Datenschutzerklärung für Gravatar

Darum ist Gravatar datenschutzrechtlich relevant

Wenn Nutzer auf einer Webseite, die das Gravatar-Plugin installiert hat, einen Kommentar hinterlassen, schicken Seitenbetreiber automatisch die E-Mail der Nutzer (verschlüsselt) an den Anbieter Aut O’Mattic. Dieser überprüft, ob der jeweilige User über ein Gravatar-Profil verfügt. Ist das der Fall, bildet das Unternehmen das Profilbild neben dem Kommentar auf der Webseite ab. Aut O’Mattic erhält so auch die IP-Adresse der Nutzer.

Für Webseitenbetreiber bedeutet das: Sie geben die E-Mail und bei Vorhandensein eines Gravatar-Profils auch die IP-Adresse an den Anbieter Aut O’Mattic in den USA weiter. Bei diesen Daten handelt es sich jedoch um personenbezogene Daten. Diese sind durch die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG (ehemals TTDSG)) besonders geschützt.

Gravatar datenschutzkonform verwenden

Um Gravatar gemäß den deutschen Datenschutzgesetzen zu verwenden, müssen Seitenbetreiber die folgenden Pflichten erfüllen:

Vertrag zur Auftragsverarbeitung schließen

Ein Vertrag zur Auftragsverarbeitung (AV-Vertrag) regelt die Rechte und Pflichten, wenn zwei Parteien personenbezogene Daten verarbeiten. Bei Gravatar geben Seitenbetreiber die E-Mail und damit personenbezogene Daten an den Anbieter Aut O’Mattic in den USA weiter. Das heißt: Sie müssen mit diesem einen AV-Vertrag schließen. Der Vertrag sollte festhalten,

• welche personenbezogenen Daten Webseitenbetreiber an Aut O’Mattic weiterreichen,
• warum und wie lange Aut O’Mattic die Nutzerdaten speichert und
• welche Pflichten beide Seiten bei der Verarbeitung der Daten haben.

Datenschutzerklärung anpassen

Erfassen Seitenbetreiber Nutzerdaten und geben sie diese an Dritte weiter, müssen sie darüber in ihrer Datenschutzerklärung informieren. In diesem Fall sollten sie daher für Gravatar festhalten,

• warum sie über Gravatar die E-Mail-Adresse und gegebenenfalls die IP-Adresse der User erheben,
• wie lange sie die Daten speichern,
• welche Rechtsgrundlage ihnen das erlaubt (Art. 6 Abs. 1 lit. f DSGVO),
• dass sie für die Datenweitergabe mit Aut O’Mattic einen AV-Vertrag geschlossen haben und
• dass User die Datenübertragung vermeiden können, wenn sie keine E-Mail angeben oder keinen Kommentar schreiben.

Standardvertragsklauseln prüfen

Um Daten rechtskonform von der EU in die USA zu versenden, nutzt Aut O’Mattic Standardvertragsklauseln. Seitenbetreiber in Deutschland müssen diese dahingehend überprüfen, ob die Daten in dem Drittland einen Schutz wie hierzulande durch die DSGVO erhalten. In diesem Kontext sollten sie auch eine sogenannte Risikoabschätzung durchführen. Diese sollte offenlegen,

• welche Art von Daten Seitenbetreiber an Aut O’Mattic weitergeben,
• welche Rechtsvorschriften in den USA gelten und
• ob Aut O’Mattic weitere Maßnahmen ergreift, um Nutzerdaten aus der EU zu schützen.

Rechtsprechung zu Gravatar

Bisher liegt zum Thema Gravatar – soweit ersichtlich – keine Rechtsprechung vor. Für den Einsatz des Plugins ist jedoch diese Rechtsprechung relevant:

Datenschutzbehörde Hamburg

Ein deutsches Versandunternehmen musste ein Bußgeld in Höhe von 5.000 Euro zuzüglich 250 Euro Gebühren bezahlen. Es hatte zwar personenbezogene Daten an einen spanischen Postdienstleister weitergegeben, aber mit diesem keinen AV-Vertrag geschlossen. Die Datenschutzbehörde Hamburg kam daher im Dezember 2018 zu dem Schluss: Das deutsche Unternehmen hat gegen die Anforderungen der DSGVO verstoßen.

Datenschutzbehörde Baden-Württemberg zum AV-Vertrag

Den Fußballverein VfB Stuttgart kostete ein fehlender AV-Vertrag 300.000 Euro. Der Club hatte mehrere Dienstleister beauftragt, um Mitgliederdaten weisungsgebunden verarbeiten zu lassen – ohne rechtliche Grundlage. Das wertete die Datenschutzbehörde Baden-Württemberg als schwere Datenschutzverletzung. Im März 2021 kam sie daher zu dem Schluss, dass der Verein die hohe Strafe zahlen muss.