Kaum ein Thema sorgt bei Website-Betreibern für so viel Unbehagen wie der Datenschutz. Das liegt weniger an den Regeln selbst als an der Stimmung drumherum: Geschichten von Abmahnungen, widersprüchliche Ratschläge, gefühlt täglich neue Anforderungen. Atmen wir kurz durch. Die Datenschutz-Grundverordnung, kurz DSGVO, ist kein Fallstrick, sondern ein nachvollziehbares Regelwerk. Wer die Grundlagen versteht und umsetzt, ist auf der sicheren Seite.
Eine wichtige Einordnung vorab, und ein klarer Hinweis: Dieser Ratgeber ersetzt keine Rechtsberatung. Er erklärt die Zusammenhänge, damit Sie wissen, worauf es ankommt und welche Fragen Sie gegebenenfalls einem Fachanwalt oder Datenschutzbeauftragten stellen sollten. Im Zweifel und bei komplexen Fällen ist fachlicher Rat durch nichts zu ersetzen.
Worum es bei der DSGVO im Kern geht
Der Grundgedanke der DSGVO ist einfacher, als die Aufregung vermuten lässt: Menschen sollen die Kontrolle über ihre persönlichen Daten behalten. Sobald Ihre Website personenbezogene Daten verarbeitet, und das tut praktisch jede, greift die Verordnung. Personenbezogene Daten sind alle Informationen, die sich einer Person zuordnen lassen, von der E-Mail-Adresse über die IP-Adresse bis zu Angaben in einem Formular.
Daraus ergeben sich ein paar Grundprinzipien. Sie dürfen Daten nur erheben, wenn Sie einen Grund dafür haben, etwa weil der Nutzer einwilligt oder weil es zur Erfüllung eines Vertrags nötig ist. Sie müssen transparent machen, welche Daten Sie zu welchem Zweck verarbeiten. Und Sie müssen die Daten schützen und nicht länger aufbewahren als nötig. Das ist der Kern, alles Weitere baut darauf auf.
Die Datenschutzerklärung: das Herzstück
Jede Website braucht eine Datenschutzerklärung, und zwar leicht auffindbar, üblicherweise im Fußbereich verlinkt. Darin erklären Sie verständlich, welche Daten Sie erheben, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange Sie sie speichern. Außerdem informieren Sie über die Rechte der Nutzer, etwa das Recht auf Auskunft und Löschung.
Die gute Nachricht: Sie müssen das nicht selbst formulieren. Es gibt seriöse Generatoren, die anhand Ihrer Angaben eine passende Erklärung erstellen. Wichtig ist, dass die Erklärung zu Ihrer tatsächlichen Website passt. Eine Erklärung, die Dienste auflistet, die Sie gar nicht nutzen, oder die Dienste verschweigt, die Sie tatsächlich einsetzen, ist wertlos oder sogar schädlich. Gehen Sie also ehrlich durch, was auf Ihrer Seite wirklich läuft.
Gut zu wissen: Die Datenschutzerklärung ist kein Text, den man einmal schreibt und dann vergisst. Sobald Sie einen neuen Dienst einbinden, etwa ein Analyse-Werkzeug oder einen Newsletter, muss die Erklärung mitwachsen.
Cookie-Banner richtig einsetzen
Das Cookie-Banner ist zum Sinnbild des Datenschutzes geworden, oft zum genervten. Dabei ist die Regel im Kern klar: Für Cookies und ähnliche Techniken, die nicht zwingend für den Betrieb der Seite nötig sind, brauchen Sie vorab die Einwilligung des Nutzers. Technisch notwendige Cookies, etwa für den Warenkorb oder die Sprachwahl, sind davon ausgenommen.
Praktisch heißt das: Analyse- und Marketing-Werkzeuge dürfen erst laden, nachdem der Nutzer zugestimmt hat. Ein Banner, das nur über Cookies informiert, sie aber trotzdem sofort setzt, genügt nicht. Ebenso wenig ein Banner, bei dem das Ablehnen schwerer gemacht wird als das Zustimmen. Die Einwilligung muss echt und freiwillig sein. Ein gutes Einwilligungs-Werkzeug blockiert die betroffenen Dienste so lange, bis der Nutzer entschieden hat, und dokumentiert die Entscheidung.
