DSGVO-konforme Webseite: Das müssen Betreiber beachten

Seit dem 25. Mai 2018 gilt in der gesamten EU die Datenschutzgrundverordnung (DSGVO). Diese regelt und schützt den Umgang und die Verarbeitung mit und von personenbezogenen Daten und das in jedem EU Land gleichermaßen. Aufgrund dessen heißt es aber auch für jeden, der innerhalb der Europäischen Union eine wirtschaftliche Tätigkeit ausübt, dass er sich an diese Verordnung halten muss. Also auch jeder, der eine Website betreibt, die nicht ausnahmslos privat ist. Dieser Beitrag befasst sich mit allen Punkten, die Website-Betreiber jetzt beachten und umsetzen müssen, um nicht gegen die DSGVO zu verstoßen.

Im Prinzip ist die Antwort auf diese Frage einfach: Alle Webseiten müssen der DSGVO entsprechen, die nicht gänzlich persönlichen Zwecken dienen. Ob das so ist, lässt sich anhand einiger kurzer Fragen beantworten:

Für eine verschlüsselte Website braucht es ein SSL-Zertifikat. Dieses ermöglicht eine sichere Verbindung zwischen einem Internetbrowser und dem Webserver. Ob eine Seite SSL-verschlüsselt ist, erkennt man daran, dass die Webadresse mit „https“ und nicht mit „http“ beginnt. In diesem Fall erscheint außerdem ein meist grünes Schloss ganz links in der Browseradressleiste. Der Vorteil einer solchen SSL-Verschlüsselung ist, dass die Seite dadurch einerseits besser bei Google rankt und andererseits, dass Benutzer viel sicherer auf der Website surfen. Gerade bei Websites, die Kreditkartentransaktionen, Logins oder auch Datentransfers anbieten, ist eine SSL-Verschlüsselung sehr wichtig. Die Aktivierung einer solchen ist darüber hinaus sehr einfach. Sie kann einfach beim Websitehost aktiviert werden.

Viele Website-Betreiber nutzen auf ihren Seiten Social Media Plug-Ins und eingebettete Videos. Was bedeutet das genau? Entsprechende Plug-Ins werden von Social Media Seiten wie Facebook, YouTube etc. zur Verfügung gestellt. Diese sammeln dann auf einer Website die personenbezogenen Daten, ohne dass die Nutzer davon etwas mitbekommen oder davon wissen. Damit können anschließend Persönlichkeitsprofile der Nutzer erstellt werden um beispielsweise zugeschnittene Werbung einzuspielen. Bisher sind nur sogenannte Facebook Pixel gesetzlich verboten, Social Media Plug Ins aber nicht. Wenn ein Website-Betreiber diese auf seiner Homepage einsetzt, muss er in seiner Datenschutzerklärung darauf hinweisen, dass Nutzerdaten an Dritte weitergegeben werden.

Viele Websites verfügen über Kontaktformulare. Auf diese Weise sammeln sie Daten von z. B. Interessenten und möglichen neuen Kunden. Aber hier steckt auch das Problem, nämlich das Einholen der personenbezogenen Daten. Deshalb muss jeder, der das Kontaktformular nutzt, der Datenschutzerklärung der Seite zustimmen. Dies gelingt am besten mit einer kleinen Box, in der der Nutzer anklickt, ob er mit der Datenschutzerklärung einverstanden ist. Vorsicht: Diese Box darf nicht vorausgefüllt sein! Zusätzlich darf ein Betreiber nur jene Daten abfragen, die wirklich benötigt werden. Außerdem müssen Pflichtfelder, die auszufüllen sind, gekennzeichnet sein. Wenn zusätzlich dann auch das unter Punkt eins beschriebene SSL-Zertifikat aktiviert ist, können die personenbezogenen Daten des Nutzers sicher übertragen werden. Ein weiterer Punkt in Bezug auf das Kontaktformular ist, dass dieses in das Verzeichnis der Verarbeitungstätigkeiten aufgenommen werden muss. Der Grund ist simpel. Durch das Kontaktformular werden personenbezogene Daten eines Nutzers weiter verarbeitet.

