Empfehlungen zur DSGVO

Um Zustimmung nachweisen zu können (z.B. ob und wann eine bestimmte Person zugestimmt hat, einen Newsletter zu erhalten), müssen zwingend verschiedene Webforms bzw. Mailchimp Formulare verwendet werden. In den einzelnen Formularübermittlungen werden IP-Adresse, Zeitpunkt der Übermittlung und Email-Adresse gespeichert- und diese Daten helfen Ihnen zu belegen, wann jemand Ihnen eine Einwilligung gegeben hat.

Die Einwilligung zur Verwendung von personenbezogenen Daten muss aktiv und für jeden Verwendungszweck explizit gegeben werden.

Um eine aktive Zustimmung zu erhalten, muss die Person selbst das Häkchen setzen, um ihre Einwilligung zu etwas zu geben. Das heisst, Checkboxen zu diesem Zweck dürfen nicht mehr vorausgewählt sein.  Zustimmungen, welche über eine vorausgewählte Checkbox entstanden sind, sind - auch retrospektiv - nicht mehr gültig. 

Um eine explizite Einwilligung zu erhalten, dürfen Zustimmungen nicht miteinander vermischt oder pauschal sein (z.B. Ich möchte über Spannendes auf dem Laufen gehalten werden). Zustimmungen, welche über einen solche pauschale oder vermischte Einverständniserklärung (z.B. mit der Unterzeichnung der Petition stimme ich zu einen Newsletter zu erhalten) entstanden sind, sind nicht mehr gültig - auch retrospektiv. 

Damit Personen ihre Zustimmung genauso einfach und spezifisch zurückzuziehen können, wie sie sie gegeben haben, sollte auch auf für jedes Anmeldeformular auch ein Abmeldeformular vorhanden sein. Dies hilft auch, um Datenschutz-konform nachweisen zu können, bis wann man welche Zustimmungen hatte. 

Die Speicherdauer von Personendaten ist im Voraus zu bestimmen, und Daten sind zu löschen, wenn die Aufbewahrungsfrist abgelaufen ist. Zum Beispiel, sobald der Event vorbei ist, für den sich jemand angemeldet hatte.

Zudem müssen auch personenbezogene Daten, die Sie derzeit aufgrund einer Einwilligung besitzen, die aber nicht dem geforderten Standard der DSVGO entspricht, gelöscht werden.  

Datensicherheit muss nicht nur bei der Übertragung der Daten im Internet gegeben sein. Es muss auch darauf geachtet werden, wer in Ihrer Organisation Zugriff auf die Daten hat und ob diese Personen im richtigen Umgang mit persönlichen Daten geschult wurden. 

Sie können jedem Formular eine generische Transparenznotiz zur Sammlung von Daten anfügen. Zwingend notwendig ist eine Verlinkung auf die Datenschutzseite, damit Personen, welche Daten übertragen, nachlesen können, was mit Ihren Daten genau passiert (Verwendungszweck).

Die obligatorische Datenschutzerklärungsseite muss genaustens darüber Auskunft geben, welche Daten wie gesammelt werden und wofür. 

Diese Seite muss von jedem Formular aus mit einem (1) Klick erreichbar sein. 

Damit Sie einer Person Auskunft darüber geben können, welche Daten Sie von ihr besitzen und diese Daten dann gegebenenfalls auch in geeigneter Form übergeben können, können Sie die Formularübermittlungen in Webform exportieren.

Verantwortliche sind Personen, die für Datenerhebung und Datenverarbeitung verantwortlich sind. Z.B. eine Petitionskampagne führen und bestimmen, welche Daten abgefragt werden und was mit diesen passiert. Diese werden unterstützt und geschult (z.B. Wie sieht ein sicheres Passwort aus, welche Daten dürfen wir sammeln und wann müssen sie gelöscht werden) von den Datenschutzbeauftragten.

Eine weitere Verpflichtung der Verantwortlichen ist die Dokumentation aller Vorgänge und Massnahmen. So sollten die Typen der gesammelten Daten und deren Zweck, die zu treffenden Sicherheitsmassnahmen, Verwendungsrichtlinien, Fristen für die Löschung der verschiedenen Datenkategorien sowie der Vorgang im Falle eines Datenlecks dokumentiert werden.