DSGVO-Konformität für Websites bedeutet, dass eine Website personenbezogene Daten ihrer Nutzer im Einklang mit den Anforderungen der Datenschutz-Grundverordnung verarbeitet. Das umfasst transparente Informationspflichten, eine rechtmäßige Grundlage für jede Datenverarbeitung sowie technische und organisatorische Schutzmaßnahmen. Die folgenden Abschnitte beantworten die wichtigsten Fragen, die Website-Betreiber, Datenschutzbeauftragte und Compliance-Teams dabei beschäftigen.
Welche konkreten Pflichten gelten für Website-Betreiber laut DSGVO?
Website-Betreiber sind nach der DSGVO verpflichtet, jede Verarbeitung personenbezogener Daten auf eine Rechtsgrundlage zu stützen, Nutzer transparent darüber zu informieren, technische Schutzmaßnahmen umzusetzen und Betroffenenrechte aktiv zu ermöglichen. Diese Pflichten gelten unabhängig von der Unternehmensgröße und treffen damit auch kleine Websites und Online-Shops.
Im Einzelnen ergeben sich für Website-Betreiber folgende Kernpflichten:
- Informationspflicht: Nutzer müssen über Art, Zweck und Umfang der Datenverarbeitung informiert werden, in der Regel über eine Datenschutzerklärung.
- Rechtsgrundlage: Jede Datenverarbeitung benötigt eine Grundlage nach Art. 6 DSGVO, zum Beispiel Einwilligung, berechtigtes Interesse oder Vertragserfüllung.
- Datensicherheit: Technische und organisatorische Maßnahmen müssen ein angemessenes Schutzniveau sicherstellen, dazu gehört unter anderem eine SSL-verschlüsselte Übertragung.
- Betroffenenrechte: Nutzer haben das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Website-Betreiber müssen diese Rechte praktisch umsetzbar machen.
- Auftragsverarbeitung: Werden externe Dienstleister eingesetzt, die Daten verarbeiten, ist ein Auftragsverarbeitungsvertrag (AVV) abzuschließen.
- Drittlandtransfers: Werden Daten in Länder außerhalb der EU übermittelt, müssen geeignete Garantien vorliegen, etwa eine Zertifizierung im EU-US Data Privacy Framework.
Zusätzlich gilt in Deutschland das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), das spezifische Anforderungen an das Setzen von Cookies und ähnlichen Technologien stellt und die DSGVO in diesem Bereich ergänzt.
Was muss eine datenschutzkonforme Datenschutzerklärung enthalten?
Eine datenschutzkonforme Datenschutzerklärung muss vollständig, verständlich und aktuell sein. Sie muss alle auf der Website stattfindenden Datenverarbeitungen beschreiben, die jeweiligen Rechtsgrundlagen nennen, Angaben zur verantwortlichen Stelle enthalten und die Rechte der Nutzer erläutern. Fehlen wesentliche Angaben, liegt ein DSGVO-Verstoß vor.
Konkret müssen folgende Inhalte vorhanden sein:
- Name und Kontaktdaten der verantwortlichen Stelle sowie des Datenschutzbeauftragten, sofern einer bestellt wurde
- Zwecke und Rechtsgrundlagen aller Datenverarbeitungen
- Empfänger oder Kategorien von Empfängern der Daten, insbesondere eingesetzte externe Dienste und Drittanbieter
- Hinweise auf Drittlandtransfers und die dabei geltenden Garantien
- Speicherdauer der verarbeiteten Daten
- Belehrung über Betroffenenrechte (Auskunft, Berichtigung, Löschung, Widerspruch, Datenübertragbarkeit)
- Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde
Ein häufiger Fehler in der Praxis: Die Datenschutzerklärung wird einmalig erstellt und dann nicht aktualisiert, obwohl sich die eingesetzten Dienste auf der Website ändern. Wird zum Beispiel ein neues Analytics-Tool eingebunden, muss dieser Dienst in der Datenschutzerklärung beschrieben werden. Eine automatisierte Datenschutzerklärung kann dabei helfen, Texte auf Basis des tatsächlichen Diensteinsatzes aktuell zu halten.
Wann ist ein Cookie-Banner auf einer Website rechtlich erforderlich?
Ein Cookie-Banner ist immer dann rechtlich erforderlich, wenn eine Website Cookies oder vergleichbare Technologien einsetzt, die nicht technisch notwendig sind. Das betrifft insbesondere Tracking-, Analyse- und Werbecookies. Für technisch notwendige Cookies, die ausschließlich den Betrieb der Website ermöglichen, ist keine Einwilligung erforderlich.
