Rzadko przychodzi z ostrzeżeniem. Konkurent, związek albo uważny odwiedzający ogląda Państwa stronę internetową — i nagle na biurku ląduje upomnienie (Abmahnung): nota prawna nie wskazuje osoby uprawnionej do reprezentacji, baner cookie ładuje śledzenie, zanim ktokolwiek się zgodził, a polityka prywatności nie pasuje do tego, co strona rzeczywiście wczytuje. Dla Państwa jako przedsiębiorstwa jest to zarazem uciążliwe i kosztowne, bo w grę wchodzą trzy zestawy przepisów, które wielu zna jeszcze pod dawnymi nazwami. Obowiązek noty prawnej stoi od maja 2024 w ustawie o usługach cyfrowych (§ 5 DDG), już nie w TMG. Dla plików cookie obowiązuje § 25 TDDDG — do maja 2024 ustawa ta nazywała się TTDSG. Kto wie, która informacja gdzie należy i kiedy baner naprawdę potrzebuje zgody, spiera się później o szczegóły — a nie o to, czy strona w ogóle była zgodna z prawem. Wszystko według niemieckiego prawa (DDG, TDDDG i RODO).
Pismo zarzuca, że Państwa nota prawna jest niekompletna albo nie „łatwo rozpoznawalna i bezpośrednio dostępna" — na przykład dlatego, że brak osoby uprawnionej do reprezentacji albo dane kryją się za zbyt wieloma kliknięciami. Dla Państwa staje pytanie, czy zarzut niesie i co dziś musi zawierać czysta nota prawna wg § 5 DDG. Często już tutaj rozstrzyga się, czy żądane oświadczenie o zaniechaniu należy w tej formie w ogóle składać.
Ktoś zarzuca, że Państwa strona ładuje narzędzia analityczne lub marketingowe, zanim odwiedzający się zgodził, albo że baner sztucznie utrudnia odrzucenie. Właśnie to jest czuły punkt: § 25 TDDDG wymaga dla cookie niekoniecznych technicznie zgody, która musi być dobrowolna i udzielona uprzednio. Czy Państwa baner to zapewnia, zależy od techniki i sposobu ukształtowania — nie od dobrej woli.
Polityka wymienia usługi, które dawno już nie działają — albo przemilcza narzędzia, które faktycznie przekazują dane osobom trzecim. Organy nadzoru i podmioty upominające sprawdzają dokładnie ten rozjazd. Dla Państwa chodzi o to, by podstawa prawna (art. 6 RODO) i informacja (art. 13 RODO) pasowały do tego, co Państwa strona naprawdę robi w tle.
Bodaj najczęstsze źródło błędu zaczyna się już od złej ustawy. Wiele wzorów, szablonów i poradników w sieci odsyła jeszcze do § 5 TMG — ustawy o telemediach (Telemediengesetz). To przestarzałe: TMG została zastąpiona, a obowiązek noty prawnej dla prowadzonych zawodowo, z reguły odpłatnie oferowanych usług cyfrowych stoi od maja 2024 w § 5 ustawy o usługach cyfrowych (Digitale-Dienste-Gesetz, DDG). Treściowo niewiele się zmieniło — miejsce w ustawie za to jak najbardziej, a kto w sporze powołuje się na złą normę, szybko wygląda na źle przygotowanego.
§ 5 ust. 1 DDG wymaga, by dane obowiązkowe były „łatwo rozpoznawalne, bezpośrednio dostępne i stale dostępne". Należą do nich w szczególności: nazwa i adres, pod którym Państwo prowadzą działalność — przy osobach prawnych dodatkowo forma prawna i osoba uprawniona do reprezentacji (§ 5 ust. 1 nr 1 DDG); dane umożliwiające szybki kontakt elektroniczny wraz z adresem e-mail (nr 2); przy działalności wymagającej zezwolenia — właściwy organ nadzoru (nr 3); rejestr i numer rejestrowy, do którego Państwo są wpisani (nr 4); przy zawodach reglamentowanych określone dane z prawa zawodowego (nr 5); oraz, jeśli istnieje, numer identyfikacyjny VAT (USt-IdNr.) lub numer identyfikacyjny działalności (nr 6).
