Die Datenschutz-Grundverordnung (DSGVO) ist seit 2018 in Kraft und betrifft jede Website, die personenbezogene Daten von Menschen in der EU verarbeitet. Das gilt unabhängig davon, wo das Unternehmen selbst sitzt. Trotzdem gibt es immer noch viele Websites, die grundlegende Anforderungen nicht erfüllen. Diese Checkliste zeigt, worauf es ankommt.
1. Consent-Banner vor dem ersten Tracking-Script
Kein Analyse-Skript, kein Werbepixel und kein Social-Media-Plugin darf laden, bevor die besuchende Person dem zugestimmt hat. Die technische Umsetzung nennt sich Consent Management: Skripte werden erst aktiviert, nachdem die Einwilligung gesetzt wurde, nicht schon beim Laden der Seite.
Ein Hinweis-Banner, das nur informiert, aber nicht blockiert, reicht nicht aus. Der Besuch einer Seite gilt in der Regel nicht als Einwilligung.
2. Zwei-Klick-Lösung für eingebettete Inhalte
Karten von Drittanbietern, YouTube-Videos oder andere externe Inhalte stellen eine besondere Herausforderung dar: Schon das Laden eines eingebetteten Objekts überträgt Daten an den Drittanbieter, zum Beispiel die IP-Adresse der Nutzerin oder des Nutzers.
Die sicherste Lösung ist ein Platzhalter, der erst nach einem aktiven Klick das eigentliche Objekt lädt. Die Person sieht zunächst ein Bild oder einen Text mit dem Hinweis, dass sie durch den Klick Daten überträgt. Erst dann wird der externe Inhalt eingebunden.
3. Vollständiges Impressum und lesbare Datenschutzerklärung
Das Impressum muss vollständig und leicht auffindbar sein: Name, Anschrift, Kontaktmöglichkeit und, wo vorgeschrieben, Handelsregisternummer und Umsatzsteuer-Identifikationsnummer. Ein Impressum, das sich hinter mehreren Klicks versteckt oder veraltete Angaben enthält, ist ein unnötiges Risiko.
Die Datenschutzerklärung sollte in klarer Sprache beschreiben, welche Daten Sie erheben, zu welchem Zweck und auf welcher Rechtsgrundlage. Vorgefertigte Texte von Generatoren können ein Ausgangspunkt sein, müssen aber auf Ihre Situation angepasst werden. Generische Texte, die Dienste auflisten, die Sie gar nicht nutzen, sind problematisch.
4. Hosting in der EU, wo möglich
Wenn Daten auf Servern ausserhalb des Europäischen Wirtschaftsraums gespeichert oder verarbeitet werden, gelten besondere Anforderungen. US-Anbieter stehen dabei häufig unter dem Datenschutz-Abkommen EU-US Data Privacy Framework, was bestimmte Übermittlungen erlaubt, aber regelmässig auf Bestand überprüft werden sollte.
Die einfachere Lösung: Hosting bei einem Anbieter mit Rechenzentren in Deutschland oder der EU. Das reduziert den rechtlichen Aufwand erheblich.
5. Datensparsamkeit auf Formularen
Kontaktformulare sind ein häufiger Schwachpunkt. Wer nur eine Anfrage senden möchte, braucht kein Geburtsdatum, keine Telefonnummer oder Unternehmensadresse anzugeben, wenn das für die Anfrage nicht erforderlich ist.
Das Prinzip der Datensparsamkeit (Artikel 5 DSGVO) verlangt, dass Sie nur Daten erheben, die wirklich notwendig sind. Pflichtfelder sollten auf das Minimum begrenzt werden. Optional erhobene Daten müssen als freiwillig gekennzeichnet sein.
6. Transparenz über den Umgang mit Daten
Wenn jemand ein Kontaktformular ausfüllt, sollte direkt dort stehen, was mit den Daten passiert. Werden sie in einem CRM gespeichert? Wie lange werden sie aufbewahrt? Gibt es Auftragsverarbeiter, die Zugriff haben?
Diese Informationen müssen nicht in einem langen Absatz stehen. Ein kurzer Hinweis mit einem Link zur vollständigen Datenschutzerklärung ist ausreichend und besser als gar nichts.
Ein realistisches Bild
Kein Unternehmen wird alle DSGVO-Anforderungen von heute auf morgen vollständig umsetzen. Das erwartet auch kein Aufsichtsamt. Was zählt, ist ein erkennbar ernsthafter Umgang mit dem Thema: keine offensichtlichen Verstösse, aktuelle Texte und technische Grundlagen, die stimmen.
Ein gutes Fundament lässt sich beim Aufbau einer neuen Website von Anfang an einbauen. Bei bestehenden Websites lohnt sich ein strukturierter Check, mindestens einmal im Jahr.
Dieser Artikel ist allgemeine Information und keine Rechtsberatung. Ob Ihre Website die DSGVO-Anforderungen erfüllt und welche Massnahmen in Ihrem Fall konkret nötig sind, sollten Sie mit einer auf Datenschutz spezialisierten Rechtsanwältin oder einem Rechtsanwalt sowie gegebenenfalls einem Datenschutzbeauftragten klären.
Blog
Ähnliche Artikel
Bereit?
Sollen wir das für Sie umsetzen?
Aus Wissen wird Ergebnis: erzählen Sie uns von Ihrem Vorhaben, wir melden uns mit einer ehrlichen Einschätzung.