Datenschutz
Datenschutz im Internet ist ein komplexes Thema, an dem die Selbsthilfe aber nicht vorbeikommt. Zum einen sind Selbsthilfevereinigungen, die personenbezogene Daten erheben und verarbeiten, rechtlich verpflichtet, diese zu schützen. Gesundheitsbezogene Daten gehören dabei sogar zu der Art von Daten, die im Datenschutzrecht als besonders schützenswert gelten.
Zum anderen berührt das Thema Kernmerkmale der gemeinschaftlichen Selbsthilfe: Souveränität, Autonomie und Vertrauen. Vieles, was in der Selbsthilfe besprochen wird, ist sehr persönlich. Es geht um Erkrankungen, um schwierige Lebenssituationen, zum Teil auch um tabuisierte Themen.
Das Internet ist aber ein öffentlicher Raum. Selbsthilfe im Internet kann daher nicht auf die Vertrautheit setzen, die für sie so wesentlich ist. Anders als in einer Selbsthilfegruppe können im Internet Dritte mitlesen. Unbedacht Hingeschriebenes ist auch Jahre später noch zu finden. Zudem kommt es auf vielen Internetseiten zu einem sogenannten Tracking der Nutzer*innen Das Surfverhalten von Personen wird erfasst und zu Nutzerprofilen zusammengeführt.
Datenschutz-Grundverordnung
Die europaweit geltende Datenschutzgrundverordnung (DSGVO) trat im Mai 2018 in Kraft. Das Datenschutzrecht wurde durch die Verordnung EU-weit vereinheitlicht. Die DSGVO ersetzt die vorher geltenden nationalstaatlichen Datenschutzregelungen. Die einzelnen Länder der EU haben das Recht, die DSGVO in eigenen Gesetzen zu konkretisieren und zu ergänzen. Ausgehend davon wurde das deutsche Bundesdatenschutzgesetz grundlegend überarbeitet. Es ergänzt als sogenanntes BDSG die DSGVO.
Die DSGVO und das BDSG regeln die Erhebung und Verarbeitung von personenbezogenen Daten in allen Kontexten – außer wenn dies in einem rein privaten Rahmen geschieht.
Vieles in der DSGVO entspricht dem, was bereits im bisher geltenden deutschen Datenschutzrecht galt. Da jetzt aber (hohe) Geldbußen bei Verstößen möglich werden, bekommt das Datenschutzrecht mehr Durchschlagkraft.
Das Datenschutzrecht kennzeichnet manche Daten als besonders schützenswert. Zu diesen sogenannten Art. 9-Daten gehören Gesundheitsdaten, genetische und biometrische Daten, genauso aber auch Daten zum Sexualleben, der sexuellen Orientierung und andere Daten. Für solche Daten besteht die Gefahr, dass es sich für die Person nachteilig auswirken könnte, wenn diese in die falschen Hände geraten. Selbsthilfegruppen, -vereinigungen und -kontaktstellen haben häufig mit genau solchen personenbezogenen Daten zu tun.
Alle in der Selbsthilfe und in der Selbsthilfeunterstützung aktiven Personen müssen sich folglich mit der Frage befassen, wo in ihren Tätigkeiten personenbezogene Daten verarbeitet werden und ob die bisherigen Routinen dem neuen Recht entsprechen.
Ein besonderes Feld machen dabei die Aktivitäten der Selbsthilfe oder der Selbsthilfeunterstützung aus, bei denen digitale Instrumente zur Anwendung kommen. Vieles was hier – und auch in anderen Bereichen – üblich ist, scheint mit dem Datenschutzrecht nicht vereinbar: zum Beispiel die Einbindung von Social Plug-Ins und weiteren „trackenden“ Anwendungen, bei denen das Surfverhalten nachverfolgt und zu Profilen zusammengeführt wird oder die Nutzung von E-Mail-Anbietern, die E-Mail-Inhalte auslesen. Das Anliegen, niedrigschwellige und alltagsnahe Angebote zu machen, um mehr Menschen in Kontakt mit gemeinschaftlicher Selbsthilfe zu bringen, steht oft im Konflikt mit dem notwendigen Schutz personenbezogener Daten.
