DSGVO für eine Website: Was Sie wissen müssen
Die DSGVO regelt jede Verarbeitung personenbezogener Daten, die über eine Website erfolgt, sobald ein Name, eine E-Mail-Adresse oder ein anderes identifizierendes Datum erhoben wird. Sie verlangt für jede Verarbeitung eine klare Rechtsgrundlage, einen festgelegten Zweck, eine begrenzte Aufbewahrungsfrist und garantiert den betroffenen Personen bestimmte Rechte (Auskunft, Berichtigung, Löschung). Diese Pflicht gilt für jede Website, unabhängig von ihrer Größe.
Das eigentliche Problem: eine Verordnung, die als vage und abstrakt wahrgenommen wird
Die DSGVO wird oft als diffuse administrative Auflage empfunden, die sich nur schwer konkret auf einer Website umsetzen lässt. Das Ergebnis: Viele Websites begnügen sich mit einem generischen, anderswo kopierten Cookie-Banner, ohne zu prüfen, ob ihre Formulare, ihr Newsletter oder ihre Analysetools die Grundsätze der Verordnung tatsächlich einhalten. Diese Unklarheit ist keine Entschuldigung: Die zuständige Datenschutzaufsichtsbehörde kann einen Verstoß sanktionieren, und ein Kunde oder Interessent kann sich zu Recht Sorgen machen, wenn eine Website nicht klarstellt, was mit seinen Daten geschieht.
Die grundlegenden Prinzipien, die man verstehen muss
Die DSGVO beruht auf einigen zentralen Begriffen, die vor jeder Umsetzung auf einer Website bekannt sein sollten:
- Die Rechtsgrundlage: Jede Datenverarbeitung muss auf einer der sechs von der Verordnung vorgesehenen Rechtsgrundlagen beruhen (Einwilligung, Vertragserfüllung, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliches Interesse, berechtigtes Interesse). Bei einer Website sind die häufigsten die Einwilligung (Newsletter, nicht notwendige Cookies) und das berechtigte Interesse (Kontaktformular, angemessene B2B-Ansprache).
- Die Zweckbindung: Daten dürfen nur für einen genauen, im Voraus festgelegten und der betroffenen Person mitgeteilten Zweck erhoben werden. Eine für die Beantwortung einer Anfrage erhobene E-Mail-Adresse darf ohne gesonderte Information und eigene Rechtsgrundlage nicht für einen Newsletter wiederverwendet werden.
- Die Datenminimierung: Es dürfen nur die Daten erhoben werden, die für den verfolgten Zweck unbedingt erforderlich sind. Ein Kontaktformular muss in der Regel weder ein Geburtsdatum noch eine vollständige Postanschrift abfragen.
- Die Aufbewahrungsfrist: Daten dürfen nicht unbegrenzt gespeichert werden. Eine Frist ist je nach Zweck festzulegen (zum Beispiel werden die Daten eines nicht konvertierten Interessenten in der Regel maximal drei Jahre ab dem letzten Kontakt aufbewahrt).
Die Rechte der betroffenen Personen
Die DSGVO gewährt den Personen, deren Daten auf einer Website erhoben werden, mehrere Rechte, die einfach ausgeübt werden können müssen:
| Recht | Was es ermöglicht |
|---|---|
| Auskunftsrecht | Bestätigung erhalten, dass Daten verarbeitet werden, und eine Kopie davon erhalten |
| Recht auf Berichtigung | Unrichtige oder unvollständige Daten korrigieren |
| Recht auf Löschung | In bestimmten Fällen die Löschung der eigenen Daten verlangen |
| Widerspruchsrecht | Einer Verarbeitung widersprechen, insbesondere zu Werbezwecken |
| Recht auf Datenübertragbarkeit | Die eigenen Daten in einem wiederverwendbaren Format erhalten |
| Recht auf Widerruf der Einwilligung | Jederzeit, ebenso einfach, wie sie erteilt wurde |
Diese Rechte müssen über eine klar erkennbare Kontaktstelle ausgeübt werden können, die in der Regel in der Datenschutzerklärung der Website genannt wird.
Die häufigsten Verarbeitungen auf einer Website
Eine typische professionelle Website verarbeitet an mehreren Stellen personenbezogene Daten, oft ohne dass dies als solches wahrgenommen wird:
- Das Kontaktformular: Name, E-Mail, Nachricht. Rechtsgrundlage in der Regel berechtigtes Interesse oder vorvertragliche Maßnahmen.
- Der Newsletter: E-Mail, manchmal Vorname. Rechtsgrundlage die Einwilligung, mit einer einfachen und dauerhaften Abmeldemöglichkeit.
- Reichweitenmesswerkzeuge (Besucherstatistiken): Je nach Konfiguration können diese Tools eine vorherige Einwilligung erfordern oder von einer Ausnahme profitieren, wenn sie so eingerichtet sind, dass sie tatsächlich gemäß den von der zuständigen Aufsichtsbehörde festgelegten Kriterien anonymisiert sind.
- Nutzerkonten (Kundenbereich, E-Commerce): Zugangsdaten, Bestellhistorie, manchmal Zahlungsdaten, die von einem Drittanbieter verwaltet werden.
- Werbe- und Social-Media-Cookies: erfordern grundsätzlich eine vorherige ausdrückliche Einwilligung.
