Ein Stream verarbeitet personenbezogene Daten, ob man will oder nicht: Ohne IP-Adresse kommt kein Audiopaket beim Hörer an. Daraus folgen Pflichten, die sich mit überschaubarem Aufwand erfüllen lassen, wenn man sie kennt.
Wo überall Daten anfallen
- Streaming-Server. Jede Verbindung erzeugt einen Logeintrag mit IP-Adresse, Zeitstempel, verwendeter Software und Verbindungsdauer. IP-Adressen gelten als personenbezogene Daten.
- Website. Server-Logfiles des Webhosters, dazu alles, was der Player nachlädt.
- Player und Einbindungen. Ein eingebetteter Player eines Drittanbieters baut eine Verbindung zu dessen Servern auf, oft schon beim Laden der Seite.
- Statistik und Reichweitenmessung. Jede Auswertung, die über die reine Zählung gleichzeitiger Verbindungen hinausgeht, ist eine eigenständige Verarbeitung.
Rechtsgrundlage und Verhältnismäßigkeit
Für den technischen Betrieb, also die Auslieferung des Streams und die Abwehr von Missbrauch, lässt sich in der Regel ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO anführen. Wichtig sind zwei Punkte: Die Logdaten dürfen nur so lange gespeichert werden, wie sie für diesen Zweck nötig sind, und sie dürfen nicht zweckentfremdet werden. Eine Speicherfrist von wenigen Tagen ist üblich und lässt sich in Icecast und den meisten Hosting-Oberflächen konfigurieren.
Alles, was darüber hinausgeht, braucht eine eigene Grundlage. Wer Hörerprofile bildet, Verhalten über Sitzungen hinweg verknüpft oder Daten an Dritte weitergibt, bewegt sich außerhalb dessen, was sich mit dem technischen Betrieb begründen lässt.
Auftragsverarbeitung mit dem Hoster
Streaming-Hoster und Webhoster verarbeiten die Daten im Auftrag des Senders. Dafür ist ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig. Seriöse Anbieter stellen ihn bereit, oft direkt im Kundenkonto. Liegt der Server außerhalb der EU, kommt die Frage der Drittlandübermittlung dazu, die zusätzliche Garantien erfordert. Wer die Wahl hat, spart sich mit einem Standort innerhalb der EU einigen Aufwand, siehe auch Webradio starten.
Cookies, Player und eingebettete Inhalte
Für das Speichern von Informationen auf dem Endgerät und den Zugriff darauf gelten eigene Regeln: Was nicht für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist, braucht eine Einwilligung. Praktisch heißt das: Ein selbst gehosteter HTML5-Player ohne Tracking ist unproblematisch, ein eingebetteter Player eines Drittanbieters oder ein Social-Media-Widget in der Regel nicht. Wer Einbettungen nutzt, sollte sie erst nach aktivem Klick laden.
Datenschutzerklärung und Impressum
Die Datenschutzerklärung muss beschreiben, welche Daten beim Aufruf der Website und beim Abspielen des Streams anfallen, wer sie verarbeitet, wie lange sie gespeichert werden und welche Rechte Betroffene haben. Sie gehört von jeder Seite aus erreichbar, ebenso das Impressum, dessen medienrechtliche Anforderungen in Lizenzen für Webradio beschrieben sind.
Hörerkontakt und Community
Wunschanfragen per Formular, Chat während der Sendung, Gewinnspiele: Sobald Hörer selbst Daten eingeben, gilt der Grundsatz der Datenminimierung. Für einen Musikwunsch braucht es keine Postanschrift. Wer Beiträge in einer Community moderiert, sollte zusätzlich festlegen, wie lange Nachrichten gespeichert bleiben.
Dieser Beitrag gibt einen Überblick und ersetzt keine Rechtsberatung im Einzelfall.