Chats, Foren und Gästebücher - DSGVO-Update

Viele Webseiten bieten Möglichkeiten zum Austausch der Nutzer untereinander und zum Veröffentlichen eigener Beiträge an. Auch auf Kinderseiten sind diese interaktiven Tools sehr beliebt.

Wer als Seitenbetreiber die Möglichkeit anbietet, Feedback zu geben oder sich in Chats und Foren auszutauschen, sollte in der Regel auf eine explizite Erklärung setzen, in der die Nutzerinnen und Nutzer ihr Einverständnis dazu erklären, wie die Daten dabei verarbeitet werden.

In den meisten dieser Fälle müssen sich die Besucher registrieren oder zumindest eine E-Mail-Adresse angeben. Dadurch entsteht ein „Personenbezug“ und man muss Datenschutzrecht beachten. Gästebücher können aber auch so eingerichtet werden, dass jeder Besucher einen Beitrag ohne weitere Angaben veröffentlichen kann. Das ist zunächst aus Datenschutzsicht zu begrüßen.

Dabei ist aber zu bedenken, dass auch der Inhalt eines (vermeintlich) anonymen Beitrags einen Personenbezug im rechtlichen Sinne aufweisen kann. Rechtlich macht es daher fast keinen Unterschied, ob Nutzerinnen und Nutzer sich registrieren müssen oder auch ohne weitere Angaben mitmachen können. Immer sind die wichtigsten Punkte hervorzuheben.

• Welche Angaben werden im Rahmen der Nutzung erhoben? Das sind in der Regel
  • Die Beiträge der Nutzerinnen und Nutzer selber
  • Hinzu kommt in aller Regel ein Nutzername und oft auch ein Passwort sowie eine E-Mail-Adresse
  • Auch bei einfachen Internetseiten fallen die Daten des HTTP-Requests an: IP-Adresse, Zeit des Zugriffs und andere Angaben.
• Für jeden Datentyp muss sich der Anbieter im Klaren darüber sein, wofür er diese Daten benötigt.

Die Nutzerinnen und Nutzer wiederum müssen wissen, was mit ihren Beiträgen passiert. Das heißt vor allem, wer Zugang dazu hat und wie man seine Daten auch wieder löschen kann. 

Daneben ist es für Betreiber von Foren wichtig, dass keine Urheber- und sonstigen Rechtsverletzungen begangen werden. In einer Erklärung für Nutzer lässt sich zum Beispiel auch darauf aufmerksam machen, dass keine fremden Texte und Bilder ohne Erlaubnis eingestellt werden dürfen. Damit man als Betreiber nicht haftet, müssen im Konfliktfall zum Beispiel solche Beiträge umgehend entfernt werden. Mehr Informationen bietet der Artikel „Wann man für fremde Inhalte haftet und wie man es verhindern kann“ auf iRights.info.

Aus dem Prinzip der IT-Sicherheit folgt, dass man geeignete Sicherheitsmaßnahmen natürlich insbesondere für die Passwörter vorsieht. Aber auch die anderen Daten sollten fachgerecht vor unbefugten Zugriffen gesichert sein. Bezüglich der ergriffenen technisch-organisatorischen Maßnahmen ist man zwar nicht auskunftspflichtig, aber wer darstellen kann, dass er weiß was er tut, kann eventuell Vertrauenspunkte bei Nutzerinnen und Nutzern sammeln. Ein Beispiel hierfür ist die Speicherung von so genannten Hashwerten, statt Passwörtern im Klartext (s.u.)

Es ist nützlich, auch bei einer Einwilligungserklärung die wichtigsten Informationen kompakt zusammenzufassen. Die Details können dann mit einem weiteren Klick verfügbar gemacht werden. Doch Achtung! Wer wichtige Informationen in den Details versteckt, geht das Risiko ein, dass die Erklärung in diesem Punkt nicht wirksam ist, weil sie als Überraschungsklausel von Allgemeinen Geschäftsbedingungen gewertet werden könnte (vgl. Hintergrundtext 2).

