Für die DSGVO-Konformität einer Website haftet in erster Linie der Betreiber der Website als datenschutzrechtlich Verantwortlicher. Weder die beauftragte Webagentur noch der Datenschutzbeauftragte übernehmen diese Haftung automatisch, auch wenn beide eine wichtige unterstützende Rolle spielen. Die folgenden Abschnitte erläutern, wer welche Pflichten trägt, wann mehrere Parteien gemeinsam haften und wie Sie die DSGVO-Konformität Ihrer Website systematisch prüfen können.
Wer ist nach der DSGVO der Verantwortliche für eine Website?
Nach der DSGVO ist der Verantwortliche diejenige natürliche oder juristische Person, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Für eine Website ist das in der Regel der Unternehmer, Verein oder die Organisation, die die Website betreibt und deren Inhalte sowie technische Ausgestaltung bestimmt.
Maßgeblich ist dabei nicht, wer die Website technisch gebaut hat, sondern wer die wirtschaftliche und inhaltliche Kontrolle ausübt. Ein Online-Shop-Betreiber entscheidet beispielsweise, welche Tracking-Tools eingesetzt, welche Daten erhoben und zu welchem Zweck sie verarbeitet werden. Genau diese Entscheidungshoheit begründet die datenschutzrechtliche Verantwortlichkeit nach Artikel 4 Nr. 7 DSGVO.
Praktisch bedeutet das: Selbst wenn eine externe Agentur die Website technisch umsetzt oder ein Dienstleister das Hosting übernimmt, bleibt der Betreiber für die Einhaltung der datenschutzrechtlichen Anforderungen verantwortlich. Er muss sicherstellen, dass die Website zum Zeitpunkt des Betriebs den Anforderungen der DSGVO entspricht, und kann sich bei Verstößen gegenüber Aufsichtsbehörden nicht auf Dritte berufen.
Haftet die Webagentur mit, wenn die Website nicht DSGVO-konform ist?
Eine Webagentur haftet grundsätzlich nicht unmittelbar gegenüber der Datenschutzaufsichtsbehörde für Datenschutzverstöße auf einer Kundenwebsite. Die datenschutzrechtliche Außenhaftung trifft den Betreiber als Verantwortlichen. Allerdings kann die Agentur im Verhältnis zum Auftraggeber zivilrechtlich haftbar werden, wenn sie ihre vertraglichen Pflichten verletzt hat.
Entscheidend ist hier die vertragliche Grundlage. Wenn eine Agentur ausdrücklich zugesagt hat, eine DSGVO-konforme Lösung zu liefern, und die Website zum Beispiel Cookies ohne Einwilligung setzt oder keine Datenschutzerklärung enthält, kann der Auftraggeber Schadensersatzansprüche geltend machen. Umgekehrt trägt die Agentur keine Verantwortung für Entscheidungen, die der Auftraggeber nach der Übergabe eigenständig getroffen hat, etwa das nachträgliche Einbinden eines neuen Tracking-Tools ohne Rücksprache.
Besondere Relevanz hat die Frage der Auftragsverarbeitung: Wenn eine Agentur im laufenden Betrieb auf personenbezogene Daten der Website-Besucher zugreift, beispielsweise beim Hosting oder bei Wartungsarbeiten, muss ein Auftragsverarbeitungsvertrag (AVV) nach Artikel 28 DSGVO abgeschlossen werden. Fehlt dieser Vertrag, liegt bereits darin ein Datenschutzverstoß, für den der Betreiber verantwortlich ist.
Welche Pflichten hat der Datenschutzbeauftragte gegenüber der Website?
Der Datenschutzbeauftragte (DSB) hat gegenüber einer Website beratende und überwachende Pflichten, trägt aber keine eigene datenschutzrechtliche Haftung. Seine Aufgaben sind in Artikel 39 DSGVO geregelt und umfassen unter anderem die Unterrichtung und Beratung des Verantwortlichen sowie die Überwachung der Einhaltung der DSGVO.
Für Websites bedeutet das konkret: Der DSB sollte regelmäßig prüfen, welche Cookies und Tracker eingesetzt werden, ob ein rechtswirksames Consent-Management-System vorhanden ist, ob die Datenschutzerklärung vollständig und aktuell ist und ob Drittlandtransfers ordnungsgemäß abgesichert sind. Diese Prüfung ist keine einmalige Aufgabe, denn Websites verändern sich kontinuierlich durch Updates, neue Plugins oder geänderte Dienstleister.
