Ist Deine Website datenschutzkonform?

Kleines DSGVO-Special.

**Jaja, ich weiß - viele können das Thema DSGVO nicht mehr hören. Aber es ist ein wichtiges Thema und ich bin oft erstaunt, wie wenig oder oft auch wie nachlässig viele Unternehmer die Bestimmungen der DSGVO umsetzen und dabei viel riskieren. Die neue Datenschutz-Grundverordnung ist seit gut einem halben Jahr in Kraft. Leider haben immer noch sehr viele Betreiber einer Website die erforderlichen Maßnahmen zur DSGVO-Konformität für Ihre Website nicht umgesetzt. Das kann nun sehr teuer werden, denn seit einem Urteil des OLG Hamburg können zukünftig auch Wettbewerber abmahnen lassen. **

Ich bin Sabine Walters, Datenschutzbeauftragte und Mediendesignerin, und ich gebe Dir im Folgenden eine kurze Checkliste mit den wichtigsten Punkten an die Hand, was Du als Inhaber einer Website nun konkret beachten solltest.

Denn du als Betreiber einer Website bist verpflichtet, für die Sicherheit der personenbezogenen Nutzerdaten zu sorgen - und das beginnt schon beim Aufrufen der Website und der Interaktion eines Besuchers mit Deiner Website. Denn dabei werden in der Regel personenbezogene Daten übertragen, wie zum Beispiel die IP-Adresse des Besuchers. Damit betrifft die DSGVO wirklich JEDEN Betreiber einer Website, unabhängig davon, ob kleine Hobby-Website oder große Firmen-Website.

Der Check einer Website auf DSGVO-Konformität ist umfangreich. Mit was sollte also begonnen werden? Ganz einfach: Beginne mit dem, was offensichtlich ist. Also das, was öffentlich und von jedem Besucher zu erkennen ist.

1) Auch wenn einige Punkte der DSGVO, wie z.B. ein Impressum, schon lange vor dem 25. Mai 2018 Pflicht waren, es gibt sie immer noch: Websites ohne Impressum oder aber mit fehlerhaftem Impressum, was ebenfalls zu einer Abmahnung führen kann.

2) Gibt es auf der Website schon eine Datenschutzerklärung aus Zeiten vor der DSGVO? Dann muss diese alten Datenschutzerklärung angepasst werden, denn die rechtlichen Grundlagen der Datenverarbeitung, die Betroffenenrechte und die Informationspflichten haben sich geändert. Gab es seither noch keine Datenschutzerklärung für die Website, dann muss diese spätestens jetzt dringend erstellt werden. Für Impressum und Datenschutzerklärung empfehle ich: Lass diese von einem IT-Fach-Anwalt für Deine Website erstellen. Alternativ gibt es auch Generatoren. Solltest Du einen solchen Generator verwenden gilt: Du bist selbst für die Richtigkeit Deiner Angaben verantwortlich. Gibst du nicht alle erforderlichen Daten ein oder machst fehlerhafte Angaben, kann der Generator auch kein richtiges Impressum oder eine einwandfreie Datenschutzerklärung ausgeben.

Wird das Impressum oder die Datenschutzerklärung vom Anwalt erstellt, sollte im Fall einer Abmahnung die anwaltliche Haftung greifen.

Achte auf die korrekte Einbindung der Datenschutzerklärung auf der Website. Die Datenschutzerklärung sollte im Idealfall als einzelner Menüpunkt in der Navigationsleiste zu finden sein. Also bitte nicht einfach auf der Impressum-Seite die Datenschutzerklärung mit einbinden.

3) Eine SSL-Verschlüsselung ist ebenfalls erforderlich, vor allem wenn Du Formulare (Newsletter-Anmeldung, Kontakt-Formular) oder Mitgliederbereiche anbietest. Auch die Admin-Seite sollte verschlüsselt sein, also die Seite, über die sich der Admin der Website in das Backend der Website einloggt, sonst könnte die komplette Website durch den nicht gesicherten Zugang gehackt werden. Für eine gute Platzierung bei Google ist eine SSL-verschlüsselte Website ebenfalls erforderlich, denn diese werden bevorzugt ausgegeben.

