DSGVO

Anforderungen an Websites nach der DSGVO

Stand:

Für einen datenschutzkonformen Internetauftritt gibt es einiges zu beachten. Zum Beispiel ist eine rechtskonforme Datenschutzerklärung mit allen Angaben, die die DSGVO vorschreibt.
Die folgenden Tipps sollen Unternehmen und Webseiten-Betreibern bei der Anpassung ihres Webauftritts an die Vorgaben der DSGVO helfen.

1. Webseiten unterliegen Anforderungen der DSGVO und des TDDDG

Bei der Bereitstellung einer Website sind verschiedene datenschutzrechtliche Vorgaben zu beachten. Die wichtigste Rechtsgrundlage für den Umgang mit personenbezogenen Daten ist die Datenschutz-Grundverordnung (DSGVO). Ergänzend gelten die Vorschriften des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das besondere Anforderungen für den Schutz der Privatsphäre von Nutzern digitaler Dienste enthält.

Die Datenschutz-Grundverordnung (DSGVO)

Die Datenschutz-Grundverordnung gilt seit Mai 2018 unmittelbar in allen Mitgliedstaaten der Europäischen Union. Sie regelt die Verarbeitung personenbezogener Daten und soll einen einheitlichen Datenschutzstandard innerhalb der EU gewährleisten.
Websites verarbeiten regelmäßig personenbezogene Daten ihrer Besucher. Bereits die Erfassung einer IP-Adresse, die Bereitstellung eines Kontaktformulars oder die Nutzung von Analyse- und Trackingdiensten können eine Verarbeitung personenbezogener Daten darstellen. Deshalb müssen Betreiber von Websites die Vorgaben der DSGVO beachten.
Grundsätzlich gilt im Datenschutzrecht der sogenannte Grundsatz des „Verbots mit Erlaubnisvorbehalt“. Das bedeutet, dass personenbezogene Daten nur verarbeitet werden dürfen, wenn hierfür eine gesetzliche Grundlage besteht oder die betroffene Person wirksam eingewilligt hat.
Unternehmen müssen insbesondere darauf achten,
  • dass für jede Datenverarbeitung eine Rechtsgrundlage besteht,
  • dass die Nutzer transparent über die Datenverarbeitung informiert werden,
  • dass technische und organisatorische Schutzmaßnahmen getroffen werden und
  • dass die Rechte der betroffenen Personen gewahrt werden.
Bei Verstößen gegen die DSGVO können erhebliche Geldbußen verhängt werden. Diese können je nach Art des Verstoßes bis zu 20 Millionen Euro oder bis zu 4 % des weltweiten Jahresumsatzes eines Unternehmens betragen.

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG)

Neben der DSGVO ist für viele Websites auch das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) relevant. Es hat 2024 das frühere Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) abgelöst. Die für Websites besonders wichtigen Regelungen wurden dabei im Wesentlichen unverändert übernommen.
Ziel des TDDDG ist der Schutz der Privatsphäre von Nutzern digitaler Dienste, insbesondere ihrer Endgeräte. Geschützt werden dabei nicht nur personenbezogene Daten, sondern sämtliche Informationen, die auf einem Endgerät gespeichert oder von dort ausgelesen werden können.
Den Vorgaben des TDDDG unterliegen insbesondere:
  • Websites und Webshops,
  • Suchmaschinen,
  • Messenger-Dienste,
  • Videokonferenzsysteme,
  • webbasierte E-Mail-Dienste sowie
  • vergleichbare digitale Dienste.
Für Websitebetreiber ist vor allem § 25 TDDDG von großer Bedeutung. Danach ist grundsätzlich eine Einwilligung erforderlich, wenn Informationen auf dem Endgerät eines Nutzers gespeichert oder bereits gespeicherte Informationen ausgelesen werden. Dies betrifft insbesondere Cookies, Tracking-Technologien, Pixel, Local-Storage-Anwendungen oder ähnliche Technologien.
Eine Einwilligung ist ausnahmsweise nicht erforderlich, wenn
  • der alleinige Zweck der Speicherung oder des Zugriffs die Durchführung der Nachrichtenübertragung ist oder
  • die eingesetzte Technologie technisch unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Typische Beispiele für technisch erforderliche Technologien sind Warenkorb-Funktionen, Login-Verfahren oder sicherheitsrelevante Session-Cookies.

