Kısaca en önemli noktalar
- Cihazda bilgi depolamak ya da okumak Almanya'da § 25 TDDDG, Avusturya'da § 165 Abs. 3 TKG 2021 ile düzenlenir: Onay olmadan yalnızca kesinlikle gerekli olan.
- Onay etkin bir eylem gerektirir. Reddetmek kabul etmek kadar kolay olmalıdır; önceden işaretlenmiş kutular sayılmaz.
- Genellikle onay gerektirenler: çerezli istatistik, reklam pikselleri, gömülü videolar ve haritalar ile yabancı sunuculardan yüklenen yazı tipleri.
- Yazı tiplerini kendi sunucusunda barındıran, veri tasarruflu istatistik kullanan ve haritalarla videoları gömmek yerine bağlantı veren biri çoğu zaman hiç bildirime ihtiyaç duymaz.
- Gizlilik politikası yine de gereklidir. Bu yazı genel bilgidir, hukuki danışmanlık değildir.
Bu yazı genel bilgi amaçlıdır ve somut olaya ilişkin hukuki veya vergisel danışmanlık değildir. Yasalar, meslek kuralları ve meslek odası aidatları değişir: Karar vermeden önce ayrıntıları meslek odanızdan, ilgili makamdan veya meslek birliğinizden kontrol edin.
İki kural seti: cihaz erişimi ve GDPR
Çerez bildiriminde iki kural seti birlikte işler. Birincisi cihazı korur: Ziyaretçinin bilgisayarında ya da akıllı telefonunda bilgi depolayan veya oradan bilgi okuyan, örneğin bir çerez yerleştiren kişi, kural olarak onaya ihtiyaç duyar. Almanya'da bu, Mayıs 2024'e kadar TTDSG adını taşıyan Telekomünikasyon ve Dijital Hizmetlerde Veri Koruma Kanunu'nun (TDDDG) § 25 maddesinde yer alır. Avusturya'da bunu § 165 Abs. 3 TKG 2021 düzenler. Her ikisi de aynı AB direktifini uygular ve aynı istisnayı tanır: Kullanıcının açıkça talep ettiği hizmetin çalışması için kesinlikle gerekli olan şey onay gerektirmez.
İkinci kural seti GDPR'dir. Kişisel veriler işlendiği anda devreye girer ve IP adresi de buna dahildir. Bir yazı tipini, videoyu ya da haritayı yabancı bir sunucudan yükleyen, hiçbir çerez olmasa bile IP adresini o sağlayıcıya iletir. Bunun için bir hukuki dayanak gerekir ve web sitesinin ihtiyaç duymadığı hizmetlerde bu, pratikte çoğu zaman yalnızca onaydır.
- Gönüllü ve etkin: Onay bilinçli bir eylem gerektirir. AB Adalet Divanı 2019'da Planet49 davasında önceden işaretlenmiş bir kutunun geçerli onay olmadığına karar verdi.
- Bilgilendirilmiş ve belirli: Ziyaretçiler neye onay verdiklerini, hangi sağlayıcıların dahil olduğunu ve verilerin ne kadar süre saklandığını bilmelidir.
- Geri alınabilir: Onayı geri almak, vermek kadar kolay olmalıdır (GDPR m. 7/3); örneğin alt bilgide kalıcı bir „Çerez ayarları“ bağlantısıyla.
- Önceden: Onay gerektiren hizmetler sayfa açılır açılmaz değil, ancak onaydan sonra yüklenebilir.
Neyin onay gerektirdiği, neyin gerektirmediği
Belirleyici olan „çerez“ kelimesi değil, teknik olarak ne olduğu ve bunun web sitesi için gerekli olup olmadığıdır. Aşağıdaki tablo büro web sitelerinin tipik yapı taşlarını gösteriyor. Somut durumda yapılandırma belirleyicidir.
| Yapı taşı | Onay gerekli mi? | Not |
|---|---|---|
| Bildirimdeki seçimi kaydeden çerez | hayır | kararı uygulamak için kesinlikle gerekli |
| Bir form ya da giriş alanı için oturum çerezi | hayır | yalnızca talep edilen işlev için kullanılıyorsa |
| Çerezsiz istatistik, kısaltılmış IP adresleri | yaygın görüşe göre hayır | yine de hukuki dayanak ve gizlilik politikasında açıklama |
| Google Analytics ya da çerezli başka bir istatistik | evet | yalnızca onaydan sonra yüklenmeli |
| Reklam ve dönüşüm pikselleri (Google Ads, Meta, LinkedIn) | evet | bürolar için çoğu zaman gereksiz, aşağıya bakın |
| Gömülü YouTube ya da Vimeo videoları | evet | „gelişmiş gizlilik modu“ da Google sunucularından içerik yükler |
| Gömülü Google Haritalar haritası | evet | alternatif: Google Haritalar bağlantılı harita görseli |
| Google sunucusundan yüklenen Google Fonts | evet | alternatif: yazı tipleri kendi sunucunuzda |
| Harici randevu ya da sohbet widget'ı | çoğu zaman evet | sağlayıcının kendi sayfasına bağlantı olarak çözün |
Bildirim gerekiyorsa: doğru olanı böyle görünür
Onay gerektiren hizmetler kullanan biri, gerçek bir seçim özgürlüğü bırakan bir bildirime ihtiyaç duyar. Alman denetim makamları beklentilerini dijital hizmet sağlayıcılara yönelik kılavuzlarında açıkladı; Avrupa Veri Koruma Kurulu da 2023'te çerez bildirimi görev gücünün sonuçlarını yayımladı. Ana fikir: Reddetmek, kabul etmekle aynı düzeyde ve aynı kolaylıkta mümkün olmalıdır.