Kontaktformulare und der Umgang mit Daten
Das Kontaktformular ist auf vielen Seiten die wichtigste Stelle, an der Daten zusammenkommen. Hier gelten die allgemeinen Grundsätze ganz konkret. Fragen Sie nur ab, was Sie wirklich brauchen. Wenn für eine Anfrage Name und E-Mail genügen, müssen Sie nicht zusätzlich die Telefonnummer und die vollständige Anschrift verlangen. Je weniger Daten Sie erheben, desto weniger müssen Sie schützen.
Weisen Sie beim Formular auf die Datenschutzerklärung hin, idealerweise mit einem kurzen Satz und einem Link. Die Daten sollten verschlüsselt übertragen werden, was über die https-Verbindung sichergestellt ist. Und überlegen Sie, wie lange Sie Anfragen aufbewahren. Eine Anfrage von vor fünf Jahren, die längst erledigt ist, hat in Ihrem Postfach nichts mehr verloren.
Hosting, Server und externe Dienste
Ein Punkt, der oft übersehen wird: Auch Ihr Hoster verarbeitet im Auftrag Daten Ihrer Besucher, etwa wenn Server-Protokolle die IP-Adressen speichern. Für dieses Verhältnis brauchen Sie einen sogenannten Vertrag zur Auftragsverarbeitung mit Ihrem Hoster. Seriöse Anbieter stellen diesen Vertrag standardmäßig bereit, häufig direkt im Kundenbereich zum Abschluss.
Achten Sie außerdem darauf, wo Ihre Daten und die Ihrer Dienste liegen. Werkzeuge, deren Server außerhalb der EU stehen, werfen zusätzliche Fragen auf, weil dort andere Datenschutzniveaus gelten können. Das ist nicht automatisch verboten, erfordert aber besondere Sorgfalt. Im Zweifel ist ein Anbieter mit Servern in der EU oder in Deutschland der unkompliziertere Weg. Prüfen Sie bei jedem eingebundenen Dienst, ob er Daten an Dritte weitergibt, und ob das in Ihrer Datenschutzerklärung abgebildet ist.
Die häufigsten Fehler
- Schriften und Karten von fremden Servern. Werden Schriftarten oder Kartendienste direkt von externen Servern geladen, übertragen sie oft schon beim Seitenaufruf die IP-Adresse des Besuchers. Besser ist es, solche Ressourcen lokal einzubinden oder erst nach Einwilligung zu laden.
- Analyse-Werkzeuge ohne Einwilligung. Ein Statistik-Werkzeug, das schon vor der Zustimmung Daten sammelt, ist ein Klassiker unter den Verstößen.
- Veraltete oder unpassende Datenschutzerklärung. Eine Erklärung, die nicht zur tatsächlichen Seite passt, schützt nicht, sondern schadet.
- Fehlender Auftragsverarbeitungsvertrag. Mit dem Hoster und anderen Dienstleistern, die Daten verarbeiten, braucht es diese Verträge.
- Datensammlung auf Vorrat. Daten, die ohne konkreten Zweck erhoben oder ewig aufbewahrt werden, widersprechen dem Grundgedanken.
Die Rechte der Besucher kennen
Die DSGVO gibt Menschen eine Reihe von Rechten an ihren Daten, und als Betreiber sollten Sie wissen, welche das sind, denn früher oder später macht jemand davon Gebrauch. Das wichtigste ist das Auskunftsrecht: Jeder darf erfahren, welche Daten Sie über ihn gespeichert haben. Dazu kommen das Recht auf Berichtigung falscher Daten, das Recht auf Löschung, oft als Recht auf Vergessenwerden bezeichnet, und das Recht, der Verarbeitung zu widersprechen.
Für die Praxis heißt das vor allem: Sie sollten wissen, wo welche Daten liegen, damit Sie auf eine Anfrage überhaupt antworten können. Wer keinen Überblick hat, welche Werkzeuge welche Daten sammeln, kann eine Auskunft nicht erteilen. Genau deshalb ist die ehrliche Bestandsaufnahme, die wir bei der Datenschutzerklärung beschrieben haben, doppelt wertvoll. Sie ist nicht nur die Grundlage der Erklärung, sondern auch Ihre Landkarte, wenn jemand von seinen Rechten Gebrauch macht. In aller Regel haben Sie einen Monat Zeit, um auf eine solche Anfrage zu reagieren.