Dwa punkty są w praktyce niedoceniane. Po pierwsze dostępność: „łatwo rozpoznawalna i bezpośrednio dostępna" znaczy, że notę prawną trzeba znaleźć bez długiego szukania i bez wielu kroków pośrednich — zwykły, wyraźnie oznaczony odnośnik w stopce strony jest drogą pewną. Po drugie osoba uprawniona do reprezentacji przy spółkach: GmbH, UG albo AG musi wskazać swoich ustawowych przedstawicieli; sam szyld firmowy nie wystarcza. Przy ofertach kształtowanych dziennikarsko-redakcyjnie dochodzi dodatkowo obowiązek z prawa mediów — wskazania odpowiedzialnego za treść z nazwiskiem i adresem; to osobne pole, wspomniane tu jedynie dla porządku.
Z praktyki Proszę sprawdzić Państwa notę prawną wobec obowiązującej normy, nie wobec starego wzoru. Proszę zastąpić każde odwołanie do „§ 5 TMG" obowiązującą podstawą i przejść dane punkt po punkcie — zwłaszcza osobę uprawnioną do reprezentacji, numer rejestrowy i adres kontaktowy. Kosztowny błąd jest niemal zawsze ten sam: raz stworzona nota prawna nie jest ruszana latami, choć firma, reprezentacja albo forma prawna dawno się zmieniły.
Również przy drugim wielkim temacie zmieniła się nazwa ustawy, a wielu tego nie zauważyło. Reguły zapisywania i odczytu informacji na urządzeniu końcowym odwiedzającego — czyli plików cookie i technik podobnych — stoją w § 25 TDDDG, ustawie o ochronie danych w telekomunikacji i usługach cyfrowych (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Ustawa ta nazywała się do maja 2024 TTDSG; reguła treściowo pozostała ta sama, sposób cytowania — nie.
Zasada jest surowa: zapisanie informacji w urządzeniu końcowym użytkownika lub dostęp do informacji już tam zapisanych są dopuszczalne tylko wtedy, gdy użytkownik wyraził zgodę na podstawie jasnych i wyczerpujących informacji (§ 25 ust. 1 TDDDG). Zgoda ta musi być udzielona według miary RODO — więc w szczególności dobrowolnie, świadomie i przez jednoznaczne działanie potwierdzające. Zawczasu zaznaczone okienko albo samo dalsze przeglądanie do tego nie wystarcza.
Od wymogu zgody zwolniony jest tylko wąski obszar wyjątków. Wg § 25 ust. 2 TDDDG zgoda nie jest potrzebna, gdy jedynym celem jest przeprowadzenie transmisji wiadomości przez sieć telekomunikacyjną (nr 1) albo gdy dostęp jest bezwzględnie konieczny, by usługodawca mógł udostępnić wyraźnie żądaną przez użytkownika usługę (nr 2). Pod to podpadają klasyczne cookie „technicznie konieczne" — na przykład koszyk w sklepie albo zapisanie samego wyboru cookie. Wszystko, co służy pomiarowi zasięgu, marketingowi albo osadzaniu cudzych treści, nie podpada pod ten wyjątek i wymaga uprzedniej zgody.
Z praktyki Najczęstszy, najdroższy błąd banera: narzędzia analityczne lub marketingowe ładują się już przy wejściu na stronę, gdy baner jeszcze pyta. Tym samym zgoda jest bezwartościowa, bo dostęp do urządzenia dawno nastąpił. Proszę zadbać, by usługi niekonieczne technicznie startowały dopiero po czynnej zgodzie — i by odrzucenie było tak samo proste jak przyjęcie. Baner, który pokazuje tylko wyeksponowany przycisk „Zaakceptuj wszystko" i ukrywa odrzucenie, uchodzi za środek nacisku, nie za wolny wybór.