Sichere Kommunikation
E-Mail-Kommunikation innerhalb der Gruppe
Bei E-Mails, die an einen größeren Kreis von Empfänger*innen gehen (also über die Teilnehmenden der Gruppe hinaus) sollten Adressen grundsätzlich nicht in das „cc“-, sondern in das „bcc“-Feld gesetzt werden.
Sammlungen personenbezogener Daten wie zum Beispiel Teilnehmer*innenlisten sollten nicht (unverschlüsselt) per E-Mail verschickt werden. In diesem Fall ist es besser, das Dokument zu verschlüsseln und den „Schlüssel“ in einer separaten E-Mail zu versenden.
Für die Kommunikation im Zusammenhang mit der Selbsthilfegruppe sollten zudem keine E-Mail-Dienstleister ausgewählt werden, die E-Mail-Inhalte und die Metadaten der E-Mail auslesen wie dies unter anderem bei Google und Yahoo der Fall ist.
E-Mail-Kommunikation mit interessierten Personen
Wenn in einer E-Mail sensible Informationen benannt sind, empfiehlt es sich, den Text der Original-E-Mail nicht noch einmal zusammen mit der Antwort mit zu verschicken. In der Regel bleibt der Text der ursprünglichen E-Mail erhalten, wenn auf „Antworten“ geklickt wird. In diesem Fall ist es besser, den Text der Anfrage in der Antwort-E-Mail zu löschen beziehungsweise eine neue E-Mail zu erstellen.
Wenn viele Anfragen von Interessierten per E-Mail an eine Selbsthilfegruppe oder den*die Gruppensprecher*in gestellt werden, empfiehlt sich das Einrichten einer speziellen E-Mail-Adresse für die Gruppe (etwa info@gruppe-xy.de oder gruppensprecherin@gruppe-xy.de oder susanne@gruppe-xy.de).
Wie im vorhergehenden Abschnitt erläutert, sollten dabei keine E-Mail-Dienstleister genutzt werden, die E-Mails auslesen.
Kommunikation über WhatsApp
Denn um WhatsApp verwenden zu können, muss der Zugriff auf das Adressbuch des eigenen Telefons gewährt werden. Ein Schutz der dort gespeicherten Daten ist damit nicht möglich (siehe Kapitel „Digitale Treffen“)
Nutzung digitaler Anwendungen
Wahl von Hostingdienstleistungen und technischen Anwendungen
HTTPS-Verschlüsselung
Cookies
Die Besucher*innen von Internetseiten müssen darüber informiert werden, dass Cookies gesetzt werden. In welcher Form sie aktiv in das Setzen von Cookies einwilligen müssen, ist zum Zeitpunkt der Veröffentlichung dieser Broschüre nicht geklärt. Es deutet vieles darauf hin, dass eine aktive Einwilligung zwingend notwendig ist, wenn Cookies zum Einsatz kommen, die das Nutzerverhalten zu Werbezwecken analysieren oder durch Dritte analysieren lassen (sogenanntes „Tracking“).
Bei temporären Cookies beziehungsweise Cookies, die das reibungslose Funktionieren der Internetseite garantieren, reicht vermutlich eine Information der Internetseitenbesucher*innen aus. Es empfiehlt sich also, Internetseiten so programmieren zu lassen, dass nur temporäre Cookies gesetzt werden.
Aus Datenschutzgründen ist der Einsatz temporärer Cookies unproblematischer.
Wir empfehlen, sich auf den Internetseiten der Landesdatenschutzbehörden über neue Entscheidungen dazu zu informieren, zum Beispiel bei www.baden-wuerttemberg.datenschutz.de.
Elemente Dritter
Sehr häufig kommt es dabei zu einem „Tracking“ der Nutzer*innen der Internetseite. Dabei wird das Surfverhalten der Nutzer*innen nachverfolgt und von Dritten für kommerzielle Zwecke ausgewertet.
Anwendungen, die Tracking bedingen, sollten auf Internetseiten der Selbsthilfe vermieden werden.