Die datenschutzrechtliche Zwei-Stufen-Prüfung

Bei vielen Technologien auf Websites müssen DSGVO und TDDDG gemeinsam geprüft werden. In der Praxis hat sich hierfür eine zweistufige Betrachtungsweise bewährt.
Zunächst ist zu prüfen, ob Informationen auf dem Endgerät gespeichert oder ausgelesen werden. Ist dies der Fall, muss bewertet werden, ob eine Einwilligung erforderlich ist oder eine gesetzliche Ausnahme greift.
Werden durch die eingesetzte Technologie personenbezogene Daten verarbeitet, ist zusätzlich zu prüfen, ob diese Verarbeitung nach der DSGVO zulässig ist und auf welche Rechtsgrundlage sie gestützt werden kann.
Erst wenn sowohl die Anforderungen des TDDDG als auch die Vorgaben der DSGVO erfüllt sind, ist der Einsatz der jeweiligen Technologie datenschutzrechtlich zulässig.
Regelmäßig technisch erforderlich und damit meist einwilligungsfrei:
  • Warenkorb-Cookies in Onlineshops
  • Login- und Authentifizierungsfunktionen
  • Spracheinstellungen
  • sicherheitsrelevante Session-Cookies
Regelmäßig einwilligungspflichtig:
  • Tracking- und Analyse-Tools
  • Reichweitenmessung und Websiteoptimierung
  • Marketing- und Werbecookies
  • Retargeting-Technologien
  • die Einbindung bestimmter Drittanbieter-Dienste und externer Inhalte

Praxistipp

Verschaffen Sie sich zunächst einen vollständigen Überblick darüber, welche Technologien auf Ihrer Website eingesetzt werden und ob diese Informationen auf Endgeräten speichern oder auslesen. Anschließend sollten die einzelnen Dienste sowohl nach dem TDDDG als auch nach der DSGVO bewertet werden. Je nach Ergebnis sind die Datenschutzerklärung und das Consent-Banner entsprechend anzupassen.

2. Website-Hosting und Hoster

Unternehmen mit Internetauftritt speichern die dort anfallenden Daten meist nicht auf einem eigenen Server, sondern nutzen den Service eines externen Dienstleisters (IT-Hoster). Der Content auf der Website ist über die Server des Providers öffentlich abrufbar. Alternativ hosten Unternehmen mit eigener IT-Abteilung und Hardware ihren Internetauftritt auf einem eigenen Server.
Im Rahmen des Hostings bei einem Provider speichert dieser unter anderem die Inhalte der Website und im Falle eines Onlineshops zudem Kunden- und Zahlungsdaten auf seinen Servern ab. Zum Teil logt dieser auch Tracking-Daten über das Besucherverhalten auf der Website. Daher findet eine Verarbeitung, insbesondere Erhebung und Übermittlung von personenbezogenen Daten statt.

Ist ein Auftragsverarbeitungsvertrag notwendig?

Ja, bei einer Auftragsverarbeitung lässt ein Unternehmen (Verantwortlicher) personenbezogene Daten durch eine andere externe Stelle verarbeiten. Das Unternehmen bestimmt allein über die Zwecke und Mittel der Verarbeitung. Ein IT-Hoster, der im Auftrag eines Unternehmens dessen Daten verarbeitet, insbesondere speichert, zählt zu Auftragsverarbeitern (weisungsgebundene Verarbeitung kundenbezogener Daten). Somit ist ein Vertrag über die Auftragsverarbeitung (AV-Vertrag) zu schließen (siehe unten).
Hinweis: Ebenso gelten Tätigkeiten wie Webdesign, Datenkonvertierung und das Erstellen von Back-ups im Sinne der DSGVO als Auftragsverarbeitung. Nur falls gar keine personenbezogenen Daten verarbeitet werden, handelt es sich nicht um einen Fall der Auftragsverarbeitung und es ist kein AV-Vertrag erforderlich.

Sie betreiben selbst einen Server?

