GESAMTURTEIL (100%)

Maximale Punkte

Punkte

Schritt

Änderungen der Datenschutz-Erklärung

20

5

Ist eine explizite Information nach erfolgten Änderungen in der App gemäß Datenschutzerklärung vorgesehen?

5

Ist eine explizite Information nach erfolgten Änderungen in der E-Mail gemäß Datenschutzerklärung vorgesehen?

3

Ist eine explizite Information nach erfolgten Änderungen auf der Website gemäß Datenschutzerklärung vorgesehen?

3

Ist ein Datum auf der Datenschutzerklärung angegeben?

4

Wird auch die frühere Version der Datenschutzerklärung zur Ansicht angeboten?

2

Sieht die Datenschutzerklärung lediglich eine Aktualisierung und Veröffentlichung neuer Datenschutzrichtlinien auf der Website vor?

1

Beschreibt die Datenschutzerklärung lediglich, dass die Erklärung regelmäßig aktualisiert wird, aber nicht, wie und wo der Kunde sich selbst darüber informieren kann?

Verschlüsselung

35

20

Ist der Datenverkehr der Anbieter-Website verschlüsselt?

15

Werden aktuelle Verschlüsselungsverfahren verwendet (TLS 1.2 und TLS 1.3, jedoch nicht TLS 1.0 und TLS 1.1)?

Möglicherweise unfaire Datenschutz-Bestimmungen

10

4-10

Wie viele Anzeichen bestehen dafür, dass es unfaire Datenschutzbestimmungen gibt?
10 Punkte werden vergeben, wenn keine Anzeichen erkannt werden.
7 Punkte gibt es, wenn wenige (maximal drei Stellen) Anzeichen für unfaire Datenschutzbestimmungen erkannt werden, die alle im geringfügigen Rahmen bleiben.
4 Punkte erhält man, wenn mehrere (maximal fünf Stellen) Anzeichen für unfaire Datenschutzbestimmungen erkannt werden, die alle im geringfügigen Rahmen bleiben.
0 Punkte werden in allen anderen Fällen vergeben.

Automatisierte Entscheidungsfindung

10

10

Ist die automatisierte Entscheidungsfindung und Profiling ausgeschlossen?

5

Findet eine automatisierte Entscheidungsfindung oder Profiling statt, aber es ist ein deutlicher Grund angegeben?

2

Findet eine automatisierte Entscheidungsfindung oder Profiling statt, aber es ist nicht vollständig verständlich?

0

Fehlt eine Aussage bezüglich automatisierter Entscheidungsfindung oder Profiling und gibt es Anzeichen, dass diese dennoch stattfindet?

Betroffenenrechte

20

10

Wird über alle Betroffenenrechte informiert?

0-10

Wie viele Schwächen bei der Information über Betroffenenrechte können erkannt werden (z. B. undeutlich, nicht vollständig klar)?
10 Punkte, wenn nur keine erhebliche Schwäche identifiziert werden konnte.
7 Punkte, wenn wenige erhebliche (maximal 3 Stellen) Schwächen identifiziert werden.
4 Punkte, wenn mehrere erhebliche (maximal 5 Stellen) identifiziert werden.
0 Punkte, wenn viele erhebliche (ab 9 Stellen) identifiziert werden.

Tracking

25

25

Sind keine Tracking-Maßnahmen vorgesehen?

10

Ist das Tracking kontrollierbar als Ganzes (bedeutet: vollständig deaktivierbar und nicht nur in Teilen)?

10

Findet das Tracking in anonymisierter Form statt?

5

Wenn nein, findet das Tracking in pseudonymisierter Form statt?

3

Ist das Tracking sinnvoll begründet?

Standort des Anbieters

10

10

Ist der Standort des Anbieters in Deutschland?

8

Wenn nein: Ist der Standort des Anbieters ansonsten in der EU oder in einem Land, wo die DSGVO gilt?

6

Wenn nein: Ist der Standort in einem Land, in dem ein Angemessenheitsbeschluss der Europäischen Kommission vorliegt?

6

Wenn nein: Ist das Unternehmen durch ein Datenschutz-Abkommen (z. B. EU-US Data Privacy Framework) abgedeckt?

