Ob Höfe mit Mitarbeitern, Direktvermarkter, Ferienhöfe oder ein Betrieb mit einer Website – alle sind von der Datenschutzgrundverordnung betroffen. Wir zeigen Ihnen, wer was beachten muss und wie Betriebe die Regelungen in der Praxis umsetzen.

Bereits seit Mai 2018 ist die Datenschutzgrundverordnung, kurz DSGVO, in Kraft und ver-schreckt seitdem Landwirte und Direktvermarkter. Viele sind noch immer verunsichert, wie sie die Verordnung richtig umsetzen müssen, um keine Strafen zu riskieren. Denn wollen Sie personenbezogene Daten Ihrer Mitarbeiter, Geschäftspartner oder Kunden erheben, verarbeiten und speichern, benötigen Sie dafür grundsätzlich eine Einwilligungserklärung. Welche Infos als personenbezogene Daten gelten und wie eine Erklärung aussieht, lesen Sie unter www.topagrar.com/dsgvo2021. Vielen Landwirten ist aber nach wie vor unklar, in welchen Fällen sie eine Einwilligungserklärung benötigen und wie sie diese in der Praxis einsetzen müssen. Das zeigen auch zahlreiche Rechtsstreitigkeiten zur DSGVO in den letzten Jahren. Vielfach ging es dabei um Auskunfts- und Löschungsrechte von Personen, z.B. vom ehemaligen Mitarbeiter oder vergraulten Kunden. Wir haben uns die wichtigsten Fälle angeschaut und klären, wann Sie um eine Einwilligung nicht herum kommen.

1. Geschäftspartner und Mitarbeiter

Mitarbeiterdaten für die Lohnabrechnung brauchen Sie zwingend, um einen Vertrag zu erfüllen. Sie haben also einen gesetzlichen Rechtfertigungsgrund, wenn Sie die Daten erfassen. Diese Infos dürfen Sie ohne Einwilligungserklärung erheben, speichern und nutzen. Sie können die Daten weiterhin an Ihren Steuerberater zur Lohnabrechnung, Buchhaltung und Steuererklärung schicken. Senden Sie die Daten per Mail, verschlüsseln Sie diese unbedingt. Auch die Bewerbungen Ihrer Mitarbeiter oder deren Krankmeldungen können Sie ohne Einwilligung aufbewahren, denn diese sind vielleicht einmal haftungsrechtlich relevant.

Bei vielen Betrieben hängt eine Geburtstagsliste der Mitarbeiter aus. Diese dürfen Sie allerdings nur aushängen, wenn Sie von jedem eine schriftliche Einwilligung eingeholt haben. Wer sich weigert, darf nicht auf der Geburtstagsliste stehen.

Erfassen Sie besipielsweise Arbeitszeit und GPS-Daten der Mitarbeiter auf dem Schlepper, zählt auch das als Datenerhebung. Hier brauchen Sie ebenfalls eine Einwilligungserklärung u.a. auch wegen der Möglichkeit der Leistungskontrolle.

Tipp: Stellen Sie einen neuen Mitarbeiter oder Azubi ein, reicht eine Klausel zum Datenschutz im Arbeitsvertrag in der Regel nicht aus. Sie benötigen eine eigene Einwilligungserklärung, z.B. für die Benutzung von Fotos, die Sie sich von ihm unterschreiben lassen und aufbewahren müssen.

Ihre Geschäftspartner müssen Sie einmal schriftlich auf die Betroffenenrechte hinweisen und angeben, welche Daten Sie sammeln. Notieren Sie am besten, wann Sie wen informiert haben. Senden Sie beispielsweise ein Fax mit den Datenschutzhinweisen, heben Sie den Sendebericht auf. Schließen Sie z.B. einen neuen Pachtvertrag ab, fügen Sie eine Datenschutzklausel bei.