Ein AV-Vertrag ist ebenfalls mit einem Dienstleister zu schließen, den Sie mit der Wartung Ihres Servers beauftragt haben, wenn dieser im Rahmen der Wartung auf personenbezogene Daten zugreifen kann. Die Möglichkeit des Zugriffs reicht bereits aus. Kann hingegen der Zugriff auf die personenbezogenen Daten vollumfänglich ausgeschlossen werden, liegt keine Auftragsverarbeitung vor.

3. Website absichern: HTTPS und TLS einsetzen

§ 19 Abs. 4 TDDDG regelt, dass Anbieter digitaler Dienste angemessene Sicherheitsvorkehrungen treffen müssen. Das Gesetz nennt als Beispiel die Anwendung eines als sicher anerkannten Verschlüsselungsverfahrens.
Eine verschlüsselte Datenübertragung schützt die Kommunikation zwischen dem Endgerät des Nutzers und dem Webserver vor unbefugten Zugriffen. Insbesondere bei Registrierungen, Bestellungen in Onlineshops sowie der Übermittlung personenbezogener Daten sollte eine sichere Verbindung verwendet werden.
Hierfür sollte die Website über HTTPS erreichbar sein. Die Verschlüsselung erfolgt dabei mittels aktueller TLS-Verfahren (Transport Layer Security). Empfohlen wird der Einsatz aktueller TLS-Versionen, insbesondere TLS 1.3. Veraltete und als unsicher geltende Protokolle sollten nicht verwendet werden.
Für den Betrieb einer HTTPS-Verbindung benötigt der Webseitenbetreiber ein entsprechendes TLS-Zertifikat. Solche Zertifikate werden heute häufig bereits kostenlos durch Hosting-Anbieter bereitgestellt oder können beispielsweise über Dienste wie Let's Encrypt bezogen werden. Daneben sind weiterhin kostenpflichtige Zertifikate mit erweiterten Leistungen erhältlich.
Unabhängig von der gewählten Lösung sollte darauf geachtet werden, dass das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle stammt und rechtzeitig erneuert wird.

4. Log-Dateien

Server-Logfiles dienen der Überwachung, Fehleranalyse und Absicherung einer Website. Dabei werden Zugriffe auf die Website und ihre Unterseiten protokolliert. Die gespeicherten Informationen helfen insbesondere dabei, technische Fehler zu erkennen, Angriffe auf die Website nachzuvollziehen oder Störungen zu beheben. So können beispielsweise fehlerhafte Verlinkungen oder sogenannte 404-Fehler identifiziert werden.
Server-Logfiles enthalten regelmäßig auch personenbezogene Daten. Je nach eingesetztem Server oder Hosting-Anbieter können insbesondere folgende Informationen protokolliert werden:
  • Datum und Uhrzeit des Zugriffs
  • aufgerufene Seite bzw. URL
  • übertragene Datenmenge
  • Referrer-URL (die zuvor besuchte Seite)
  • verwendeter Browser und Browserversion
  • verwendetes Betriebssystem
  • IP-Adresse des Besuchers (gegebenenfalls gekürzt oder anonymisiert)
  • Statusmeldungen des Servers
Die Verarbeitung dieser Daten ist nur zulässig, wenn hierfür eine Rechtsgrundlage besteht. In der Regel erfolgt die Verarbeitung zur Gewährleistung der Sicherheit, Stabilität und Funktionsfähigkeit der Website auf Grundlage berechtigter Interessen gemäß Art. 6 Abs. 1 Satz 1 lit. f DSGVO.
Die in Server-Logfiles enthaltenen Daten sollten grundsätzlich nur für Sicherheits-, Fehleranalyse- und Verwaltungszwecke verwendet werden. Eine darüber hinausgehende Nutzung, insbesondere zur Erstellung von Nutzerprofilen oder für Analysezwecke, bedarf einer gesonderten rechtlichen Prüfung.
Über die Verarbeitung von Server-Logfiles ist in der Datenschutzerklärung zu informieren. Dabei sollten insbesondere die verarbeiteten Datenkategorien, die Verarbeitungszwecke, die Rechtsgrundlage sowie die Speicherdauer der Logfiles erläutert werden.

