DSGVO auf der Webseite: die Checkliste für kleine Betriebe

Datenschutz klingt nach Aktenordnern, Paragrafen und teuren Briefen. Für Ihre Webseite ist es in Wahrheit eine überschaubare Liste von Punkten, die entweder erledigt sind oder eben nicht. Diese Checkliste geht die Stellen durch, an denen es bei kleinen Betrieben am häufigsten hakt.

Warum die DSGVO auch den kleinsten Betrieb betrifft

Es gibt keine Mitarbeitergrenze, unter der die Datenschutz-Grundverordnung nicht gilt. Sobald Sie personenbezogene Daten verarbeiten, sind Sie in der Pflicht. Und das passiert früher, als die meisten denken: Schon die IP-Adresse eines Besuchers zählt als personenbezogenes Datum. Jeder einzelne Aufruf Ihrer Seite überträgt diese Adresse an einen Server.

Die Folgen von Versäumnissen sind selten dramatisch, aber ärgerlich. Wettbewerber und Verbraucherverbände mahnen fehlerhafte Seiten ab. Kund:innen beschweren sich bei der Landesdatenschutzbehörde. Und in Einzelfällen fordern Betroffene Schadenersatz, weil ihre Daten ohne Erlaubnis an einen Dienst im Ausland geflossen sind.

Die gute Nachricht: Bei einer normalen Firmenseite ist die Liste überschaubar. Sie verarbeiten keine Gesundheitsdaten in großem Stil und betreiben keine Werbedatenbank. In den allermeisten Fällen geht es um sechs bis acht Punkte, die einmal sauber geklärt werden und danach nur noch aktuell gehalten werden müssen. Nehmen Sie sich dafür einen halben Vormittag, nicht ein ganzes Projekt.

Die Datenschutzerklärung: Pflicht auf jeder Seite

Jede Webseite braucht eine Datenschutzerklärung, die von überall in einem Klick erreichbar ist. Der übliche Platz ist der Fußbereich, direkt neben dem Impressum. Sie beantwortet für Ihre Besucher sechs Fragen: Wer ist verantwortlich? Welche Daten werden erhoben? Zu welchem Zweck? Wie lange werden sie gespeichert? Wer bekommt sie noch zu sehen? Und welche Rechte haben die Betroffenen?

Der häufigste Fehler ist schnell erklärt: Die Erklärung wurde von einer anderen Seite kopiert. Dann beschreibt sie Dienste, die Sie gar nicht einsetzen, und verschweigt genau die, die Sie tatsächlich nutzen. Eine Datenschutzerklärung ist kein Textbaustein, sondern eine Beschreibung Ihrer echten Technik. Wenn Sie ein Buchungssystem einbauen, einen Newsletter starten oder den Hoster wechseln, muss der Text nachziehen. Genau deshalb gehört diese Prüfung in die regelmäßige Wartung Ihrer Webseite und nicht in eine einmalige Aktion vor drei Jahren.

Generatoren im Netz sind ein brauchbarer Startpunkt. Sie liefern die Struktur. Was Sie ergänzen müssen, sind Ihre konkreten Dienste und Ihre eigenen Angaben.

Das Kontaktformular: der häufigste Stolperstein

Ein Formular sammelt Daten. Damit steht es automatisch im Fokus. Diese Punkte sollten stimmen:

• Nur abfragen, was Sie brauchen. Für eine Rückfrage genügen Name, eine Kontaktmöglichkeit und die Nachricht. Geburtsdatum, Anschrift und Firmengröße sind an dieser Stelle überflüssig.
• Pflichtfelder kennzeichnen. Was freiwillig ist, muss auch freiwillig aussehen.
• Ein Hinweis direkt am Formular mit Link zur Datenschutzerklärung. Eine Checkbox darf nicht vorangekreuzt sein.
• Verschlüsselte Übertragung. Ohne HTTPS und ein gültiges SSL-Zertifikat wandern die Eingaben im Klartext durchs Netz.
• Klare Löschfrist. Anfragen, aus denen kein Auftrag wurde, müssen nicht ewig im Postfach liegen.

Ein Punkt wird gern übersehen: der Spamschutz. Setzen Sie ein Captcha eines großen US-Anbieters ein, laden Sie damit einen externen Dienst und übertragen Daten Ihrer Besucher. Für einen kleinen Betrieb reicht meist ein unsichtbares Honeypot-Feld oder eine simple Rechenaufgabe.

Sonderfall Newsletter und Bewertungsanfragen

Wer einen Newsletter verschickt, braucht das doppelte Einverständnis, im Fachjargon Double-Opt-in: Nach der Eintragung geht eine Bestätigungsmail raus, erst der Klick darin zählt. Diese Bestätigung muss protokolliert werden, und jede Mail braucht einen Abmeldelink, der sofort funktioniert. Adressen aus Kontaktanfragen einfach in den Verteiler zu übernehmen, ist nicht zulässig.

