DSGVO-Vorgaben für Webseiten

1. Datenschutz auf Webseiten

Das Wichtigste zuerst: Ihre Website datenschutzrechtlich sicher aufzustellen, zählt quasi zum kleinen Einmaleins der DSGVO und bildet den Grundstein für ein rechtssicheres Online-Business. Bei diesem Thema gibt es eine Menge, dass es zu wissen lohnt.

Die eigene Website allerdings mühsam nach möglichen rechtlichen Fallstricken zu durchsuchen, ist eine Menge Arbeit. Schneller geht es mit unserem kostenlosen eRecht24 Website Scanner: Hier erfahren Sie in 2 Minuten, ob Ihre Website DSGVO-konform ist. Wollen Sie nachbessern? Dann erfahren Sie jetzt, auf welche Feinheiten es ankommt und wie Sie diese am besten umsetzen. 

Datenschutzerklärung

Die wohl wichtigste Grundlage ist die Datenschutzerklärung: So gut wie jede Webseite braucht eine. Sobald Sie auf Ihrer Website Dienste nutzen, die im Hintergrund personenbezogene Daten erheben und verarbeiten, ist die Datenschutzerklärung Pflicht.

Was viele nicht wissen: Auch wenn Sie persönlich keine Dienste auf Ihrer Website einsetzen, die personenbezogene Daten verwenden, werden diese häufig durch Ihren Hoster erhoben, ohne dass Sie darauf Einfluss nehmen können. Auch dann gilt: Sie brauchen eine Datenschutzerklärung. Darin müssen Sie über jede Verarbeitung, Erhebung und Nutzung von personenbezogenen Daten durch Ihre Website aufklären.

Impressum

Jede nicht rein private Website braucht nach dem Telemediengesetz ein Impressum, damit der Besucher erkennen kann, wer für die Inhalte der Seite verantwortlich ist. Das Impressum ist aber auch für den Datenschutz wichtig. Denn: Es stellt sicher, dass das Recht der Nutzer auf Auskunft, das ihnen laut DSGVO zusteht, gewährleistet wird.

Sie wollen wissen, was genau in ein Impressum gehört und was Sie rechtlich dabei beachten müssen? In unserer Übersicht zum Thema Impressum beantworten wir Ihnen Ihre Fragen zum Impressum auf Website, Social Media & Co. ebenso wie zur Impressumspflicht und der rechtssicheren Einbindung.

Sie wissen schon Bescheid und brauchen nur noch Unterstützung, um Ihr eigenes Impressum zu erstellen? Dann geht’s hier zum kostenlosen eRecht24 Impressums-Generator.

Sören SiebertRechtsanwalt

DSGVO-konformes Kontaktformular

Auch beim Kontaktformular ist Datenschutz ein Thema – auch wenn Sie das auf Anhieb vielleicht gar nicht denken.  Bei Kontaktformularen müssen Ihre Nutzer aber in der Regel Namen und E-Mailadresse angeben, damit der Kommunikationskanal offensteht. Und Bingo: Dabei handelt es sich um personenbezogene Daten. Logisch also, dass Sie als Webseitenbetreiber dann auf die Vorgaben der DSGVO achten müssen.

Alles Wissenswerte zu Datenschutz beim Kontaktformular lesen Sie in diesem Beitrag.

Verarbeitungsverzeichnis

Wenn Sie als Webseiteninhaber noch nie vom Verarbeitungsverzeichnis gehört haben, sind Sie sicherlich nicht alleine. Wofür ist ein Verarbeitungsverzeichnis da? Die DSGVO schreibt vor, dass jeder Verantwortliche, der personenbezogene Daten verarbeitet, seine Verarbeitungsvorgänge in einem ausführlichen "Verzeichnis der Verarbeitungstätigkeiten" dokumentieren muss. Es dient sozusagen als “datenschutzrechtliches Aushängeschild” Ihres Unternehmens.

Was in ein solches Verzeichnis hineingehört und wie Sie eins erstellen, lesen Sie in unserem Beitrag “Oft vergessen, aber Pflicht für jeden Unternehmer: Das DSGVO Verarbeitungsverzeichnis” 

2. Datenschutz auf Social Media Plattformen

Ein großer Irrglaube bei Unternehmern: Die Datenschutzerklärung der eigenen Website reicht auch für die Unternehmenspräsenz auf Social Media Plattformen aus. Leider nein. Für Ihre Unternehmensseite auf Facebook, Instagram, LinkedIn und Co. benötigen Sie eine eigene Datenschutzerklärung. Grund ist, dass die Social Media Plattform die Daten von Nutzern in der Regel nicht auf die gleiche Weise verarbeiten wie Ihre Website. Deshalb brauchen Sie eine eigene, speziell auf Ihren Social Media-Auftritt zugeschnittene Datenschutzerklärung.

Noch nicht ganz klar, wie das mit der Datenschutzerklärung für Social Media funktionieren soll? Alles Wissenswerte lesen Sie in unserer “Anleitung: So fügen Sie Impressum und Datenschutzerklärung bei sozialen Netzwerken ein”.

3. Cookies, Consent und Tracking

Setzen Sie als Webseitenbetreiber Tracking-Dienste ein, um das Verhalten Ihrer Nutzer nachzuvollziehen und Ihre Online-Marketing-Strategie auszubauen, sollten Sie mit den Begriffen “Cookies” und “Consent” schon einmal in Berührung gekommen sein. Um einen Großteil der marktüblichen Tracking-Dienste zu nutzen, müssen Sie technisch nicht notwendige Cookies setzen, die das Internetverhalten von Usern über einen längeren Zeitraum nachverfolgen.

