Jeśli sprzedajesz do Niemiec, prędzej czy później trafisz na słowo Datenschutzerklärung - czyli polityka prywatności po niemiecku. I tu pojawia się pierwsze nieporozumienie: część sprzedawców uznaje, że to zupełnie inne prawo, a część, że wystarczy przetłumaczyć polski dokument. Obie skrajności są błędne.
W tym poradniku wyjaśniamy, czy DSGVO to to samo co RODO, co powinna zawierać polityka prywatności sklepu internetowego w Niemczech, jak działają cookies pod § 25 TDDDG, do jakiego organu klient może złożyć skargę oraz dlaczego niemiecki rynek bywa wrażliwy na błędy w ochronie danych - z Abmahnungiem włącznie.
Czy DSGVO to to samo co RODO?
Tak. DSGVO (Datenschutz-Grundverordnung) to po prostu niemiecka nazwa RODO - tego samego unijnego rozporządzenia, które obowiązuje w całej UE. Nie ma więc „niemieckiego RODO” jako odrębnego reżimu.
Niemcy mają jednak dwa elementy, które warstwę unijną uzupełniają:
- BDSG (Bundesdatenschutzgesetz) - krajowa ustawa doprecyzowująca DSGVO w obszarach, w których rozporządzenie zostawia państwom swobodę,
- § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, dawniej TTDSG) - przepis regulujący zgodę na cookies i podobne technologie.
W praktyce dla sklepu oznacza to jedno: podstawa prawna jest ta sama co w Polsce, ale dokument musi być po niemiecku, dopasowany do realiów sklepu i spójny z niemieckim sposobem obsługi cookies.
Datenschutzerklärung a polska polityka prywatności
Datenschutzerklärung pełni tę samą funkcję co polska polityka prywatności: informuje klientów, jakie dane osobowe przetwarzasz, w jakich celach, na jakiej podstawie, komu je przekazujesz i jakie prawa im przysługują. Różnica nie leży w przepisach, lecz w lokalizacji.
Tłumaczenie polskiej polityki 1:1 zwykle nie wystarczy, bo niemiecka wersja sklepu często ma inny checkout, inny baner cookies, innych dostawców płatności i dostawy oraz inne narzędzia marketingowe kierowane na rynek niemiecki. Dokument, który ich nie odzwierciedla, jest formalnie „o niczym”. Jeśli chcesz wejść głębiej w samą warstwę RODO, opisaliśmy ją w poradniku o polityce prywatności sklepu internetowego.
Co powinna zawierać Datenschutzerklärung?
Polityka prywatności sklepu internetowego w Niemczech powinna zawierać komplet informacji wymaganych przez DSGVO:
- dane administratora - firma, adres, kontakt w sprawach ochrony danych (w niektórych przypadkach inspektor ochrony danych / Datenschutzbeauftragter),
- cele przetwarzania - zamówienia, płatności, dostawa, konto klienta, kontakt, reklamacje, newsletter, marketing, analityka,
- podstawy prawne (art. 6 DSGVO) - umowa, obowiązek prawny, uzasadniony interes lub zgoda, zależnie od procesu,
- kategorie danych - imię, nazwisko, adres, e-mail, telefon, dane do faktury, dane zamówienia, adres IP, identyfikatory cookies,
- odbiorcy danych - operatorzy płatności, kurierzy, hosting, system mailingowy, biuro rachunkowe, dostawcy analityki i reklamy,
- okresy przechowywania danych dla poszczególnych celów,
- prawa użytkownika - dostęp, sprostowanie, usunięcie, ograniczenie, przenoszenie, sprzeciw, cofnięcie zgody oraz skarga do organu nadzorczego,
- informacje o cookies oraz transferach danych poza EOG.
Cookies i baner zgód - § 25 TDDDG
To obszar, w którym niemiecki rynek jest wyjątkowo czujny. Zgodę na cookies i podobne technologie inne niż niezbędne reguluje § 25 TDDDG (wcześniej § 25 TTDSG). W skrócie: na cookies analityczne i marketingowe potrzebujesz zgody użytkownika, a baner cookies nie może być fasadą.
Kluczowa zasada: treść Datenschutzerklärung musi być spójna z tym, co użytkownik widzi w banerze i panelu zgód. Jeśli dokument opisuje narzędzia, których baner nie obejmuje (albo odwrotnie), masz niespójność, którą łatwo zakwestionować.
Narzędzia marketingowe i transfer danych do USA
Piksele reklamowe, analityka, systemy mailingowe i chatboty bezpośrednio wpływają na treść Datenschutzerklärung - każde z nich trzeba w dokumencie odzwierciedlić. Wiele z tych narzędzi wiąże się też z przekazywaniem danych do USA.
Po wyroku Schrems II i upadku Privacy Shield transfery do USA wymagają odrębnej podstawy. Obecnie korzysta się z EU-US Data Privacy Framework (dla certyfikowanych dostawców z USA) albo ze standardowych klauzul umownych (SCC). Datenschutzerklärung powinna wskazywać, że dane mogą być przekazywane poza EOG, i na jakiej podstawie.
