Datenschutz auf der Website: Cookies, Formulare, Impressum

Dieser Beitrag erklärt Grundlagen und technische Zusammenhänge aus Sicht des Webdesigns. Er ist keine Rechtsberatung und ersetzt keine Prüfung durch eine Anwältin oder einen Anwalt mit Datenschutz-Schwerpunkt, durch eine Datenschutzbeauftragte oder einen Datenschutzbeauftragten oder durch die Aufsichtsbehörde Ihres Bundeslandes. Rechtslage, Rechtsprechung und Auslegung ändern sich. Was für Ihren Betrieb gilt, hängt von Branche, Rechtsform, eingesetzten Diensten und Zielgruppe ab.

Wir verstehen unsere Rolle so: Wir bauen Seiten so, dass möglichst wenig personenbezogene Daten anfallen, wir dokumentieren die technischen Tatsachen verständlich, und wir arbeiten mit Ihrer Rechtsberatung zusammen, wenn es um Wertungen und Formulierungen geht.

Für den Zugriff auf Informationen im Endgerät des Besuchers (Cookies, lokaler Speicher, Fingerabdruck-Verfahren) gilt in Deutschland das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Es verlangt in der Regel die Einwilligung, es sei denn, die Speicherung oder der Zugriff ist unbedingt erforderlich, damit der Dienst bereitgestellt werden kann, den der Besucher ausdrücklich angefordert hat. Daneben gelten die Regeln der DSGVO für die anschließende Verarbeitung personenbezogener Daten.

1. Speichert oder liest Ihre Seite etwas auf dem Gerät des Besuchers? Nein: Keine Abfrage nach TDDDG nötig. Ja: weiter.
2. Ist das unbedingt erforderlich, damit die angeforderte Funktion klappt (Warenkorb, Anmeldung, Sicherheit, Speichern der Cookie-Entscheidung)? Ja: Einwilligung nicht nötig, aber in der Datenschutzerklärung nennen. Nein: weiter.
3. Dient es Statistik, Komfort über das Nötige hinaus, Marketing oder Einbettungen von Dritten? Dann ist in der Regel eine Einwilligung erforderlich. Prüfen Sie, ob Sie auf den Dienst verzichten können.
4. Wenn Einwilligung nötig ist: Dienst darf erst nach aktiver Zustimmung laden. Ablehnen muss ebenso einfach sein wie Zustimmen. Die Entscheidung ist jederzeit widerrufbar, und die Seite funktioniert auch bei Ablehnung.

Typische Fehler beim Banner

• Die Schaltfläche „Alle akzeptieren“ ist groß, „Ablehnen“ ein kleiner Text in einer Ecke.
• Dienste laden bereits, bevor der Besucher entschieden hat.
• Voreingestellte Häkchen bei Statistik und Marketing.
• Eine Ablehnung führt dazu, dass die Seite nicht benutzbar ist.
• Die Auswahl des Besuchers wird nicht gespeichert, und das Banner erscheint bei jedem Aufruf neu.

Praktisch heißt das: Wer auf einwilligungspflichtige Dienste verzichtet, braucht oft gar kein Banner, und die Seite wird dadurch schneller und ruhiger. Dazu passt der Beitrag Cookie-Banner und Datenschutz.

Das Formular ist die häufigste Stelle, an der Besucher bewusst Daten abgeben. Es lohnt sich, es sorgfältig zu gestalten, weil es Vertrauen schafft und das Risiko verringert.

• Nur nötige Felder. Name und ein Rückweg reichen oft. Jedes weitere Feld braucht einen Zweck.
• Verschlüsselte Übertragung. Die Seite wird ausschließlich über HTTPS ausgeliefert.
• Hinweis in Sichtweite. Neben dem Absenden-Knopf steht ein kurzer Satz, wozu die Daten verwendet werden, und ein Link zur Datenschutzerklärung.
• Keine vorab angekreuzten Zustimmungen. Weitere Zwecke wie Newsletter benötigen eine eigene, freiwillige Einwilligung.
• Spam-Schutz ohne Fremddienst. Verstecktes Zusatzfeld (Honigtopf), Zeitprüfung, serverseitige Begrenzung. Dienste von Großanbietern lösen datenschutzrechtliche Fragen aus.
• Sichere Zustellung. Die Nachricht kommt per verschlüsselter Verbindung an Ihren Mailserver, die Absenderangaben sind korrekt konfiguriert, damit sie nicht im Spam-Ordner landet.
• Speicherung und Löschung. Legen Sie fest, wie lange Anfragen aufbewahrt werden, und löschen Sie sie danach.

Zur Gestaltung selbst finden Sie Praxistipps im Beitrag Kontaktformular richtig gestalten.