Newsletter, Social Media und andere Sonderfälle
Einige Funktionen verdienen besondere Aufmerksamkeit, weil sie zusätzliche Daten ins Spiel bringen. Der Newsletter ist ein klassischer Fall. Wer Werbung per E-Mail verschicken will, braucht in aller Regel eine nachweisbare Einwilligung. Bewährt hat sich das sogenannte Double-Opt-in-Verfahren: Der Interessent trägt sich ein und bestätigt anschließend über einen Link in einer E-Mail, dass die Adresse wirklich ihm gehört. So lässt sich die Einwilligung belegen.
Auch eingebundene Inhalte von sozialen Netzwerken sind heikel, weil viele schon beim bloßen Laden der Seite Daten an den jeweiligen Anbieter übertragen. Ein eingebettetes Video oder ein Gefällt-mir-Knopf kann so zur stillen Datenquelle werden, von der der Besucher nichts ahnt. Die datenschutzfreundliche Lösung ist, solche Inhalte erst nach einem aktiven Klick zu laden oder durch eine eigene, harmlose Vorschau zu ersetzen. Das schützt die Besucher und Sie gleichermaßen.
Die Datenschutz-Checkliste
- Aktuelle, zur Seite passende Datenschutzerklärung ist verlinkt
- Ein Impressum ist vorhanden und vollständig
- Cookie-Banner holt echte Einwilligung ein, bevor nicht notwendige Dienste laden
- Kontaktformulare erheben nur die nötigen Daten und verweisen auf den Datenschutz
- Die Seite läuft vollständig über https
- Schriften und Karten werden datensparsam eingebunden
- Auftragsverarbeitungsverträge mit Hoster und Diensten liegen vor
- Es ist geregelt, wie lange welche Daten aufbewahrt werden
Diese Liste deckt den Grundschutz ab, mit dem die allermeisten kleinen und mittleren Websites gut aufgestellt sind. Datenschutz ist kein einmaliges Abhaken, sondern eine Haltung: sparsam mit Daten umgehen, transparent sein, und im Zweifel lieber nachfragen als hoffen. Wer das beherzigt, muss die gefürchtete Abmahnung nicht als ständige Bedrohung über sich schweben sehen.
Passend dazu könnten Sie diese Ratgeber interessieren: SSL & HTTPS, Website absichern und robots.txt verstehen.
Häufige Fragen
Das hängt davon ab, was Ihre Seite einsetzt. Nutzen Sie ausschließlich technisch notwendige Cookies, ist kein Einwilligungsbanner nötig, ein Hinweis in der Datenschutzerklärung genügt. Sobald aber Analyse- oder Marketing-Werkzeuge im Spiel sind, brauchen Sie vorab die Einwilligung, und damit ein Banner, das diese Dienste bis zur Zustimmung blockiert.
Für viele einfache Seiten ja, sofern der Generator seriös ist und Sie Ihre Angaben ehrlich und vollständig machen. Wichtig ist, dass die Erklärung exakt zu den auf Ihrer Seite eingesetzten Diensten passt. Bei komplexeren Seiten, etwa Shops mit Zahlungsdienstleistern, ist fachliche Prüfung ratsam.
In der Praxis steht selten gleich ein Bußgeld im Raum. Häufiger sind Beschwerden, Hinweise von Aufsichtsbehörden oder Abmahnungen. Wer offensichtliche Grundlagen erfüllt, also Datenschutzerklärung, Impressum, https und ein korrektes Cookie-Banner, nimmt den meisten dieser Risiken die Spitze.
Sobald eine Seite über rein persönliche oder familiäre Zwecke hinausgeht und öffentlich erreichbar ist, greifen die Regeln. Ein Blog mit Kontaktformular oder eingebundenen Diensten fällt darunter. Eine völlig private, nicht öffentliche Seite ist anders zu bewerten. Im Graubereich ist der sichere Weg, die Grundlagen einfach umzusetzen.