Was macht Akismet?
Akismet ist ein Tool zur Bekämpfung von Spam-Kommentaren. Unternehmen können mit Akismet alle Kommentare auf ihrer Webseite überprüfen, bevor sie diese veröffentlichen. Das Tool filtert dabei automatisch alle Spam-Kommentare heraus. Dafür nutzt es eine globale Spam-Datenbank, die nicht nur unangebrachte Wörter und böswillige Inhalte erkennt, sondern auch versteckte oder irreführende URLs. Die Software stammt vom Anbieter Automattic. Was müssen Seitenbetreiber datenschutzrechtlich beachten, wenn sie Akismet verwenden?
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Warum ist Akismet datenschutzrechtlich relevant?
Um Kommentare zu überprüfen, sendet Akismet diese samt der E-Mail-Adresse und IP-Adresse der User an einen Server in den USA. Dabei handelt es sich um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) besonders geschützt. Unternehmen müssen daher verschiedene datenschutzrechtliche Vorgaben beachten, wenn sie das Tool einsetzen.
Akismet datenschutzkonform verwenden
Um Akismet datenschutzkonform zu verwenden, müssen Unternehmen diese Maßnahme ergreifen:
Nutzer-Einwilligung einholen
Um die personenbezogenen Daten der User erheben und in die USA weiterleiten zu dürfen, benötigen Seitenbetreiber die Erlaubnis der User. Sie können diese beispielsweise über einen Cookie Banner einholen. Um diesen rechtssicher zu gestalten, können sie auf ein Cookie Consent Tool setzen. Dies holt eine aktive Einwilligung der Nutzer ein.
Vertrag zur Auftragsverarbeitung abschließen
Ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) bestimmt die Verantwortlichkeiten von zwei Parteien, die personenbezogene Daten verarbeiten. Mit Akismet erheben Unternehmen Nutzerdaten geben diese an den Anbieter Automattic in den USA weiter. Automattic verarbeitet die Daten weisungsgebunden. Dafür müssen Unternehmen mit Automattic einen AV-Vertrag abschließen. Dieser sollte erklären,
- welche personenbezogenen Daten sie an Akismet weitergeben,
- warum und wie lange Akismet diese Daten speichert und
- welchen Pflichten beide Seiten nachkommen müssen.
Datenschutzerklärung anpassen
Erheben Unternehmen Nutzerdaten, müssen sie in ihrer Datenschutzerklärung darauf hinweisen. Für Akismet müssen sie daher in ihrer Datenschutzerklärung aufführen,
- warum sie über das Tool personenbezogene Daten sammeln,
- wie lange sie die Daten speichern,
- welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. a DSGVO) und
- dass sie für die Datenweitergabe mit Automattic einen AV-Vertrag geschlossen haben.
Um Nutzern einen Einblick zu geben, wie Automattic ihre Daten verarbeitet, sollten Unternehmen zusätzlich auf die Nutzungsbedingungen und Datenschutzbestimmungen des Anbieters verweisen.
Standardvertragsklauseln prüfen
Um Nutzerdaten von der EU in die USA verschicken zu dürfen, müssen Unternehmen mit Automattic Standardvertragsklauseln abschließen. Zusätzlich müssen sie eine sogenannte Risikoabschätzung vornehmen. Diese muss offenlegen,
- welche Art von Daten Unternehmen an Automattic weitergeben,
- welche Rechtsvorschriften in den USA gelten und
- ob Automattic weitere Maßnahmen ergreift, um die Nutzerdaten aus der EU zu schützen.
Rechtsprechung zu Akismet
Zu Akismet liegt bisher – soweit ersichtlich – keine Rechtsprechung vor. Es sind jedoch diese Urteile für das Tool relevant:
Europäischer Gerichtshof zum Privacy Shield
Der Europäische Gerichtshof (EuGH) entschied im Sommer 2020: Der Privacy Shield stellt keine rechtliche Grundlage dar, um Nutzerdaten von der EU in die USA zu versenden. In den USA kommen Überwachungsprogramme zum Einsatz, die nicht auf das zwingend erforderliche Maß beschränkt sind. Das bedeutet: In den USA herrscht kein Datenschutzniveau, das der DSGVO nahekommt.
Datenschutzbehörde Hamburg zum AV-Vertrag
Schließen Unternehmen keinen AV-Vertrag, erwartet sie ein Bußgeld von bis zu 10 Millionen Euro oder 2 Prozent ihres weltweiten Jahresumsatzes. Die Datenschutzbehörde Hamburg sprach daher im Dezember 2018 eine Strafe von 5.000 Euro gegen ein deutsches Versandunternehmen aus. Dies hatte zwar personenbezogene Daten an einen spanischen Dienstleister weitergegeben. Es hatte dafür mit diesem jedoch keinen AV-Vertrag geschlossen.
Datenschutzbehörde Baden-Württemberg zum AV-Vertrag
Den VfB Stuttgart kostete ein fehlender AV-Vertrag 300.000 Euro. Der Fußballverein hatte Mitgliederdaten an Dienstleister weitergegeben, um diese weisungsgebunden verarbeiten zu lassen. Er hatte mit den Dienstleistern jedoch keine AV-Verträge geschlossen. Das stufte die Datenschutzbehörde Baden-Württemberg als schweren Verstoß gegen die DSGVO ein. Sie sprach daher im März 2021 das Bußgeld aus.