6

Wenn nein: Wurden gemäß Datenschutzerklärung Verträge mit Standardvertragsklauseln gemäß der Europäischen Kommission abgeschlossen?

3

Wenn nein, informiert der Anbieter transparent darüber und holt eine explizite und informierte Einwilligung für die Datenverarbeitung ein und sieht der Anbieter spezifische Kontaktkanäle für Datenschutz-Anfragen vor (z. B. E-Mail oder Formular für Datenschutz-Anfragen)?

Sprache

10

10

Ist die Datenschutzerklärung in Zielgruppen-Sprache (z.B. Deutsch)?

5

Ist die Datenschutzerklärung NUR in englischer Sprache, aber nicht in Zielgruppen-Sprache (z.B. Deutsch)?

0

Ist die Datenschutzerklärung weder in der Zielgruppen-Sprache (z.B. Deutsch) noch Englisch?

Datenverkauf

10

10

Ist kein Verkauf bzw. kommerzielle Weitergabe von persönlichen Daten an Dritte vorgesehen?

5

Wenn Verkauf bzw. kommerzielle Weitergabe vorgesehen ist, kann dies durch Wahlmöglichkeiten kontrolliert (z. B. Opt-In) werden und ist der Verkauf standardmäßig deaktiviert?

2

Wenn Verkauf bzw. kommerzielle Weitergabe vorgesehen ist, ist dies standardmäßig „aktiviert“ und kann der Verkauf durch Wahlmöglichkeiten kontrolliert (z. B. Opt-Out)?

3

Wenn Verkauf bzw. kommerzielle Weitergabe vorgesehen ist, sind die Dritten bzw. Käufer konkret benannt?

X

Gibt es Anzeichen, dass persönliche Daten verkauft oder weitergegeben werden, ohne dass dies offengelegt wird?

Nutzung von Dritt-Diensten aus Dritt-Ländern

10

10

Findet keine Weitergabe von persönlichen Daten an Dritte statt, um die Dienstleistung zu erbringen?

8

Gibt es gemäß der Datenschutzerklärung Dienste zum Zwecke der Verarbeitung persönlicher Daten von Anbietern aus Deutschland, der EU oder einem Land mit Angemessenheitsbeschluss oder sind diese durch ein anderweitiges Datenschutz-Abkommen (z. B. EU-US Data Privacy Framework) abgedeckt?

5

Wenn nein, sind Standardvertragsklauseln der Europäischen Kommission gültig und wird der Nutzer explizit um Zustimmung gefragt?

3

Wenn auch keine Standardvertragsklauseln abgeschlossen wurden, wird explizit um Zustimmung gefragt und dies in einfach zugänglicher sowie in der Datenschutzerklärung offengelegt?

Verantwortlicher

10

10

Ist der Verantwortliche vollständig benannt? Vollständig bedeutet: Firmenname, Anschrift, Land, eMail Adresse, Telefonnummer und Fax sind aufgeführt.

8

Ist der Verantwortliche benannt, mit Firmenname, Anschrift, Land, und Telefonnummer. Aber es fehlen eMail Adresse oder Fax.

6

Ist der Verantwortliche benannt, mit Firmenname, Anschrift, Land, und Telefonnummer sind aufgeführt. Aber es fehlen eMail und Fax.

4

Ist der Verantwortliche nur grob benannt? Grob bedeutet: Firmenname, Anschrift, Land. Aber es fehlen eMail, Fax und Telefonnummer.

2

Ist der Verantwortliche lediglich namentlich benannt? Aber es fehlen weitere Angaben wie, Anschrift, eMail, Fax und Telefonnummer.

0

Der Verantwortliche ist nicht benannt und/oder erschwert identifizierbar.

Datenschutzbeauftragter

10

10

Ist ein Datenschutzbeauftragter benannt und vollständig mit Namen, Anschrift und Kontaktdaten (eMail und Fax) angegeben?

8

Ist ein Datenschutzbeauftragter benannt, aber Kontaktdaten unvollständig, z.B. eMail oder Fax fehlen ?

3

Ist ein Datenschutzbeauftragter benannt, aber ohne weitere Kontaktdaten?

0

Es ist kein Datenschutzbeauftragter benannt.

Verständlichkeit

35

10

Sind die Formulierungen der Datenschutzerklärung verständlich und werden komplizierte Begriffe (z. B. Fachbegriffe) vermieden?