5. Kontaktformular

Das Kontaktformular ist ein verbreiteter Service und vereinfacht Seitenbesuchern die Kontaktaufnahme mit dem Kundenservice des Unternehmens bzw. Betreibers der Website. Da Daten wie Name und Kontaktdaten abgefragt werden, erheben Sie mit einem Kontaktformular persönliche Daten und müssen Seitenbesucher deshalb zu Beginn der Nutzung über Art, Umfang und Zweck der Datenerfassung informieren. Dabei gilt:
  • Nur notwendige Angaben abfragen (Grundsatz der Datenminimierung)
  • Bei der Abfrage optionaler Angaben diese als freiwillig kennzeichnen
  • Übermittlung der Daten über eine verschlüsselte Datenleitung („HTTPS“)
  • Hinweis zu Kontaktformular in der Datenschutzerklärung
Die Datenverarbeitung, welche über Kontaktformulare auf Websites abgewickelt wird, ist personenbezogenen und damit in der Datenschutzerklärung zu beschreiben.

6. Tracking- und Analyse-Software

Mithilfe von Tracking- und Analyse-Tools wie Google Analytics oder Matomo können Websitebetreiber das Nutzungsverhalten ihrer Besucher auswerten und ihren Internetauftritt optimieren.
Beim Einsatz solcher Tools werden regelmäßig Informationen auf dem Endgerät der Nutzer gespeichert oder ausgelesen und häufig auch personenbezogene Daten verarbeitet. Je nach eingesetztem Dienst können die Daten zudem an externe Dienstleister übermittelt werden. Daher sind die Vorgaben des TDDDG und der DSGVO zu beachten.
Nach Auffassung der Datenschutzaufsichtsbehörden sind die meisten marktüblichen Tracking- und Analyse-Tools nicht unbedingt erforderlich für den Betrieb einer Website und deshalb grundsätzlich einwilligungspflichtig. Rechtsgrundlage für das Speichern oder Auslesen von Informationen auf Endgeräten ist § 25 Abs. 1 TDDDG. Für die anschließende Verarbeitung personenbezogener Daten ist zusätzlich eine Rechtsgrundlage nach der DSGVO erforderlich, in der Praxis regelmäßig die Einwilligung der Nutzer.
Dies gilt insbesondere für Tracking-Dienste, die das Nutzerverhalten über die eigene Website hinaus erfassen oder Nutzerprofile für Analyse-, Marketing- oder Werbezwecke erstellen.

Praxistipps

  • Einholung einer wirksamen Einwilligung über ein Consent-Banner vor Aktivierung des Tracking-Tools
  • Transparente Information über den Einsatz der Tools in der Datenschutzerklärung
  • Dokumentation der Datenverarbeitung im Verzeichnis der Verarbeitungstätigkeiten
  • Regelmäßige Prüfung der Einstellungen des eingesetzten Dienstes auf Datensparsamkeit und Datenschutzkonformität
Eine wirksame Einwilligung setzt voraus, dass die Nutzer vorab über Art, Umfang, Zwecke und Empfänger der Datenverarbeitung verständlich informiert werden und ihre Zustimmung aktiv erteilen können. Die Einwilligung muss jederzeit widerrufbar sein.

Google Analytics

Der Einsatz von Google Analytics ist grundsätzlich möglich, setzt jedoch die Einhaltung der datenschutzrechtlichen Anforderungen der DSGVO voraus. Da Google Analytics Nutzungsdaten erhebt und verarbeitet, die einen Personenbezug aufweisen können, dürfen die entsprechenden Analyse- und Tracking-Technologien regelmäßig erst nach einer ausdrücklichen Einwilligung der Besucher eingesetzt werden. Die Einwilligung muss freiwillig, informiert und aktiv erfolgen und kann jederzeit widerrufen werden.
Websitebetreiber müssen die Nutzer in ihrer Datenschutzerklärung transparent über den Einsatz von Google Analytics informieren. Hierzu gehören insbesondere Angaben zu den verarbeiteten Daten, den Verarbeitungszwecken, den Empfängern der Daten sowie zu möglichen Datenübermittlungen außerhalb der Europäischen Union.
Darüber hinaus ist mit Google die von Google bereitgestellte datenschutzrechtliche Vertragsdokumentation abzuschließen. Die datenschutzrechtliche Einordnung der Rollen von Google und dem Websitebetreiber wurde in der Vergangenheit unterschiedlich bewertet. Während die Datenschutzaufsichtsbehörden teilweise eine gemeinsame Verantwortlichkeit angenommen haben, stellt Google vertragliche Regelungen zur Auftragsverarbeitung bereit. Die konkrete rechtliche Einordnung hängt von den jeweils genutzten Funktionen und den aktuellen Vertragsbedingungen ab.
Vor dem Einsatz von Google Analytics sollte außerdem geprüft werden, welche Einstellungen datenschutzfreundlich vorgenommen werden können und ob die tatsächlich benötigten Analysefunktionen den Umfang der Datenverarbeitung rechtfertigen.

