Die Datenschutzerklärung ist der Teil der Website, den kaum ein Besucher liest, den aber jeder Abmahnanwalt und jede Aufsichtsbehörde zuerst aufruft. Mit der DSGVO, die ab dem 25. Mai 2018 gilt, ändern sich die Anforderungen an diesen Text spürbar. Wer seine Datenschutzerklärung nach DSGVO für die Website fit machen will, sollte jetzt damit anfangen, denn der Text hängt eng mit der Technik zusammen, die auf der Seite läuft. Und die muss man erst einmal kennen.
Erst die Technik, dann der Text
Der häufigste Fehler, den wir sehen: Es wird ein Mustertext kopiert, ohne zu prüfen, was die Website tatsächlich tut. Das führt zu Erklärungen, die Dienste beschreiben, die gar nicht eingebunden sind, und andere verschweigen. Bevor Sie schreiben, sollten Sie deshalb eine kleine Bestandsaufnahme machen:
- Wo liegt die Website (Hoster), und welche Protokolldaten speichert der Server?
- Welche Cookies werden gesetzt, und von wem?
- Gibt es ein Kontaktformular, eine Newsletter-Anmeldung, einen Shop oder einen Login-Bereich?
- Welche externen Dienste werden geladen: Webanalyse, Karten, Videos, Schriftarten, Social-Media-Schaltflächen?
- Ist die Seite per HTTPS verschlüsselt?
Für die Bestandsaufnahme reicht oft schon ein Blick in die Entwicklerwerkzeuge des Browsers: Dort sehen Sie, welche fremden Server beim Seitenaufruf kontaktiert werden. Die Liste ist häufig länger, als man denkt.
Was die Datenschutzerklärung nach DSGVO enthalten muss
Die Pflichtangaben ergeben sich aus Art. 13 DSGVO. Für eine typische Unternehmenswebsite bedeutet das:
| Pflichtangabe | Was das konkret heißt |
|---|---|
| Verantwortlicher | Name, Anschrift und Kontaktdaten des Unternehmens |
| Datenschutzbeauftragter | Kontaktdaten, falls einer benannt ist |
| Zwecke und Rechtsgrundlagen | Für jede Verarbeitung: wozu und auf welcher Grundlage (z. B. Art. 6 Abs. 1 lit. a, b oder f DSGVO) |
| Berechtigte Interessen | Wenn Sie sich darauf stützen, müssen Sie sie benennen |
| Empfänger | Wer die Daten bekommt, etwa Hoster oder Analyse-Anbieter |
| Drittlandübermittlung | Ob Daten die EU verlassen und auf welcher Grundlage |
| Speicherdauer | Wie lange die Daten gespeichert werden oder nach welchen Kriterien |
| Betroffenenrechte | Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch |
| Widerruf | Hinweis, dass Einwilligungen jederzeit widerrufen werden können |
| Beschwerderecht | Hinweis auf das Recht, sich bei einer Aufsichtsbehörde zu beschweren |
Besonders der Hinweis auf das Widerspruchsrecht verdient Aufmerksamkeit: Wenn Sie Daten auf Grundlage berechtigter Interessen oder für Direktwerbung verarbeiten, muss er klar erkennbar und getrennt von anderen Informationen dargestellt werden.
Die üblichen Verdächtigen auf Unternehmenswebsites
Server-Logfiles
Fast jeder Webserver speichert beim Aufruf IP-Adresse, Uhrzeit, aufgerufene Seite und Browserinformationen. Das gehört in die Erklärung, samt Zweck (Betrieb und Sicherheit) und Speicherdauer. Fragen Sie Ihren Hoster, wie lange die Protokolle aufbewahrt werden.
Kontaktformular
Beschreiben Sie, welche Felder abgefragt werden, wofür die Daten genutzt werden und wann Sie sie löschen. Fragen Sie nur ab, was Sie wirklich brauchen. Ein Pflichtfeld für die Telefonnummer ist selten zu begründen. Und das Formular sollte unbedingt verschlüsselt übertragen werden.