Die Unterscheidung zwischen notwendigen und nicht notwendigen Cookies ist dabei entscheidend. Als technisch notwendig gelten etwa Session-Cookies des Webservers, die für die Funktionsfähigkeit der Seite unerlässlich sind. Nicht notwendig und damit einwilligungspflichtig sind hingegen:
- Cookies von Analyse-Tools wie Google Analytics
- Cookies von Werbenetzwerken und Retargeting-Diensten
- Cookies sozialer Netzwerke, die über eingebettete Schaltflächen oder Pixel gesetzt werden
- Cookies externer Dienste, die Daten in Drittstaaten übermitteln
Wichtig: Ein Cookie-Banner allein reicht nicht aus. Das Banner muss so gestaltet sein, dass Nutzer tatsächlich eine freie Wahl haben. Vorausgewählte Häkchen, irreführende Gestaltung oder das Fehlen einer echten Ablehnungsoption entsprechen nicht den DSGVO-Anforderungen. Zudem dürfen nicht notwendige Cookies erst nach der Einwilligung gesetzt werden, nicht bereits beim Laden der Seite.
Welche Drittanbieter und Tracker auf Websites sind DSGVO-relevant?
Alle externen Dienste, die beim Aufruf einer Website Daten verarbeiten, sind DSGVO-relevant. Das beginnt bereits beim bloßen Einbinden eines Dienstes: Sobald ein externer Dienst geladen wird, wird die IP-Adresse des Nutzers an den Anbieter übermittelt. Das stellt eine Datenverarbeitung dar, die einer Rechtsgrundlage bedarf.
Typische DSGVO-relevante Drittanbieter auf Websites umfassen:
- Web-Analyse-Dienste: Google Analytics, Matomo, Hotjar und ähnliche Tools erfassen Nutzungsverhalten und setzen Tracking-Cookies.
- Werbedienste: Google Ads, Facebook Pixel und Retargeting-Netzwerke verarbeiten Daten für personalisierte Werbung und erfordern stets eine Einwilligung.
- Eingebettete Inhalte: YouTube-Videos, Google Maps oder Social-Media-Widgets laden externe Skripte und übermitteln Nutzerdaten an die jeweiligen Plattformen.
- Schriftarten und CDN-Ressourcen: Externe Schriftarten wie Google Fonts übermitteln IP-Adressen an die Server des Anbieters.
- Chat- und Support-Tools: Live-Chat-Systeme und Kundenservice-Plugins verarbeiten häufig personenbezogene Daten der Nutzer.
Besondere Aufmerksamkeit verdienen Dienste von Unternehmen mit Sitz in den USA oder anderen Drittstaaten ohne angemessenes Datenschutzniveau. Hier ist zusätzlich zu prüfen, ob geeignete Garantien für den Datentransfer vorliegen, etwa eine Zertifizierung im EU-US Data Privacy Framework. Fehlt diese Grundlage, ist die Einwilligung der Nutzer zwingend erforderlich.
Welche Bußgelder und Konsequenzen drohen bei DSGVO-Verstößen auf Websites?
Bei DSGVO-Verstößen auf Websites können Aufsichtsbehörden empfindliche Bußgelder verhängen, Abmahnungen durch Mitbewerber oder Verbände ausgesprochen werden und Nutzer Schadensersatzansprüche geltend machen. Die Höhe möglicher Sanktionen hängt von der Art des Verstoßes, der Schwere und dem Verhalten des Verantwortlichen ab.
Die DSGVO sieht zwei Bußgeldrahmen vor: Für weniger schwerwiegende Verstöße können Bußgelder bis zu 10 Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes verhängt werden. Bei schwerwiegenden Verstößen, etwa gegen die Grundprinzipien der Datenverarbeitung oder die Rechte der Betroffenen, steigt der Rahmen auf bis zu 20 Millionen Euro oder vier Prozent des Jahresumsatzes.
Neben Bußgeldern durch Datenschutzbehörden drohen Website-Betreibern in der Praxis weitere Konsequenzen:
- Abmahnungen: Wettbewerber und Verbraucherschutzverbände können datenschutzrechtliche Verstöße abmahnen, was mit erheblichen Kosten verbunden sein kann.
- Reputationsschäden: Öffentlich bekannt gewordene Datenschutzverstöße schädigen das Vertrauen von Kunden und Geschäftspartnern nachhaltig.
- Schadensersatzansprüche: Art. 82 DSGVO gewährt betroffenen Personen das Recht auf Schadensersatz bei nachgewiesenen Verstößen.
Hinweis: Konkrete Prognosen zu Sanktionen im Einzelfall sind nicht möglich und sollten stets mit rechtlichem Beistand abgestimmt werden. Die genannten Bußgeldrahmen geben lediglich den gesetzlichen Spielraum wieder, den Behörden im Ermessen ausschöpfen können.
Wie lässt sich DSGVO-Konformität einer Website systematisch prüfen und nachweisen?