Ähnlich ist es bei Bewertungsanfragen per E-Mail. Sie gelten als Werbung, und die Ausnahme für bestehende Kundschaft ist an enge Bedingungen geknüpft. Wie Sie stattdessen im Alltag und vor Ort systematisch zu mehr Google-Bewertungen kommen, haben wir gesondert beschrieben.

Externe Dienste: Schriften, Karten, Videos

Alles, was Ihre Seite von einem fremden Server nachlädt, verrät diesem Server die IP-Adresse Ihrer Besucher. Drei Klassiker:

Schriften. Werden Web-Schriften direkt von einem externen Anbieter geladen, geht bei jedem Seitenaufruf eine Verbindung dorthin. Deutsche Gerichte haben das bereits als Datenschutzverstoß gewertet. Die Lösung ist unspektakulär: Schriftdateien auf den eigenen Server legen und von dort einbinden. Das ist obendrein meist schneller, was Ihren Core Web Vitals zugutekommt.

Karten. Eine eingebettete Karte lädt sofort mit. Besser: ein statisches Vorschaubild, das erst nach einem Klick die echte Karte nachlädt. Oder Sie verlinken schlicht auf den Kartendienst. Für die Anfahrt reicht das in aller Regel.

Videos. Für eingebettete Videos gilt dasselbe Prinzip. Erst nach aktivem Klick darf der Anbieter geladen werden.

Statistik und Werbung nur nach Einwilligung

Reichweitenmessung, Werbe-Pixel und Remarketing-Tags dürfen erst starten, wenn Ihre Besucher aktiv zugestimmt haben. Vorher nicht. Ein Banner, der schon lädt, während er die Frage stellt, erfüllt seinen Zweck nicht. Wie Sie das sauber und ohne Frust für die Besucher lösen, steht in unserem Artikel zum richtigen Einsatz von Cookie-Bannern.

Keine Einwilligung brauchen dagegen Dinge, die für den Betrieb der Seite technisch notwendig sind: die Sitzungserkennung im Warenkorb, die gespeicherte Sprachwahl oder der Schutz vor Angriffen. Auch die normalen Server-Logdateien Ihres Hosters sind zulässig, solange sie zeitnah gelöscht werden.

Was hinter den Kulissen geregelt sein muss

Der unsichtbare Teil wird gern vergessen, ist aber bei einer Beschwerde das Erste, wonach gefragt wird:

• Auftragsverarbeitungsvertrag (AV-Vertrag). Jeder Dienstleister, der Daten für Sie verarbeitet, braucht einen: Hoster, Newsletter-Anbieter, Buchungssystem, auch Ihre Agentur. Seriöse Anbieter stellen ihn im Kundenkonto zum Abschluss bereit.
• Verzeichnis von Verarbeitungstätigkeiten. Eine schlichte Übersicht, wo in Ihrem Betrieb welche Daten anfallen. Die Ausnahme für kleine Unternehmen greift in der Praxis fast nie, weil sie unter anderem Beschäftigtendaten ausschließt.
• Technische Absicherung. Eigene Zugänge statt eines geteilten Passworts, Zwei-Faktor-Anmeldung im Verwaltungsbereich, regelmäßige Updates.
• Datenschutzbeauftragte:r. Für die meisten kleinen Betriebe kein Thema. Pflicht wird es in Deutschland erst, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind.

Wenn jemand Auskunft verlangt

Betroffene dürfen wissen, welche Daten Sie über sie gespeichert haben, und sie dürfen Löschung verlangen. Für die Antwort haben Sie grundsätzlich einen Monat Zeit. Klären Sie einmal vorab, wer im Betrieb solche Anfragen bearbeitet und wo überall Daten liegen: E-Mail-Postfach, Rechnungsprogramm, Kundenliste, Formularpostfach.

Zweite Situation, auf die man vorbereitet sein sollte: eine Datenpanne. Geht ein Zugang verloren oder wird die Seite gehackt, gilt eine Meldefrist von 72 Stunden gegenüber der Aufsichtsbehörde. Wer die Notrufnummer seines Hosters und den Namen des Ansprechpartners in der Schublade hat, spart in dieser Lage viel Zeit.

Beides klingt nach Bürokratie, ist im Alltag aber vor allem eine Frage der Organisation. Legen Sie eine einzige Datei an, in der steht: Wo liegen welche Daten, wer hat Zugriff, welcher Dienstleister ist beteiligt, wie lange wird aufbewahrt. Diese Übersicht beantwortet Auskunftsersuchen, dient als Grundlage für das Verarbeitungsverzeichnis und hilft, wenn tatsächlich etwas passiert. Aktualisieren Sie sie immer dann, wenn ein neues Werkzeug dazukommt.