Von: Illia Belichenko DSGVO auf der Unternehmenswebsite prüfen
Die DSGVO betrifft auf einer gewöhnlichen Unternehmenswebsite drei Stellen, an denen Daten erhoben werden, das Kontaktformular, die Analyse und eingebundene Dienste wie Karten oder Videos, und diese drei Stellen lassen sich in etwa einer halben Stunde selbst überprüfen.
Die Datenschutzerklärung, eine eigene Seite mit der Beschreibung der Datenverarbeitung, ist für fast jede Website Pflicht und muss dem tatsächlichen Verhalten der Website entsprechen, nicht einer vor einem Jahr heruntergeladenen Vorlage. Häufiger als die Nutzung von Analyse oder Formularen an sich wird die Abweichung zwischen diesem Text und den tatsächlich geladenen Skripten zum Problem.
Das Kontaktformular verarbeitet Daten meist auf Grundlage von Artikel 6 Absatz 1 DSGVO, üblicherweise als notwendige Voraussetzung, um eine Anfrage zu beantworten, und diese Rechtsgrundlage braucht keine separate Einwilligungscheckbox, sofern das Formular nur abfragt, was für die Antwort wirklich nötig ist.
Ein Analysetool wie Google Analytics braucht die Einwilligung der Besucherin oder des Besuchers, bevor das Skript überhaupt etwas zählt, und das ist eine eigene Einwilligung, getrennt von der des Kontaktformulars. Die deutschen Aufsichtsbehörden haben das in einer gemeinsamen Orientierungshilfe für Anbieter von Telemedien von Dezember 2021 festgehalten, und Analyse ohne vorherige Einwilligung zählt seither zu den häufigsten Verstößen auf gewöhnlichen Websites.
Karten, Videoplayer und Schriftarten, die direkt von einem fremden Server geladen werden, übertragen die IP-Adresse der Besucherin genauso wie extern geladene Schriften und brauchen entweder eine Einwilligung oder eine lokale Einbindung, bevor das Element überhaupt lädt.
Liegen Hosting, Analyse oder Newsletter-Versand außerhalb der Europäischen Union, braucht die Datenübermittlung zusätzliche Garantien, üblicherweise EU-Standardvertragsklauseln, und ohne sie wird die Nutzung eines solchen Dienstes für Website-Daten rechtlich fraglich.
Mit jedem Dienstleister, der Daten der Website technisch verarbeitet, Hosting, Newsletter-Versand, CRM, braucht es einen Auftragsverarbeitungsvertrag, der in einem eigenen Text zum AVV genauer behandelt wird, und ohne diesen Vertrag haftet das Unternehmen formal für das Handeln des Dienstleisters wie für eigenes.
Die halbstündige Selbstprüfung läuft so ab. Das Kontaktformular absenden und prüfen, wohin die Nachricht geht und was mit den Daten danach passiert. Die Seite mit aktiviertem Skriptblocker öffnen und sehen, welche Domains vor dem Klick auf Einwilligung überhaupt zu laden versuchen. Diese Liste mit dem vergleichen, was in der Datenschutzerklärung steht.
Dieser Text erklärt, worauf bei einer eigenen Prüfung zu achten ist, und ersetzt keine Rechtsberatung. Eine vollständige Bewertung der Website braucht die Analyse konkreter Skripte, Formulare und Dienstleisterverträge, und in unklaren Fällen sollte diese Bewertung eine Fachperson übernehmen.
Eine DSGVO-Checkliste für die Website lässt sich am einfachsten während der Entwicklung abarbeiten, statt Probleme nachträglich auf der bereits veröffentlichten Seite zu suchen. Illia BizTech geht Kontaktformular, Cookie-Banner, extern geladene Schriften und Dienstleister der Website schon vor dem Launch durch, genau deshalb wird die Checkliste aus diesem Artikel nicht zu einem teuren Extraprojekt, nachdem die Website schon läuft.
Illia BizTech betreut Websites für kleine und mittlere Unternehmen auf Russisch, Deutsch und Englisch, von der ersten Version bis zur laufenden Pflege und SEO-Betreuung. Das Team begleitet das Projekt von der Idee bis zum Launch ohne lange interne Abstimmungswege, sodass die Kundschaft direkt mit den Personen spricht, die den Code schreiben und die Inhalte pflegen, statt über mehrere Zwischenstationen zu warten. Das passt besonders zu Unternehmen, die nach Deutschland ziehen oder den deutschsprachigen Markt erschließen wollen und ihre Aufgabe einmal erklären möchten, nicht bei jedem Gespräch erneut.