INFOBAUSTEIN: DATENSCHUTZ

In landwirtschaftlichen Betrieben werden täglich personenbezogene Daten verarbeitet – sei es bei der Vermietung von Ferienwohnungen, im Hofladen oder bei der Direktvermarktung über einen Online-Shop. Auch kleine Betriebe sind dabei an die Datenschutz-Grundverordnung (DSGVO) gebunden. Der folgende Überblick zeigt, worauf es ankommt.

Geltungsbereich der DSGVO

Die DSGVO gilt für jede Verarbeitung personenbezogener Daten, unabhängig davon, ob diese digital erfolgt oder in Papierform. Sobald eine Person über bestimmte Informationen identifiziert werden kann, greift die DSGVO. Zu den umfassten Daten zählen etwa Name, Anschrift, Telefonnummer oder Kontodaten. Ausgenommen ist lediglich die rein private Nutzung ohne wirtschaftlichen Bezug. Hier gilt die DSGVO nicht.

Rechtmäßigkeit der Datenerhebung

Personenbezogene Daten dürfen nur verarbeitet werden, wenn eine rechtliche Grundlage besteht (Art. 6 DSGVO). In vielen Fällen ist dies die freiwillige und ausdrückliche Einwilligung der betroffenen Person, etwa bei der Verwendung von Fotos oder der Erhebung besonderer persönlicher Angaben. Daneben erlaubt auch die Anbahnung oder Durchführung eines Vertrags die Datenverarbeitung, zum Beispiel bei einer Buchung oder Bestellung. Auch gesetzliche Pflichten, etwa zur steuerlichen Aufbewahrung, können eine Verarbeitung erforderlich machen. In bestimmten Fällen kann zudem ein berechtigtes Interesse des Betriebs bestehen, etwa zur Kundenpflege – vorausgesetzt, die Interessen der betroffenen Person überwiegen nicht.

Speicherfristen und Löschungspflichten

Daten dürfen nur so lange gespeichert werden, wie sie für den jeweiligen Zweck benötigt werden (Art. 5 Abs. 1 lit. b DSGVO). Danach sind sie zu löschen, es sei denn, es bestehen gesetzliche Aufbewahrungspflichten. So müssen Rechnungen beispielsweise zehn Jahre, Mietverträge bis zu zehn Jahre und Meldescheine für Feriengäste ein Jahr aufbewahrt werden.

Anforderungen an Internetauftritte

Wer eine Webseite betreibt, muss eine vollständige Datenschutzerklärung bereitstellen (Art. 12 DSGVO). Darin sind u. a. die Verantwortlichen zu benennen, die Zwecke und Rechtsgrundlagen der Datenverarbeitung zu erklären, die Speicherdauer anzugeben und über die Rechte der Nutzer zu informieren. Werden Cookies verwendet oder Daten an Dritte weitergeleitet, muss dies klar und verständlich offengelegt werden. Fehlt die Datenschutzerklärung oder ist sie unvollständig, drohen Abmahnungen und Bußgelder.

Verwendung für Werbung und Kundenpflege

Der Versand von Weihnachtskarten oder kleinen Aufmerksamkeiten per Post ist zulässig, wenn er der Kundenpflege dient und die Empfänger vorab über die Verwendung ihrer Daten zu diesem Zweck informiert wurden. Eine vorherige Einwilligung ist in diesem Fall nicht erforderlich, da ein berechtigtes Interesse des Betriebs besteht und die Betroffenen der Nutzung nicht widersprochen haben. Das gilt beispielsweise auch für den Versand eines Saisonkalenders mit Rezeptideen oder Hofnachrichten.

Für (elektronische) Werbung – etwa per E-Mail, Newsletter oder Fax – reicht ein berechtigtes Interesse hingegen nicht aus. Hier ist immer eine ausdrückliche, freiwillige Einwilligung notwendig, die jederzeit widerrufen werden kann.

Veröffentlichung von Bildern

Fotos von Feriengästen, Kunden oder Veranstaltungsteilnehmenden dürfen nicht ohne deren ausdrückliche Einwilligung veröffentlicht werden. Das gilt auch für Aufnahmen, die auf Social-Media-Plattformen oder der eigenen Webseite erscheinen. Die Zustimmung sollte schriftlich eingeholt und dokumentiert werden.

Einsatz von Cookies

Cookies dienen der Analyse und Optimierung von Webseiten. Technisch notwendige Cookies – zum Beispiel zur Funktionsfähigkeit eines elektronischen Warenkorbs – dürfen ohne Einwilligung gesetzt werden. Für alle anderen Arten, etwa zur Analyse des Nutzerverhaltens oder für Werbung, muss aktiv eingewilligt werden. Ein klarer Hinweis und eine Auswahlmöglichkeit sind Pflicht.

Datenschutzbeauftragter im Betrieb

Ein betrieblicher Datenschutzbeauftragter ist nur zu bestellen, wenn regelmäßig mehr als 20 Personen mit der Verarbeitung personenbezogener Daten beschäftigt sind (Art. 37 DSGVO). In landwirtschaftlichen Betrieben ist diese Schwelle in der Regel nicht erreicht.

Schutzmaßnahmen für Kundendaten

Der Betrieb muss sicherstellen, dass personenbezogene Daten geschützt sind, und zwar sowohl technisch als auch organisatorisch (Art. 5 Abs. 1 lit. f DSGVO). Dazu zählen Zugangssicherungen, sichere Passwörter, Beschränkung des Zugriffs auf befugte Personen, regelmäßige Datensicherungen sowie klare Regeln für den Umgang mit externen Dienstleistern. Auch kleinere Betriebe müssen hier tätig werden – die DSGVO macht keine Ausnahme für Betriebsgröße oder Branche.

Sie möchten tiefer einsteigen? Auf Anfrage senden wir Ihnen gerne ein Dokument mit ausführlichen Informationen und Hintergründen per Mail zu – schreiben Sie dazu einfach eine Mail an neuland@lfl.bayern.de

Der Inhalt wurde von RA Benedikt Karsten für die Law Clinic an der Universität Passau und NEU.LAND. erstellt.

Hinweis:
Die bayerische Landesanstalt für Landwirtschaft mit dem Gründerzentrum NEU.LAND. bietet keine einzelfallbezogene betriebliche Beratung und erteilt keine Auskünfte zu rechtlichen Fragestellungen. Für konkrete Fragen oder Auskünfte wenden Sie sich bitte an die entsprechenden staatlichen Stellen oder die genannten Ansprechpartner. Die auf dieser Internetseite enthaltenen Informationen werden sorgfältig zusammengestellt, stellen jedoch keine rechtlich bindende Auskunft dar und erheben keinen Anspruch auf Vollständigkeit. Eine Haftung für die Richtigkeit, Vollständigkeit und Aktualität der Inhalte wird nicht übernommen. Ein Vertragsverhältnis mit den Nutzern des Internetangebots kommt nicht zustande. Diesbezüglich gilt: Haftungsausschluss/Links und Verweise