Grundsätzlich gilt, dass bei einer Einbindung von Anwendungen von Dritten auf einer Internetseite eine Einwilligung der Nutzer*innen in die konkrete Datenverarbeitung einzuholen ist. Da diese Einwilligung „ausdrücklich, informiert, freiwillig, aktiv und vorab“ gegeben werden muss, empfehlen sich sogenannte 2-Klick-/Opt-In-Alternativen wie zum Beispiel Shariff oder Embetty.
Bereiche trennen
Dazu gehört, in Selbsthilfegruppen für die Kommunikation untereinander und für die Beratung von Interessierten nicht die gleiche Adresse wie für E-Mails zu verwenden, die an Freunde, Familienmitglieder oder Arbeitskolleg*innen geschrieben werden. Wenn Selbsthilfegruppen viele Beratungsgespräche per Telefon führen, lohnt sich die Anschaffung eines Gruppenhandys.
Datenschutzerklärung
Alle Internetseiten von Selbsthilfegruppen, Selbsthilfevereinigungen und Selbsthilfekontaktstellen benötigen neben einem Impressum eine Datenschutzerklärung. Diese muss als extra Unterseite angeboten werden (also nicht als Teil des Impressums). Diese Unterseite muss eindeutig bezeichnet sein (also etwa „Datenschutz“ oder „Datenschutzerklärung“). Und sie muss von allen anderen Unterseiten aus mit einem Klick zu erreichen sein. In der Datenschutzerklärung muss beschrieben sein, wie mit den personenbezogenen Daten umgegangen wird, die bei einem Besuch der Internetseite entstehen.
Folgende Informationen müssen in der Datenschutzerklärung genannt werden:
- Kontaktdaten des*der Betreibenden der Internetseite
- Kontaktdaten des*der Datenschutzbeauftragten (sofern vorhanden)
- Aufzählung aller Datenverarbeitungsvorgänge beim Besuch der Internetseite
- Dauer der Speicherung der Daten
- Betroffenenrechte, Hinweis auf Widerrufsrecht, Auskunftsrecht über die verarbeiteten Daten, Beschwerderecht bei der Aufsichtsbehörde
Eine Datenschutzerklärung ist auch dann Pflicht, wenn auf der Internetseite keine Namen, E-Mail-Adressen oder Telefonnummern abgefragt werden. Denn bei jedem Besuch einer Internetseite fallen technisch bedingt Nutzungsdaten wie zum Beispiel IP-Adresse, MAC-Adresse, Werbe-ID oder andere Geräte-Identifikationsnummern an. Auch diese Daten gelten nach der DSGVO als personenbezogene Daten, weil ein Rückschluss auf eine*n konkrete*n Nutzer*in technisch möglich ist.
Die Informationen in der Datenschutzerklärung müssen korrekt und für die jeweilige Anwendung zutreffend sein. Daher empfiehlt sich der Rückgriff auf Mustertexte aus dem Internet ohne Anpassung auf die eigene Situation in der Regel nicht.
Häufig wissen Selbsthilfegruppen und Selbsthilfekontaktstellen nicht genug über die technische Grundlage ihrer Internetseite, um zu entscheiden, welche Informationen sie in der Datenschutzerklärung geben müssen. Lassen Sie sich die notwendigen Informationen von den Techniker*innen zur Verfügung stellen, die den Internetauftritt betreuen oder programmiert haben.
Abfrage personenbezogener Informationen auf einer Internetseite
Reichweiten-Analyse
Für eine Reichweitenanalyse gibt es gute Alternativen zu Google Analytics: So können dafür auch lokal installierte Logdateien-Analyseanwendungen eingesetzt werden. Häufig wird dafür die Open-Source-Software Matomo verwendet.
Drittanbieter in der Datenschutzerklärung
Bei Social Plug-Ins von Facebook, Instagram, Twitter oder eingebundenen YouTube-Videos ist darauf zu achten, dass deren Inhalte erst geladen werden, nachdem der*die Nutzer*in diese Elemente aktiv angeklickt hat (als aktive Einwilligung – und nicht bereits beim ersten Laden der Internetseite). Wählen Sie dafür eine sogenannte 2-Klick-/Opt-In-Lösung.
