Datenschutz wird für Unternehmen in Zukunft viel Geld wert sein – Ein Weckruf

Alle fordern Datenschutz, aber wollen wir das wirklich? Meine Internet-Filterblase ist voll von Artikeln, Statements und Forderungen zu bzw. nach mehr Datenschutz – aber wenn ich einen genaueren Blick auf die Publikationen und Plattformen werfe, kann ich kein wie auch immer geartetes Bemühen zum Schutz von (personenbezogenen) Daten feststellen. Meine Browser-Add-ons verzeichnen zweistellige Tracking-Anfragen. Ich hoffe, zumindest ein Teil davon wird auch tatsächlich blockiert.

Als Privatperson wird das Recht auf Datenschutz durchaus lautstark gefordert, wenn es dann aber um das eigene Unternehmen und den Onlineauftritt geht, sind schnell alle Zweifel und Fragen vom Tisch gewischt. Oft scheint es mir so, als würde Datenschutz bei der Installation von Google Analytics, Newslettersystemen und Marketing-Automatisierungstools auf der eigenen Website abrupt enden. Das ist schade und kurzsichtig noch dazu! Für alle, die keine Lust haben, den ganzen Artikel zu lesen, hier die Essenz meines Beitrags:

Datenschutz in der digitalen Unternehmenskommunikation aktiv zu betreiben, ist eine Investition in die eigene unternehmerische Zukunft.

Datenschutz darf bei der eigenen Website nicht aufhören

Mich beschäftigt das Thema Datenschutz im Content-Marketing und der digitalen Unternehmenskommunikation schon etwas länger und ich habe die Frage, ob es ein Miteinander dieser beiden Begriffe im realen Leben geben kann, auf meinem Blog in mehreren Artikeln zumindest teilweise beantwortet. Grundsätzlich bin ich der Meinung, dass es durchaus möglich ist – wo ein Wille, da ein Weg. Dass wir an der einen oder anderen Stelle Kompromisse eingehen müssen, war mir aber von Anfang an klar.

Manchmal ist die Implementierung und Anpassung der Tools hinsichtlich des Datenschutzes etwas mühsam, aber sie lohnt sich. Traurig ist hingegen die Tatsache, dass sich so viele Kommunikationsverantwortliche nicht einmal die Frage stellen, ob es Datenschutz in der digitalisierten Unternehmenskommunikation geben kann – ja sogar geben sollte. Wie bereits erwähnt, fordern viele von uns als Privatperson den Schutz der eigenen, persönlichen Daten zwar ein, tun aber so gut wie nichts, um diese zu sichern, wenn wir auf Unternehmensseite agieren.

Ich bin überzeugt, dass das nicht absichtlich passiert. Einige wissen es nicht besser und einige machen einfach das, was von anderen – oft amerikanischen – BranchenkollegInnen in diversen Blogs als effizient empfohlen wird. Es geht aber auch anders! Daher möchte ich mit diesem Beitrag gezielt ein ganzes Datenschutz-Fass aufmachen, um zu zeigen, wo wir überall ansetzen können, um digitale Unternehmenskommunikation so datenschutzkonform wie möglich zu gestalten.

Datenschutz in der digitalen Unternehmenskommunikation – wo anfangen?

In meiner Arbeit mit Mike Kuketz habe ich eine erste Liste von Themen zusammengestellt, die wir gemeinsam aufarbeiten wollen. Einige wenige Punkte haben wir bereits aufgegriffen, viele noch nicht, und ich bin mir sicher, dass es noch weitere Bereiche gibt, die für den Datenschutz relevant sind. Ich freue mich daher über Ergänzungen und Tipps, in welche Richtung unsere Arbeit weitergehen soll.

Eines kurz vorweg: All diese Punkte in einem Beitrag ausführlich zu thematisieren, ist unrealistisch, aber ich kann zumindest den Kritiker in uns wecken und so zum Nachdenken anregen. Falls ich das geschafft habe, ist mein Ziel mit diesem Beitrag bereits erreicht.

Die nun folgenden sechs Fragen sollten wir uns als Kommunikationsverantwortliche mindestens stellen, wenn uns das Thema Datenschutz wirklich ein Anliegen ist.

