Wenn ein Unternehmen seinen Gästen ein WLAN anbietet, sind im Sinne der Datenschutz-Grundverordnung (DSGVO) verschiedene Anforderungen zu beachten, um den Schutz personenbezogener Daten sicherzustellen und rechtliche Risiken zu minimieren. Die wichtigsten Punkte lassen sich wie folgt zusammenfassen:
Rechtliche Grundlagen und Transparenz für das Gast-WLAN
Information der Nutzer: Gäste müssen vor der Nutzung des WLANs klar und verständlich darüber informiert werden, welche personenbezogenen Daten (z. B. IP-Adressen, Gerätekennungen, Nutzungsdaten) erhoben werden, zu welchem Zweck diese Daten verarbeitet werden und wie lange sie gespeichert werden. Diese Informationen müssen in einer Datenschutzinformation (Art. 13 DSGVO) bereitgestellt werden und idealerweise vor der WLAN-Nutzung zugänglich sein.
Einwilligung: Vor dem Zugang zum Gäste-WLAN sollte die Einwilligung der Nutzer zur Datenverarbeitung eingeholt werden. Dies kann über eine sogenannte Captive Portal-Seite erfolgen, auf der die Nutzer die Nutzungsbedingungen und Datenschutzhinweise bestätigen müssen.
Nutzungsbedingungen: Es empfiehlt sich, klare Nutzungsbedingungen zu formulieren, die den Gästen die Art der Datenerhebung, den Umfang, den Zweck und die Verantwortlichkeiten erläutern. Auch Hinweise zur Haftungsausschluss, z. B. dass keine ständige und fehlerfreie Internetverbindung garantiert wird, sollten enthalten sein.
Technische und organisatorische Maßnahmen (TOMs)
Netzwerktrennung: Das Gäste-WLAN sollte strikt vom internen Firmennetz getrennt sein, z. B. durch VLANs, um die Sicherheit und Vertraulichkeit der Unternehmensdaten zu gewährleisten (Art. 5 Abs. 1 lit. f DSGVO).
Verschlüsselung: Die WLAN-Verbindung sollte mindestens mit WPA2 oder besser WPA3 verschlüsselt sein, um die Datenübertragung vor unbefugtem Zugriff zu schützen.
Authentifizierung: Eine Nutzerregistrierung oder Authentifizierung (z. B. individuelle Zugangsdaten, Einmal-Passwörter) ist empfehlenswert, um den Zugang kontrollieren zu können und Missbrauch zu verhindern.
Sicherheitsupdates: Die WLAN-Hardware und Software müssen regelmäßig aktualisiert werden, um Sicherheitslücken zu schließen.
Firewall und Monitoring: Der Einsatz von Firewalls und ggf. Intrusion Detection Systemen (IDS) zur Überwachung und Absicherung des WLANs ist sinnvoll.
Datenminimierung und Speicherfristen beim Gast-WLAN
Datenminimierung: Es dürfen nur die unbedingt notwendigen personenbezogenen Daten erhoben und verarbeitet werden (Art. 5 Abs. 1 lit. c DSGVO).
Speicherbegrenzung: Die gespeicherten Daten müssen nach Ablauf der festgelegten Aufbewahrungsfristen gelöscht werden. Diese Fristen sollten dokumentiert und in einem Löschkonzept festgehalten sein.
Haftung und Nutzerverantwortung
Haftungsausschluss: Das Unternehmen haftet in der Regel nicht für Rechtsverstöße (z. B. Urheberrechtsverletzungen) durch Nutzer im Gäste-WLAN. Die Nutzer haften persönlich.
Hinweise zur Nutzung auf eigene Gefahr: Gäste sollten darauf hingewiesen werden, dass sie das WLAN auf eigenes Risiko nutzen, z. B. im Hinblick auf Viren oder Hackerangriffe auf ihre Geräte.
Keine Garantie für Verfügbarkeit: Ein Hinweis, dass keine ständige und fehlerfreie Verbindung garantiert wird, reduziert Haftungsrisiken
Dokumentation und Verantwortlichkeiten
Verzeichnis von Verarbeitungstätigkeiten: Das Unternehmen muss die Datenverarbeitung im Zusammenhang mit dem Gäste-WLAN dokumentieren (Art. 30 DSGVO)[3].
Auftragsverarbeitung: Falls externe Dienstleister eingebunden sind, ist zu prüfen, ob ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) erforderlich ist.
Berechtigungskonzept: Es muss festgelegt sein, wer Zugriff auf die gespeicherten Daten hat.
Diese Maßnahmen schützen sowohl die Gäste als auch das Unternehmen oder Verein vor Datenschutzverstößen und Haftungsrisiken.