Viele Höfe haben als Schutz vor Einbrüchen oder Diebstahl Kameras auf dem Hof, am Stall, im Hofladen oder an der Milchtankstelle bzw. am Verkaufshäuschen installiert. Bringen Sie in diesem Fall ein Hinweisschild an. Dort sollte stehen, dass Sie den Hof per Video überwachen, wie lange Sie die Aufnahmen speichern, wer dafür verantwortlich ist, sowie die Betroffenenrechte. Darunter zählt u.a. das Recht auf Löschung der Daten. Details finden Sie auf www.topagrar.com/dsgvo2021. Die Filmaufnahmen dürfen Sie maximal drei Tage lang aufbewahren.

2. Website und Onlineshop

Haben Sie eine eigene Hof-Website oder einen Onlineshop, sollten Sie diese überarbeiten. Fügen Sie eine eigene Seite mit einer Datenschutzerklärung und Cookie-Richtlinie ein.

Sogenannte Cookies sind kleine Dateien, die auf dem Computer des Websitebesuchers gespeichert werden. Auch um einen Cookie-Banner kommen Sie nicht herum. Ein Besucher muss die Datenschutzerklärung von jeder Ihrer Seiten mit einem Klick erreichen können. Weisen Sie darauf hin, dass der Nutzer der Verwendung einzelner Cookies jederzeit widersprechen kann, indem er seine Einstellungen entsprechend anpasst. Eine beispielhafte Datenschutzerklärung und weitere Infos zu Cookies finden Sie unter www.topagrar.com/dsgvo2021. Passen Sie diese Erklärung unbedingt gemeinsam mit Ihrem Rechtsanwalt auf Ihre individuellen Bedürfnisse an.

Zudem benötigen Sie eine Einwilligungserklärung von Ihren Mitarbeitern oder Kunden, wenn Sie diese fotografieren oder filmen und die Bilder auf Ihrer Website oder auch in sozialen Netzwerken veröffentlichen.

3. Kontakt mit Kunden

Verschicken Sie Werbung per Mail oder einen Newsletter an Ihre Kunden, benötigen Sie vorher deren Einverständnis. Das geschieht mit dem sogenannten Double Opt-in: Ihr Kunde meldet sich zunächst per Mail oder Unterschrift für Ihren Newsletter an.

Im zweiten Schritt muss er ausdrücklich in einer E-Mail von Ihnen bestätigen, dass er den Newsletter tatsächlich bekommen möchte. Weisen Sie in jedem Ihrer Schreiben darauf hin, dass Ihr Kunde der Nutzung seiner privaten Daten jederzeit widersprechen kann.

Versenden Sie Werbung per Post, brauchen Sie keine schriftliche Zustimmung. Wollen Sie Ihren Kunden Weihnachts- oder Geburtstagskarten zusenden, egal ob per Post oder Mail, müssen Sie diesen vorab mitteilen, dass Sie ihre Daten für diesen Versand verwenden möchten und auf welchem Weg Sie die Grüße verschicken. Teilt Ihnen ein Kunde mit, dass er keine Werbung (mehr) wünscht, müssen Sie dies respektieren.

Bieten Sie Ihren Kunden eine Kunden- oder Rabattkarte für den Hofladen an, auf der personenbezogene Daten (wie z.B. Vor- bzw. Nachnamen) der Kunden stehen, lassen Sie sich eine Einwilligungserklärung unterschreiben und heben Sie diese auf.

4.Ferienwohnung vermieten

Bieten Sie Ferien auf dem Bauernhof an, schicken Sie den Gästen vorab immer eine Datenschutzerklärung mit den Betroffenenrechten. Diese müssen die Erklärung aber nicht unbedingt unterzeichnen. Bieten Sie Verpflegung an, z.B. ein Frühstück, dürfen Sie natürlich Ihre Gäste nach deren Allergien fragen. Aber auch diese Infos gelten als personenbezogene Daten. Daher benötigen Sie eine Einwilligung und sollten Ihre Kunden schriftlich darüber aufklären, wofür Sie die Daten benötigen und was Sie mit ihnen machen. Sie müssen zwar Meldescheine führen und bei ausländischen Personen die Seriennummer des Passes auf dem Meldeschein notieren. Sie sind jedoch nicht verpflichtet, den Ausweis oder Reisepass Ihres Gastes zu kopieren. Tun Sie dies dennoch, können Sie gegen die DSGVO verstoßen.