Doğrusu böyle
- „Tümünü kabul et“ ve „Tümünü reddet“ aynı büyüklükte ve ilk katmanda
- Amaçları ve sağlayıcıları anlaşılır şekilde adlandırmak, kategorilere göre seçilebilir
- Onay gerektiren hizmetleri yalnızca onaydan sonra yüklemek
- Alt bilgide kalıcı bir „Çerez ayarları“ bağlantısı sunmak
- Bildirim açıkken de künye ve gizlilik politikasını erişilebilir tutmak
Bundan kaçının
- Reddetmeyi yalnızca „Ayarlar“ ve birkaç tıklamayla mümkün kılmak
- Kabulü renkle vurgulayıp reddi soluk bir metin bağlantısı olarak gizlemek
- İstatistik ya da pazarlama kutularını önceden işaretlemek
- Gezinmeye devam etmeyi ya da kaydırmayı onay saymak
- Analitiği ya da pikselleri karardan önce yüklemek
Üçüncü taraf bir onay yönetim aracı kendisi de çoğu zaman yabancı sunuculardan veri yükler. Nerede barındırıldığını, bir veri işleme sözleşmesi olup olmadığını ve seçimi gerçekten teknik olarak uygulayıp uygulamadığını kontrol edin. Arka planda her şey yüklenirken yalnızca güzel görünen bir bildirim, hiç bildirim olmamasından daha kötüdür.
En iyisi: hiç bildirim olmaması
En zarif çözüm, sorması gereken hiçbir şeyi yüklemeyen bir web sitesidir. Bürolar için bu neredeyse her zaman mümkündür, çünkü bildirimin tipik nedenleri reklam takibi ve gömülü yabancı içeriklerdir ve bir büro web sitesi bunlara nadiren ihtiyaç duyar. Kazancınız: ilk izlenimin önünde bildirim yok, eksiksiz istatistik ve verilerle özenle çalıştığınıza dair açık bir sinyal. Kendisi veri koruma danışmanlığı veren bürolar için bu bir yetkinlik kanıtıdır; ayrıntılar bilişim ve veri koruma hukuku büroları için web sitesi rehberinde.
Yazı tiplerini yerel olarak barındırın
Tüm yazı tipi dosyaları kendi sunucunuzda durur. Bu, simge yazı tipleri ve yabancı kaynaklardan gelen betikler için de geçerlidir.
Çerezsiz istatistik
Kısaltılmış IP adresleriyle çerezsiz Matomo ya da Plausible gibi veri tasarruflu bir istatistik. Bununla başarıyı nasıl ölçeceğinizi online görünürlüğü ölçmek rehberi gösteriyor.
Görsel olarak harita
Gömülü Google Haritalar haritası yerine „Yol tarifi al“ bağlantılı bir harita görseli ya da girişin fotoğrafı. Daha hızlı yüklenir ve kimseye bir şey ele vermez.
Önizleme görseli olarak videolar
YouTube bağlantılı bir önizleme görseli ya da kendi sunucunuzda duran bir video. Alternatif olarak video, sağlayıcı hakkında bir notla yalnızca tıklamadan sonra yüklenir.
Widget yerine bağlantılar
Online randevu, sosyal medya profilleri ve yorumlar gömülü widget'lar yerine normal bağlantılar olarak. Ayrıntılar online randevular rehberinde.
Reklam pikseli yok
Google Ads ya da Meta kampanyaları olmadan piksele gerek yoktur. Reklam veriyorsanız Google Ads rehberini okuyun ve bildirimi baştan planlayın.
Bürolara özgü durum: ilk temastan önce de gizlilik
Bürolarda bir sayfayı ziyaret etmek bile çok şey anlatır. Gece „ceza savunması“, „boşanma“ ya da „iflas“ sayfasını okuyan kişi kendisi hakkında çok şey ele verir. Bu sayfalardaki bir reklam pikseli bunu bir reklam platformuna bildirir. Hukuken onayla bu caizdir, ama özü sır saklama olan bir meslekle pek bağdaşmaz. Aynısı iletişim formları için de geçerlidir: Talepler doğrudan size ulaşmalı, şifreli olarak iletilmeli ve AB dışındaki bir form hizmetinden geçmemelidir.
