Datenschutz im Agenturalltag: DSGVO4KMU schafft Überblick

Mailings, die an Kundinnen und Kunden gehen, KI-generierte Texte und Bilder, bei denen Unternehmensinformationen verwendet werden, und natürlich Cookies und Tracking auf Websites: Im Arbeitsalltag von Werbeunternehmen gibt es zahlreiche Berührungspunkte mit dem Datenschutz. Doch welche Regeln gelten im konkreten Fall, wo besteht Handlungsbedarf und wie lässt sich der Überblick behalten? Wir haben mit der Datenschutzexpertin der WKO Steiermark, Tamara Charkow, gesprochen.

DSGVO: Mach den Selbstcheck!
„DSGVO4KMU“ ist ein Informations-Hub der Wirtschaftskammern Österreichs und der Datenschutzbehörde, das kleine und mittlere Unternehmen dabei unterstützt, sich mit den Anforderungen der Datenschutz-Grundverordnung auseinanderzusetzen und mögliche Lücken zu erkennen. Und das auf eine niederschwellige Weise. „Unser Online-Selbstcheck-Tool nimmt Unternehmen an die Hand und führt sie Schritt für Schritt durch die relevanten Themenbereiche“, beschreibt die Expertin das Tool. Im Tool werden Themen wie die Datenschutzerklärung, der richtige Umgang mit Auskunftsbegehren, was im internationalen Datenverkehr zu beachten ist usw. abgefragt. Wer den Test macht, weiß dann, wo genauer hinzuschauen ist.

Jetzt selbst aktiv
Und was, wenn das Tool tatsächlich eine Lücke aufdeckt? „Dann sollte das Unternehmen aktiv werden“, sagt Charkow. Die Webseite von DSGVO4KMU bietet einen ganzen Fundus an weiterführenden Informationen, kurze Erklärvideos und Mustervorlagen, sodass man sich selbst gut und einfach in Sachen Datenschutz updaten kann. Wenn es weiterhin Unklarheiten gibt, dann gibt es natürlich persönliche Unterstützung für die Mitglieder. Denn wer unsicher ist, ob die eigene Einschätzung stimmt oder welche Schritte im konkreten Fall nötig sind, kann sich als WKO-Mitglied auch an die Datenschutzberatung der WKO Steiermark wenden.

Häufige neuralgische Punkte
Im Agenturalltag gibt es einige typische Datenschutz-Stolperfallen. Ein Beispiel sind Mailings im Auftrag von Kundinnen und Kunden: Darf die Agentur die übermittelten Adresslisten einfach verwenden? Und wer ist dafür verantwortlich, dass die Aussendung überhaupt zulässig ist? Die Expertin sagt klar: „Es kommt auf die Rollenverteilung an. Die Agentur ist häufig Auftragsverarbeiterin, während die Zulässigkeit der Werbemaßnahme grundsätzlich beim Auftraggeber als datenschutzrechtlich Verantwortlichen liegt.“ Aber: „Trotzdem ist auch die Agentur gefordert, ihre Expertise einzubringen und auf problematische Vorhaben hinzuweisen.“

ChatGPT: besser über Max Mustermann sprechen?
Auch beim Einsatz von KI ist Vorsicht angebracht. Wer Texte oder Bilder generiert, sollte genau darauf achten, welche Informationen in ein KI-Tool eingegeben werden und was anschließend damit geschieht. „Wenn eine KI die eingegebenen Daten für eigene Zwecke weiterverarbeitet, ist das rechtlich anders zu beurteilen, als wenn sie diese ausschließlich im Auftrag des Unternehmens verarbeitet“, erklärt Charkow. KI-Systeme, die bestätigen, dass sie mit Daten nicht weiterlernen und einen Auftragsverarbeitungsvertrag zur Verfügung stellen sind also eher unproblematisch. Bei jenen KI-Systemen, die dies nicht bestätigen, gilt: Personenbezogene Daten oder vertrauliche Kundeninformationen dürfen nicht unbedacht und ohne datenschutzrechtliche Grundlage in beliebige KI-Anwendungen wandern. Namen durch Platzhalter wie „Max Mustermann“ zu ersetzen, kann helfen – allerdings nur, wenn sich daraus und aus den übrigen Angaben keine Rückschlüsse auf konkrete Personen ziehen lassen. Fotos von Personen hochzuladen, davon rät die Expertin dringend ab.

Achtung bei Cookies und Trackern
Ein weiteres klassisches Thema sind Websites mit Cookies und Tracking. Nicht alle Cookies sind gleich: Während technisch notwendige Cookies anders zu behandeln sind, braucht es für viele Analyse- und Tracking-Technologien eine entsprechende Einwilligung. Dabei kommt es auch auf die Gestaltung des Cookie-Banners an. Nutzer dürfen nicht durch auffällige Farben, unterschiedlich große Buttons oder andere gestalterische Tricks zu einer Zustimmung gedrängt werden.

Mehr Informationen:
www.dsgvo4kmu.at

Zum Selbstcheck-Tool geht es hier:
https://www.wko.at/dsgvo4kmu/datenschutz-check