Dürfen Ihre Feriengäste das Wlan nutzen, sind Hinweise zur Datensicherheit und Datenerhebung erforderlich. Diese brauchen Sie sich aber nicht unterzeichnen zu lassen.

5. Achtung bei WhatsApp

Verwenden Sie den Nachrichtendienst WhatsApp zum Kontakt mit Mitarbeitern, Kunden etc., können Sie schnell in die Datenschutzfalle tappen. Das Problem: WhatsApp gibt Informationen von Ihrem Smartphone an Facebook und auch andere weltweite Unternehmen weiter, es greift auf Ihre sämtlichen Kontakte und Daten zu – egal, ob diese die App nutzen oder nicht. Da es sich bei den Kontaktdaten um personenbezogene Daten handelt, liegt aus datenschutzrechtlicher Sicht ein Verstoß vor, wenn Sie keine Einwilligungserklärung haben. Um auf der sicheren Seite zu sein, bräuchten Sie von jedem Kontakt eine Einwilligung, dass Sie WhatsApp nutzen. Das wird kaum möglich sein. Sie können stattdessen andere Nachrichten-Dienste nutzen, die es mit dem Datenschutz ernst meinen. Achten Sie darauf, dass Sie einen Anbieter wählen, dessen Server in Europa stehen und damit datenschutzkonform sind. Eine gute Alternative ist zum Beispiel der Dienst „Threema“. Hier beurteilt Stiftung Warentest den Datenschutz als unkritisch.

Wiegen Sie sich im Übrigen nicht auf der sicheren Seite gemäß dem Motto „Es nutzen doch eh alle“ – es ist in der Praxis schon öfter vorgekommen, dass ein ehemaliger Mitarbeiter im Streit einen Datenschutzverstoß angezeigt hat. Im Durchschnitt müssen Sie für einen Datenschutzverstoß 6000 € Bußgeld einrechnen.

6. Vorsicht mit der Facebook Fanpage

Haben Sie bei Facebook eine Fanpage für den Betrieb, seien Sie vorsichtig: Diese sind in der bisherigen Form nicht datenschutzkonform (Europäischer Gerichtshof, Az.: C-210/16). Denn Facebook trackt die Nutzer mittels sogenannter „Insights“, also wenn der Nutzer z.B. einen Beitrag ansieht, mit einer Story interagiert oder eine Seite oder einen Beitrag mit „Gefällt mir“ markiert. Die Plattform greift in diesem Fall auf personenbezogene Daten der Fanpage Besucher zu, ohne dass diese darüber richtig informiert wurden. ▶

Wollen Sie auf Nummer sicher gehen, installieren Sie ein Opt-in-Banner auf Ihrer Website. Es erscheint dann bei dem Besuch der Fanpage ein Banner, auf dem der Nutzer Ihnen seine Einwilligung für das Tracking erteilt, indem er ein entsprechendes Feld anklickt. Natürlich dürfen auf der Fanpage die Datenschutzhinweise nicht fehlen. Verlinken Sie auch die Infos von Facebook zu den Seiten-Insights. Hier müssen Sie die allgemeinen Datenschutzhinweise durch die Infos von Facebooks Datenschutzerklärung ergänzen. Achten Sie außerdem darauf, dass Sie auf Facebook auch Ihr Impressum hinterlegen. Der Nutzer muss es leicht finden können, es sollte mit maximal zwei Klicks von der Fanpage aus erreichbar sein.

maria.meinert@topagrar.com

Unser Experte

Stefan Kus, Rechtsanwalt, Meidert & Kollegen, Augsburg