8

Werden nur wenige komplizierte Begriffe verwendet?

5

Werden an einigen Stellen komplizierte Begriffe verwendet?

2

Werden an vielen Stellen komplizierte Begriffe verwendet?

0

Ist die Datenschutzerklärung als nicht verständlich für normale Verbraucher einzustufen?

Lesbarkeit

10

10

Ist das Format und Struktur sehr gut lesbar? Ist die Schriftgröße angemessen? Ist die Schriftart sehr gut lesbar? Sind die Formatierungen sehr gut aufgebaut? Werden die Texte in einer gut lesbaren Ansicht dargestellt?

7

Es bestehen geringe Mängel an einem oder zwei obigen Kriterien.

5

Es bestehen beachtenswerte Mängel an mehreren obigen Kriterien.

4

Es bestehen erhebliche Mängel, jedoch nicht gravierend.

0

Es bestehen ernsthafte Mängel. Die Lesbarkeit wird erheblich erschwert!

Aktualität

10

10

Macht die Datenschutz-Erklärung einen aktuellen Eindruck? Ist ein Datum angegeben? Liegt das Datum weniger als 1 Jahre zurück?

7

Macht die Datenschutz-Erklärung einen aktuellen Eindruck? Ist ein Datum angegeben? Liegt das Datum weniger als 3 Jahre zurück?

5

Macht die Datenschutz-Erklärung einen aktuellen Eindruck? Es fehlt aber ein Datum?

0

Die Datenschutz-Erklärung macht einen veralteten Eindruck, das Datum liegt länger als 4 Jahre zurück oder es fehlt das Datum komplett.

Zugänglichkeit

10

10

Datenschutzerklärung ist leicht zugängilich mit 1 Klick. Datenschutz-Erklärung kann später wieder aufgerufen werden oder alternativ weg-gespeichert, oder weg-kopiert werden.

8

Datenschutzerklärung ist zugängilich mit 2 Klicks oder weniger. Datenschutz-Erklärung kann später wieder aufgerufen werden oder alternativ weg-gespeichert, oder weg-kopiert werden.

6

Datenschutzerklärung ist zugängilich mit 3 Klicks oder weniger. Datenschutz-Erklärung kann später wieder aufgerufen werden oder alternativ weg-gespeichert, oder weg-kopiert werden.

3

Datenschutz-Erklärung kann nach erstmaligem Aufruf nicht mehr wieder aufgerufen werden oder alternativ weg-gespeichert, oder weg-kopiert werden.

0

Datenschutzerklärung ist nicht zugänglich oder Link funktioniert nicht.

Versionierung

10

10

Frühere Versionen der Datenschutz-Erklärung sind veröffentlicht und leicht erkenntlich (mit maximal 2 Klicks).

8

Frühere Versionen der Datenschutz-Erklärung sind veröffentlicht, aber zugänglich (3 oder 5 Klicks).

6

Frühere Versionen der Datenschutz-Erklärung sind veröffentlicht, aber nicht komfortabel zugänglich (3 oder 5 Klicks).

2

Frühere Versionen der Datenschutz-Erklärung sind veröffentlicht, aber schwerer zugänglich (5 oder 6 Klicks).

0

Frühere Versionen der Datenschutz-Erklärung sind nicht veröffentlicht oder es sind 7 Klicks oder mehr notwendig.

Technisch-Organisatorische Maßnahmen

10

10

Es wird versichert, dass technisch-organisatorische Maßnahmen zum Schutz der Daten bestehen. Die Beschreibung ist umfassend.

5

Es wird versichert, dass technisch-organisatorische Maßnahmen zum Schutz der Daten bestehen. Die Beschreibung ist akzeptabel.

0

Es wird nicht versichert, dass technisch-organisatorische Maßnahmen zum Schutz der Daten bestehen.

Verarbeitungsumfang und Zwecke

40

10

Werden die verarbeiteten Informationen nicht nur umschrieben (z. B. Geräte-Daten), sondern konkret genannt (z. B. IP-Adresse)?

7

Werden die verarbeiteten Daten nur umschrieben in Kategorien – aber nicht konkret benannt?

0

Werden die verarbeiteten Daten weder in Kategorien umschrieben noch konkret benannt?

