Eine datenschutzkonforme Website erfüllt auf jeder Seite, die Daten von Besuchern erhebt, drei Dinge eindeutig: eine Datenschutzerklärung, die erklärt, zu welchem Zweck personenbezogene Daten verarbeitet werden, ein klares Informations- und Einwilligungsverfahren für Cookies sowie eine gesondert eingeholte ausdrückliche Einwilligung bei Kontakt- oder Bestellformularen. Hinzu kommen ein SSL-Zertifikat und, wo erforderlich, ein Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30 DSGVO. Eine fehlende Datenschutzerklärung oder ein Cookie-Banner, das ohne echte Einwilligung arbeitet, kann selbst für ein kleines Unternehmen zu einem Bußgeld im vierstelligen Bereich führen; in diesem Beitrag erklären wir in einfacher Sprache, warum jedes dieser Elemente nach der Datenschutz-Grundverordnung (DSGVO) erforderlich ist und wie Sie es auf Ihrer Website umsetzen.
Warum ist das für Websites so wichtig?
Die DSGVO definiert personenbezogene Daten sehr weit: Name, E-Mail-Adresse, Telefonnummer, IP-Adresse – selbst der Besucherverlauf, den ein Cookie speichert, zählt dazu. Sobald eine Website über ein Kontaktformular, eine Mitgliedschaft, eine Newsletter-Anmeldung oder einen Bestellprozess solche Daten erhebt, fällt sie unter die Definition des „Verantwortlichen” im Sinne der DSGVO. Das betrifft nicht nur große Unternehmen; es gilt genauso für einen Friseursalon mit einer einseitigen Website oder ein Restaurant, das Online-Bestellungen entgegennimmt.
Der Irrtum, dem wir in der Praxis am häufigsten begegnen, lautet: „Wir sind ein kleines Unternehmen, uns schaut niemand an.” Tatsächlich beginnt der Großteil der Beschwerden, die bei einer Datenschutzaufsichtsbehörde eingehen, damit, dass eine einzelne Kundin oder ein einzelner Kunde auf eine unerwünschte Marketing-E-Mail reagiert oder ein fehlendes Cookie-Banner auf der Website bemerkt. Das eigentliche Risiko wird also meist nicht durch eine Prüfung ausgelöst, sondern durch die Beschwerde eines einzigen unzufriedenen Besuchers.
Ein konkretes Beispiel: Ein produzierendes Unternehmen lässt ein neues Formular „Angebot anfordern” auf seiner Website einrichten. Das Formular erfasst Name, Telefonnummer und E-Mail-Adresse; das Team schaltet es schnell live, verschiebt die Datenschutzerklärung aber auf „machen wir später”. Drei Monate danach reicht eine potenzielle Kundin eine Beschwerde ein, weil sie nicht weiß, wie die über das Formular übermittelten Angaben verwendet werden. Überraschend ist für den Inhaber, dass das Formular technisch einwandfrei funktioniert – das Problem ist, dass die Information dahinter nie geschrieben wurde. Solche Fälle sind in der Praxis keine Ausnahme, sondern die Regel: Ein Formular einzurichten gilt als technische Aufgabe, eine Datenschutzerklärung zu verfassen wird dagegen allzu oft auf „später” verschoben.
Was ist eine Datenschutzerklärung, und wo muss sie auf der Website stehen?
Die Datenschutzerklärung ist eine Seite, die klar darlegt, welche personenbezogenen Daten Ihre Website zu welchem Zweck, auf welcher Rechtsgrundlage verarbeitet und mit wem diese Daten geteilt werden könnten. Sie ist keine Formalität; die Artikel 13 und 14 DSGVO verlangen diese Information ausdrücklich, und eine Erklärung mit unvollständigem Inhalt birgt ein ähnliches Risiko wie das vollständige Fehlen einer solchen Erklärung.
In der Praxis wird erwartet, dass die Datenschutzerklärung von drei Stellen der Website aus erreichbar ist:
- Ein dauerhafter Link im Footer: von jeder Seite aus mit einem Klick erreichbar, nicht in einem versteckten Menü verloren.