Das Verzeichnis von Verarbeitungstätigkeiten, eine oft vergessene Pflicht
Jede Organisation, die personenbezogene Daten verarbeitet, muss grundsätzlich ein Verzeichnis von Verarbeitungstätigkeiten führen, ein internes Dokument, das die Kategorien der erhobenen Daten, deren Zweck, Rechtsgrundlage und Aufbewahrungsfrist auflistet. Organisationen mit weniger als 250 Beschäftigten profitieren von einer Erleichterung für nicht systematische oder risikoarme Verarbeitungen, doch eine Website mit Formular, Newsletter oder Kundenbereich fällt in der Regel unter diese Dokumentationspflicht.
Was man sich merken sollte
- Die DSGVO gilt, sobald ein identifizierendes Datum auf der Website erhoben wird, unabhängig von der Größe der Organisation.
- Jede Verarbeitung muss auf einer klaren Rechtsgrundlage beruhen, einen festgelegten Zweck sowie eine begrenzte Aufbewahrungsfrist haben.
- Die betroffenen Personen verfügen über Rechte (Auskunft, Berichtigung, Löschung, Widerspruch, Übertragbarkeit), die einfach geltend gemacht werden können müssen.
- Formulare, Newsletter, Analysetools und Cookies sind die häufigsten Erhebungspunkte, die überprüft werden sollten.
- Ein Verzeichnis von Verarbeitungstätigkeiten ist in der Regel erforderlich, selbst bei einer kleinen Organisation.
- Für eine genaue Einschätzung Ihrer Situation bietet die zuständige Aufsichtsbehörde kostenlose Ressourcen an, und ein spezialisierter Anwalt bleibt bei komplexen Fällen der richtige Ansprechpartner.
Häufig gestellte Fragen
Fällt ein einfaches Kontaktformular unter die DSGVO? Ja. Sobald ein Formular einen Namen, eine E-Mail-Adresse oder ein anderes identifizierendes Element erfasst, handelt es sich um eine der DSGVO unterliegende Verarbeitung personenbezogener Daten, selbst bei nur einer Textzeile.
Muss für jede erhobene Angabe eine Einwilligung eingeholt werden? Nein, die Einwilligung ist nur eine von sechs möglichen Rechtsgrundlagen. Ein Kontaktformular kann sich je nach konkretem Zweck oft auf berechtigtes Interesse statt auf eine ausdrückliche Einwilligung stützen.
Gilt die DSGVO, wenn sich meine Website nur an Frankreich richtet? Ja, die DSGVO gilt für jede Verarbeitung von Daten europäischer Einwohner, unabhängig davon, wo das verarbeitende Unternehmen seinen Sitz hat.
Muss ich für meine Website einen Datenschutzbeauftragten benennen? Diese Benennung ist für bestimmte öffentliche Stellen und Unternehmen mit systematischer umfangreicher Überwachung verpflichtend. Die meisten Klein- und Kleinstunternehmen unterliegen dieser Pflicht nicht, doch jede Situation verdient eine gezielte Prüfung.
Zusammenfassung
Die DSGVO ist keine bloße Formalie zum Abhaken, sondern ein Rahmen, der bestimmt, wie eine Website die Daten ihrer Besucher erhebt, nutzt und aufbewahrt. Wer die Grundprinzipien versteht (Zweckbindung, Datenminimierung, Aufbewahrungsfrist, Betroffenenrechte), vermeidet damit bereits die häufigsten Fehler. Bei allen Fragen zu Ihrer konkreten Tätigkeit bleiben die Ressourcen der zuständigen Aufsichtsbehörde und der Rat eines Anwalts die zu bevorzugenden Anlaufstellen. Websites, die von VeryAppi entwickelt werden, integrieren von der Konzeption an die grundlegenden Best Practices bei der Datenerhebung.
Häufig gestellte Fragen
›Fällt ein einfaches Kontaktformular unter die DSGVO?
Ja. Sobald ein Formular einen Namen, eine E-Mail-Adresse oder ein anderes Merkmal erfasst, mit dem sich eine Person identifizieren lässt, handelt es sich um eine Verarbeitung personenbezogener Daten, die der DSGVO unterliegt, selbst wenn es nur um eine einzige Textzeile geht. Der Umfang der erhobenen Daten ändert nichts an der Anwendbarkeit der Verordnung.
›Muss für jede erhobene Angabe eine Einwilligung eingeholt werden?
Nein, die Einwilligung ist nur eine von sechs möglichen Rechtsgrundlagen. Ein Kontaktformular kann sich häufig auf berechtigtes Interesse oder auf vorvertragliche Maßnahmen stützen statt auf eine ausdrückliche Einwilligung. Die Wahl der Rechtsgrundlage hängt vom konkreten Zweck der Verarbeitung ab und ist im Einzelfall zu bestimmen.
›Gilt die DSGVO, wenn sich meine Website nur an Frankreich richtet?
Ja, die DSGVO gilt für jede Verarbeitung von Daten europäischer Einwohner, unabhängig davon, wo das verarbeitende Unternehmen seinen Sitz hat, sobald sich die Tätigkeit an den europäischen Markt richtet. Eine französische Website, die Daten französischer Besucher erhebt, ist davon voll betroffen.
›Muss ich für meine Website einen Datenschutzbeauftragten benennen?
Die Benennung eines Datenschutzbeauftragten (DSB) ist für bestimmte öffentliche Stellen sowie für Unternehmen verpflichtend, deren Kerntätigkeit eine regelmäßige und systematische umfangreiche Überwachung von Personen oder die umfangreiche Verarbeitung sensibler Daten umfasst. Die meisten Klein- und Kleinstunternehmen mit einer klassischen Unternehmenswebsite unterliegen dieser Pflicht nicht, doch jede Situation verdient eine gezielte Prüfung.