Website und Datenschutz: Datenflüsse und DSGVO verstehen

Für kleine und mittlere Unternehmen beginnt der Überblick oft bei Kundenanfragen, Hosting und externen Dienstleistern. Welche rechtlichen Regeln gelten, hängt unter anderem vom Sitz, dem Markt und der tatsächlichen Verarbeitung ab. Rechtliche Hinweise in diesem Beitrag beziehen sich, soweit genannt, auf Deutschland; für Österreich, die Schweiz und andere Länder gelten gegebenenfalls andere Regeln und Übergangsregelungen.

Ein Kontaktformular, ein Schriftanbieter oder eine Reichweitenmessung können Datenverarbeitungen auslösen. Welche Pflichten im Einzelnen entstehen, hängt unter anderem von Funktion, Betreiber, Beteiligten und Rechtsraum ab. Eine automatisch erzeugte Erklärung ist nur dann hilfreich, wenn sie die tatsächliche Verarbeitung zutreffend beschreibt und fachlich geprüft wurde.

Dieser Beitrag richtet sich an Betreiber mit Bezug zu Deutschland und der EU und dient der Orientierung. Er ersetzt keine Prüfung des konkreten Angebots.

1. Eine Datenlandkarte erstellen

Gehe die Website als Besucher durch und notiere für jede Funktion:

Erweitere die Liste um Logdateien, Anmeldung, Analytik, eingebettete Inhalte, Karten, Schriftarten, Newsletter und Support. Nicht jedes Projekt nutzt alles. Auch IP-Adressen und technische Kennungen können personenbezogene Daten sein; der genaue Kontext zählt. Prüfe nicht nur den Quellcode, sondern auch das Netzwerkverhalten im Browser und die tatsächliche Konfiguration der Dienste.

2. Nur erheben, was du brauchst

Wenn du eine Anfrage per E-Mail beantworten willst, frage dich, ob Telefonnummer oder Pflichtfeld für eine Adresse wirklich erforderlich sind. Kurze Formulare helfen auch beim Verstehen. Lege fest, wer Nachrichten lesen darf und wann sie gelöscht werden. Übernimm solche Festlegungen erst nach Abstimmung mit den tatsächlichen betrieblichen und rechtlichen Anforderungen.

Der Europäische Datenschutzausschuss erklärt Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Das ist ein Ansatz für den gesamten Prozess, nicht nur eine Checkbox im Formular.

3. Dienstleister und Verträge prüfen

Für Hosting, Analyse und E-Mail können unterschiedliche Unternehmen beteiligt sein. Kläre anhand ihrer aktuellen Dokumentation: Welche Daten erhalten sie? Wo werden sie verarbeitet? Gibt es Unterauftragnehmer oder Übermittlungen außerhalb des Europäischen Wirtschaftsraums? Welche Rolle haben die Beteiligten und ist ein Vertrag zur Auftragsverarbeitung erforderlich? Die Antwort ergibt sich aus dem tatsächlichen Einsatz, nicht allein aus dem Standortnamen eines Rechenzentrums.

Halte Ansprechpartner, Verträge, technische Einstellungen und Änderungen fest. Im Zweifel ist fachliche Beratung sinnvoll, gerade bei Drittlandübermittlungen oder sensiblen Daten.

4. Cookies, Skripte und Einwilligung

Nicht jeder Zugriff auf ein Gerät ist gleich zu beurteilen. Prüfe, welche Speicher- oder Auslesevorgänge stattfinden und ob eine gesetzliche Ausnahme oder eine Einwilligung in Betracht kommt. Wenn eine Einwilligung erforderlich ist, muss sie vor dem betreffenden Zugriff vorliegen; ein Banner allein verhindert technisch noch nichts. Die Orientierungshilfe der Datenschutzkonferenz zu digitalen Diensten erläutert die Anforderungen.

Praktischer Test: In einem frischen Browserprofil ohne Zustimmung laden, Netzwerkanfragen und Speicherung prüfen, ablehnen, erneut prüfen und danach eine erteilte Einwilligung widerrufen. Dokumentiere, was tatsächlich geladen wird. Ein automatischer Scan kann unterstützen, erkennt aber nicht alle Datenflüsse oder rechtlichen Konstellationen.

5. Information und Betroffenenrechte

Eine Datenschutzerklärung muss zum tatsächlichen Angebot passen. Kläre Verantwortlichkeit, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer beziehungsweise Kriterien und Kontaktwege anhand der anwendbaren Informationspflichten. Sorge organisatorisch dafür, dass Anfragen zu Auskunft oder Löschung bearbeitet werden können. Technische Löschung kann auch Backups und Dienstleister betreffen; praktikable Verfahren müssen vorher geklärt werden.

Prompt für eine technische Inventur

Untersuche dieses Website-Projekt lesend auf mögliche Datenflüsse. Keine echten Kundendaten, Zugangsdaten oder Geheimnisse ausgeben.
Erstelle eine Tabelle: Funktion, Datenarten, auslösende Stelle im Code, potenzieller Empfänger, bekannte und unbekannte Speicher- oder Löschangaben, Fragen an Anbieter und Betreiber.
Unterscheide belegte Codebefunde, durch Netzwerktests zu prüfende Vorgänge und rechtliche Fragen. Prüfe Formulare, Logs, externe Skripte, Fonts, Videos, Analytik, Newsletter und APIs, soweit vorhanden.
Erfinde weder Rechtsgrundlagen noch Verträge. Erstelle keine als rechtssicher bezeichnete Datenschutzerklärung. Nenne Testschritte vor Zustimmung, nach Ablehnung und nach Widerruf.

Unterstützung

Wenn du einen technischen Überblick über die Datenflüsse deiner Website brauchst, kannst du Moinsen ansprechen. Die rechtliche Bewertung und die Texte sollten zu deinem konkreten Angebot passen und bei Bedarf durch entsprechend qualifizierte Fachleute geprüft werden.

Kontakt zu Moinsen.

Weiterlesen: Hosting · Sicherheit · Barrierefreiheit · Alle Beiträge im Moinsen-Blog

Checkliste zum Mitnehmen

• Formular, Logs, externe Inhalte und Dienste als tatsächliche Datenflüsse aufgenommen.
• Erforderlichkeit der Angaben, Zugriff, Aufbewahrung und Löschung geklärt.
• Anbieterrollen, gegebenenfalls Auftragsverarbeitung und Drittlandübermittlungen geprüft.
• Speicher- und Netzwerkzugriffe vor Einwilligung, nach Ablehnung und nach Widerruf geprüft.
• Informationen und Kontaktwege auf das tatsächliche Angebot abgestimmt; rechtliche Fragen bei Bedarf fachlich geklärt.