1. Ist unsere Website datenschutzrechtlich in allen Bereichen so weit wie möglich optimiert?

Diese Frage setzt bereits bei der Auswahl des Content-Management-Systems an. Soll es WordPress oder doch ein anderes CMS sein? WordPress ist zu Recht sehr beliebt, stellt jedoch gleichzeitig viele datenschutzrechtliche Stolpersteine in den Weg: Integration von Webfonts, APIs zu externen Diensten, mitgelieferte Plugins, Slider, Page Builder, E-Commerce-Lösungen usw. Das große Problem umreißt Mike Kuketz folgendermaßen:

WordPress-Betreiber stehen vor einem Dilemma: Einerseits können sie über den Funktionsumfang von WordPress nahezu jeden Anwendungsfall realisieren, andererseits ist genau dieser Funktionsumfang problematisch, wenn dieser als Einfallstor für Hacker dient oder den datenschutzkonformen Betrieb erschweren.

Quelle: Eierlegende Wollmilchsau – WordPress Sicherheit Teil2

Weitere Details zum Thema Datenschutz bei WordPress findest du auch auf meinem Blog.

2. Welches Analysetool lässt sich datenschutzkonform einrichten, und welche Datenerhebungen sind tatsächlich notwendig?

Hier ist Google Analytics der Platzhirsch, aber eigentlich wissen wir es besser: Wo Google draufsteht, kann kein Datenschutz drin sein – egal, wie sehr wir es uns schönreden!
Alternativen? Die gibt es. Bei meinem Webauftritt setze ich auf Piwik, selbst gehostet und mit den richtigen Einstellungen versehen. Ganz konnte ich jedoch von Google die Finger dann doch nicht lassen, viel zu schlecht waren die analysierten Suchanfragen bei Piwik und dafür umso aussagekräftiger bei der Search Console. Wie ich die zwei Tools kombiniere und warum, habe ich ebenfalls auf meinem Blog beschrieben.

3. Welches Newslettersystem ist bei Datenschutzüberlegungen sinnvoll?

Das ist ein Punkt, bei dem ich selbst noch nicht weit gekommen bin. Warum? Weil ich Funktionalität und Datenschutz kombinieren will, so dass sowohl meine NewsletterabonnentInnen als auch ich mit den Ergebnissen zufrieden sind.
Eines ist klar, die gespeicherten Daten müssen weg von unsicheren Servern, aber auch die Auswahl des Mail-Providers und die Frage, was mit den Daten im weiteren Verlauf passiert, machen mir meine persönliche Entscheidung immer noch schwer. Dass Newsletter datenschutzrechtlich auch abseits des bekannten Double-Opt-Ins tückisch sein können, steht auch auf Wikipedia unter „Tracking und Datenschutz“. Eine Anleitung für eine sinnvolle, alternative Umsetzung fehlt jedoch.

4. Welche Social-Sharing-Dienste können rechtssicher genutzt werden?

Nicht erst seit dem Urteil des Landesgerichts Düsseldorf vom März 2016 sind Social-Sharing-Lösungen ein kritischer Punkt im Datenschutz – wir wissen das. Wir wissen aber auch, wie wichtig der Social Buzz für die digitale Unternehmenskommunikation ist. Es haben sich im Grunde nur eine Handvoll Lösungen als empfehlenswert herausgestellt: Zwei-Klick-Lösungen oder der Shariff Wrapper, auf den ich auch persönlich setze.

5. Welche Vorteile und Risiken verbergen sich hinter Automatisierungstools wie Hubspot, Buffer, Sniply usw.?

Sie sind schnell aufgesetzt, funktional und effektiv, aber ihre Beziehung zum Datenschutz ist oftmals mehr als kritisch. Wir sollten die Frage nach dem Datenschutz im Schatten der Praktikabilität dieser Tools dennoch nicht ignorieren. Welche Daten werden hier wirklich gesammelt, wo werden sie gespeichert, und welchen Nutzen bringen sie tatsächlich für die eigenen Unternehmensziele? Sind die Ergebnisse und Einsichten, die wir daraus ziehen, wirklich so wertvoll, dass wir das Recht auf informationelle Selbstbestimmung einfach ignorieren?
Das ist eine schwerwiegende Frage, auf die ich selbst noch keine Antwort gefunden habe. Das liegt jedoch nicht an meinem Unwillen, sondern an der Tatsache, dass mir das technische Verständnis dafür fehlt, wie manche dieser Tools tatsächlich funktionieren. Hier setze ich voll und ganz auf das Wissen der (Zielbar-)Crowd! Wer das Wissen, die Lust und die Zeit hat diesen Fragen nachzugehen, darf sich gerne bei mir melden.