Die DSGVO-Konformität einer Website lässt sich systematisch prüfen, indem alle Datenverarbeitungsvorgänge identifiziert, auf ihre Rechtsgrundlage geprüft und dokumentiert werden. Ein strukturiertes Website-Audit umfasst die Analyse von Cookies, externen Diensten, dem Consent-Banner, der Datenschutzerklärung und der technischen Sicherheit. Den Nachweis erbringt eine nachvollziehbare Dokumentation der Prüfung und der getroffenen Maßnahmen.
Ein systematischer Ansatz zum Prüfen der DSGVO-Konformität folgt typischerweise diesen Schritten:
- Bestandsaufnahme aller Datenverarbeitungen: Welche Cookies, Tracker und externen Dienste sind auf der Website aktiv? Werden Daten in Drittstaaten übermittelt?
- Prüfung der Rechtsgrundlagen: Liegt für jede Verarbeitung eine gültige Rechtsgrundlage vor? Ist die Einwilligung wirksam eingeholt, wo sie erforderlich ist?
- Überprüfung der Datenschutzerklärung: Sind alle eingesetzten Dienste vollständig und korrekt beschrieben? Ist der Text aktuell?
- Bewertung des Consent-Banners: Werden nicht notwendige Cookies erst nach Einwilligung gesetzt? Ist die Ablehnungsoption gleichwertig zur Annahme?
- Technische Sicherheitsprüfung: Ist ein gültiges SSL-Zertifikat vorhanden? Ist die Serverkonfiguration sicher?
- Dokumentation und Monitoring: Die Prüfung sollte dokumentiert und regelmäßig wiederholt werden, da sich Websites durch Updates, neue Plugins oder Drittanbieter laufend verändern.
Besonders wichtig ist der letzte Punkt: Eine einmalige Prüfung reicht in der Praxis nicht aus. Websites verändern sich kontinuierlich, und neue Datenschutzrisiken können jederzeit entstehen. Ein dauerhaftes Monitoring ist daher empfehlenswert, um Veränderungen frühzeitig zu erkennen.
So unterstützt decareto bei der DSGVO-Prüfung Ihrer Website
Wir bei decareto haben eine SaaS-Plattform entwickelt, die Website-Betreiber, Datenschutzbeauftragte, Kanzleien und Compliance-Teams dabei unterstützt, den oben beschriebenen Prüfprozess effizient und skalierbar umzusetzen. Unsere Plattform ersetzt keine rechtliche Beratung, schafft aber die technische Grundlage für fundierte Datenschutzentscheidungen.
Konkret bietet decareto folgende Funktionen für die DSGVO-Prüfung von Websites:
- Automatisierter DSGVO-Website-Scan: Wir prüfen Unterseiten, Cookies, Tracker, externe Dienste und Consent-Banner in Minuten statt Stunden, KI-gestützt für konsistente Ergebnisse.
- Rechtliche Bewertung nach Art. 6 DSGVO und TDDDG: Jedem erkannten Dienst und Cookie wird automatisch eine Rechtsgrundlage zugeordnet. Fehlt eine erforderliche Einwilligung, erscheint eine Warnung im Report.
- Drittlandtransfer-Erkennung: Wir identifizieren Dienste, die Daten in unsichere Drittstaaten übermitteln, und weisen auf fehlende Garantien hin.
- SSL-Prüfung: Die Serversicherheit wird automatisch auf Gültigkeit und Konfiguration geprüft.
- Dauerhaftes Monitoring: Hunderte Websites lassen sich kontinuierlich überwachen. Bei Änderungen werden automatische Benachrichtigungen ausgelöst.
- Datenschutzgenerator: Basierend auf den Scan-Ergebnissen erstellen wir passgenaue Datenschutzerklärungen in 24 Sprachen, die sich bei Änderungen automatisch aktualisieren lassen.
- Whitelabel-Reports: Externe Dienstleister können Berichte unter eigenem Logo an ihre Kunden weitergeben.
Datenschutzbeauftragte, Kanzleien und Compliance-Teams können mit decareto den Aufwand für Web-Audits erheblich reduzieren und gleichzeitig eine nachvollziehbare Dokumentation ihrer Prüfungen aufbauen. Testen Sie decareto jetzt und verschaffen Sie sich einen strukturierten Überblick über den Datenschutzstatus Ihrer Websites: Jetzt kostenlos starten.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Wie erkenne ich, ob meine Website personenbezogene Daten unzulässig verarbeitet?
- Wie erkennt man Barrierefreiheitsprobleme bei PDFs auf Websites?
- Was ist ein Accessibility-Audit-Report und was steht darin?
- Wie genau ist ein automatisierter Web Accessibility Check?
- Welche Datenschutzrisiken entstehen durch eingebettete Google-Maps-Karten?