Wenn Inhalte von Drittanbietern verwendet werden sollen, sollten die zuständigen Techniker*innen beauftragt werden, diese entsprechend der genannten Bedingungen (2-Klick-/Opt-In-Lösung) umzusetzen.
Veröffentlichung personenbezogener Daten
Für die Veröffentlichung im Internet von Informationen rund um Personen, die aufgrund einer eigenen Betroffenheit oder als Angehörige in der Selbsthilfe aktiv sind, sollte das Prinzip der Datensparsamkeit unbedingt beachtet werden. Es sollten folglich immer nur solche personenbezogenen Daten [Namen, (E‑Mail-)Adressen, Telefonnummern, Fotos etc.] im Internet veröffentlicht werden, die wirklich notwendig sind.
Wann immer möglich, sollten keine privaten E-Mail-Adressen oder Telefonnummern veröffentlicht werden. Es empfiehlt sich also eine spezielle E-Mail-Adresse für die Gruppe anzulegen und gegebenenfalls ein Gruppenhandy anzuschaffen.
Für die Veröffentlichung von personenbezogenen Daten im Internet (zum Beispiel auf der Internetseite einer Selbsthilfekontaktstelle) muss eine Einwilligung eingeholt werden. Dabei muss der datengebenden Person im Detail mitgeteilt werden, welche Daten veröffentlicht werden sollen und wie diese verarbeitet werden.
Eine Ausnahme besteht bei den Daten von Funktionsträgern, zum Beispiel der Geschäftsführung. Angaben zu deren dienstlicher Erreichbarkeit dürfen ohne Einwilligung veröffentlicht werden.
Personenbezogene Daten von Referent*innen bei Veranstaltungen können im Prinzip ebenfalls ohne Einwilligung im Internet veröffentlicht werden, da solche Veranstaltungen als öffentlich gelten.
Allerdings kommt es hier auf den Einzelfall an: Wenn ein erkennbarer Zusammenhang zur Betroffenheit von einer Erkrankung oder von einem anderen sensiblen Thema vorhanden ist, sollte besser auch bei Referent*innen eine Einwilligung eingeholt werden beziehungsweise auf eine Veröffentlichung verzichtet werden.
Fotos zur Veröffentlichung im Internet
Im Bereich der Selbsthilfe ist dazu zu raten, immer eine schriftliche Einwilligung der abgebildeten Personen einzuholen. Bei Fotos von Kindern unter 18 Jahren müssen die Eltern einwilligen. Bei Kindern zwischen 16 und 18 Jahren zusätzlich das betroffene Kind.
E-Mail-Kommunikation
Auch E-Mail-Adressen sind personenbezogene Daten und unterliegen damit dem Datenschutz.
Wählen Sie einen E-Mail-Anbieter, für den das deutsche/europäische Datenschutzrecht gilt. Kostenfreie Anwendungen wie zum Beispiel Gmail oder Yahoo Mail finanzieren sich in der Regel über das Abschöpfen der Nutzer*innendaten. Für den Bereich Selbsthilfe sind entsprechende Anwendungen daher nicht geeignet. Einen hohen Sicherheits- und Datenschutzstandard bieten beispielsweite die in der Initiative „E-Mail made in Germany“ zusammengeschlossenen Firmen oder das Projekt „DE-Mail“. Bei letzterem werden die E-Mails verschlüsselt übertragen.
Newsletter
Newsletter dürfen nur an E-Mail-Adressen verschickt werden, deren Empfänger*innen in den Erhalt des Newsletters eingewilligt haben. Die Empfänger*innen müssen in jedem verschickten Newsletter darauf hingewiesen werden, dass sie ihn abbestellen können. Dazu muss ein einfacher Weg angeboten werden.
Bei der Anmeldung zu einem Newsletter muss beachtet werden, dass nur Daten abgefragt werden, die für den Versand notwendig sind. In der Regel reicht also eine E-Mail-Adresse.
