FPLP bloggt – The Next Generation Law Firm
Ob klassische Unternehmens-Website, Social-Media-Kanäle oder Smart Phone App, eine Internetpräsenz gehört zum A und O für Unternehmer. Die eigene Online-Plattform zieht jedoch zahlreiche gesetzliche Informationspflichten nach sich. Da Verletzungen der relevanten Normen durchwegs mit saftigen Verwaltungsstrafen sanktioniert sind, kann es vor allem für Jungunternehmer schnell schmerzhaft werden.
Im Folgenden soll daher ein kompakter Überblick über die wichtigsten Bestimmungen gegeben werden:
1 Impressum
1.1. Unternehmer sind nach dem Unternehmensgesetzbuch bzw der Gewerbeordnung verpflichtet bestimmte Angaben auf Websites und Geschäftsbriefen, die – in welcher Form auch immer (zB Papier oder E-Mail) – an einen bestimmten Empfänger gerichtet sind zu machen. Im Wesentlichen handelt es sich dabei um den Namen des Gewerbetreibenden bzw. Firma laut Firmenbuch, Rechtsform, Sitz bzw. Standort der Gewerbeberechtigung (kann von der Geschäftsanschrift abweichen), Firmenbuchnummer sowie Firmenbuchgericht.
1.2. Darüber hinaus kommen die Informationspflichten des E-Commerce-Gesetzes auf alle unternehmerisch betriebenen Websites (auch Social-Media-Kanäle) zur Anwendung, egal ob dort Waren vertrieben werden oder nur das Unternehmen präsentiert wird. Folgende Angaben sind zu machen: Geschäftsanschrift, Kontaktdaten, Mitgliedschaft(en) bei der Wirtschaftskammerorganisation, zuständige Aufsichtsbehörde (in der Regel die Gewerbebehörde), Verweis auf anwendbare gewerbe- oder berufsrechtlichen Vorschriften (hier kann in der Regel auf die Gewerbeordnung unter www.ris.bka.gv.at verlinkt werden), UID-Nummer (falls vorhanden).
1.3. Auch nach dem Mediengesetz sind private und kommerzielle Website-Betreiber zur Offenlegung bestimmter Informationen verpflichtet. Hierbei unterscheidet das Gesetz zwischen „großer“ und „kleiner“ Website. Eine „große“ Website beinhaltet Informationen, die über die bloße Präsentation des Unternehmens bzw. seiner Produkte/Leistungen hinausgehen und die öffentliche Meinungsbildung beeinflussen können (zB durch redaktionelle Beiträge). Bei allen anderen Websites handelt es sich um „kleine“ Websites mit verringerten Offenlegungspflichten (ie.: Name/Firma des Medieninhabers [in der Regel der Inhaber/Betreiber der Website], Unternehmensgegenstand, Wohnort/Sitz des Medieninhabers).
2 Datenschutz & Cookies
2.1. Die DSGVO ist auf die
- automatisierte Verarbeitung (Definition: Erheben, Speichern, Auslesen, Verändern, Verbreiten etc)
- personenbezogener Daten (Definition: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen) anwendbar.
2.2. Eine Datenverarbeitung ist nur dann erlaubt, wenn einer der Erlaubnistatbestände der DSGVO erfüllt wird (zB Erforderlichkeit für die Erfüllung eines Vertrages mit dem Betroffenen, Einwilligung des Nutzers, rechtliche Verpflichtung, berechtigtes Interesse).
2.3. In der Praxis bildet häufig die Einwilligung des Nutzers den Erlaubnistatbestand. Diese Einwilligung muss durch eine unmissverständliche Willensbekundung erfolgen (zB eine schriftliche Erklärung [auch elektronisch], Anklicken eines Kästchens beim Besuch einer Webseite) und jederzeit widerrufen werden können.
