Was macht SSL-Verschlüsselung der Webseite?
SSL steht für die Abkürzung „Secure Sockets Layer“ und ist ein Verschlüsselungsverfahren, um Daten im Internet vertraulich zu übertragen. Eine SSL-Verschlüsselung soll so dafür sorgen, dass Dritte die Daten nicht auslesen oder manipulieren können. Darüber hinaus stellt das Verfahren die Identität einer Webseite sicher. In der Praxis ist die SSL-Verschlüsselung mittlerweile größtenteils von der neueren und sicheren Transport Layer Security Standard (TLS) ersetzt worden.
Ihre Nutzer müssen in Ihrer Datenschutzerklärung bei Verwendung dieses Dienstes informiert werden.
Datenschutzerklärung kostenlos erstellen
Darum ist die SSL-Verschlüsselung datenschutzrechtlich relevant
Fragen Seitenbetreiber personenbezogene Daten wie Namen und E-Mail-Adresse von Usern ab, müssen sie diese entsprechend verschlüsseln, um den Datenschutz zu wahren. Das kann zum Beispiel der Fall sein bei:
- Newsletter-Anmeldungen und Downloads
- Kontaktformularen
- Bestellformularen
- Login-Daten
Eine SSL-Verschlüsselung gewährt diesen Schutz, indem sie die Daten während der Übertragung vor Zugriffen und dem Missbrauch durch Dritte schützt. Bis vor kurzem ergab sich diese Pflicht noch aus § 13 Abs. 7 TMG. Seit dem 25. Mai hat hier die Datenschutz-Grundverordnung (DSGVO) übernommen. Jetzt schreibt Art. 32 Abs. 1 DSGVO dies vor. Danach müssen Seitenbetreiber unter Berücksichtigung des Stands der Technik und den Implementierungskosten geeignete technische und organisatorische Maßnahmen ergreifen, um die Daten der Nutzer zu schützen. Art. 32 Art. 1 lit. a) nennt dafür ausdrücklich eine Verschlüsselung personenbezogener Daten. Daneben empfiehlt auch das Bundesamt für Sicherheit in der Informationstechnik eine SSL- oder TLS-Verschlüsselung, um personenbezogene Daten im Web sicher zu übertragen.
So können Webseitenbetreiber ihre Seite sicher verschlüsseln
Um personenbezogene Daten sicher zu übertragen, stehen Seitenbetreibern verschiedene Verschlüsselungsverfahren zur Auswahl. Zu den drei gängigsten Varianten zählen dabei:
DV-Zertifikat: Das DV-Zertifikat bestätigt die Domain einer Seite und bildet damit die einfachste Vertrauensstufe. Da Seitenbetreiber dies nur durch eine E-Mai validieren lassen müssen, ist das Zertifikat in wenigen Minuten in die Seite eingebunden. Nutzer sehen dann im Browser neben der URL ein kleines Schloss, das ihnen eine sichere Verbindung anzeigt.
OV-Zertifikat: Das OV Zertifikat bestätigt nicht nur den Inhaber der Domain, sondern auch das Unternehmen, das hinter der Seite steht. Auf diese Weise bietet dieses Zertifikat einen höheren Validierungsgrad als das DV-Zertifikat. Onlineshops und andere Portale, die Login-Daten von Nutzern abfragen, greifen in der Regel auf diese Art der Verifizierung zurück. Sie dauert einige Tage Bearbeitungszeit, bis sie verfügbar ist.
EV-Zertifikat: Das EV-Zertifikat prüft, ob und wie Unternehmen registriert sind. Damit bietet es die umfangreichste Validierung an. Sind Unternehmen zertifiziert, sehen User in der Adresszeile den Namen des Unternehmens in Grün. Auf diese Art der Zertifizierung greifen in der Regel Unternehmen aus dem Finanzsektor zurück.
Darüber hinaus sollten Webseitenbetreiber die Verschlüsselung in ihrer Datenschutzerklärung ansprechen. Dazu sollten sie Usern erklären, warum sie die Seite verschlüsseln und welche Maßnahmen sie dafür ergreifen. In diesem Kontext sollten sie auch die Art des Verschlüsselungsverfahrens nennen.
Rechtsprechung zur SSL-Verschlüsselung der Webseite
Unverschlüsselte E-Mails mit personenbezogenen Daten verstoßen gegen die DSGVO. Zu diesem Ergebnis kam das Amtsgericht (AG) Bochum in seinem Beschluss vom 11. März 2019 (Az. 65 C 485/18). In dem konkreten Fall hatte die rechtliche Betreuerin eines Antragsstellers auf Prozesskostenhilfe Daten und Informationen an seinen Vermieter und weitere Stellen herausgegeben. Das Gericht bestätigte zwar den Datenschutzverstoß, sah jedoch keinen Anspruch auf Schadensersatz. Es lehnte den Antrag daher ab.
