Was macht Raidboxes?
Raidboxes ist ein deutscher Anbieter für Managed WordPress Hosting. Er hat gut 15.000 Kunden und sitzt in Münster/NRW. Was müssen Unternehmen datenschutzrechtlich beachten, wenn sie Raidboxes für ihre WordPress-Seite nutzen?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Warum ist Raidboxes datenschutzrechtlich relevant?
Nutzen Unternehmen das Managed WordPress Hosting von Raidboxes, speichern sie sensible Kundendaten wie
- Kundennamen,
- E-Mails,
- Telefonnummern,
- Adressen und
- Bankverbindungen
auf Servern von einem Dritten. Dabei handelt es sich um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) besonders geschützt. Unternehmen müssen daher verschiedene Pflichten aus dem Gesetz beachten.
Raidboxes datenschutzkonform nutzen
Um Raidboxes datenschutzkonform zu verwenden, müssen Unternehmen auf diese Vorgaben achten:
Vertrag zur Auftragsverarbeitung schließen
Geben Unternehmen personenbezogene Daten an einen Dritten zur weisungsgebundenen Verarbeitung weiter, handelt es sich um eine Auftragsverarbeitung. Dafür benötigen Unternehmen mit Dritten einen Vertrag zur Auftragsverarbeitung (AV-Vertrag). Das schreibt Art. 28 DSGVO vor. Sie können diesen bei Raidboxes online in ihrem Account abschließen. Dabei sollten sie überprüfen, ob der Vertrag alle wichtigen Angaben zur Auftragsverarbeitung enthält. Dazu gehört die Angabe,
- welche Daten Unternehmen an Raidboxes weitergeben,
- wie lange Raidboxes die Daten speichert,
- warum Raidboxes die Daten speichert und
- welche Rechte und Pflichten die Verantwortlichen haben.
Datenschutzerklärung aktualisieren
Unternehmen müssen über die Nutzung von Raidboxes in ihrer Datenschutzerklärung informieren. Das schreibt Art. 13 DSGVO vor. Dabei müssen sie ihren Webseitenbesuchern erklären,
- welche personenbezogenen Daten sie über Raidboxes erheben,
- warum Raidboxes dabei personenbezogene Daten erhält,
- welche Rechtsgrundlage das erlaubt,
- dass sie für die Datenweitergabe einen AV-Vertrag mit Raidboxes geschlossen haben und
- dass Nutzer ihre Einwilligung in die Datenerhebung und Datenweitergabe jederzeit widerrufen können.
Um Nutzern einen besseren Einblick in die Verarbeitung ihrer Daten bei Raidboxes zu geben, sollten Unternehmen zusätzlich auf die Datenschutzbestimmungen und Nutzungsbedingungen des Anbieters verweisen.
Rechtsprechung zu Raidboxes
Bisher liegt – soweit ersichtlich – keine Rechtsprechung zu Raidboxes vor. Unternehmen müssen mit dem Anbieter jedoch einen AV-Vertrag schließen. Fehlt dieser, droht ihnen ein Bußgeld. Zwei Datenschutzbehörden haben daher bereits Strafen für einen fehlenden AV-Vertrag ausgesprochen:
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Der Fußball-Bundesligaclub VfB Stuttgart hatte über mehrere Jahre hinweg Mitgliederdaten an Dienstleister weitergegeben, um diese weisungsgebunden verarbeiten zu lassen. Dafür hatte der Verein jedoch keinen AV-Vertrag mit den Dritten geschlossen. Das wertete die Datenschutzbehörde Baden-Württemberg als einen Datenschutzverstoß. Sie sprach daher im März 2021 ein Bußgeld in Höhe von 300.000 Euro aus.
Datenschutzbehörde Hamburg zum AV-Vertrag
Ein fehlender AV-Vertrag kostete ein deutsches Versandunternehmen 5.000 Euro. Diese Strafe sprach die Datenschutzbehörde Hamburg im Dezember 2018 aus. Das Unternehmen hatte von einem spanischen Postdienstleister personenbezogene Daten weisungsgebunden verarbeiten lassen. Es hatte dafür jedoch keinen AV-Vertrag geschlossen.