2.4. Die DSGVO verpflichtet den Verantwortlichen (Definition: die Person, die über die Zwecke und Mittel der Verarbeitung der personenbezogenen Daten entscheidet) bestimmte Informationen zur Verfügung zu stellen, wenn Daten direkt bei der betroffenen Person erhoben werden (zB Ausfüllen eines Formulars durch die betroffene Person).Die Informationen sind zum Zeitpunkt der Datenerhebung – also bevor der tatsächliche Datenfluss einsetzt – zu erteilen und müssen leicht zugänglich sein (zB durcheinen gut sichtbaren Link zur Datenschutzerklärung am Ende jeder Seite).
- Name und Kontaktdaten des Verantwortlichen: Wenn dies nicht bereits klar ersichtlich ist (zB aus dem ausgefüllten Formular)
- Zweck der Datenverarbeitung: Solche Zwecke können zB Vertragsabwicklung, Werbung, Qualitätssicherung oder Forschung sein.
- Rechtsgrundlage der Datenverarbeitung: auf welchen Erlaubnistatbestand der Verantwortliche seine Verarbeitung stützt. Hier ist die konkrete Rechtsgrundlage für den konkreten Zweck anzuführen, nicht alle möglichen Grundlagen.
- Empfänger oder Kategorien von Empfängern: Daneben müssen die Empfänger oder Kategorien von Empfängern der personenbezogenen Daten mitgeteilt werden.
- Drittlandsbezug: wenn beabsichtigt ist, die personenbezogenen Daten an ein Drittland/eine internationale Organisation zu übermitteln.
- Kontaktdaten des Datenschutzbeauftragten: Falls ein Datenschutzbeauftragter vorhanden ist.
- Dauer der Speicherung der Daten: Die Dauer kann für jeden Zweck unterschiedlich sein, es macht daher Sinn, keine allgemeine Formulierung zu verwenden, sondern zweckbezogen auszuführen.
- Information über die Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch, Datenübertragbarkeit, Widerruf einer Einwilligung, Beschwerderecht bei der Aufsichtsbehörde.
2.5. Werden die personenbezogenen Daten nicht direkt beim Nutzer erhoben, sondern aus anderer Quelle ist der Verantwortliche verpflichtet zusätzlich zu den Angaben bei einer Direkterhebung (siehe Punkt 2.3.) folgende Informationen zur Verfügung zu stellen:
- Kategorien personenbezogener Daten, die verarbeitet werden. Die Offenlegung der Datenkategorie ist hier erforderlich, weil die betroffene Person an der Datenermittlung nicht beteiligt war und deshalb diese Information benötigt, um einschätzen zu können, welche Daten von ihr überhaupt verarbeitet werden. Eine grobe Umschreibung der Daten ist dabei ausreichend.
- Aus welchen Quellen die personenbezogenen Daten stammen. Liegt keine Direkterhebung vor, ist es für die betroffene Person wesentlich zu wissen, woher die personenbezogenen Daten stammen (etwa um eine allfällige Rückverfolgung zu erleichtern).
2.6. Verwendet der Website-Betreiber Cookies, so ist das Telekommunikationsgesetz zu beachten. Der Nutzer ist darüber zu informieren, welche Daten (personenbezogen oder nicht) ermittelt, verarbeitet und übermittelt werden, auf welcher Rechtsgrundlage und für welche Zwecke dies erfolgt sowie für wie lange die Daten gespeichert werden. Es reicht nicht aus, bloß in der Datenschutzerklärung auf den Einsatz von Cookies hinzuweisen. Vielmehr müssen dem Nutzer die erwähnten Informationen mitgeteilt und seine aktive Einwilligung zur Datenverarbeitung eingeholt werden („Opt-in“). Ein vorangekreuztes Ankreuzkästchen erfüllt diese Voraussetzung nicht (EuGH, 01.10.2019, C-673/17).