4) Wird ein Newsletter oder Kontakt-Formular auf der Website angeboten, sollte an die Notwendigkeit der Datenminimierung gedacht werden! Zum Versenden des Newsletters wird lediglich die E-Mail-Adresse benötigt und nur dieses Feld darf ein „Muss“-Feld sein! Alle anderen eventuell vorhandenen Felder wie Vor- und Nachname dürfen keine Pflichtfelder sein. Welches Feld Pflichtfeld und welches Feld nur optional auszufüllen ist, muss deutlich erkennbar sein. Achte auch auf Einhaltung des Kopplungsverbots. Das bedeutet, es darf kein sogenanntes „Freebie“ (z.B. ein eBook) nur gegen Eintragung in den Newsletter geben. Es darf auch nicht an Empfänger eines „Freebies“ einfach ein Newsletter gesendet werden. Für den Newsletter-Empfang wird ein sogenanntes Double-OptIn-Verfahren vorausgesetzt. Weise auch darauf hin, für welchen Zweck Du die Daten benötigst, auf welcher Rechtsgrundlage Du die Daten verarbeitest, was Du mit diesen Daten machst und dass die Einwilligung jederzeit widerrufen werden kann. Erst wenn die Einwilligung zum Newsletter-Versand vorliegt, darfst Du dem Empfänger den Newsletter senden. Die Austragung aus dem Newsletter muss aus jedem Newsletter heraus ganz einfach ermöglicht werden.

5.) Was passiert im „Backend“ der Website? Auch wenn Du die Website selbst mit einem CMS (wie WordPress) oder einem Baukasten-System erstellt hast, kannst du nicht automatisch davon ausgehen, dass da im Hintergrund technisch alles von Anfang an DSGVO-konform eingerichtet ist. Bei manchen Baukasten-Systemen z.B. ist das selbst nachträglich gar nicht möglich.

Oft ist es so, dass die Website von Einzel- oder Kleinunternehmern aus Kostengründen von einem Familienmitglied, einem guten Bekannten oder einem Studenten gemacht und betreut wird, der sich „ganz gut“ mit dem Internet auskennt. Diese sieht dann meist auch ganz chic aus. ABER: Sammeln die PlugIns und Tools, die in die Website eingebaut wurden, Daten von den Besuchern? Wenn ja, werden diese anonymisiert? Werden Cookies eingesetzt? Wenn ja, für welchen Zweck und wie lange werden diese gespeichert? Werden Videos, Social-Media-PlugIns, Statistik-Programme, Facebook-Pixel oder Google Analytics eingesetzt? Werden die Besucher bei der Interaktion mit Deiner Website zum richtigen Zeitpunkt umfassend über ihre Rechte, die Verarbeitung und Speicherung der Daten informiert? Gibt es erforderliche AV-Verträge mit den Auftragsverarbeitern im Bereich der Website? Mit wem ist überhaupt ein AV-Vertrag erforderlich? Und welche Punkte aus dem Bereich Website musst Du im Verarbeitungsverzeichnis aufführen?

Diese kleine Checkliste ist nicht vollständig und stellt keine Rechtsberatung dar, denn ich bin kein Anwalt. Viele Fragen können auch nicht pauschal, und schon gar nicht innerhalb eines einzigen Podcasts beantwortet werden.

Aber wenn Du mehr zum Thema wissen möchtest oder Unterstützung benötigst, egal ob persönlich oder mit einem Online-Kurs zum Thema, dann nimm gerne Kontakt mit mir auf. Ich bin Sabine Walters, Datenschutzbeauftragte und Mediendesignerin. Meine Website findest Du unter https://walters-mediendesign.de.