Daten von Personen, die den Newsletter nicht mehr erhalten wollen, müssen gelöscht werden.
Soziale Netzwerke, Messengerdienste, APPs
Zum einen wertet Facebook alle Aktivitäten einer Person bei Facebook selbst aus und führt diese mit Informationen über das Surfverhalten dieser Person an anderen Orten im Internet zusammen. (Dies geschieht durch Facebooks Social Plug-Ins auf anderen Internetseiten.)
Zum anderen ist es auch für Dritte (etwa künftige Arbeitgeber*innen) recht einfach, bei Facebook Querverbindungen herzustellen, zwischen den Inhalten, die jemand als Privatperson bei Facebook postet und den Inhalten oder Aktivitäten, die diese Person im Zusammenhang mit einer Selbsthilfegruppe oder einer Erkrankung bei Facebook veröffentlicht.
Selbsthilfekontaktstellen sollten Facebook daher maximal für die Öffentlichkeitsarbeit nutzen, und dabei nicht dazu einladen, dass Nutzer*innen sich dort über ihre gesundheitliche Situation oder andere schwierige Lebensumstände austauschen.
Fanpages bei Facebook
Wie sich die vom Europäischen Gerichtshof festgestellte „geteilte Verantwortung“ umsetzen lässt – was Betreiber*innen von Fanpages nun tun müssen –, ist noch unklar. Denn nicht nur als Nutzer*in von Facebook, sondern auch als Betreiber*in einer Fanpage hat man keine ausreichenden Informationen dazu, wie Facebook Daten verarbeitet.
Zumindest müssen Sie auf der Fanpage selbst Informationen zur Datenverarbeitung geben. Hinterlegen Sie dafür unter dem Reiter „Info – Datenrichtlinie“ auf der Facebook-Fanpage einen Link zu der Datenschutzerklärung auf Ihrer Internetseite. Ergänzen Sie in der Datenschutzerklärung auf Ihrer Internetseite eine Passage, in der Sie informieren, dass Sie eine Facebook-Fanpage unterhalten (für unverbindliche Beispiele siehe die Datenschutzerklärungen auf www.schon-mal-an-selbsthilfegruppen-gedacht.de und www.casa-ev.de/de/datenschutzerkl%C3%A4rung.html).
Setzen Sie zudem auf Ihrer Internetseite keine Social Plug-Ins von Facebook ein, bei denen Nutzer*innendaten ohne deren Zustimmung an Facebook abfließen, sondern sogenannte 2-Klick-/Opt-In-Lösungen.
Weitere Gerichtsurteile zur Rechtskonformität von Facebook-Fanpages sind anhängig. Ein grundsätzliches Verbot des Betriebs entsprechender Seiten ist nicht auszuschließen.
Selbsthilfekontaktstellen sollten daher auf alternative Anbieter zurückgreifen. Datenschutzfreundliche Alternativen zu WhatsApp sind zum Beispiel Wire, Hoccer, Chiffry, Ginlo, Signal, Telegram oder Threema. Selbsthilfekontaktstellen sollten also auch Selbsthilfegruppen entsprechend motivieren, auf eine dieser Alternativen umzusteigen.
Wenn Selbsthilfegruppen dennoch nicht auf einen Austausch über WhatsApp verzichten wollen, sollten WhatsApp-Gruppen so organisiert sein, dass sie als rein private WhatsApp-Gruppe zählen können (so wie etwa eine WhatsApp-Gruppe von Freunden oder Familienangehörigen). Die WhatsApp-Gruppe sollte beispielsweise keinen Namen haben, aus dem sich ein Bezug zur Selbsthilfegruppe oder zum Thema der Selbsthilfegruppe ableiten lässt. Gibt es in der Selbsthilfegruppe ein*e Gruppensprecher*in, sollte diese Person nicht auch Administrator*in der WhatsApp-Gruppe sein. Es sollte immer möglich sein, dass sich Mitglieder der Selbsthilfegruppe gegen eine Beteiligung an der WhatsApp-Gruppe entscheiden können, ohne dass sie dann vom Informationsaustausch abgeschnitten sind!