Datenschutzerklärung für Zapier

Warum ist Zapier datenschutzrechtlich relevant?

Unternehmen erheben über Zapier Daten ihrer Webseitenbesucher und geben diese an den Anbieter der App weiter. Welche Daten sie mit Zapier erheben, hängt davon ab, welche Apps sie miteinander verbinden. Oftmals erheben Business-Inhaber Daten wie

• Namen,
• E-Mail-Adressen,
• IP-Adressen,
• Telefonnummern und
• Details zum Webseitenbesuch.

Dabei handelt es sich zum Teil um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) besonders geschützt. Seitenbetreiber müssen daher besondere Vorgaben beachten, wenn sie Zapier verwenden.

Zapier datenschutzkonform verwenden

Unternehmen müssen diese datenschutzrechtlichen Pflichten erfüllen, um Zapier datenschutzkonform zu nutzen:               

Vertrag zur Auftragsverarbeitung abschließen

Seitenbetreiber erheben über Zapier personenbezogene Daten und geben diese an den Anbieter weiter. Der Anbieter verarbeitet die Daten weisungsgebunden. Die DSGVO schreibt dafür vor: Seitenbetreiber müssen einen Vertrag zur Auftragsverarbeitung (AV-Vertrag) abschließen. Zapier stellt dafür ein Data Processing Agreement (DPA) zur Verfügung. Dies entspricht einem AV-Vertrag. Seitenbetreiber sollten überprüfen, ob das DPA aufführt,

• welche personenbezogenen Daten sie an Zapier weitergeben,
• warum und wie lange Zapier diese Daten speichert und
• welche Pflichten Seitenbetreiber und Zapier haben.

Datenschutzerklärung anpassen

Seitenbetreiber erheben über Zapier personenbezogene Daten und geben diese an das Unternehmen in den USA weiter. Darauf müssen sie in ihrer Datenschutzerklärung hinweisen. Dabei sollten sie erklären, dass sie für die Datenweitergabe ein DPA mit Zapier geschlossen haben. In diesem Kontext sollten Seitenbetreiber auch angeben,

• warum sie mit Zapier personenbezogen Daten sammeln,
• wie lange sie diese speichern wollen und
• welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. a DSGVO).

Damit Webseitenbesucher einen genaueren Einblick erhalten, was mit ihren Daten bei Zapier passiert, sollten Seitenbetreiber in ihrer Datenschutzerklärung auch auf die Datenschutzbestimmungen und Nutzungsbestimmungen von Zapier hinweisen.

Standardvertragsklauseln prüfen

Seitenbetreiber übersenden derzeit auf Grundlage von EU-Standardvertragsklauseln Daten an Zapier. Um sicherzustellen, ob die von Zapier getroffenen Maßnahmen für den Datenschutz genügen, müssen Seitenbetreiber die Standardvertragsklauseln überprüfen. Um zudem das Risiko der Datenübertragung in die USA offenzulegen, müssen Seitenbetreiber dokumentieren,

• welche Art von Daten sie an Zapier übertragen,
• welche Rechtsvorschriften in den USA gelten und
• ob Zapier weitere Mechanismen implementiert hat, um Nutzerdaten zu schützen.

Cookie-Banner anpassen

Damit Zapier Nutzerdaten sammeln kann, setzt es Cookies in den Browser von Webseitenbesuchern. Dafür benötigen Seitenbetreiber eine Einwilligung der User. Sie können diese nur über eine Checkbox mit Opt-In im Cookie-Hinweis einholen. Rechtssicher umsetzen können sie den Cookie-Hinweis mit einem Cookie Consent Tool.

Rechtsprechung zu Zapier

Für Zapier ist diese Rechtsprechung relevant:

Europäischer Gerichtshof zu Tracking Cookies

Der Europäische Gerichtshof (EuGH) stellte im Oktober 2019 fest: Unternehmen dürfen nur dann Tracking Cookies verwenden, wenn sie vorher eine Erlaubnis der Nutzer dafür eingeholt haben. Das gilt sowohl für anonyme Daten als auch für personenbezogene Daten (C-637/17).

Bundesgerichtshof (BGH) zu Tracking Cookies

Der Bundesgerichtshof bestätigte die Entscheidung des EuGH im Mai 2020. Dabei erklärten die Richter auch: Unternehmen können die Einwilligung in Tracking-Cookies nur über ein Opt-In einholen (I ZR 7/16).

Europäischer Gerichtshof zum Privacy Shield

Der EuGH stellte im Sommer 2020 fest: Der Privacy Shield eignet sich nicht, um DSGVO-konform Daten in die USA zu versenden. Denn: Dort herrscht ein niedrigeres Datenschutzniveau als in der EU. Das ist laut der Richter vor allem darauf zurückzuführen, dass die Überwachungsprogramme der USA nicht auf das zwingend erforderliche Maß beschränkt sind.

Datenschutzbehörde Hamburg zum AV-Vertrag

Das Versandunternehmen Kolibri Image musste im Dezember 2018 ein Bußgeld in Höhe von 5250 Euro zahlen. Es hatte mit dem spanischen Dienstleister Packlink keinen AV-Vertrag geschlossen. Infolgedessen hatte die Datenschutzbehörde Hamburg das Bußgeld angesetzt.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Um Mitgliederdaten verarbeiten zu lassen, engagierte der Fußball-Bundesligaclub VfB Stuttgart mehrere Dienstleister. Er versäumte es jedoch, mit diesen AV-Verträge abzuschließen. Das bestrafte die Datenschutzbehörde Baden-Württemberg im März 2021 mit einem Bußgeld von 300.000 Euro.