DSGVO-konforme Website: 5 unverzichtbare Kriterien

Das Herzstück des unternehmerischen Auftritts ist meist die Website. Das kann zum Problem werden, wenn ein hoher Traffic über eine offensichtlich nicht datenschutzkonforme Website läuft. Drohen deswegen Bußgelder, wird aus dem Problem schnell eine finanzielle Katastrophe.

Es gilt, das Tagesgeschäft reibungslos ablaufen zu lassen und Kunden zufriedenzustellen. Das Problem, dass der Internetauftritt dabei oft zurückstecken muss, geschweige denn datenschutzkonform gepflegt wird, kennen die meisten. Doch angesichts empfindlicher Bußgelder, die bei solchen Verstößen drohen, sollte das Thema höher priorisiert werden – vor allem, da der Aufwand für eine datenschutzkonforme Website relativ gering ist.

5 Dos and Don’ts für den Datenschutz auf der Website

1. Impressum

Dos: Nach § 5 Telemediengesetz bzw. § 55 Rundfunkstaatsvertrag besteht eine Impressumspflicht! Ein jedes Impressum muss zwingend den vollständigen Namen und die Anschrift des Seitenbetreibers sowie Angaben zur Kontaktaufnahme beinhalten. Zudem müssen je nach Gesellschaftsform unterschiedliche Anforderungen an ein Impressum berücksichtigt werden.

Don’ts: Nur ein Postfach sowie überteuerte Rufnummern sind als Kontaktaufnahmemöglichkeit unzulässig. Und gar kein Impressum zu haben ist natürlich ein absolutes „Don’t“ – ein Impressum ist eines der ersten Dinge, auf die die Aufsichtsbehörden achten.

EXTRA: Gründer-Wissen: Gesellschaftsformen im Überblick

2. Datenschutzerklärung

Dos: Eine Datenschutzerklärung (DSE) ist ebenso Pflicht. Es werden diverse Anforderungen an eine DSE gestellt. Sie muss:

• von jeder Website-Unterseite aus erreichbar sein
• den Namen sowie die Kontaktdaten des Verantwortlichen enthalten, ggf. die Kontaktdaten des Datenschutzbeauftragten
• ausdrücklich darauf verweisen, welche personenbezogenen Daten zu welchem Zweck erhoben und gespeichert werden, sowie auf welcher Rechtsgrundlage die Verarbeitung basiert

Don’ts: Einer der häufigsten Fehler ist der Einsatz von Trackingtools wie Google Analytics, auf den in der Datenschutzerklärung nicht ausdrücklich verwiesen wird und für dessen Einsatz eine Einwilligung notwendig ist. Auch alle Social-Media-Präsenzen brauchen einen eigenen Abschnitt in der DSE.

3. Websitebewertungen

Dos: Selbstverständlich darfst du Kunden bitten, Erfahrungsberichte und Bewertungen abzugeben, sie aber nicht in irgendeiner Weise beeinflussen.

Don’ts: Das eigene Unternehmen, eigene Produkte oder Dienstleistungen positiv zu bewerten und sich nicht dem Unternehmen zugehörig zu erkennen geben ist nicht nur fragwürdig, sondern wettbewerbswidrig und damit nicht erlaubt. Dabei ist es egal, ob diese Bewertungen auf der eigenen Website vorgenommen werden, Kunden mit Rabatten dazu angestiftet oder solche Dienstleistungen von Dritten eingekauft werden. Dies gilt im Übrigen auch für Social-Media- oder Shoppingplattformen.

EXTRA: Online-Bewertungen: Neun von zehn Usern lassen sich beeinflussen [Studie]

4. Datenübertragung

Dos: Um auf Websites personenbezogene Daten korrekt übertragen zu können, muss eine entsprechende Verschlüsselung gewährleistet werden. Nach aktuellem Stand ist dies der Fall, wenn die Seite ein SSL-Zertifikat (Secure-Sockets-Layer) oder ein TLS-Zertifikat (Transport-Layer-Security) besitzt, welche auf dem Server installiert werden. Ist dies erfüllt, läuft die Seite mit dem sicheren Kommunikationsprotokoll HTTPS.

Don’ts: Unzureichend verschlüsselte Websites sind nicht nur ein Sicherheitsrisiko und können Abmahnungen und Bußgeldern nach sich ziehen, sondern führen darüber hinaus beim Suchmaschinen-Ranking (etwa auf Google) oft zu einer Herabstufung.

5. Cookie-Banner

Dos: Nach einem neuen EuGH-Urteil (10/19) muss ein Website-Besucher immer in die Verwendung von Cookies einwilligen, abgesehen von den Cookies, die technisch notwendig sind, um eine Website fehlerfrei laufen zu lassen. Bei allen anderen Cookies bedarf es einer vorherigen Einwilligung.

Don’ts: Eine automatische Einwilligung für die Akzeptanz von Cookies darf nicht mehr gesetzt sein; der User muss selbst rechtswirksam in die Verwendung nicht-notwendiger Cookies einstimmen. Vorgesetzte Häkchen in Cookie-Einstellungen also schleunigst entfernen!