Datenschutzerklärung a Impressum
To dwa osobne dokumenty, których nie wolno mylić. Datenschutzerklärung dotyczy danych osobowych, a Impressum to informacja identyfikująca sprzedawcę, wymagana na podstawie § 5 DDG (więcej w poradniku o dokumentach na rynek niemiecki). Przy niemieckiej wersji sklepu oba muszą być łatwo dostępne - zwykle z poziomu stopki, na każdej podstronie. Polityka prywatności nie zastępuje Impressum i odwrotnie.
Do jakiego organu klient skarży się w Niemczech?
Tu polski sprzedawca często się myli. W Niemczech nie ma jednego organu odpowiadającego polskiemu UODO. Ochrona danych jest zorganizowana federalnie: każdy kraj związkowy ma własny organ nadzorczy (Landesbeauftragte für Datenschutz), a na poziomie federalnym działa BfDI.
Klient z Niemiec może złożyć skargę do właściwego organu krajowego (landowego). Jednocześnie, jeśli Twoja firma ma siedzibę w Polsce, organem wiodącym zwykle pozostaje polski UODO - zgodnie z zasadą „one-stop-shop”. W samym dokumencie i tak podajesz informację o prawie do wniesienia skargi do organu nadzorczego.
Abmahnung a ochrona danych
W Niemczech błędy prawne egzekwuje nie tylko urząd, ale i konkurencja oraz wyspecjalizowane organizacje - za pomocą Abmahnungu, czyli formalnego wezwania. Dotyczy to również ochrony danych: wadliwy baner cookies, brakująca lub niespójna Datenschutzerklärung czy ładowanie skryptów z USA bez podstawy potrafią stać się przedmiotem wezwania.
Niemieckiej polityki prywatności nie składa się z przypadkowych źródeł ani nie przekleja z innego sklepu. Koszt jednego sporu bywa wyższy niż koszt porządnie przygotowanego kompletu dokumentów.
Najczęstsze błędy w polityce prywatności na rynek niemiecki
- Tłumaczenie polskiej polityki prywatności 1:1.
- Brak niemieckiej wersji dokumentu przy niemieckiej wersji sklepu.
- Brak informacji o cookies i narzędziach marketingowych.
- Niespójność Datenschutzerklärung z banerem cookies.
- Brak informacji o odbiorcach danych.
- Brak informacji o operatorach płatności i dostawy.
- Brak informacji o newsletterze i podstawie jego prowadzenia.
- Brak informacji o transferach poza EOG (USA).
- Brak powiązania z Impressum.
- Dokument nieaktualny po zmianie narzędzi sklepu.
Jak przygotować Datenschutzerklärung dla sklepu na rynek niemiecki?
- Określ, czy sklep kieruje ofertę do Niemiec - język, waluta, dostawa i kampanie reklamowe wskazują rynek.
- Wypisz procesy przetwarzania danych - zamówienia, płatności, dostawa, konto, newsletter, reklamacje, kontakt, marketing.
- Wskaż narzędzia zewnętrzne - hosting, płatności, kurierzy, mailing, analityka, piksele reklamowe, chatboty.
- Dopasuj cookies i baner zgód - dokument musi być spójny z realnymi cookies i mechanizmem zgód (§ 25 TDDDG).
- Wdróż dokument - w stopce, formularzach, checkoutcie, newsletterze i przy banerze cookies.
Zamiast składać to ręcznie, możesz wygenerować politykę prywatności na rynek niemiecki (Datenschutzerklärung) dopasowaną do narzędzi Twojego sklepu - najlepiej razem z resztą dokumentów na rynek niemiecki.
FAQ - Datenschutzerklärung
Jak nazywa się polityka prywatności po niemiecku? To Datenschutzerklärung.
Czy DSGVO różni się od RODO? Nie. DSGVO to niemiecka nazwa RODO - tego samego unijnego rozporządzenia. Niemcy uzupełniają je o BDSG i § 25 TDDDG (cookies).
Czy wystarczy przetłumaczyć polską politykę prywatności? Nie zawsze. Tłumaczenie może nie uwzględniać niemieckiego checkoutu, banera cookies, narzędzi marketingowych i lokalnych dostawców.
Czy polityka prywatności zastępuje Impressum? Nie. To osobne dokumenty - przy niemieckiej wersji sklepu oba muszą być łatwo dostępne.
Do jakiego organu klient z Niemiec może złożyć skargę? Do właściwego organu krajowego (landowego); w Niemczech nie ma jednego centralnego odpowiednika UODO. Dla firmy z siedzibą w Polsce organem wiodącym zwykle pozostaje UODO.
Czy cookies muszą być opisane w polityce prywatności? Tak. Jeśli sklep korzysta z cookies innych niż niezbędne, użytkownik powinien otrzymać jasną informację, spójną z banerem zgód.