Webanalyse
Wer ein Analysewerkzeug einsetzt, muss es nennen, den Anbieter angeben, eine Widerspruchsmöglichkeit erklären und je nach Werkzeug die IP-Adressen kürzen lassen. Bei externen Anbietern gehört außerdem ein Vertrag zur Auftragsverarbeitung dazu.
Eingebettete Inhalte
Karten, Videos und Schriftarten, die von fremden Servern geladen werden, übertragen beim Seitenaufruf die IP-Adresse des Besuchers. Prüfen Sie, ob Sie Schriftarten nicht lokal auf Ihrem eigenen Server ablegen können, und ob Karten oder Videos erst nach einem Klick geladen werden müssen. Für Social-Media-Schaltflächen haben sich Lösungen bewährt, bei denen erst der Klick des Besuchers eine Verbindung herstellt.
Wie verhält sich das zum Telemediengesetz?
Bisher stützen sich viele Datenschutzerklärungen auf das Telemediengesetz (TMG). Wie die Regeln des TMG und der DSGVO ab Mai zusammenspielen, wird derzeit unter Fachleuten noch diskutiert, und eine endgültige Klärung steht aus. Für die Praxis empfehlen wir, die Erklärung an der DSGVO auszurichten, denn deren Informationspflichten gelten in jedem Fall.
Checkliste für die Überarbeitung
- Technische Bestandsaufnahme der Website durchführen.
- Überflüssige Dienste entfernen, statt sie zu beschreiben.
- HTTPS für die gesamte Seite einrichten.
- Verträge zur Auftragsverarbeitung mit Hoster und Dienstleistern abschließen.
- Text gliedern: allgemeine Angaben, dann Abschnitt für Abschnitt die einzelnen Dienste.
- Betroffenenrechte und Beschwerderecht vollständig aufführen.
- Erklärung von jeder Seite aus mit einem Klick erreichbar machen, idealerweise im Fußbereich neben dem Impressum.
- Einen Termin festlegen, an dem die Erklärung erneut geprüft wird, etwa bei jeder Änderung an der Website.
Und die Cookie-Hinweise?
Viele Websites blenden inzwischen einen Hinweis auf Cookies ein. Ob ein bloßer Hinweis genügt oder eine echte Einwilligung nötig ist, hängt davon ab, wofür die Cookies eingesetzt werden. Für technisch notwendige Cookies, etwa für einen Warenkorb oder die Spracheinstellung, ist die Lage entspannter als für Cookies, mit denen Dritte Besucher seitenübergreifend für Werbezwecke verfolgen. Weil die geplante ePrivacy-Verordnung noch nicht verabschiedet ist, bleibt das Thema in Bewegung. Unser Rat: Setzen Sie nur die Cookies ein, die Sie wirklich brauchen, und beschreiben Sie diese in der Datenschutzerklärung mit Zweck und Laufzeit. Wenn Sie Werbe-Tracking von Drittanbietern nutzen, lohnt sich eine besonders sorgfältige Prüfung.
Verständlich schreiben lohnt sich
Die DSGVO verlangt eine „präzise, transparente, verständliche und leicht zugängliche Form“ in klarer und einfacher Sprache. Das ist eine Einladung, die Erklärung nicht als juristisches Kleingedrucktes zu verstehen. Kurze Absätze, Zwischenüberschriften und ein Inhaltsverzeichnis am Anfang helfen Ihren Besuchern und zeigen, dass Sie das Thema ernst nehmen.
Wir helfen Ihnen gerne
Sie wissen nicht genau, welche Dienste auf Ihrer Website laufen? Die Mittelstandsoptimierer prüfen Ihre Website technisch, räumen überflüssige Einbindungen auf und unterstützen Sie bei einer Datenschutzerklärung, die zur Seite passt. Eine Rechtsberatung ersetzen wir nicht, aber wir sorgen dafür, dass Technik und Text zusammenpassen. Telefon: 06131 144928-0.
Herzliche Grüße aus Mainz