2.7. Auch Unternehmen die keine „eigene“ Website, sondern Social-Media für ihren Webauftritt nutzen, können zur Informationserteilung nach der DSGVO verpflichtet sein. Dies jedenfalls wenn ihnen der Social-Media-Kanal (zB Facebook) statistische Nutzerdaten zur Verfügung stellt und das Unternehmen anhand dieser Daten eine Parametrierung entsprechend seinem Zielpublikum sowie den Zielen der Steuerung und Förderung seiner Tätigkeiten vornimmt (EuGH, 05.06.2018, C-210/16)
2.8. Wir empfehlen daher eine detaillierte Vorabinformation des Nutzers mittels umfassender Datenschutzerklärung und die Einholung der nachweisbaren ausdrücklichen Zustimmung des Nutzers vor Beginn der Datenverarbeitung („Opt-in“).
3 FAGG (Fern- und Auswärtsgeschäfte-Gesetz)
3.1. Dieses Gesetz ist bei sämtlichen Formen von Distanzgeschäften zwischen Verbrauchern und Unternehmern anwendbar (zB Vertragsabschlüsse aufgrund von Bestellungen via Postweg oder Fax, via Telefonanruf oder SMS, via Website oder E-Mail).
3.2 Vorvertragliche Informationspflichten
Das FAGG verpflichtet Unternehmer den Verbraucher vor Abgabe von dessen Vertragserklärung, über die wichtigsten Inhalte des Vertrags aufzuklären (§ 4 FAGG):
- die vom Unternehmer zu erbringende Leistung (zB die wesentlichen Eigenschaften der Ware bzw der Dienstleistung),
- die vom Verbraucher zu erbringende Leistung (zB den Gesamtpreis inklusive aller Steuern sowie zusätzlichen Fracht-, Liefer-, Versand- und sonstigen Kosten),
- Informationen über den Unternehmer (zB Name bzw Firma, Anschrift, Kontaktdaten),
- Informationen über den Vertrag (zB Bindungsdauer, Lieferbeschränkungen, Zahlungsmittel) und
- Informationen über das Fernabsatz-Rücktrittsrecht (zB dessen Bestehen oder Nichtbestehen; die Bedingungen, Fristen und die Vorgangsweise bei dessen Ausübung).
Diese Informationen werden Vertragsbestandteil (relevant für allfällige Gewährleistungs-, Irrtums- bzw Schadenersatzansprüche), wobei Änderungen nur dann wirksam sind, wenn sie mit dem Verbraucher ausdrücklich vereinbart wurden.
Übermittelt der Unternehmer dem Verbraucher Muster-Widerrufsbelehrungsformular (zu finden in Anhang I Teil A FAGG), wird die Erfüllung der Informationspflichten über das Fernabsatz-Rücktrittsrecht fingiert.
3.3 Button-Lösung
Der Verbraucher muss bei der Bestellung ausdrücklich seine Kenntnis darüber bestätigen, dass die Abgabe seiner Vertragserklärung eine Zahlungsverpflichtung auslöst (zB Button mit der gut lesbaren Aufschrift „zahlungspflichtig bestellen“).
3.4 Nachvertragliche Bestätigungs- und Informationspflichten
Haben Unternehmer und Verbraucher einen Vertrag im Fernabsatz abgeschlossen, muss dem Verbraucher innerhalb einer angemessenen Frist (spätestens zum Zeitpunkt der Warenlieferung oder vor dem Beginn der Dienstleistungserbringung) eine entsprechende Vertragsbestätigung auf einem dauerhaften Datenträger (zB.: per E-Mail) zur Verfügung gestellt werden, die auch die bereits vorvertraglich zu erteilenden Informationen enthält.
Auf den Punkt gebracht: Im Zusammenhang mit dem unternehmerischen Webauftritt bestehen zahlreiche gesetzliche Bestimmungen, die es zu beachten gilt. Eine Vernachlässigung von Informationspflichten kann teuer werden. FPLP bietet Unternehmern individuelle Rechtsberatung, um die gesetzeskonforme Ausgestaltung ihrer Internetpräsenz sicherzustellen.
Bei Interesse kontaktieren Sie Philipp Felbermair per E-Mail unter p.felbermair@fplp.at oder telefonisch unter +43 1 58258.