Gdzie strona internetowa przetwarza dane osobowe — a robi to praktycznie każda, czy to przez logi serwera, formularze kontaktowe, czy osadzone usługi — tam wkracza RODO. Dwa przepisy tworzą kręgosłup polityki prywatności. Najpierw każde przetwarzanie potrzebuje podstawy prawnej: wg art. 6 ust. 1 RODO przetwarzanie jest zgodne z prawem tylko wtedy, gdy spełniony jest co najmniej jeden z wymienionych tam warunków — w szczególności zgoda osoby, której dane dotyczą (litera a), niezbędność do wykonania umowy (litera b) albo przeważający prawnie uzasadniony interes administratora (litera f).
Dochodzi do tego obowiązek informacyjny: gdy dane osobowe są zbierane od osoby, której dotyczą, administrator musi w chwili zbierania poinformować ją o całym szeregu punktów (art. 13 RODO) — między innymi o swojej nazwie i danych kontaktowych, w razie potrzeby o inspektorze ochrony danych, o celach i podstawie prawnej przetwarzania, o odbiorcach danych, o okresie przechowywania oraz o prawach osoby, której dane dotyczą. Właśnie to zapewnia porządna polityka prywatności.
Punktem rozstrzygającym jest zgodność z rzeczywistością: polityka prywatności nie jest problemem, gdy jest obszerna — lecz gdy nie pasuje do tego, co strona technicznie naprawdę robi. Gdy wymienia usługi, które już nie działają, albo przemilcza osadzenie, które w tle przekazuje dane osobie trzeciej, powstaje luka, której organy nadzoru i podmioty upominające celowo szukają. A zgoda wg § 25 TDDDG splata się z RODO: gdzie dla usługi zbierają Państwo zgodę, tam polityka prywatności musi tę usługę również wyjaśnić. Podstawowe obowiązki, które przy tym wynikają z RODO dla przedsiębiorstw, pogłębia nasz poradnik o podstawowych obowiązkach RODO w Niemczech.
Z praktyki Proszę traktować politykę prywatności nie jako jednorazowy fragment tekstu, lecz jako lustro Państwa strony. Za każdym razem, gdy osadzane jest nowe narzędzie albo usuwane stare — narzędzie analityczne, mapa, osadzone wideo, czat — należy dostosować politykę i sprawdzić baner cookie. Klasycznym błędem jest kupiona standardowa polityka, której nigdy nie zestawiono z faktyczną techniką strony.
To, co czyni prawo strony internetowej tak nieprzyjemnym, to podwójna powierzchnia ataku. Z jednej strony grozi upomnienie z prawa konkurencji: konkurenci i określone związki mogą upominać naruszenia przepisów regulujących zachowanie rynkowe — a do nich zaliczają się części prawa strony internetowej — i żądać zaniechania. Jak taki proces upomnienia przebiega z powodu niedozwolonej reklamy i jak sięga w Państwa działania marketingowe online, pokazuje na tle wymogu zgody nasz poradnik o zgodzie na reklamę w Niemczech.
Z drugiej strony stoją kary pieniężne z prawa ochrony danych nakładane przez organy nadzoru. RODO daje na to znaczny wymiar: przy naruszeniach określonych obowiązków administratorów możliwe są kary do 10 milionów euro lub do 2 procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa (art. 83 ust. 4 RODO). Przy naruszeniach podstawowych zasad przetwarzania i praw osób, których dane dotyczą, wymiar podwaja się do 20 milionów euro lub do 4 procent światowego rocznego obrotu (art. 83 ust. 5 RODO). To są wymiary maksymalne, nie kwoty regularne — ale pokazują, że nie operuje się tu sumami symbolicznymi.
Dla Państwa jako przedsiębiorstwa znaczy to: błąd na stronie rzadko jest „tylko" jednym albo drugim. Brak zgody może zarazem stanowić dające się upomnieć naruszenie prawa konkurencji i naruszenie prawa ochrony danych. A kto jako operator osadza cudze treści albo korzysta z usługodawców, którzy sami przetwarzają dane, powinien mieć na oku stronę umowną tej współpracy — kto ponosi jaką odpowiedzialność, gdy dane rzeczywiście wypłyną, naświetla nasz poradnik o naruszeniu ochrony danych w Niemczech.
