DSGVO
Die DSGVO ist das europäische Datenschutzrecht. Sie gilt für jeden Betrieb, der Daten von Personen verarbeitet, auch für den Einmannbetrieb. Der Kern lässt sich in drei Sätzen sagen: Erheben Sie nur, was Sie wirklich brauchen. Sagen Sie vorher, wofür. Und seien Sie auskunftsfähig, wenn jemand nachfragt.
Das hier ist keine Rechtsberatung. Wir erklären einen Begriff, damit Sie mitreden können. Ob Ihre Webseite und Ihre Abläufe im Einzelfall genügen, beurteilt eine Kanzlei für IT-Recht oder eine Datenschutzberatung. Wir bauen die technische Seite, wir prüfen keine Rechtslage.
Was das genau bedeutet
Am einfachsten wird die DSGVO, wenn Sie Daten von Personen wie geliehenes Werkzeug behandeln. Sie dürfen es für den abgesprochenen Zweck benutzen. Sie müssen es sicher verwahren. Sie müssen auf Nachfrage sagen können, dass Sie es haben. Und wenn der Zweck erledigt ist, geben Sie es zurück. Im Datenschutz heißt das löschen.
Ein Beispiel aus einer Physiotherapiepraxis: Am Telefon werden Name, Geburtsdatum und Beschwerden aufgenommen. Das ist für die Behandlung nötig und deshalb in Ordnung. Die Terminliste aus dem Jahr 2021, die noch als Ausdruck am Empfang liegt, ist es nicht mehr, denn ihr Zweck ist längst erledigt. Nicht das Erheben ist das Problem, sondern das Behalten ohne Grund.
Personenbezogen ist dabei mehr, als die meisten vermuten. Dazu zählt auch die IP-Adresse, also die Nummer, mit der ein Gerät im Netz erreichbar ist. Deshalb ist eine Webseite selbst dann betroffen, wenn sie kein Formular hat: Schriftarten, Karten und Videos von fremden Servern geben diese Nummer dorthin weiter, bevor der Besucher etwas anklicken konnte.
Warum das für Ihr Unternehmen zählt
Der teuerste Teil ist bei kleinen Betrieben selten ein Bußgeld. Es beginnt fast immer mit einer Beschwerde, etwa von einer verärgerten Person oder einem abgelehnten Bewerber. Dann meldet sich die Aufsichtsbehörde und stellt Fragen, die Sie schriftlich und fristgerecht beantworten müssen. Wer bis dahin nichts aufgeschrieben hat, verbringt Tage damit, den eigenen Betrieb zu rekonstruieren.
Der zweite Grund ist Vertrauen, und der wiegt im Alltag oft schwerer. In einer Praxis oder Kanzlei hinterlassen Menschen empfindliche Angaben. Dass Sie damit sorgfältig umgehen, ist Teil Ihrer Leistung, nicht Bürokratie am Rande.
Und drittens: Das meiste davon ist Einrichtungsarbeit. Eine Datenschutzerklärung, die zum Betrieb passt, saubere Verträge und eine klare Löschregel macht man einmal und pflegt sie danach nur nach.
So gehen Sie vor
- Schreiben Sie eine Woche lang mit, wo Daten anfallen. Kontaktformular, Telefonnotizen, Reservierungsbuch, Bewerbungen, Rechnungen, Newsletter, Nachrichten von Kundschaft auf dem Handy, Kamera am Hof. Diese Liste ist der Anfang eines Verarbeitungsverzeichnisses.
- Lassen Sie prüfen, was Ihre Webseite von fremden Servern lädt. Schriften, Karten, Videos, Besucherstatistik, Chatfenster. Das ist ein technischer Schritt, den die Person übernimmt, die Ihre Webseite betreut. Bitten Sie um eine Liste in Klartext: was wird geladen, von wem und wofür.
- Bringen Sie die Datenschutzerklärung auf den Stand dieser beiden Listen. Sie muss von jeder Seite mit einem Klick erreichbar sein und in Sätzen geschrieben, die Ihre Kundschaft versteht. Was Sie nicht einsetzen, gehört raus. Was Sie einsetzen, gehört hinein.
- Sammeln Sie die Verträge ein. Für jeden Dienstleister, der in Ihrem Auftrag Daten verarbeitet, brauchen Sie einen Vertrag zur Auftragsverarbeitung: Hoster, Newsletter-Anbieter, Terminbuchung, Cloudspeicher. Meist liegt er im Kundenkonto des Anbieters zum Herunterladen bereit.
- Legen Sie fest, wie lange was bleibt und wer darankommt. Rechnungen müssen aus steuerlichen Gründen jahrelang aufbewahrt werden, eine abgelehnte Bewerbung dagegen nur wenige Monate. Ein Blatt Papier mit Fristen und Zuständigkeiten reicht für den Anfang.
Typische Fehler
Vier Sätze, die wir in Gesprächen mit kleinen Betrieben immer wieder hören.
Wir sind doch viel zu klein, gilt das überhaupt für uns?
Die Betriebsgröße entscheidet nicht darüber, ob die DSGVO gilt, sondern nur darüber, ob Sie zusätzlich eine oder einen Datenschutzbeauftragten benennen müssen. Ein Zweipersonenbetrieb mit einem Kontaktformular ist genauso betroffen wie eine Kette. Der Aufwand ist nur ein anderer.
Reicht eine Datenschutzerklärung aus dem Netz?
Ein kopierter Text beschreibt einen fremden Betrieb. Meist stehen darin Dienste, die Sie nie benutzt haben, während Ihr Buchungswerkzeug fehlt. Die Erklärung ist dann in beide Richtungen falsch. Ein Muster als Gerüst ist in Ordnung, die Listen aus den Schritten eins und zwei müssen aber hinein.
Ich habe doch einen Cookie-Banner, damit ist das erledigt?
Ein Banner regelt einen Ausschnitt, nämlich die Zustimmung zu bestimmten Diensten. Viele Banner laden diese Dienste aber trotzdem sofort beim Aufruf, noch bevor jemand geklickt hat. Dann ist der Banner reine Dekoration. Worauf zu achten ist, steht im Beitrag zum Cookie-Banner.
Alte Kundendaten hebe ich lieber auf, man weiß ja nie?
Genau das ist der Fehler. Aufbewahrungspflichten gelten für Rechnungen und Buchhaltung, nicht für Bewerbungsunterlagen, alte Newsletter-Adressen oder Reservierungslisten. Alles, was Sie nicht mehr haben, kann auch nicht verloren gehen, gestohlen werden oder in einer Auskunft auftauchen.
Verwandte Begriffe
Wie wir damit umgehen
Wir sind keine Kanzlei und geben keine Rechtsauskunft. Übernehmen können wir die technische Seite, und die entscheidet bei einer Webseite über das meiste: Schriften liegen auf Ihrem eigenen Server, Karten und Videos laden erst nach Zustimmung, Formulare übertragen verschlüsselt. Dazu bekommen Sie eine Liste in Klartext, was Ihre Seite lädt und wohin. Genau die brauchen Sie, wenn Sie Ihre Datenschutzerklärung mit einer Beratung durchgehen.
Was lädt Ihre Webseite im Hintergrund?
Die Checkliste geht Ihre Seite Punkt für Punkt durch, vom Kontaktformular bis zu externen Diensten. Der Sichtbarkeits-Check daneben prüft die Technik Ihrer Seite, etwa die verschlüsselte Verbindung. Eine rechtliche Prüfung ersetzt er nicht.