Wir empfehlen, dass die in den unten angeführten Beispielen in Fettdruck hervorgehobenen Angaben stets sichtbar sind. Der gesamte Text sollte dann mit einem weiteren Klick erreichbar sein. Zum Text sollten Nutzerzinnen und Nutzer ein Häkchen setzen müssen, um aktiv zuzustimmen.

Beispiel für eine Mustereinwilligungserklärung für ein Gästebuch – anonymes Posting

Wer nur ein simples Gästebuch anbietet, bei dem man ohne weitere Angaben Feedback geben kann, erhebt nur wenige Daten. Entsprechend kurz kann der Hinweis sein.

Aus Datenschutzsicht ist eine solche minimalistische Herangehensweise begrüßenswert. Sie hat aber auch Nachteile: Wegen der fehlenden Registrierung ist es schwierig, den Nutzerinnen und Nutzern die Möglichkeit für Löschungen und Korrekturen zu bieten. Man kann nicht überprüfen, ob Änderungswünsche vom ursprünglichen Verfasser oder einem Dritten kommen und ist auf eine eigene Einschätzung im Einzelfall angewiesen. Dennoch ist es hilfreich, wenn hierzu ein Hinweis gegeben wird:

Für Betreiber von Kinderseiten ist die ungeprüfte Veröffentlichung von Beiträgen problematisch – insbesondere, wenn sie Personenbezug aufweisen. Wenn die Einwilligung zur Veröffentlichung nicht wirksam erteilt wurde, ist die Verarbeitung und Veröffentlichung der Daten rechtswidrig. Das gilt zum Beispiel, wenn eine Zustimmung der Eltern notwendig ist, aber fehlt (dazu bald mehr in dieser Reihe). Gängige Praxis ist es daher, auch ausdrücklich um die Einwilligung der Eltern zu bitten:

Diese Maßnahme hilft aber nur begrenzt, wenn Kinder diesen Punkt selber anklicken können. Ob den Betreiber im Extremfall sogar Schadenersatzansprüche treffen, obwohl er alle diese Maßnahmen ergriffen hat, ist nicht auszuschließen und bisher noch nicht gerichtlich entschieden. Zur Minimierung von Risiken kann es sich daher empfehlen, jeden Beitrag einzeln vor der Veröffentlichung freizuschalten. Hält man den Inhalt für problematisch, etwa weil ein Kind freimütig Dinge preisgibt und seinen Namen oder Anschrift in einem öffentlichen Forum veröffentlicht, sollte man von einer Veröffentlichung absehen.

Beispiele

Die Münchener Kinderwebseite Pomki.de geht so vor, wenn Kinder Witze auf die Seite stellen wollen.
Bei kindersache.de werden Kommentare ebenfalls vor der Veröffentlichung durch einen Administrator freigeschaltet.

Wie sich die damit verbundenen Risiken anschaulich darstellen lassen, zeigt zum Beispiel auch dieses Erklärvideo: https://www.youtube.com/watch?v=8VVIqRlo7ig

Beispiel für eine Einwilligungserklärung zur Registrierung für ein Forum oder einen Chat mit Registrierung

Auch die Beiträge sind durch den Text abzudecken. Dabei muss deutlich werden, wer die Beiträge lesen kann. Der Text ist diesbezüglich anzupassen.

Hinweis auf Protokolldateien

Wenn man zusätzlich Protokolldateien speichert, ist es möglich und manchmal auch geboten, diese Informationen miteinander zu verknüpfen. Daher ist auch hierfür ein Hinweis vorzusehen:

Version in kindgerechter Sprache

Um Kinder für die Folgen umfassender Veröffentlichungen zu sensibilisieren, ist Medienkompetenz gefragt. Einen Beitrag hierzu kann auch ein Seitenbetreiber leisten: mit kindgerecht aufbereiteten Hinweisen und Einverständniserklärungen.

Dieser Text ist im Rahmen der Service-Reihe „Datenschutz auf Webseiten“ in Zusammenarbeit von Seitenstark mit iRights.law Rechtsanwälte entstanden.

"Chats, Foren und Gästebücher" von Seitenstark e.V. ist lizenziert unter einer Creative Commons Namensnennung 4.0 International Lizenz.