7. Social Media Plugins

Social-Media-Plugins, beispielsweise von Facebook, Instagram, LinkedIn oder anderen sozialen Netzwerken, werden häufig auf Websites eingesetzt. Betreiber möchten damit erreichen, dass Besucher Inhalte einfach teilen oder auf Beiträge in sozialen Netzwerken aufmerksam werden.
Datenschutzrechtlich problematisch kann sein, dass bei einer unmittelbaren Einbindung solcher Plugins bereits beim Aufruf der Website personenbezogene Daten an den jeweiligen Anbieter übertragen werden. Hierzu können insbesondere die IP-Adresse sowie technische Informationen über Browser und Endgerät gehören. Dies kann unter Umständen auch dann erfolgen, wenn der Besucher das Plugin nicht anklickt oder kein Konto beim jeweiligen sozialen Netzwerk besitzt.
Für eine datenschutzkonforme Einbindung sollten daher technische Lösungen eingesetzt werden, die eine Datenübertragung erst nach einer aktiven Handlung des Nutzers ermöglichen.

Mögliche Lösungen

Die Shariff-Lösung
Bei der Shariff-Lösung werden die Social-Media-Schaltflächen zunächst lokal auf der Website dargestellt. Eine Verbindung zum sozialen Netzwerk wird erst hergestellt, wenn der Nutzer die jeweilige Schaltfläche aktiv anklickt. Dadurch werden beim bloßen Aufruf der Website zunächst keine personenbezogenen Daten an den Anbieter des sozialen Netzwerks übertragen.
Die 2-Klick-Lösung
Bei der 2-Klick-Lösung muss der Nutzer zunächst das Social-Media-Plugin aktivieren. Erst nach einem weiteren Klick wird die gewünschte Funktion ausgeführt und eine Verbindung zum sozialen Netzwerk hergestellt. Die Datenübermittlung erfolgt somit erst nach einer bewussten Handlung des Nutzers.
Vollständiger Verzicht
Die datenschutzfreundlichste Lösung besteht darin, vollständig auf Social-Media-Plugins zu verzichten und stattdessen lediglich einfache Verlinkungen zu den Social-Media-Profilen des Unternehmens bereitzustellen. In diesem Fall werden beim Aufruf der Website keine personenbezogenen Daten an die sozialen Netzwerke übermittelt.

8. Eingebundene Videos

Videos sind ein beliebtes Mittel, um Informationen auf Websites anschaulich darzustellen. Werden Videos über Plattformen wie YouTube eingebunden, sind die datenschutzrechtlichen Anforderungen zu beachten.
Bei der Standard-Einbindung eines YouTube-Videos werden bereits beim Aufruf der Webseite Verbindungen zu Servern von YouTube bzw. Google hergestellt. Dabei können personenbezogene Daten, insbesondere die IP-Adresse des Besuchers, an Google übermittelt werden. Dies kann bereits erfolgen, ohne dass das Video abgespielt wird. Außerdem können Tracking-Technologien und Cookies zum Einsatz kommen. Für die datenschutzkonforme Einbindung von YouTube-Videos ist daher regelmäßig eine vorherige Einwilligung der Nutzer erforderlich. Zusätzlich sind die Nutzer in der Datenschutzerklärung über die Datenverarbeitung zu informieren.
YouTube bietet einen sogenannten „erweiterten Datenschutzmodus“ (youtube-nocookie.com) an. Dieser reduziert den Umfang der Datenverarbeitung, ersetzt jedoch regelmäßig nicht die erforderliche Einwilligung. Auch bei dieser Einbindungsart können personenbezogene Daten an Google übermittelt werden.
In der Praxis empfiehlt sich die Kombination aus erweitertem Datenschutzmodus und einem Consent-Management-Tool oder einer Zwei-Klick-Lösung. Das Video wird dabei erst nach einer entsprechenden Einwilligung des Nutzers geladen.
Weitere Informationen dazu finden Sie im Artikel “Einbettung von Youtube-Videos im Webshop (Update)” der IT-Recht Kanzlei München.