Wichtig zu verstehen: Der DSB kann und darf dem Verantwortlichen gegenüber Empfehlungen aussprechen, ist aber nicht berechtigt, Entscheidungen zu treffen oder Maßnahmen eigenständig umzusetzen. Kommt der Verantwortliche einer Empfehlung des DSB nicht nach, entbindet das den DSB von der Mitverantwortung, sofern er seine Bedenken dokumentiert hat. Externe Datenschutzbeauftragte, die für mehrere Mandanten tätig sind, stehen vor der Herausforderung, viele Websites regelmäßig im Blick zu behalten, ohne dabei unverhältnismäßig viel Zeit aufzuwenden.
Was passiert, wenn mehrere Parteien gemeinsam für eine Website verantwortlich sind?
Wenn zwei oder mehr Parteien gemeinsam über Zwecke und Mittel der Datenverarbeitung auf einer Website entscheiden, liegt eine gemeinsame Verantwortlichkeit im Sinne von Artikel 26 DSGVO vor. In diesem Fall haften alle gemeinsam Verantwortlichen gegenüber den betroffenen Personen, und es muss eine transparente Vereinbarung über die jeweiligen Zuständigkeiten getroffen werden.
Ein typisches Beispiel ist die Einbindung von Social-Media-Plugins wie dem Facebook-Pixel oder Like-Buttons. Der Europäische Gerichtshof hat in mehreren Urteilen bestätigt, dass Website-Betreiber und die jeweiligen Plattformbetreiber in solchen Konstellationen als gemeinsam Verantwortliche anzusehen sein können. Ähnliche Fragen stellen sich bei der Nutzung von Google Analytics oder anderen Diensten, bei denen der Anbieter die Daten auch für eigene Zwecke nutzt.
Die Vereinbarung nach Artikel 26 DSGVO muss festlegen, wer welche Informationspflichten gegenüber den Betroffenen erfüllt und wer für die Beantwortung von Auskunftsanfragen zuständig ist. Betroffene Personen können ihre Rechte gegenüber jedem der gemeinsam Verantwortlichen geltend machen, unabhängig davon, wie die interne Zuständigkeit geregelt ist.
Welche Bußgelder und Konsequenzen drohen bei DSGVO-Verstößen auf Websites?
DSGVO-Verstöße auf Websites können erhebliche Konsequenzen nach sich ziehen. Der Bußgeldrahmen der DSGVO sieht je nach Schwere des Verstoßes Sanktionen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes vor, wobei der jeweils höhere Betrag gilt. Darüber hinaus drohen Abmahnungen durch Mitbewerber oder Verbraucherschutzverbände sowie zivilrechtliche Schadensersatzansprüche betroffener Personen.
In der Praxis zeigen die Aufsichtsbehörden im DACH-Raum ein zunehmendes Interesse an der datenschutzkonformen Ausgestaltung von Websites. Häufige Beanstandungen betreffen das Setzen von Cookies ohne vorherige Einwilligung, fehlende oder unvollständige Datenschutzerklärungen, die Einbindung von US-amerikanischen Diensten ohne ausreichende Rechtsgrundlage sowie fehlende Auftragsverarbeitungsverträge mit Dienstleistern.
Neben Bußgeldern können Aufsichtsbehörden auch Anordnungen erlassen, bestimmte Verarbeitungstätigkeiten einzustellen oder technische Maßnahmen umzusetzen. Für Unternehmen, die auf ihre Website angewiesen sind, kann eine solche Anordnung unmittelbare geschäftliche Auswirkungen haben. Präventive Maßnahmen sind daher nicht nur aus rechtlicher, sondern auch aus wirtschaftlicher Perspektive sinnvoll.
Wie lässt sich die DSGVO-Konformität einer Website systematisch prüfen?
Die systematische Prüfung der DSGVO-Konformität einer Website umfasst mehrere Bereiche, die regelmäßig und strukturiert untersucht werden sollten. Eine vollständige DSGVO-Konformitätsprüfung beinhaltet mindestens die folgenden Prüfbereiche:
- Cookies und Tracker: Welche Cookies werden gesetzt, wann werden sie gesetzt und erfolgt das Setzen technisch nicht notwendiger Cookies erst nach einer wirksamen Einwilligung?
- Consent-Management: Ist ein rechtswirksames Consent-Banner vorhanden, das eine echte Wahlmöglichkeit bietet und keine vorausgewählten Zustimmungen enthält?
