Wer eine Online-Community betreibt, in der Nutzer Konten erstellen und Beiträge verfassen, trägt datenschutzrechtliche Verantwortung. Die DSGVO gilt seit 2018 europaweit und macht keinen Unterschied zwischen kommerziellen Plattformen und ehrenamtlich betriebenen Foren. Ein Grundverständnis der wichtigsten Pflichten ist für jeden Community-Betreiber unerlässlich.
Welche Daten werden überhaupt erhoben?
Der erste Schritt zu datenschutzkonformem Betrieb ist eine ehrliche Bestandsaufnahme: Welche Nutzerdaten werden tatsächlich erhoben und gespeichert? Typische Datenpunkte in Community-Plattformen sind E-Mail-Adressen bei der Registrierung, Benutzernamen, IP-Adressen, Zeitstempel von Beiträgen und — bei entsprechenden Einstellungen — Profilbilder und selbst eingetragene Informationen.
Jede dieser Datenkategorien ist eine personenbezogene Information im Sinne der DSGVO, wenn sie einer natürlichen Person zugeordnet werden kann. Das bedeutet: Die Erhebung muss durch eine Rechtsgrundlage gedeckt sein — in den meisten Fällen die Einwilligung des Nutzers oder die Erfüllung eines Vertrags (d.h. die Nutzung der Plattform selbst).
Datenschutzerklärung: Pflicht und Praxis
Eine Datenschutzerklärung ist für jeden Community-Betreiber Pflicht. Sie muss in klarer, verständlicher Sprache beschreiben, welche Daten zu welchem Zweck erhoben werden, wie lange sie gespeichert bleiben, ob sie an Dritte weitergegeben werden, und welche Rechte Nutzer haben (Auskunft, Löschung, Berichtigung).
Die Datenschutzerklärung muss leicht auffindbar sein — typischerweise im Footer der Website, verlinkbar von der Registrierungsseite. Versteckte oder schwer auffindbare Datenschutzhinweise erfüllen die DSGVO-Anforderungen nicht.
Eine aktuelle, offizielle Orientierungshilfe bietet die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI), die kostenlose Informationen für Verantwortliche bereitstellt.
Nutzerdaten löschen: Das Recht auf Vergessenwerden
Nutzer haben das Recht, die Löschung ihrer Daten zu beantragen — das sogenannte "Recht auf Vergessenwerden" nach Art. 17 DSGVO. Das bedeutet für Community-Betreiber: Es muss ein funktionierender Prozess geben, mit dem Nutzerkonten und die zugehörigen persönlichen Daten auf Antrag gelöscht werden können.
Komplizierter wird es bei Beiträgen, die andere Mitglieder zitiert oder auf die reagiert haben. Hier gibt es kein pauschales Recht auf Löschung des Inhalts — aber personenbezogene Informationen im Beitrag selbst, etwa der Benutzername, können im Rahmen einer Pseudonymisierung entfernt werden. Viele Forum-Plattformen bieten dafür entsprechende Anonymisierungsfunktionen an.
Drittanbieter und externe Dienste
Wer externe Dienste in die Community einbindet — sei es ein Analysewerkzeug, ein eingebettetes Video oder ein externes Kommentarsystem — trägt Mitverantwortung für die dabei übertragenen Daten. Jede Einbindung eines externen Dienstes erfordert eine entsprechende Aufklärung in der Datenschutzerklärung.
Besonders kritisch sind Dienste mit Sitz außerhalb der EU oder des EWR, da für diese Datentransfers besondere Anforderungen gelten. Wer eine Community ohne juristische Beratung betreibt, fährt auf der sicheren Seite, wenn er externe Dienste auf das notwendige Minimum beschränkt und dabei bevorzugt Anbieter mit EU-Sitz wählt.
Minderjährige in der Community
Wenn eine Community auch für Jugendliche zugänglich ist, gilt zusätzlich zu beachten: Die DSGVO sieht für Kinder unter 16 Jahren (in Deutschland unter 16 Jahren — einige EU-Staaten haben die Altersgrenze auf 13 abgesenkt) besondere Anforderungen vor. Eine Einwilligung ist in diesen Fällen nur mit Zustimmung der Erziehungsberechtigten wirksam. Wer keine Ressourcen hat, Altersüberprüfungen technisch durchzusetzen, sollte die Nutzungsbedingungen klar auf Volljährige oder Nutzer ab 16 Jahren beschränken und das entsprechend kommunizieren.