9. Cookies und Cookie-Hinweise

Heute nutzen viele Websites Cookies und vergleichbare Technologien. Cookies sind kleine Textdateien, die Informationen auf dem Endgerät eines Websitebesuchers speichern. Sie können beispielsweise dazu verwendet werden, Nutzer wiederzuerkennen oder bestimmte Einstellungen für die Dauer eines Besuchs zu speichern.
Nicht jede Website benötigt ein Cookie- oder Einwilligungsbanner. Dies ist nur dann erforderlich, wenn Cookies oder sonstige Technologien (z. B. Fingerprinting oder vergleichbare Tracking-Techniken) eingesetzt werden, für deren Verwendung eine vorherige Einwilligung der Nutzer erforderlich ist.
§ 25 TDDDG ist immer dann zu prüfen, wenn Informationen auf Endeinrichtungen gespeichert oder aus diesen ausgelesen werden. Werden hierbei personenbezogene Daten verarbeitet, sind zusätzlich die Vorgaben der DSGVO zu beachten. Dabei ist zwischen technisch notwendigen und nicht notwendigen Cookies bzw. Technologien zu unterscheiden:
Technisch notwendige Cookies und vergleichbare Technologien können ohne Einwilligung eingesetzt werden, wenn sie für die Bereitstellung des vom Nutzer ausdrücklich gewünschten Dienstes technisch erforderlich sind.
Beispiele:
  • Warenkorbfunktion im Onlineshop
  • Login- und Authentifizierungsfunktionen
  • technisch erforderliche Spracheinstellungen
Nicht notwendige Cookies und vergleichbare Technologien sind grundsätzlich einwilligungspflichtig. Hierzu gehören insbesondere Tracking- und Marketing-Technologien, mit denen Nutzungsprofile erstellt, Nutzer wiedererkannt oder Daten an Dritte übermittelt werden. In diesen Fällen muss die Einwilligung der Nutzer vor dem Speichern oder Auslesen der Informationen eingeholt werden, beispielsweise über ein Consent-Banner.

10. Webfonts wie z. B. Google Fonts

Webfonts ermöglichen die Nutzung spezieller Schriftarten auf Websites. Ein bekanntes Angebot sind die Google Fonts.
Werden Google Fonts oder andere Webfonts direkt von Servern Dritter geladen, baut der Browser des Besuchers beim Aufruf der Website eine Verbindung zu diesen Servern auf. Dabei können personenbezogene Daten, insbesondere die IP-Adresse des Nutzers, an den jeweiligen Anbieter übermittelt werden. Dies ist datenschutzrechtlich zu berücksichtigen.
Die datenschutzfreundlichste Lösung besteht regelmäßig darin, die benötigten Schriftarten lokal auf dem eigenen Webserver zu speichern und von dort auszuliefern. In diesem Fall wird keine Verbindung zu den Servern des Schriftartenanbieters hergestellt und es findet keine Übermittlung personenbezogener Daten an diesen statt.
Das Landgericht München I hat mit Urteil vom 20.01.2022 (Az. 3 O 17493/20) entschieden, dass die Übermittlung der IP-Adresse eines Webseitenbesuchers an Google beim dynamischen Nachladen von Google Fonts ohne entsprechende Rechtsgrundlage einen Datenschutzverstoß darstellen kann. Dem Kläger wurde ein Schadensersatzanspruch zugesprochen. Dieses Urteil hat einen Abmahnwelle ausgelöst, die aber mittlerweile abgeebbt ist.
Websitebetreiber sollten prüfen, ob Webfonts extern geladen werden und gegebenenfalls auf eine lokale Einbindung umstellen. Zudem sind die Angaben in der Datenschutzerklärung entsprechend zu überprüfen und anzupassen.