Laut DSGVO muss jeder Verantwortliche ein Verzeichnis der Verarbeitungstätigkeiten führen. Das sollte nicht auf die leichte Schulter genommen werden, denn dieses kann die zuständige Aufsichtsbehörde jederzeit anfordern. Hat ein Website-Betreiber dann nichts vorzuweisen, drohen hohe Bußgelder. Der Sinn hinter einem solchen Verzeichnis ist es, transparent aufzuzeigen, wie man mit personenbezogenen Daten umgeht. Hier wird also angegeben, wo man welche Daten wie lange speichert und auch zu welchem Zweck man dies macht. Auch eine zuständige verantwortliche Person wird hier angegeben. Bei dem Ausfüllen des Verarbeitungsverzeichnisses ist also höchste Aufmerksamkeit gefordert.

Über eine Datenschutzerklärung muss laut DSGVO jede Website verfügen, die personenbezogene Daten verarbeitet. Wichtig hieran ist, dass diese von jeder Unterseite einer Website zugänglich sein muss. Daher bietet es sich an, die Datenschutzerklärung in den Footer einer Website einzupflegen. Dieser wird normalerweise für jede Unterseite übernommen.

Wer als Website-Betreiber die Möglichkeit bietet, sich als Nutzer für Newsletter anzumelden, verwendet dafür meistens einen Newsletter-Dienstleister. Daher muss mit einem solchen Dienstleister auch ein Verarbeitungsvertrag geschlossen werden. Außerdem sollte im Anmeldeformular des Newsletters genau beschrieben sein, welcher Zweck verfolgt wird. Das Pflichtfeld für die Anmeldung darf nur die E-Mail-Adresse des interessierten Nutzers abfragen. Auch sollte im Anmeldeformular eine Verlinkung zur Datenschutzerklärung eingebaut sein. Auf diese Weise kann der Nutzer noch einmal nachlesen, wozu der Dienstleister die Daten braucht und verwendet. Außerdem muss laut DSGVO für die Anmeldung eines Newsletters ein Double-Opt-In Verfahren genutzt werden. Das bedeutet, dass dem Nutzer nach Registrierung ein personalisierter Link an seine E-Mail-Adresse gesendet wird. Diesen Erhalt muss er bestätigen. Somit macht er deutlich, dass er tatsächlich der Inhaber dieser E-Mail-Adresse ist.

Verwendet man als Betreiber einer Website ein Statistik Tool wie beispielsweise Google Analytics, dann muss dieses auch in der Datenschutzerklärung aufgelistet sein. Jeder Nutzer sollte nun die Möglichkeit erhalten, ein sogenanntes Opt-out vorzunehmen. Das bedeutet, dass er selber entscheiden kann, ob Google Analytics seine Daten weiterhin erfasst, oder nicht. Darüber hinaus war es bis zur Einführung der DSGVO üblich, dass Google Analytics die IP-Adressen der Seitennutzer erfasst. Auch die zählen nun zu personenbezogenen Daten und sind daher zu schützen. Dies ist erreichbar, indem man die IP-Adressen der Website-Nutzer anonymisiert, beispielsweise durch einen „anonymizeIP“-Befehl, den der Webadministrator einbaut. Schließlich muss auch mit Google ein Zusatz zur Datenverarbeitung geschlossen werden.

Diese Checkliste mit acht wichtigen Vorgaben hilft Website-Betreibern dabei, ihre Internetseite DSGVO-konform zu gestalten und auf diese Weise nicht gegen die Verordnung zu verstoßen. Dennoch ist es oftmals sinnvoll, bei spezifischen Fragen oder Unsicherheiten den unternehmensinternen Datenschutzbeauftragen mit dem Überprüfen der umgesetzten Punkte zu beauftragen oder einen externen Datenschutzbeauftragten zu konsultieren. Auf diese Weise stellen Website-Betreiber sicher, dass sie einer Abmahnung durch die Behörden oder gar eine Bußgeldforderung vermeiden.