6. Wie lässt sich Affiliate Marketing mit Datenschutz kombinieren?

Auch diese Frage ist für einige von uns relevant, schließlich ist Affiliate Marketing zu einer verbreiteten, passiven Einnahmequelle geworden. Welche Art von Affiliate Marketing ist datenschutzrechtlich unbedenklich? Wissen unsere Websitebesucher, dass es sich bei den jeweiligen Bannern und Links um Partnerprogramme handelt? Welche Cookies werden gesetzt, und welche Informationen werden letzten Endes wirklich übertragen?

Schon diese kurze Zusammenstellung an Fragen zeigt, wie weit das Thema Datenschutz in der digitalen Unternehmenskommunikation reicht. Dabei ist das nur der Anfang der ganzen Sache. Das Thema Datenschutz hat nämlich bereits ganz andere Dimensionen erreicht.

Datenschutz als EU-BürgerInnen-Recht

Es gibt noch viele andere Punkte, bei denen wir datenschutztechnisch ansetzen müssen. Am 28. Mai 2016 trat die neue Europäische Datenschutzgrundverordnung EU-DSGV (PDF) in Kraft, und zwei Jahre später – genauer: ab dem 25.05.2018 – muss sie dann auch von allen befolgt werden. Wer ein wenig googelt oder entsprechende Seiten in seinem RSS-Feed bzw. auf Facebook gelikt hat, hat sicherlich schon davon gelesen oder zumindest Notiz davon genommen.

Ich bin keine Rechtswissenschaftlerin und tue mich auch schwer, den ganzen Rechtstext zu verstehen, aber ich möchte dennoch einige relevante Punkte aufgreifen:

• Von der Verordnung betroffen sind alle Unternehmen, die personenbezogene Daten von EU-BürgerInnen verarbeiten.
• Unternehmen müssen aktiv zum Datenschutz beitragen und genaue Verzeichnisse über Verarbeitungstätigkeiten führen.
• Unternehmen, die sensible Daten verarbeiten, brauchen einen Datenschutzbeauftragten.
• Bei Verletzung der Vorschriften kann es zu sehr hohen Geldstrafen kommen.

Eine ausführliche Serie zur neuen EU-Datenschutzgrundverordnung und ihren Auswirkungen auf Unternehmen habe ich auf dem Social Media Recht Blog gefunden. Ich empfehle, die einzelnen Beiträge bei Gelegenheit zumindest zu überfliegen und zu bookmarken.

Wichtig ist zur Kenntnis zu nehmen, dass jedes Unternehmen, das online kommuniziert oder Online-Marketing betreibt, mit dieser Verordnung in Berührung kommt. Sie zu ignorieren, kann man zwar machen, ist aber alles andere als empfehlenswert. Datenschutzrecht ist genauso wirksam und relevant wie etwa Steuerrecht oder Kartellrecht. Wir alle sollten uns daher lieber früher als später mit diesem Thema vertraut machen.

Datenschutz ist eine Investition in die Zukunft

Während Datenschützer kritisieren, wie schwach der Schutz der persönlichen Daten trotz dieser Verordnung sei, heißt es für Unternehmen hingegen: Aufwachen! Datenschutz ist in der Online-Kommunikation angekommen. Es ist zu einem entscheidenden Faktor des Unternehmenserfolgs geworden, und ich betone es noch einmal: Datenschutz wird zukünftig ein Knock-out-Kriterium sein!

Sich nicht auf Datenschutz einzustellen, bestehende Strukturen nicht anzupassen bzw. umzuformen oder nur das Minimum aus der EU-DSGVO für sich herauszunehmen, wird langfristig nicht genug sein. Warum? Weil nicht der Gesetzgeber unseren Unternehmenserfolg bestimmt, sondern unsere Kunden – und denen ist der Schutz ihrer personenbezogenen Daten eben nicht egal.

Das Verständnis über den Wert ihrer Daten ist vielleicht noch nicht bei alle UserInnen angekommen, das bedeutet aber nicht, dass in Unternehmen mit diesen Informationen weniger umsichtig umgegangen werden darf. Im Gegenteil, hier stehen die Unternehmen in der Pflicht. Das Daten-Bewusstsein wird kommen. Es ist besser, rechtzeitig darauf vorbereitet zu sein.

Artikelbild: Martin Mummel/GRVTY