Z praktyki Proszę nie reagować na upomnienie ani na zapytanie organu milczeniem, ani odruchowym podpisaniem. Jedno i drugie jest groźne: kto pozwoli minąć terminowi, ryzykuje zabezpieczenie tymczasowe; kto złoży zbyt szeroko ujęte oświadczenie o zaniechaniu, wiąże się z wysokimi karami umownymi za każde przyszłe naruszenie. Proszę najpierw sprawdzić, czy zarzut w ogóle niesie — często zmodyfikowane albo żadne oświadczenie jest właściwą drogą.
Proszę zastąpić każde odwołanie do § 5 TMG i sprawdzić dane obowiązkowe wg § 5 DDG punkt po punkcie: nazwa i adres, przy spółkach forma prawna i osoba uprawniona do reprezentacji, adres e-mail, rejestr i numer rejestrowy, w razie potrzeby organ nadzoru i numer identyfikacyjny VAT. Proszę zapewnić, by nota prawna była osiągalna z każdej strony jednym kliknięciem.
Proszę zlecić techniczne ustalenie, które cookie i usługi startują przy wejściu na stronę, zanim odwiedzający się zgodził. Wszystko, co nie jest technicznie bezwzględnie konieczne (§ 25 ust. 2 TDDDG), wolno ładować dopiero po czynnej zgodzie. Najczęstsze naruszenie leży właśnie tutaj — w przedwczesnym starcie narzędzi analitycznych i marketingowych.
Zgoda wg § 25 ust. 1 TDDDG musi być dobrowolna i świadoma. Odrzucenie musi być tak proste jak przyjęcie; analityka i marketing wolno startować dopiero po kliknięciu. Baner, który oferuje tylko „Zaakceptuj wszystko" albo utrudnia odrzucenie, nie spełnia wymogów.
Proszę zestawić politykę z faktycznie stosowanymi usługami: dla każdego przetwarzania właściwa podstawa prawna (art. 6 RODO) i pełna informacja (art. 13 RODO). Usunięte usługi skreślić, nowe dopisać. Polityka jest lustrem strony, nie jednorazowym fragmentem tekstu.
Ani nie pozwalać minąć terminowi, ani przedwcześnie podpisywać. Proszę sprawdzić, czy zarzut niesie i czy żądane oświadczenie o zaniechaniu — z jego karami umownymi — należy w tej wersji w ogóle składać. Często zmodyfikowane oświadczenie albo rzeczowe odparcie jest lepszą drogą niż odruchowe ustępstwo.
Najważniejszy krok — raz czysto zestawić notę prawną, baner cookie i politykę prywatności z obowiązującymi normami — kosztuje przede wszystkim staranność i sprawdzające spojrzenie na technikę strony, nie majątek. Inaczej wygląda to, gdy w grze jest już upomnienie albo zapytanie organu: wtedy nakład zależy od tego, jak zasadny jest zarzut, jak daleko sięga żądane oświadczenie o zaniechaniu i czy chodzi o front z prawa konkurencji, czy z prawa ochrony danych — albo o oba naraz. Często jasną, terminową reakcją da się osiągnąć więcej niż długim wyczekiwaniem, bo druga strona rozpoznaje, że punkty są sprawdzone.
Stałych cen ryczałtowych świadomie nie podajemy: co jest adekwatne, da się rzetelnie powiedzieć dopiero wtedy, gdy wiemy, czy chodzi o zapobiegawcze sprawdzenie Państwa strony, czy o odparcie konkretnego upomnienia — i jak rozbudowana jest zastosowana technika. Rząd wielkości poznają Państwo, gdy będziemy znać Państwa sprawę, wraz z uczciwą oceną, który nakład się opłaca, a który nie. Ustawowe wymiary kar RODO (art. 83 RODO) pokazują zresztą, że czyste ustawienie w porównaniu z możliwą szkodą szybko się opłaca.