- Neben jedem Formular, das Daten erhebt: direkt über oder unter dem Kontakt-, Mitglieds- oder Bestellformular, zusammen mit einem Hinweis wie „Ich habe die Datenschutzerklärung zur Verarbeitung personenbezogener Daten gelesen”.
- Als eigene, unabhängige Seite: nicht mit der allgemeinen Datenschutzerklärung im Sinne einer Datenschutz-Policy zu verwechseln – beide dienen unterschiedlichen Zwecken, in der Praxis werden sie jedoch meist auf derselben Seite unter getrennten Überschriften präsentiert.
Beim Planen einer Unternehmenswebsite sollten Sie diese Seite nicht auf den letzten Moment verschieben; sie sollte gemeinsam mit Inhalt und Design geplant werden, denn ohne zu wissen, welche Formulare welche Daten erheben, lässt sich auch die Datenschutzerklärung nicht korrekt formulieren.
Ein häufiger Verwechslungspunkt ist der Unterschied zwischen der eigentlichen Informationspflicht nach Art. 13/14 DSGVO und einer allgemeinen Datenschutzerklärung als Vertrauensdokument. Die gesetzlich vorgeschriebene Information muss bestimmte Mindestangaben enthalten: Identität des Verantwortlichen, Zweck der Verarbeitung, Rechtsgrundlage, Übermittlungen und Speicherdauer. Eine allgemeine Datenschutzerklärung ist breiter angelegt und beschreibt den generellen Umgang der Website mit Daten, eingesetzte Drittanbieter-Tools und Nutzerrechte. In der Praxis werden beide meist auf derselben Seite unter getrennten Überschriften veröffentlicht; dass die Pflichtinformation die von der DSGVO geforderten Mindestangaben vollständig enthält, ist jedoch unabhängig vom Stil der allgemeinen Erklärung zwingend erforderlich.
Cookie-Hinweis und Einwilligungsmanagement
Jedem Besucher ohne sein Wissen einen Cookie im Browser zu setzen, ist datenschutzrechtlich riskant. Jeder nicht unbedingt erforderliche Cookie – Analyse-, Werbe- oder Social-Media-Pixel – darf erst nach einer ausdrücklichen Einwilligung des Besuchers aktiv werden. Das erfordert in der Praxis zwei Dinge: ein Cookie-Banner, das den Besucher informiert, und Analyse-/Werbe-Cookies, die erst dann greifen, wenn der Besucher „Ich stimme zu” angeklickt hat.
Der häufigste Fehler, den wir in der Praxis sehen, ist, dass das Banner zwar erscheint, im Hintergrund aber Google Analytics oder ein Werbepixel bereits läuft, bevor der Besucher überhaupt eine Wahl getroffen hat. Ein solches Setup – optisch konform, technisch aber nicht – gehört zu den ersten Dingen, die bei einer Prüfung auffallen. Bei einer korrekten Umsetzung bietet das Banner drei Optionen: alle akzeptieren, alle ablehnen und Einstellungen verwalten; nur technisch notwendige Cookies dürfen ohne Einwilligung laufen.
Wichtig ist auch, dass „Ablehnen” genauso leicht erreichbar ist wie „Akzeptieren”; auf manchen Websites ist der „Akzeptieren”-Button groß und farbig, während „Ablehnen” als kleiner Link versteckt wird. Diese gestalterische Entscheidung widerspricht dem Grundsatz, dass eine Einwilligung „freiwillig” erteilt sein muss, und kann bei einer Prüfung allein schon beanstandet werden. Es empfiehlt sich zudem, einen dauerhaften Einstellungs-Link, meist im Footer, anzubieten, über den Besucher ihre Cookie-Präferenzen jederzeit ändern können.
Wie holt man die ausdrückliche Einwilligung im Kontaktformular ein?
