Website DSGVO-konform betreiben: So gelingt es Dir

Die Datenschutz-Grundverordnung (DSGVO) stellt hohe Anforderungen an den Schutz personenbezogener Daten im Internet. Doch was bedeutet das konkret für Webseitenbetreiber? In diesem Artikel erfährst Du, welche Schritte notwendig sind, um Deine Website DSGVO-konform zu gestalten und rechtliche Risiken zu vermeiden.

1. Datenschutzerklärung: Pflicht auf jeder Website

Jede Website, die personenbezogene Daten verarbeitet, benötigt eine Datenschutzerklärung. Diese muss leicht zugänglich sein (z. B. über einen Link im Footer) und bestimmte Informationen enthalten – darunter vor allem folgende Fragen beantworten:

• Welche Daten werden erhoben?
• Zu welchem Zweck erfolgt die Verarbeitung?
• Auf welcher rechtlichen Grundlage geschieht dies?
• Wie lange werden die Daten gespeichert?
• Welche Rechte haben Nutzer in Bezug auf ihre Daten?
• Wer ist der Verantwortliche für die Datenverarbeitung?

Ein Datenschutzerklärungs-Generator kann Dir einen Entwurf liefern. Prüfe aber, ob er Deine tatsächliche Datenverarbeitung vollständig und zutreffend beschreibt. Der Generator allein garantiert keine Rechtskonformität.

2. Cookie-Banner: Einwilligung korrekt einholen

In Deutschland verlangt § 25 TDDDG grundsätzlich eine Einwilligung für das Speichern von Informationen auf Endgeräten oder den Zugriff darauf. Ausgenommen sind insbesondere Vorgänge, die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Das betrifft nicht nur Cookies. Für eine anschließende Verarbeitung personenbezogener Daten brauchst Du zusätzlich eine passende Rechtsgrundlage nach der DSGVO. Bei einwilligungspflichtigen Cookies und ähnlichen Technologien gilt:

• Opt-in-Verfahren: Einwilligungspflichtige Cookies dürfen erst nach aktiver Zustimmung gesetzt werden.
• Echte Wahlmöglichkeit: Nutzer müssen eine echte, freiwillige Wahl haben und einwilligungspflichtige Cookies ablehnen können.
• Detaillierte Information: Welche Cookies werden gesetzt und wofür?
• Nachträgliche Änderung: Nutzer müssen ihre Einwilligung jederzeit so einfach widerrufen können, wie sie sie erteilt haben.

Empfehlenswert sind Cookie-Consent-Tools wie Borlabs Cookie oder Cookiebot. Tipp: Wir haben einen separaten Beitrag verfasst, in dem wir Dir erläutern, wie Du Consent-Banner DSGVO-konform gestaltest.

3. HTTPS mit TLS: Daten sicher übertragen

Nutze HTTPS mit aktueller TLS-Verschlüsselung, um Daten zwischen Browser und Webserver zu schützen. Das ist besonders wichtig bei personenbezogenen Daten (z. B. über Kontaktformulare). Eine verschlüsselte Verbindung schützt den Übertragungsweg, macht Deine Website allein aber noch nicht DSGVO-konform.

4. Kontaktformulare DSGVO-konform gestalten

Falls Du auf Deiner Website Kontaktformulare verwendest, beachte Folgendes:

• Datensparsamkeit: Frage nur notwendige Felder ab.
• Zweckbindung: Informiere Nutzer, wieso ihre Daten im Formular erhoben werden.
• Rechtsgrundlage klären: Für die Bearbeitung einer Anfrage kann beispielsweise eine vertragliche oder vorvertragliche Grundlage oder ein berechtigtes Interesse greifen. Eine Einwilligungs-Checkbox ist nicht pauschal nötig. Informiere am Formular über die Verarbeitung und verlinke Deine Datenschutzerklärung.
• Speicherfristen festlegen: Du darfst die Daten nicht unbegrenzt speichern.

5. Drittanbieter-Dienste DSGVO-konform einbinden

Viele Websites nutzen externe Dienste wie Google Analytics, Facebook Pixel oder YouTube-Videos. Prüfe bei jedem Dienst die tatsächlichen Datenflüsse, die Rechtsgrundlage und gegebenenfalls Übermittlungen in Drittländer. Eine kurze Checkliste oder ein einzelnes Tool garantiert keine DSGVO-Konformität:

• Google Analytics: Prüfe die konkrete Konfiguration, die erforderlichen Verträge und Datenübermittlungen. Einwilligungspflichtiges Tracking darf erst nach einem wirksamen Opt-in starten; eine gekürzte IP-Adresse allein genügt nicht.
• YouTube, Google Fonts, Social Media Plugins: Prüfe die konkrete Einbindung. Einwilligungspflichtige Dienste dürfen erst nach Zustimmung laden; lokal gespeicherte Schriften verursachen beispielsweise keinen Abruf beim externen Schriftanbieter.
• Alternativen nutzen: Beispielsweise lokal eingebettete Schriften oder anders konfigurierte Analysewerkzeuge. Auch bei Alternativen wie Matomo kommt es auf den tatsächlichen Einsatz an.

6. Auftragsverarbeitungsvertrag (AVV) abschließen

Verarbeitet ein externer Dienstleister personenbezogene Daten in Deinem Auftrag, benötigst Du grundsätzlich einen Auftragsverarbeitungsvertrag (AVV). Dieser regelt, wie die Dienstleister mit den personenbezogenen Daten umgehen. Viele Anbieter (z. B. Mailchimp, Google) stellen diese Verträge online zur Verfügung. Wir übrigens auch.

7. Verzeichnis von Verarbeitungstätigkeiten führen

Unternehmen und selbstständige Webseitenbetreiber müssen grundsätzlich ein Verarbeitungsverzeichnis führen. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten ist eng begrenzt und greift beispielsweise nicht bei regelmäßiger Verarbeitung von Kunden- oder Beschäftigtendaten. Das Verzeichnis dokumentiert unter anderem Zwecke, Datenkategorien, Empfänger, Löschfristen und Schutzmaßnahmen.

Fazit: DSGVO-Konformität ist Pflicht

Die DSGVO stellt klare Anforderungen an Webseitenbetreiber. Wichtig sind transparente Datenschutzinformationen, passende Rechtsgrundlagen, sichere Datenübertragung und sorgfältig ausgewählte Drittanbieter-Dienste. Ein Consent-Banner brauchst Du dort, wo tatsächlich eine Einwilligung erforderlich ist. Diese Maßnahmen helfen Dir, Datenschutzrisiken zu reduzieren; eine vollständige Prüfung Deiner konkreten Website ersetzen sie nicht.

Prüfe Deine Website regelmäßig auf Änderungen bei Diensten, Datenflüssen und Datenschutzvorgaben. Dieser Beitrag bietet eine allgemeine Orientierung und ersetzt keine rechtliche Prüfung im Einzelfall.