Kontext sollten sie angeben, dass sie mit tawk.to einen AV-Vertrag geschlossen haben. Dabei müssen sie erklären,

• welche personenbezogenen Daten sie speichern,
• wie lange sie diese speichern,
• welche Rechtsgrundlage ihnen das ermöglicht (Art. 6 Abs. 1 lit. a DSGVO) und
• dass User der Erhebung und Speicherung ihrer Daten jederzeit widersprechen können.

Standardvertragsklauseln prüfen

tawk.to versendet die über das Live-Chat-Modul erhobenen Nutzerdaten an seine Server in den USA. Damit Unternehmen diesen Datentransfer datenschutzkonform gestalten, müssen sie mit tawk.to Standardvertragsklauseln schließen. Um das Risiko der Datenübermittlung in die USA offenzulegen, müssen Unternehmen zusätzlich eine sogenannte Risikoabschätzung vornehmen. Mit dieser sollten sie dokumentieren,

• welche Art von Daten sie an tawk.to weiterreichen,
• welche Datenschutzgesetze in den USA gelten und
• ob tawk.to weitere Maßnahmen ergreift, um Userdaten in den USA zu schützen.

tawk.to datensparsam verwenden

tawk.to gibt Unternehmen die Möglichkeit, die IP-Aufzeichnung des Tools zu deaktivieren. Dem sollten sie nachkommen. Denn: Die DSGVO gibt einen Grundsatz der Datensparsamkeit vor. Das bedeutet: Unternehmen dürfen nur die Daten erheben, die sie unbedingt für die Nutzung des Tools benötigen. Die Erhebung der IP-Adresse dürfte in der Regel nicht dazu gehören.

Wollen Unternehmen die IP-Adresse über tawk.to erheben, muss das

• einem erlaubten Zweck dienen,
• geeignet sein, diesen Zweck zu erfüllen und
• erforderlich sein, diesen Zweck zu erreichen.

Daneben dürfen Unternehmen die Daten, die sie über tawk.to erheben, nur so lange aufbewahren, wie sie diese tatsächlich benötigen. Das heißt: Wollen sie beispielsweise nach Ende eines Chats erhobene Kundendaten noch verwenden, um ein Anliegen des Kunden zu erledigen, dürfen sie die Daten weiter behalten. Sobald sie das Anliegen jedoch erledigt haben, müssen sie auch die Daten löschen.

Rechtsprechung zu tawk.to

Für tawk.to ist diese Rechtsprechung relevant:

Datenschutzbehörde Hamburg zum AV-Vertrag

Nutzen Unternehmen tawk.to, geben sie personenbezogene Daten an den Anbieter des Tools weiter. Schließen sie dafür keinen AV-Vertrag mit tawk.to, müssen sie mit einem Bußgeld rechnen. Das Bußgeld kann bei bis zu 10 Millionen Euro oder alternativ 2 Prozent des weltweiten Jahresumsatzes liegen. Die Datenschutzbehörde Hamburg verhängte in diesem Kontext im Dezember 2018 ein Bußgeld in Höhe von 5.000 Euro zuzüglich 250 Euro Gebühren gegen ein Versandunternehmen. Dies hatte mit einem beauftragten Dienstleister keinen AV-Vertrag geschlossen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Ähnlich wie dem deutschen Versandunternehmen erging es dem Fußball-Bundesligaclub VfB Stuttgart. Dieser hatte es ebenfalls versäumt, mit Dienstleistern einen AV-Vertrag zu schließen. Denn: Die Dienstleister verarbeiteten für den Verein weisungsgebunden mehrere tausend Mitgliederdaten. Die Datenschutzbehörde Baden-Württemberg sprach daher im März 2021 ein Bußgeld von 300.000 Euro aus.

Europäischer Gerichtshof zur Verwendung von Cookies

Der Europäische Gerichtshof (EuGH) entschied im Oktober 2019: Tracking Cookies benötigen immer die Erlaubnis der Nutzer. Dabei ist es irrelevant, ob die Cookies personenbezogene Daten sammeln oder nicht (Az. C-673/17).

Bundesgerichtshof zur Verwendung von Cookies

Der Bundesgerichtshof (BGH) folgte dem Urteil des EuGH. Auch er erklärte Tracking Cookies für jederzeit einwilligungsbedürftig. Dabei stellten die Richter noch einmal klar, dass Seitenbetreiber keine vormarkierte Checkbox für das Einholen der Erlaubnis verwenden dürfen. Nutzer müssen selbst das Häkchen setzen und so per Opt-In zustimmen (I ZR 7/16).