Die ausdrückliche Einwilligung im Kontaktformular ist ein eigenständiges Zeichen der bewussten, freiwilligen und zweifelsfreien Zustimmung des Besuchers; sie entsteht nicht automatisch dadurch, dass jemand auf „Senden” klickt. In der Praxis wird das meist über eine nicht vorausgewählte Checkbox umgesetzt: Das Formular sollte erst abgeschickt werden können, nachdem der Besucher den Text gelesen und die Checkbox selbst aktiviert hat.
Ein paar praktische Punkte, auf die Sie achten sollten:
- Die Einwilligungs-Checkbox muss standardmäßig nicht vorausgewählt sein; eine bereits angehakte Checkbox gilt nicht als wirksame Einwilligung.
- Der Einwilligungstext sollte auf die Datenschutzerklärung verlinken, sie nicht wiederholen; beide Texte sollten eigenständig, aber aufeinander verweisend gestaltet sein.
- Unternehmen, die Marketing-E-Mails oder SMS versenden möchten, benötigen dafür eine gesonderte, zusätzliche Einwilligungs-Checkbox; die allgemeine Einwilligung im Kontaktformular deckt keine Marketingkommunikation ab.
- Wie lange die übermittelten Daten gespeichert werden, muss ebenfalls in der Datenschutzerklärung angegeben sein.
Warum gilt ein SSL-Zertifikat als zwingend erforderlich?
Auf einer Website ohne SSL-Zertifikat – bei der die Adressleiste statt eines Schloss-Symbols die Warnung „Nicht sicher” anzeigt – werden erhobene Daten unverschlüsselt übertragen. Das verstößt sowohl gegen die in der DSGVO geforderten „geeigneten technischen Maßnahmen” als auch gegen das Vertrauen der Besucher von Anfang an. Da SSL heute bei nahezu jedem Hosting- und Infrastrukturanbieter kostenlos verfügbar ist, gilt ein Fehlen als Nachlässigkeit, nicht als technisches Problem.
SSL ist nicht nur ein Compliance-Häkchen, sondern auch ein Vertrauens- und Performance-Signal: Browser warnen vor unverschlüsselten Websites, und Suchmaschinen räumen unverschlüsselten Websites weniger Priorität ein. Beim Überprüfen der technischen Infrastruktur Ihrer Website empfehlen wir, gleichzeitig auch Ladegeschwindigkeit und Core Web Vitals zu betrachten, da Sicherheit und Geschwindigkeit oft von denselben Infrastrukturentscheidungen abhängen.
Für Websites, die Zahlungen entgegennehmen, ist die Bedeutung von SSL noch größer: Dass jede Seite, die Kartendaten verarbeitet, verschlüsselt ist, ist eine Voraussetzung sowohl für die Integrationsanforderungen von Zahlungsdienstleistern als auch für Zahlungssicherheitsstandards. Ein Zahlungsformular auf einer unverschlüsselten Seite zu betreiben, ist weder datenschutzrechtlich noch aus Sicht der Zahlungsdienstleister akzeptabel.
Verzeichnis von Verarbeitungstätigkeiten
Das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO ist eine Tabelle, die zeigt, welche personenbezogenen Daten Ihr Unternehmen in welchem Prozess, zu welchem Zweck und wie lange erhebt und speichert – es ist das zentrale Dokument der DSGVO-Konformität. Jeder über Ihre Website erfasste Datenfluss – Kontaktformulardaten, Bestellinformationen, Mitgliedsdaten – sollte darin als eigene Zeile erscheinen.
Ob die Pflicht zur Führung eines solchen Verzeichnisses für Ihr Unternehmen greift, hängt unter anderem von Mitarbeiterzahl und Umfang der Datenverarbeitung ab; viele kleine Unternehmen können unter eine Ausnahme fallen, dennoch sollte jedes Unternehmen dies für sich selbst prüfen. Beim Aufbau der Formular- und Mitgliedsstruktur Ihrer Website klar zu benennen, welche Daten erhoben werden, erleichtert sowohl das Verzeichnis als auch diese Prüfung. Besonders kritisch wird dieses Thema bei Websites, die Bestell-, Mitglieds- und Zahlungsdaten erheben; bei der Planung eines Onlineshops empfehlen wir, die datenschutzrechtliche Prüfung auf denselben Zeitplan wie die technische Einrichtung zu setzen.