Die Datenschutzerklärung informiert Besucher darüber, welche Daten Sie wofür verarbeiten. Sie muss verständlich sein und zur Seite passen. Eine übliche Gliederung:

1. Verantwortlicher (Name, Anschrift, Kontakt) und gegebenenfalls Datenschutzbeauftragter.
2. Hosting und Server-Protokolle: Welche Daten fallen an, wie lange werden sie gespeichert, welcher Dienstleister betreibt den Server?
3. Cookies und ähnliche Technologien: Welche werden gesetzt, wozu, mit welcher Laufzeit, auf welcher Grundlage?
4. Kontaktaufnahme per Formular oder Mail: Zweck, Rechtsgrundlage, Speicherdauer.
5. Eingesetzte Dienste: Statistik, Karten, Schriften, Videos, Newsletter, Zahlungsdienste, jeweils mit Anbieter, Zweck und Datenübermittlung.
6. Weitergabe an Dritte und Übermittlung in Drittländer, soweit zutreffend.
7. Rechte der Betroffenen: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit, Beschwerde bei der Aufsichtsbehörde.
8. Hinweis auf Änderungen und Stand der Erklärung.

Häufige Fehler

• Die Erklärung beschreibt Dienste, die gar nicht (mehr) eingesetzt werden, und verschweigt andere, die laufen.
• Texte aus Mustern, die für eine andere Rechtsform oder Branche gedacht sind.
• Veraltete Hinweise auf frühere Rechtsgrundlagen oder abgeschaltete Verfahren.
• Zu allgemeine Formulierungen („wir verwenden Cookies“) ohne Angabe von Zweck und Dauer.
• Nach Änderungen an der Seite wird die Erklärung nicht angepasst.

Ein einfaches Mittel: Gehen Sie nach jeder technischen Änderung die Liste der eingebundenen Dienste durch und gleichen Sie sie mit der Erklärung ab. Die Werkzeuge dafür (zum Beispiel eine Auflistung aller geladenen Ressourcen in den Entwicklerwerkzeugen) zeigen wir Ihnen gern.

Besucher und Kunden haben Rechte: Sie können Auskunft verlangen, welche Daten Sie über sie gespeichert haben, Berichtigung, Löschung und Widerspruch. Ein Antrag muss grundsätzlich ohne unangemessene Verzögerung beantwortet werden, nach der DSGVO in der Regel innerhalb eines Monats. Dafür brauchen Sie einen Ablauf, der in kleinen Betrieben einfach sein kann:

1. Wer nimmt Anfragen entgegen (Adresse in der Datenschutzerklärung)?
2. Wie prüfen Sie die Identität der anfragenden Person, ohne selbst mehr Daten zu sammeln?
3. Wo liegen personenbezogene Daten (Mailprogramm, Kundenliste, Buchhaltung, Formular-Archiv, Sicherungen)?
4. Welche Daten müssen Sie wegen gesetzlicher Aufbewahrungsfristen behalten, welche dürfen oder müssen gelöscht werden?
5. Wer antwortet und dokumentiert das?

Legen Sie außerdem Löschfristen für Anfragen fest, die nicht zu einem Auftrag geführt haben, zum Beispiel einen festen Zeitraum nach Abschluss der Anfrage. Die Dauer richtet sich nach Zweck und Rechtslage und gehört in die Absprache mit Ihrer Rechtsberatung. Sicherungen enthalten alte Daten: Auch dafür braucht es eine Regel, wann sie überschrieben werden.

Sobald ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie in der Regel einen Vertrag über die Auftragsverarbeitung (AV-Vertrag). Das betrifft bei einer Website typischerweise Hoster, E-Mail-Anbieter, Newsletter-Dienst, Wartungsdienstleister mit Zugriff auf Daten, Terminbuchungs- und Zahlungsdienste.

Was Sie prüfen sollten: Gibt es den Vertrag und ist er unterschrieben oder online akzeptiert? Nennt er Zweck, Art der Daten, Dauer, technische und organisatorische Maßnahmen und die Unterauftragnehmer? Wo werden Daten verarbeitet, und gibt es Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums? Was passiert bei Vertragsende mit den Daten?

Was Sie dokumentieren sollten: Eine Liste aller Dienstleister mit Zweck, Vertragsstand und Ansprechpartner. Sie hilft bei Anfragen von Besuchern und der Aufsicht und bei Ihrer eigenen Übersicht. Ein Verzeichnis der Verarbeitungstätigkeiten ist, je nach Betrieb, zusätzlich Pflicht oder dringend empfohlen.

Auch Ihr Webdesigner ist Dienstleister. Wenn er Zugriff auf Formular-Daten, Kundenlisten oder Sicherungen hat, gehört er in die Liste. Wir regeln das schriftlich, bevor wir Zugriff erhalten, und beschränken ihn auf das Nötige.