Datenschutz Website: Was wirklich Pflicht ist
Beim Stichwort „Datenschutz Website“ denken die meisten an das Cookie-Banner, das beim ersten Besuch erscheint. Ein Klick auf „Akzeptieren“, und die Sache scheint erledigt.
Ist sie nicht. Die DSGVO gilt für jede Verarbeitung personenbezogener Daten, und eine Website erhebt solche Daten auch dann, wenn Sie gar nicht daran denken – über Formulare, Analyse-Tools, Newsletter-Systeme und eingebettete Inhalte anderer Plattformen.
Was als personenbezogenes Datum gilt
Der Begriff ist weiter gefasst, als man annimmt.
Personenbezogen ist jede Information, die sich einer bestimmten Person zuordnen lässt. Name und E-Mail-Adresse sind die offensichtlichen Beispiele. Auch IP-Adresse, Cookie-ID und Gerätedaten fallen darunter, obwohl sie für sich genommen nicht nach einem Namen aussehen.
Deshalb fallen Webanalyse, Werbepixel und eingebettete Videos in den Anwendungsbereich der DSGVO. Jedes davon erhebt Daten, bevor der Besucher überhaupt etwas getan hat.
Wo bei Cookies am häufigsten Fehler passieren
Ein Cookie-Banner gibt es auf fast jeder Website. Richtig eingerichtet ist es nur bei einer Minderheit.
Der häufigste Fehler: Skripte laufen vor der Einwilligung. Die Analyse lädt, sobald die Seite geöffnet wird, das Banner erscheint erst danach. Damit sind die Daten bereits erhoben, und die Einwilligung läuft ins Leere.
Der zweite: Es fehlt eine Möglichkeit zur Ablehnung. Bietet das Banner nur „Akzeptieren“, ist Ablehnen nicht so einfach wie Zustimmen – genau das verlangt die DSGVO aber ausdrücklich. Der Ablehnen-Button muss auf derselben Ebene stehen und gleich gut sichtbar sein.
Der dritte: vorausgewählte Zustimmung. Ein bereits gesetztes Häkchen ist keine Einwilligung, denn Untätigkeit ist keine Zustimmung.
Hinzu kommt, dass Google seit 2024 für Nutzer aus dem Europäischen Wirtschaftsraum eine Einwilligungsverwaltung nach dem Consent Mode verlangt. Ohne sie werden die Daten in Analyse und Werbekampagnen lückenhaft.
Kontaktformulare und DSGVO auf der Website
Das Formular ist der direkteste Weg, Daten zu erheben – und am einfachsten sauber zu regeln.
Daneben gehört eine klare Information, wer die Daten erhebt, zu welchem Zweck und wie lange sie gespeichert werden. Das Einwilligungsfeld darf nicht vorausgewählt sein, und der Text dazu muss verständlich sein, mit einem Link zur Datenschutzerklärung.
Erheben Sie nur, was Sie brauchen. Wenn Sie für die Antwort auf eine Anfrage Name und E-Mail-Adresse benötigen, gibt es keinen Grund für ein Feld mit dem Geburtsdatum.
Achten Sie auch darauf, wo die Nachrichten landen. Werden sie in der Datenbank der Website gespeichert, kann jeder darauf zugreifen, der ins System gelangt – und damit sind wir wieder bei der Sicherheit.
Was in die Datenschutzerklärung gehört
Dieses Dokument wird am häufigsten von fremden Websites abgeschrieben – und entspricht am wenigsten der tatsächlichen Lage.
Sie muss angeben, wer der Verantwortliche ist, mit Kontaktdaten, welche Kategorien von Daten zu welchem Zweck erhoben werden, auf welcher Rechtsgrundlage und wie lange sie gespeichert werden. Außerdem sind die Empfänger der Daten aufzuführen – Hosting, E-Mail-Anbieter, Analyse, Werbeplattformen – sowie die Rechte der Besucher, darunter Auskunft, Berichtigung, Löschung und Widerspruch.
Werden Daten außerhalb des Europäischen Wirtschaftsraums übermittelt, muss das zusammen mit den Schutzmaßnahmen angegeben werden.
Verträge mit Dienstleistern
Der Teil, der fast immer übersprungen wird.
Wer in Ihrem Auftrag Daten verarbeitet – Hosting, Newsletter-System, Buchungsplattform –, gilt als Auftragsverarbeiter. Mit jedem davon brauchen Sie einen Auftragsverarbeitungsvertrag (AVV), der diese Verarbeitung regelt. Die meisten seriösen Anbieter haben ihn vorbereitet, und es genügt, ihn in den Kontoeinstellungen zu akzeptieren.
Wie groß ist das tatsächliche Risiko?
Die DSGVO sieht hohe Bußgelder vor, in der Praxis werden sie aber in schwereren Fällen verhängt.
Realistischer ist für ein kleineres Unternehmen eine Beschwerde eines unzufriedenen Besuchers oder Mitbewerbers bei der Aufsichtsbehörde, gefolgt von der Aufforderung zur Stellungnahme. Dann werden Nachweise über die eingeholten Einwilligungen verlangt und ein Einblick, wie die Website eingerichtet ist.
Das zweite Risiko ist geschäftlich. Immer mehr Auftraggeber, vor allem aus dem öffentlichen Sektor und aus dem Ausland, prüfen die Konformität vor einer Zusammenarbeit.
So wird Ihre Website DSGVO-konform
Das gelingt in wenigen Schritten.
Erfassen Sie alles, was auf der Website Daten erhebt, einschließlich eingebetteter Inhalte. Richten Sie ein Einwilligungssystem ein, das Skripte bis zur Zustimmung tatsächlich blockiert und erteilte Einwilligungen protokolliert. Überarbeiten Sie die Formulare und ergänzen Sie ein Einwilligungsfeld. Schreiben Sie die Datenschutzerklärung nach der tatsächlichen Lage, nicht nach einer Vorlage. Prüfen Sie die Verträge mit Ihren Dienstleistern. Legen Sie einen Ablauf fest für den Fall, dass jemand die Löschung seiner Daten verlangt.
Bitte beachten Sie, dass dies keine Rechtsberatung ist. In komplexeren Fällen, insbesondere bei der Verarbeitung sensibler Daten, empfiehlt es sich, eine Fachperson für Datenschutz hinzuzuziehen.
Unser Ansatz
Die grundlegende Konformität richten wir auf jeder Website ein, die wir erstellen: ein Einwilligungssystem, das Skripte bis zur Zustimmung blockiert, sauber eingerichtete Formulare und eine Vorlage für die Datenschutzerklärung, abgestimmt auf Ihre Branche.