Der Preis der Nichteinhaltung: Bußgelder
Bußgelder bei Datenschutzverstößen steigen je nach Art des Verstoßes – Verletzung der Informationspflicht, fehlende Datensicherheitsmaßnahmen, unterlassene erforderliche Registrierung – stufenweise an und werden regelmäßig neu bewertet. Das Bußgeld, das ein Friseursalon oder ein kleiner Online-Shop zahlt, übersteigt oft die Kosten für den Aufbau der Website um ein Vielfaches; hinzu kommt, dass ein Bußgeld nicht nur ein finanzieller Verlust ist, sondern auch dem Markenvertrauen schadet.
Das realistische Bild, das wir in der Praxis sehen: Der Großteil des Bußgeldrisikos entsteht nicht durch komplexe Verstöße, sondern durch die grundlegendsten Lücken – keine Datenschutzerklärung, ein Cookie-Banner, das nur zur Deko dient, eine bereits angehakte Einwilligungs-Checkbox im Formular. Nichts davon erfordert ein großes Budget; erforderlich ist lediglich, diese Punkte beim Website-Aufbau von Anfang an mitzuplanen. Fragen Sie bei einem Website-Angebot nach, ob datenschutzrechtliche Positionen im Preis enthalten sind; sie nachträglich zu ergänzen ist immer teurer, als sie von vornherein einzuplanen.
Checkliste für eine datenschutzkonforme Website
Auch die Frage, wer diese Prüfung übernimmt, sollte geklärt sein: die technische Infrastruktur sowie Formular- und Cookie-Einrichtung übernimmt in der Regel die Agentur, die Ihre Website erstellt; der Inhalt der Datenschutzerklärung sowie die Prüfung von Registrierungspflichten erfordern hingegen eine rechtliche Bewertung. Bei einer guten Aufgabenteilung übernimmt die Agentur die technische Umsetzung, während der Unternehmensinhaber oder seine rechtliche Beratung den Textinhalt freigibt; sind beide Verantwortlichkeiten klar getrennt, bleibt kein Bereich unbeachtet. Gehen Sie beim Überprüfen Ihrer Website die folgenden Punkte der Reihe nach durch:
- Ist die Datenschutzerklärung live und über den Footer erreichbar?
- Blockiert das Cookie-Banner Analyse-/Werbe-Cookies, solange der Besucher keine Wahl getroffen hat?
- Verfügen Kontakt- und Bestellformulare über eine nicht vorausgewählte Checkbox für die ausdrückliche Einwilligung?
- Gibt es einen gesonderten Einwilligungsmechanismus für Marketingkommunikation?
- Wird die Website über SSL ausgeliefert, mit sichtbarem Schloss-Symbol in der Adressleiste?
- Wurde ein Verzeichnis von Verarbeitungstätigkeiten erstellt und die Registrierungspflicht geprüft?
- Sind die Speicherfristen für Daten in der Datenschutzerklärung angegeben?
Beim Aufbau oder der Überarbeitung Ihrer Website empfehlen wir, diese Checkliste als festen Bestandteil des technischen Prozesses für Webdesign und Entwicklung zu behandeln; Formulare, Cookie-Infrastruktur und Datenschutzerklärungen sind Elemente, die von Anfang an mitgeplant, nicht nachträglich angeflickt werden. Wenn Sie die Datenschutzkonformität Ihrer Website gemeinsam mit uns bewerten möchten, schreiben Sie uns; in einem kostenlosen ersten Gespräch sehen wir uns Ihre aktuelle Website zügig an und erstellen eine konkrete Liste offener Punkte.
Dieser Beitrag dient ausschließlich der allgemeinen Information und ersetzt keine Rechtsberatung; für die für Ihr Unternehmen spezifischen datenschutzrechtlichen Pflichten empfehlen wir, eine Rechtsanwältin, einen Rechtsanwalt oder eine Datenschutzfachkraft zu konsultieren.