Datenschutz auf Webseiten: Was gibt es zu beachten?

Eine Datenschutzerklärung und ein Cookie-Banner allein machen eine Website noch nicht datenschutzkonform. Auch Hosting, Formulare, externe Inhalte, Tracking-Dienste und Drittlandübermittlungen müssen geprüft und technisch korrekt umgesetzt werden. Der Beitrag zeigt, welche Anforderungen Unternehmen beachten sollten und warum regelmäßige Webaudits dabei helfen, Risiken frühzeitig zu erkennen.

Eine Unternehmenswebsite ist häufig der erste Kontaktpunkt für Kunden, Bewerber oder Geschäftspartner. Dabei werden meist bereits beim bloßen Aufruf der Seite Daten verarbeitet. Trotzdem wird der Datenschutz bei Webseiten in vielen Unternehmen nur einmal bei der Erstellung betrachtet und anschließend kaum noch überprüft.

Welche Datenverarbeitungen finden auf einer Webseite statt?

Welche Datenschutzanforderungen bestehen, hängt davon ab, wie die Website aufgebaut ist und welche Funktionen eingesetzt werden. Typische Verarbeitungen entstehen beispielsweise durch:

Webhosting und Server-Logfiles,
Kontakt- und Anfrageformulare,
Newsletter-Anmeldungen,
Analyse- und Tracking-Dienste,
eingebundene Videos, Karten oder Schriftarten,
Social-Media-Plugins,
Bewerbungsformulare,
Terminbuchungs- und Chatfunktionen,
Zahlungs- oder Shopsysteme.

Gerade externe Inhalte werden häufig übersehen. Wird beispielsweise ein Video, eine Karte oder eine Schriftart direkt von einem Drittanbieter geladen, kann bereits beim Seitenaufruf eine Verbindung zu diesem Anbieter entstehen. Dabei können Daten auch an Unternehmen außerhalb der Europäischen Union übermittelt werden.

Hinweis: Bereits kleine Anpassungen oder neue Einbindungen auf einer Website können erhebliche Auswirkungen haben. Erfahrungsgemäß kann ein neu integrierter Dienst schnell eine erhebliche Anzahl zusätzlicher Cookies mit sich bringen.

Reicht eine Datenschutzerklärung aus?

Nein. Die Datenschutzerklärung ist zwar ein zentraler Bestandteil, sie informiert jedoch lediglich über die stattfindenden Verarbeitungen. Entscheidend ist, dass die tatsächliche technische Umsetzung mit diesen Angaben übereinstimmt.

Für jede Verarbeitung muss geprüft werden:

Welche Daten werden verarbeitet?
Zu welchem Zweck erfolgt die Verarbeitung?
Welche Rechtsgrundlage besteht?
Welche Dienstleister erhalten die Daten?
Wie lange werden die Daten gespeichert?
Werden Daten in Drittländer übermittelt?

Die Datenschutzerklärung sollte leicht auffindbar, verständlich und vollständig sein. Sie muss außerdem angepasst werden, sobald sich eingesetzte Dienste oder Funktionen verändern.

Wann wird ein Cookie-Banner benötigt?

Ein Cookie-Banner ist nicht automatisch für jede Webseite erforderlich. Entscheidend ist, ob Informationen auf dem Endgerät der Nutzer gespeichert oder ausgelesen werden.

Technisch nicht erforderliche Cookies und vergleichbare Technologien dürfen grundsätzlich erst nach einer wirksamen Einwilligung aktiviert werden. Das betrifft häufig Analyse-, Marketing- und Trackingdienste. Technisch erforderliche Funktionen können dagegen unter bestimmten Voraussetzungen ohne Einwilligung eingesetzt werden.

Das Banner muss eine echte Wahl ermöglichen. Die Ablehnung sollte ebenso leicht möglich sein wie die Zustimmung. Bis zur Entscheidung dürfen einwilligungspflichtige Dienste noch nicht geladen werden. Auch der spätere Widerruf der Einwilligung muss problemlos möglich sein.

Hinweis: Bei der Gestaltung von Cookie-Bannern sollte „Nudging“ vermieden werden. Farben, Größen, Hervorhebungen oder die Anordnung der Schaltflächen dürfen Nutzer nicht gezielt zur Zustimmung drängen.

Welche Unterlagen und Maßnahmen werden benötigt?

Für einen datenschutzkonformen Webseitenbetrieb sind je nach Gestaltung insbesondere folgende Punkte erforderlich:

eine aktuelle Datenschutzerklärung,
ein rechtskonformes Impressum,
ein korrekt eingerichtetes Consent-Management-System,
eine Übersicht aller eingesetzten Dienste und Datenflüsse,
Verträge zur Auftragsverarbeitung mit relevanten Dienstleistern,
eine Prüfung möglicher Drittlandübermittlungen,
festgelegte Speicher- und Löschfristen,
angemessene technische und organisatorische Sicherheitsmaßnahmen nach Art. 32 DSGVO,
eine regelmäßige technische und rechtliche Überprüfung.

Auch Hostinganbieter, Newsletterdienste, Analyseplattformen oder Bewerbermanagementsysteme können Auftragsverarbeiter sein. Bei jedem eingesetzten Dienstleister ist daher zu prüfen, ob eine Auftragsverarbeitung vorliegt und ein Vertrag nach Art. 28 DSGVO erforderlich ist.

Datenschutz ist keine einmalige Aufgabe

Webseiten verändern sich laufend. Neue Plugins werden installiert, Trackingdienste ergänzt, Formulare angepasst oder externe Inhalte eingebunden. Die Datenschutzerklärung und das Cookie-Banner werden dabei jedoch häufig nicht aktualisiert.

Eine regelmäßige Webseitenprüfung sollte deshalb sowohl die sichtbaren Inhalte als auch die technische Ebene umfassen. Dabei ist insbesondere zu kontrollieren, welche Verbindungen beim Seitenaufruf tatsächlich aufgebaut werden und ob die eingesetzten Dienste den dokumentierten Angaben entsprechen.

Mit regelmäßigen Webaudits unterstützen wir unsere Mandanten dabei, datenschutzrechtliche Risiken auf ihren Webseiten frühzeitig zu erkennen und nachhaltig zu reduzieren.

Fazit

Datenschutz auf Webseiten besteht nicht nur aus einer Datenschutzerklärung und einem Cookie-Banner. Er beginnt mit der vollständigen Erfassung aller eingesetzten Dienste und reicht von der Rechtsgrundlage über Verträge und Löschfristen bis zur technischen Umsetzung.

Unternehmen sollten ihre Webseite daher nicht als einmal abgeschlossenes Projekt betrachten. Eine regelmäßige Überprüfung hilft dabei, Datenübermittlungen, unpassende Einwilligungen und veraltete Informationen frühzeitig zu erkennen.