11. Datenschutzerklärung

Jede Website muss über ein Impressum und eine Datenschutzerklärung verfügen, sobald diese personenbezogene Daten verarbeitet. Die Erklärung informiert Besucher der Website ausführlich über die Art und Weise der Verarbeitung (z. B. Erheben, Auswerten) der personenbezogenen Daten sowie über die Verarbeitungszwecke.
Bereits sehr einfache Webseiten verarbeiten personenbezogene Daten, weshalb die Datenschutzregelungen für fast alle Internetauftritte gelten. Ohne korrekte Umsetzung der Bestimmungen droht dem Betreiber der Website ggf. eine Abmahnung und/oder eine Geldbuße.
Die Datenschutzerklärung muss die nach Artikel 13 DSGVO bestehenden Informationspflichten beachten. Damit ist sie deutlich umfangreicher. Folgende Pflichten müssen umgesetzt sein:
  • Die Rechtsgrundlage für die Datenverarbeitung muss genannt sein. Es gilt nach wie vor der Grundsatz des Verbots mit Erlaubnisvorbehalt. Personenbezogene Daten dürfen nicht erhoben werden, außer der Nutzer stimmt explizit zu oder das Gesetz gestattet dies.
  • Gesetzlich zulässige Verarbeitungen (Rechtsgrundlagen) sind in Artikel 6 DSGVO definiert: Die Datenverarbeitung ist zum Beispiel erlaubt, wenn die Daten zur Vertragserfüllung benötigt werden. Zu den Ausnahmen gehört zudem die „Wahrung berechtigter Interessen“.
  • Auf die Rechtsgrundlage „Wahrung berechtigter Interessen“ lässt sich die Verarbeitung solcher personenbezogener Daten stützen, die für die Gewährleistung der Website-Sicherheit erforderlich sind. Hierzu zählt unter anderem die temporäre Speicherung von IP-Adressen, beispielsweise zum Schutz einer Website vor Angriffen.
  • Den Informationspflichten bezüglich der Rechte der Seitenbesucher ist nachzukommen. Die Datenschutzerklärung muss über alle Rechte Betroffener (z. B. auf Auskunft, auf Berichtigung, Recht auf Beschwerde bei einer Aufsichtsbehörde sowie ein Recht auf Löschung und Einschränkung und ggf. auf Datenübertragbarkeit) geben.
  • Gibt es in einem Unternehmen einen Datenschutzbeauftragten, muss dieser in der Erklärung genannt und eine Kontaktmöglichkeit gegeben sein. Hierbei reicht eine Funktionsangabe aus, eine namentliche Nennung ist nicht erforderlich.
Im Internet gibt es zahlreiche Anbieter, darunter Anwaltskanzleien, Datenschutzberater und Unternehmensberatungen, die Generatoren zur Erstellung von Datenschutzerklärungen für Websites anbieten. Mithilfe solcher Generatoren können Betreiber von Websites die für ihren Internetauftritt erforderlichen Datenschutzinformationen zusammenstellen. Viele dieser Angebote sind zumindest in einer Basisversion kostenlos nutzbar. Bei der Auswahl eines Anbieters sollten Sie darauf achten, dass dieser über eine entsprechende datenschutzrechtliche und juristische Fachkompetenz verfügt und seine Inhalte regelmäßig an die aktuelle Rechtslage anpasst.

12. Datenweitergabe an externe Dienstleister

Die Weitergabe von Daten an Dritte ist schnell erfolgt und gilt zum Beispiel schon dann, wenn die Bearbeitung von Rechnungen in der Cloud eines externen Anbieters stattfindet. Typisch ist die Datenweitergabe auch bei Onlineshops, die in der Regel auf dem Server eines Webseiten-Hosters betrieben werden.
Werden personenbezogene Daten weitergeleitet oder ist eine bloße Möglichkeit der Kenntnisnahme durch Dritte gegeben, handelt es sich um Datenverarbeitungen mit Erlaubnispflicht. Die Weitergabe ist erlaubt, sofern die Weitergabe auf eine Rechtsgrundlage gestützt werden kann.
Das TDDDG sieht eine Anzeigepflicht vor, bevor ein Nutzer zu einem anderen Diensteanbieter weitergeleitet wird.
Im Unternehmensalltag spielen v. a. folgende Rechtsgrundlagen eine Rolle:
  • Einwilligung
    Eine Möglichkeit ist es, die Einwilligung zur Datenweitergabe von den Betroffenen einzuholen. Diese können der Weitergabe nach Art. 6 Abs. 1 Satz 1 lit. a DSGVO zustimmen. Für die Einwilligung gelten jedoch hohe Anforderungen. Diese kann jederzeit widerrufen (damit nicht belastbar) werden.
  • Vertragserfüllung
    Zulässig ist die Weitergabe, falls diese zur Vertragserfüllung erforderlich ist und den Interessen der betroffenen Person entspricht.
  • Bei berechtigten Interessen an der Weitergabe
    Auch ohne Einwilligung und Vertrag kann die Datenweitergabe erlaubt sein. Diese Forderung ist zum Beispiel erfüllt, wenn ein Onlineshop die Kontaktdaten eines Kunden an einen Paketzustelldienst übermittelt, der Kunde vorab hierüber informiert worden ist und nicht widersprochen hat.
    Interessen an der Kostensenkung, Gewinnmaximierung, Steigerung der Nutzerfreundlichkeit und Optimierung der Dienste zählen ebenfalls zu den berechtigten Interessen. Bei der Abwägung dieser kommt es auf die Art der Daten, den Zweck der Weitergabe und die möglichen Risiken für Betroffene an. Der Verkauf von Adressen von einem Onlineshop an einen Adressen-Händler ist damit nicht erlaubt.

13. Datenverarbeitungsverträge mit Auftragsverarbeitern

Betreiber von Websites setzen häufig externe Dienstleister ein, die im Auftrag personenbezogene Daten verarbeiten. Hierzu gehören insbesondere Hosting-Anbieter, Newsletter-Dienstleister, Cloud-Dienste, Support- und Wartungsdienstleister oder Anbieter von Software-as-a-Service-Lösungen.
Verarbeitet ein Dienstleister personenbezogene Daten ausschließlich nach den Weisungen des Websitebetreibers und für dessen Zwecke, handelt er als sogenannter Auftragsverarbeiter im Sinne der DSGVO. In diesen Fällen muss zwischen dem Websitebetreiber und dem Dienstleister ein Vertrag über die Auftragsverarbeitung (AV-Vertrag) abgeschlossen werden.
Der Vertrag regelt insbesondere Art und Zweck der Datenverarbeitung, die Weisungsrechte des Verantwortlichen, die technischen und organisatorischen Schutzmaßnahmen sowie die Pflichten des Auftragsverarbeiters im Umgang mit personenbezogenen Daten.
Viele Dienstleister stellen hierfür bereits vorformulierte Verträge zur Auftragsverarbeitung zur Verfügung, die online abgeschlossen oder in die Nutzungsbedingungen integriert werden können. Websitebetreiber sollten jedoch prüfen, ob tatsächlich eine Auftragsverarbeitung vorliegt und ob die bereitgestellten Vertragsunterlagen den konkret genutzten Leistungen entsprechen.
Ein Vertrag zur Auftragsverarbeitung ist immer dann erforderlich, wenn ein externer Dienstleister personenbezogene Daten im Auftrag des Websitebetreibers verarbeitet. Verarbeitet der Dienstleister die Daten hingegen für eigene Zwecke und entscheidet selbst über Zwecke und Mittel der Verarbeitung, liegt regelmäßig keine Auftragsverarbeitung vor.

Dieses Merkblatt soll – als Service Ihrer IHK – nur erste Hinweise geben und erhebt daher keinen Anspruch auf Vollständigkeit. Obwohl es mit größtmöglicher Sorgfalt erstellt wurde, kann eine Haftung für die inhaltliche Richtigkeit nicht übernommen werden.