- Datenschutzerklärung: Ist die Datenschutzerklärung vollständig, aktuell und leicht auffindbar? Werden alle eingesetzten Dienste und Drittlandtransfers transparent kommuniziert?
- Drittlandtransfers: Werden Daten an Anbieter in Ländern außerhalb der EU übermittelt, und ist dafür eine geeignete Rechtsgrundlage vorhanden?
- Auftragsverarbeitung: Wurden mit allen relevanten Dienstleistern Auftragsverarbeitungsverträge abgeschlossen?
- Unterseiten: Wurden nicht nur die Startseite, sondern auch alle relevanten Unterseiten geprüft, da unterschiedliche Seiten unterschiedliche Dienste einbinden können?
Eine manuelle Prüfung dieser Bereiche ist zeitaufwendig und fehleranfällig, insbesondere wenn Websites regelmäßig aktualisiert werden oder viele Unterseiten umfassen. Websites verändern sich durch CMS-Updates, neue Plugins oder geänderte Einbindungen oft schneller, als eine manuelle Prüfung Schritt halten kann. Daher empfiehlt sich eine Kombination aus strukturierter manueller Prüfung und automatisierter Unterstützung, um Lücken frühzeitig zu erkennen.
Für externe Datenschutzbeauftragte, die viele Mandantenwebsites betreuen, ist eine skalierbare Prüfmethode besonders wichtig. Die Erstellung einer aktuellen Datenschutzerklärung sollte dabei immer auf Basis einer tatsächlichen Analyse der eingesetzten Dienste erfolgen, nicht auf Grundlage von Standardvorlagen, die den realen Zustand der Website möglicherweise nicht abbilden.
Wie decareto Sie bei der DSGVO-Prüfung Ihrer Website unterstützt
Wir haben decareto entwickelt, um genau die Herausforderungen zu adressieren, die Datenschutzbeauftragte, Agenturen und Compliance-Teams bei der systematischen Website-Prüfung täglich erleben: zu wenig Zeit, zu viele Websites und ein hoher Anspruch an Genauigkeit und Nachvollziehbarkeit.
- Automatisierter DSGVO-Website-Scan: Unsere Plattform scannt Websites inklusive Unterseiten in Minuten, erkennt Cookies, Tracker, externe Dienste und Consent-Banner und bewertet sie nach DSGVO- und TDDDG-Kriterien. Beim Scan werden typischerweise die relevantesten Compliance-Schwachstellen identifiziert, ohne dass eine manuelle Prüfung jeder einzelnen Unterseite notwendig ist.
- Kontinuierliches Monitoring: Wir überwachen Ihre Websites dauerhaft und benachrichtigen Sie automatisch, wenn sich relevante Änderungen ergeben, zum Beispiel wenn ein neuer externer Dienst eingebunden wird oder das Consent-Banner nicht mehr korrekt funktioniert.
- KI-gestützte Analyse: Unsere KI-gestützte Auswertung liefert konsistente Ergebnisse und konkrete Handlungsempfehlungen, die direkt im Report einsehbar sind, ohne dass umfangreiches technisches Vorwissen erforderlich ist.
- Datenschutzgenerator: Basierend auf den Scan-Ergebnissen erstellt unser integrierter Generator passgenaue Datenschutzerklärungen in bis zu 24 Sprachen, die sich bei Änderungen einfach aktualisieren lassen.
- Mandantenreports und Whitelabel: Reports lassen sich direkt mit Mandanten teilen oder unter eigenem Logo ausliefern, was die Kommunikation mit Kunden erheblich vereinfacht.
decareto ersetzt keine rechtliche Beratung und garantiert keine vollständige DSGVO-Konformität, aber es unterstützt Sie dabei, Schwachstellen strukturiert zu erkennen, zu dokumentieren und gezielt zu beheben. Testen Sie, wie viele Websites Sie in der Zeit eines manuellen Audits automatisiert prüfen könnten: Jetzt kostenlos starten.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Wie erkennt man Barrierefreiheitsprobleme bei PDFs auf Websites?
- Welche 5 Anzeichen deuten auf einen rechtlich fehlerhaften Consent-Banner hin?
- Was prüft ein Barrierefreiheits-Tool bei Ladeanimationen?
- Wie erkenne ich DSGVO-Verstöße durch eingebettete Social-Media-Plugins?
- Was ist der Unterschied zwischen WCAG-Stufe A und AA in der Praxis?