10

Ist ein konkreter Zweck benannt?

0

Fehlt der konkrete Zweck?

10

Wird für die Verarbeitung eine konkrete Rechtsgrundlage aufgeführt?

5

Wird für die Verarbeitung eine Rechtsgrundlage genannt, aber diese ist ev. nicht umfassend oder nicht klar genug beschrieben?

0

Wird für die Verarbeitung keine Rechtsgrundlage aufgeführt?

10

Wird konkret aufgeführt wie lange die Daten gespeichert werden?

7

Wird die Speicherdauer an einigen Stellen lediglich umschrieben, aber es fehlen konkrete Nennungen?

0

Wird auf die Speicherdauer gar nicht eingegangen?

App Installation

20

20

Ist die App über offizielle App-Stores installierbar?
Lässt sich die App über vertrauenswürdige Stores wie den App Store (Apple), Google Play oder Samsung Galaxy Store installieren? Offizielle Bezugsquellen sind bevorzugt.

6

Wenn nein, erfolgt der Download nur über einen QR-Code oder einen Link, jeweils von der Website des App-Herstellers?

2

Wenn nein, ist die App nur über Drittanbieter oder inoffizielle Quellen verfügbar?

App Informationen

20

20

Wird vor der Installation der App umfassend über Datensicherheit informiert?
Die Informationen sollten konkret erfasste Daten nennen und angeben, ob Daten mit Dritten geteilt werden. Beides ist erfüllt, wenn es entweder direkt angegeben ist oder in einer verlinkten Datenschutzerklärung ersichtlich wird.

Cookies auf Dienste-Website

40

40

Werden optionale Cookies (z. B. zu Statistik- oder Marketingzwecken) vollständig vermieden?

10

Wenn verständlich und übersichtlich: 10 Punkte.
Wenn mehrere (3 bis 9 Stellen) unverständlich oder unübersichtlich sind: 5 Punkte.
Wenn viele Punkte (10 Stellen und mehr) missverständlich, unverständlich oder unübersichtlich sind: 0 Punkte.
Wie viele Klicks sind notwendig, um alle nicht notwendigen Cookies abzulehnen?

0-15

Wie viele Klicks sind notwendig, um alle nicht notwendigen Cookies abzulehnen?
Bei 2 Klicks oder weniger: 15 Punkte.
Bei 3–4 Klicks: 10 Punkte.
Bei 5–10 Klicks: 6 Punkte.
Bei 11 Klicks oder mehr: 4 Punkte.
Bei 20 Klicks oder mehr: 0 Punkte.

0-10

Wie viele Klicks sind notwendig, um nach getroffener Auswahl Änderungen vorzunehmen?
Bei 2 Klicks oder weniger: 10 Punkte.
Bei 3–4 Klicks: 8 Punkte.
Bei 5–10 Klicks: 6 Punkte.
Bei 11 Klicks oder mehr: 4 Punkte.
Bei 20 Klicks oder mehr: 0 Punkte.

x

Wird die Cookie-Auswahl sehr erschwert (z. B. durch Dark Patterns oder komplizierte Gestaltung)?
Eine Erschwerung liegt vor, wenn mehr als 20 Cookies jeweils einzeln entschieden werden müssen.

Prozentual erreichte Punktzahl im jeweiligen Bereich

= Note

= Bezeichnung

100% – 88%

= 1,0 – 1,5

= Sehr gut

87% – 70%

= 1,51 – 2,5

= Gut

69% – 55%

= 2,51 – 3,5

= Befriedigend

54% – 50%

= 3,51 – 4,5

= Ausreichend

49% – 40%

= 4,51 – 5,5

= Mangelhaft

39% – 0%

= 5,51 – 6,0

= Ungenügend

Gesamtnote =

∑ Ni​

n

Gesamtnote =

∑(Ni​ × Wi​)

∑Wi​

= Errechnete Gesamtbewertung

= Bewertung ausgeschrieben

= Award Qualifikation

1,0 – 1,5

Sehr gut

qualifiziert für EUSEC DATENSCHUTZ-AWARD

1,51 – 2,5

Gut

–

2,51 – 3,5

Befriedigend

–

3,51 – 4,5

Ausreichend

–

4,51 – 5,5

Mangelhaft

–

5,51 – 6,0

Ungenügend

–