Bu, bağımsızlığa ve tarafsızlığa özellikle dikkat eden noterler ve bağımsız denetçiler için de aynen geçerlidir. Takip içermeyen sade bir web sitesi burada yalnızca hukuken daha güvenli değil, aynı zamanda daha tutarlı bir görüntüdür.
Gizlilik politikası: içinde neler olmalı
Bildirim olmasa da bir gizlilik politikasına ihtiyacınız var, çünkü her web sitesi en azından barındırma firmasında ve iletişim formunda kişisel veri işler. Bilgilendirme yükümlülükleri GDPR m. 13'ten doğar. Künye (Impressum) gibi gizlilik politikası da her sayfadan tek tıklamayla erişilebilir olmalıdır. Künyeye nelerin girdiğini zorunlu bilgiler rehberleri açıklıyor, örneğin Almanya'daki avukatlar ya da Avusturya'daki vergi danışmanları için.
Gizlilik politikasının içeriği
- Sorumlu olarak büronun adı ve iletişim bilgileri, varsa veri koruma görevlisinin bilgileri
- Amaçlar ve hukuki dayanaklar: barındırma ve sunucu kayıt dosyaları, iletişim formu ve e-posta, istatistik
- Barındırma firması ve istatistik sağlayıcısı gibi alıcılar ve verilerin üçüncü ülkelere gidip gitmediği
- Saklama süresi ya da bunun ölçütleri
- Erişim, düzeltme, silme, kısıtlama, itiraz ve veri taşınabilirliği hakları
- Verilmiş onayların geri alınabileceğine dair not
- Denetim makamına şikâyet hakkı: Avusturya'da Datenschutzbehörde, Almanya'da eyalet veri koruma makamı
Uygulamadan iki not. Birincisi: Web sitesinin gizlilik politikası, vekâletin başında müvekkillere verdiğiniz veri koruma bilgilendirmesiyle aynı şey değildir. İkincisi: Almanya'daki bürolar § 38 BDSG uyarınca, en az 20 kişi sürekli olarak kişisel verilerin otomatik işlenmesiyle uğraşıyorsa, kural olarak bir veri koruma görevlisi atamak zorundadır. İnternetten alınan bir şablon nadiren tam uyar; politikayı gerçekten kullandığınız hizmetlere göre uyarlatın.
Künyeyi de hemen halledin
Ücretsiz künye oluşturucumuz, Avusturya ve Almanya'daki bürolar için meslek odasından meslek kurallarına kadar zorunlu bilgileri biliyor.
Web sitenizi kendiniz nasıl kontrol edersiniz
Web sitenizin sormadan üçüncü kişilere veri gönderip göndermediğini, uzmanlık bilgisi olmadan birkaç dakikada kendiniz kontrol edebilirsiniz. Tek ihtiyacınız bir tarayıcı.
Beş dakikalık kontrol
- Web sitesini gizli bir tarayıcı penceresinde açın ve henüz hiçbir şeye tıklamayın
- F12 ile geliştirici araçlarını açın, „Ağ“ sekmesine gidin, sayfayı yeniden yükleyin
- fonts.googleapis.com, google-analytics.com, googletagmanager.com, facebook.net, youtube.com gibi yabancı adresleri arayın
- „Depolama“ ya da „Uygulama“ sekmesinde hangi çerezlerin zaten yerleştirildiğine bakın
- Bildirimi kontrol edin: ilk katmanda reddetme, reddettikten sonra yabancı sunuculara istek yok
- Alt bilgiyi kontrol edin: künye, gizlilik politikası ve gerekiyorsa çerez ayarları bağlantılı
Onay vermeden önce yabancı sunuculara istekler bulursanız ajansınızla konuşun. Bu çoğu zaman birkaç değişiklikle düzeltilebilir ve sonrasında bildirimin tamamı sıklıkla ortadan kalkar.
Çerez bildirimi olmayan bir büro web sitesi
Web sitelerimiz yazı tiplerini yerel olarak yükler, çerezsiz ve veri tasarruflu ölçer ve yabancı hizmetleri sormadan gömmez. Künye ve gizlilik politikası hazırdır. Ücretsiz önizleme isteyin.
Büro web sitenizin bizde nasıl görünebileceğine dair bağlayıcı olmayan bir önizleme.
Kaynaklar
- Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz § 25 (Almanya)
- RIS – Telekommunikationsgesetz 2021 § 165 (Avusturya)
- Genel Veri Koruma Tüzüğü (AB) 2016/679
- AB Adalet Divanı, 1 Ekim 2019 tarihli karar, C-673/17 (Planet49)
- Avrupa Veri Koruma Kurulu – Çerez bildirimi görev gücü raporu
- Datenschutzkonferenz – dijital hizmet sağlayıcılar için kılavuz
- Bundesdatenschutzgesetz § 38 (veri koruma görevlileri)
- Avusturya Veri Koruma Kurumu (Datenschutzbehörde)
- LG München I, 20.01.2022 tarihli karar, dosya no. 3 O 17493/20 (Google Fonts)