Nie. Ustawa o telemediach została zastąpiona; obowiązek noty prawnej dla prowadzonych zawodowo usług cyfrowych stoi od maja 2024 w § 5 DDG (ustawa o usługach cyfrowych). Treściowo § 5 DDG wymaga tych samych podstawowych danych co wcześniej — nazwy i adresu, przy spółkach formy prawnej i osoby uprawnionej do reprezentacji, elektronicznej możliwości kontaktu, rejestru i numeru rejestrowego, w razie potrzeby organu nadzoru i numeru identyfikacyjnego VAT. Kto powołuje się jeszcze na „§ 5 TMG", cytuje normę przestarzałą.
Nie, tylko dla niekoniecznych technicznie. Wg § 25 ust. 1 TDDDG dostęp do urządzenia końcowego jest zasadniczo objęty obowiązkiem zgody. § 25 ust. 2 TDDDG wyłącza jednak przypadki, w których dostęp służy wyłącznie transmisji wiadomości albo jest bezwzględnie konieczny, by działała wyraźnie żądana przez użytkownika usługa — na przykład koszyk albo zapisanie wyboru cookie. Analityka, marketing i osadzanie cudzych treści wymagają natomiast uprzedniej, dobrowolnej zgody.
TDDDG. Ustawa o ochronie danych w telekomunikacji i telemediach (TTDSG) została w maju 2024 przemianowana na ustawę o ochronie danych w telekomunikacji i usługach cyfrowych (TDDDG). Właściwym przepisem cookie jest nadal § 25 — tyle że § 25 TDDDG, już nie § 25 TTDSG. Reguła treściowa co do zgody pozostała przy tym ta sama.
Wtedy zgoda jest bezwartościowa, bo dostęp do urządzenia końcowego już nastąpił, zanim odwiedzający mógł się zgodzić. § 25 ust. 1 TDDDG wymaga zgody przed zapisaniem lub odczytem. Baner, który uruchamia narzędzia analityczne lub marketingowe już przy wejściu na stronę, nie spełnia wymogów — i otwiera tym samym drzwi zarówno upomnieniu z prawa konkurencji, jak i zarzutowi z prawa ochrony danych.
RODO daje znaczne wymiary maksymalne. Przy naruszeniach określonych obowiązków administratorów możliwe są kary do 10 milionów euro lub do 2 procent światowego rocznego obrotu (art. 83 ust. 4 RODO); przy naruszeniach podstawowych zasad przetwarzania i praw osób, których dane dotyczą, do 20 milionów euro lub do 4 procent (art. 83 ust. 5 RODO) — w zależności od tego, która kwota jest wyższa. To są wartości maksymalne, nie kwoty regularne; konkretna wysokość zależy od wielu okoliczności danego przypadku.
Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48. Właśnie gdy leży upomnienie z krótkim terminem albo organ nadzoru wystosował pismo, liczy się każdy dzień — proszę opisać sprawę raczej wcześniej niż później.
„Najdroższy błąd w prawie strony internetowej to pracować ze starym wzorem, który wymienia jeszcze § 5 TMG i TTDSG. Nota prawna i pliki cookie stoją dziś w § 5 DDG i § 25 TDDDG — a najczęstszym błędem jest baner, który ładuje śledzenie, zanim ktokolwiek się zgodził. Kto jedno i drugie raz czysto zestawi z techniką własnej strony, odbiera podmiotom upominającym i organom powierzchnię ataku", mówi adwokat Sebastian Müller.
Wskazówka: dawny § 5 TMG i dawne oznaczenie § 25 TTDSG są przestarzałe — miarodajne są dziś § 5 DDG i § 25 TDDDG. Podane informacje nie zastępują sprawdzenia Państwa konkretnej strony internetowej.
Proszę opisać krótko, o co chodzi — zapobiegawcze sprawdzenie Państwa strony czy odparcie konkretnego upomnienia. Otrzymają Państwo pierwszą ocenę. Odezwiemy się do Państwa — zwykle w ciągu 24 godzin, w dni robocze gwarantowane w ciągu 48.
Opisz swoją sprawę