DSGVO-konforme Website: Die Checkliste für Unternehmen

Warum betrifft die DSGVO jede Website?

Wer eine Website betreibt, verarbeitet in der Regel personenbezogene Daten: IP-Adressen der Besucher, Daten aus Kontaktformularen, Tracking-Informationen, Newsletter-Anmeldungen. Damit greift die Datenschutz-Grundverordnung (DSGVO). Das gilt auch dann, wenn die Website auf einem externen Hoster liegt und die Betreiberin kein großes Unternehmen ist.

Die gute Nachricht: DSGVO-konform zu sein bedeutet nicht, ein kompliziertes Compliance-Projekt aufzusetzen. Für die meisten Websites reicht ein strukturiertes Vorgehen, das die wichtigsten Pflichten abdeckt.

SSL und HTTPS: Technische Grundvoraussetzung

Art. 32 DSGVO verpflichtet Verantwortliche zu angemessenen technisch-organisatorischen Maßnahmen zum Schutz personenbezogener Daten. Für Websites bedeutet das zunächst: eine verschlüsselte HTTPS-Verbindung über ein gültiges SSL-Zertifikat.

Das ist heute Standard und technisch unkompliziert. Die meisten Hosting-Anbieter stellen SSL-Zertifikate kostenlos zur Verfügung. Eine Website, die Formulare oder Logins über HTTP (ohne Verschlüsselung) betreibt, ist nicht nur DSGVO-problematisch, sondern wird auch von Browsern als unsicher markiert.

Datenschutzerklärung nach Art. 13 DSGVO

Art. 13 DSGVO regelt, welche Informationen Betroffene erhalten müssen, wenn ihre Daten direkt bei ihnen erhoben werden. Für Websites bedeutet das eine vollständige Datenschutzerklärung, die mindestens enthält:

• Name und Kontaktdaten des Verantwortlichen
• Welche Daten zu welchem Zweck verarbeitet werden
• Die Rechtsgrundlage jeder Verarbeitung (Einwilligung, berechtigtes Interesse, Vertragserfüllung etc.)
• Wie lange Daten gespeichert werden
• An wen Daten ggf. weitergegeben werden
• Rechte der Betroffenen: Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Widerspruch (Art. 21)

Die Datenschutzerklärung muss von jeder Seite der Website aus erreichbar sein, üblicherweise über einen Link in der Fußzeile. Sie muss aktuell gehalten werden: Sobald ein neues Tool eingebunden wird, muss die Erklärung ergänzt werden.

Cookie-Einwilligung nach § 25 TDDDG

§ 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) schreibt vor, dass nicht notwendige Cookies und ähnliche Technologien erst dann gesetzt werden dürfen, wenn der Nutzer ausdrücklich eingewilligt hat. Das gilt insbesondere für Tracking-Cookies von Analytics-Tools, Werbe-Netzwerken und Social-Media-Plugins.

Was bedeutet „ausdrücklich eingewilligt“? Der Nutzer muss aktiv zustimmen, bevor nicht notwendige Cookies gesetzt werden. Vorangekreuzte Checkboxen oder ein Cookie-Banner, bei dem der Nutzer einfach weitersurft, genügen nicht. Ablehnen muss genauso einfach sein wie Annehmen.

Für technisch notwendige Cookies (Session-Cookies, Login-Cookies) ist keine Einwilligung erforderlich. Alles, was über das technisch Notwendige hinausgeht, braucht Zustimmung. Wie Sie Google Analytics datenschutzkonform betreiben, beschreibt der Artikel zu Google Analytics 4 und der DSGVO.

Externe Dienste und lokale Einbindung

Sobald eine Website externe Ressourcen lädt, zum Beispiel Schriftarten von Google Fonts, Videos von YouTube oder Karten von Google Maps, werden automatisch Daten an den jeweiligen Anbieter übermittelt, in der Regel die IP-Adresse des Besuchers. Das ist ohne Einwilligung problematisch.

Die Lösung hängt vom Dienst ab:

• Google Fonts: Lokal herunterladen und auf dem eigenen Server einbinden. Keine Verbindung zu Google-Servern beim Seitenaufruf.
• YouTube-Videos: Datenschutzfreundlichen Einbettungsmodus nutzen (youtube-nocookie.com) oder eine 2-Klick-Lösung verwenden.
• Google Maps: Erst nach Einwilligung laden oder auf eine verlinkte externe Karte statt eingebetteter Karte setzen.

Als datenschutzfreundliche Alternative zu Google Analytics eignet sich zum Beispiel Pirsch Analytics, das ohne Cookies auskommt und Server-seitig betrieben werden kann.

Kontaktformulare und Datenverarbeitung

Jedes Kontaktformular erhebt personenbezogene Daten: mindestens Name und E-Mail-Adresse. Direkt am Formular muss ein Datenschutzhinweis stehen, der erklärt, zu welchem Zweck diese Daten verarbeitet werden und auf die Datenschutzerklärung verweist.

Eine zusätzliche Einwilligungs-Checkbox für die Datenschutzerklärung ist in der Regel nicht verpflichtend, wenn die Verarbeitung der Daten auf Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung/vorvertragliche Maßnahmen) gestützt wird. Bei reinen Anfragen ohne konkreten Vertragsbezug empfiehlt sich eine explizite Einwilligung oder eine klare Hinweisgestaltung.

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Wer externe Dienstleister einsetzt, die personenbezogene Daten in seinem Auftrag verarbeiten, muss mit diesen einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO schließen. Das betrifft in der Praxis:

• Den Website-Hosting-Anbieter
• E-Mail-Marketing-Dienste (Newsletter-Anbieter)
• Analytics-Dienstleister
• Cloud-Dienste, in denen Kundendaten gespeichert werden

Viele Anbieter stellen AVV-Vorlagen oder -Module in ihren Nutzungskonten bereit. Der AVV muss schriftlich geschlossen werden und bestimmte Mindestinhalte nach Art. 28 DSGVO enthalten. Fehlt er, liegt ein DSGVO-Verstoß vor.

Ob Sie darüber hinaus einen Datenschutzbeauftragten brauchen, zeigt der Artikel Brauche ich einen Datenschutzbeauftragten?

Die Checkliste in Kurzform

Fazit

DSGVO-konform zu sein ist für die meisten Websites kein unüberwindbares Projekt. Es erfordert Sorgfalt und einmaligen Aufwand, muss dann aber bei jeder Änderung im Tool-Stack mitgedacht werden. Die größten Risiken entstehen nicht durch bewusste Verstöße, sondern durch Unkenntnis: Ein nicht gemeldetes Analytics-Tool, fehlende Hinweise am Formular, ein nicht abgeschlossener AVV.

Wenn Sie wissen wollen, wo Ihre Website aktuell steht, lassen Sie sie prüfen. Wir gehen die wichtigsten Punkte mit Ihnen durch und zeigen, wo Handlungsbedarf besteht.