Weil diese Cookies aber für die Nutzung Ihrer Webseite nicht essenziell sind, müssen Ihre User der Nutzung aktiv zustimmen. Sie benötigen also für das Tracken von Nutzerverhalten auf Ihrer Webseite eine Einwilligung der Besucher. In der Praxis gibt es dabei jede Menge zu beachten: Vom Einordnen der Cookies, über die rechtssichere Gestaltung des Cookie Banners und die Auswahl eines DSGVO-konformen Consent Tools: Überall lauern rechtliche Stolperfallen. Hier lesen Sie, wie Sie diese umgehen:

4. E-Mail-Marketing und DSGVO

Jeder Online-Unternehmer weiß: Newsletter sind eine kostengünstige und effektive Möglichkeit, neue Kunden und Nutzer zu gewinnen und gehören in jede Marketing-Tool-Box. Um Ihren Newsletter- und Mailversand zu starten, benötigen Sie allerdings eine Mailingliste mit Empfängern. Und hier ist der Knackpunkt: Angaben wie Name, Alter oder Adresse fallen nämlich wieder in die Kategorie der personenbezogenen Daten und genießen unter der DSGVO einen besonderen Schutz.

Wie sich das auf Ihren Newsletterversand auswirkt und worauf Sie unbedingt achten sollten, wenn Sie rechtssicheres E-Mail-Marketing betreiben wollen, erfahren Sie im Artikel “E-Mail-Marketing: So erstellen Sie erfolgreiche und rechtssichere Mailkampagnen”.

5. Chat GPT, Chatbots und Co.

Haben Sie schonmal mit einem virtuellen Gesprächspartner geplaudert und sich gefragt, ob er sich heimlich Notizen über Sie macht? Bei Chatbots wie ChatGPT kann das durchaus vorkommen. Und während einige Leute Chatbots sicherlich auch für kommunikative Gespräche nutzen, verwenden Unternehmer solche KIs eher für Prozessoptimierung und -automatisierung.

Zum Beispiel für

• Personalisierung von Newslettertexten nach Zielgruppen
• Datenauswertung und Analyseerstellung
• virtueller Support- oder Verkaufsberatung mit Nutzern
• Erstellung oder Überarbeitung von neuem und bestehendem Content
• Aufstellen von Dienstplänen

Aber aufgepasst – hier ist Vorsicht geboten: Auch wenn momentan rechtlich noch vieles unklar ist, was KI-Programme wie ChatGPT angeht, sollte klar sein, dass Sie aus  datenschutzrechtlichen Gründen sicherlich nicht jede Information in AI-Tools eingeben oder verarbeiten lassen sollten. Besonders heikel wird es bei personenbezogenen Daten. Wenn Sie als Unternehmer KI-Programme wie ChatGPT auf Ihrer Website nutzen, sollten Sie sich über die (datenschutz-) rechtlichen Eckdaten informieren.

Mehr dazu lesen Sie in unserem Beitrag "ChatGPT für Unternehmer: Der schmale Grat zwischen Innovation und rechtlichem Risiko" zum Thema Recht und AI.

6. AV-Verträge mit Dienstleistern und Kunden

Ein Auftragsverarbeitungsvertrag (AV-Vertrag) muss in der Regel dann geschlossen werden, wenn ein Unternehmen (der Auftraggeber) die Daten seiner Kunden,Interessenten oder sonstigen Dritten zur Verarbeitung an ein anderes Unternehmen (den Auftragnehmer) weitergibt. Der AV-Vertrag regelt dabei die Rechte und Pflichten von Auftraggeber und Auftragnehmer für den Umgang und die Verarbeitung dieser personenbezogenen Daten. Eine Auftragsverarbeitung liegt zum Beispiel vor, wenn Sie einen IT-Dienstleister zur Reparatur von Hardware beauftragen oder eine externe Agentur anweisen,  Newsletter für Ihre Nutzer zu erstellen.

Wenn Sie als Unternehmer einen externen Dienstleister beauftragen, Nutzer- oder Kundendaten zu verarbeiten, liegt die Verantwortung für die ordnungsgemäße und DSGVO-konforme Datenverarbeitung bei Ihnen als Auftraggeber. Damit Sie datenschutzkonform handeln, müssen Sie mit dem Auftragnehmer, der in Ihrem Namen die Daten verarbeitet, einen AV-Vertrag schließen.

Weitere Beispiele und die am häufigsten gestellten Fragen zum Thema AV-Vertrag lesen Sie in unserem Artikel “Was ist die DSGVO Auftragsverarbeitung und was geht mich das an”.

7. Tools aus den USA

Seit der Europäische Gerichtshof (EuGH) das zwischen den USA und der EU vereinbarte Datenschutzabkommen (Privacy Shield) für ungültig erklärt hat, sollten Unternehmer Tools und Programme aus den USA nicht mehr ohne Weiteres nutzen. Wieso? Weil das Schutzniveau laut Ansicht des EuGH bei Datenübertragung in die USA nicht dem der DSGVO entspricht. Deshalb dürfen keine Nutzerdaten aus der EU in die Vereinigten Staaten übermittelt und verarbeitet werden.

Betroffen sind Tools wie Mailchimp, Google Analytics, Zoom und viele weitere. Wollen Sie solche Tools weiterhin datenschutzkonform in Ihrem Unternehmen verwenden, müssen Sie mithilfe von speziellen Musterverträgen (Standardvertragsklauseln) eine rechtssichere Datenübertragung in die USA sicherstellen. Alles, was Sie zu diesem Thema wissen müssen und wie Sie nun vorgehen sollten, finden Sie in unserer Leseliste: