Datenschutz auf der eigenen Website
Die Datenschutz-Grundverordnung gilt auch für die kleinste Vereinsseite. Das klingt nach Aufwand, lässt sich aber beherrschen – vor allem, wenn man auf unnötige Dienste verzichtet.
Warum schon der Seitenaufruf zählt
Sobald jemand Ihre Website aufruft, verarbeitet der Server personenbezogene Daten: mindestens die IP-Adresse, meist auch Datum, Uhrzeit und Browserinformationen. Damit greift die DSGVO. Nach Art. 13 DSGVO müssen Besucher darüber informiert werden – das ist die Aufgabe der Datenschutzerklärung.
Was in die Datenschutzerklärung gehört
- Name und Kontaktdaten des Verantwortlichen
- welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden
- Empfänger der Daten, etwa Hoster oder eingebundene Dienste
- Übermittlungen in Länder außerhalb der EU
- Speicherdauer
- die Rechte der Betroffenen, darunter Auskunft, Löschung und Widerspruch, sowie das Beschwerderecht bei einer Aufsichtsbehörde
Wie beim Impressum gilt: Die Datenschutzerklärung muss von jeder Seite aus erreichbar sein. Generatoren können eine gute Grundlage sein, müssen aber zu dem passen, was auf Ihrer Seite tatsächlich passiert.
Cookies und das TDDDG
Für das Speichern und Auslesen von Informationen auf dem Gerät der Besucher – typischerweise Cookies – gilt zusätzlich § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG). Grundsätzlich ist eine Einwilligung nötig. Ausgenommen sind Cookies, die unbedingt erforderlich sind, damit ein ausdrücklich gewünschter Dienst funktioniert, etwa der Warenkorb im Shop.
Die Falle der eingebundenen Dienste
Viele Datenschutzprobleme entstehen durch Dienste, die beim Seitenaufruf automatisch Daten an Dritte übertragen:
- Schriftarten von externen Servern: Das Landgericht München I hat 2022 einem Besucher 100 Euro Schadensersatz zugesprochen, weil eine Website Google Fonts ohne Einwilligung vom Google-Server lud. Schriften lassen sich einfach auf dem eigenen Server ablegen.
- Eingebettete Karten und Videos: Sie laden Inhalte vom Anbieter, sobald die Seite geöffnet wird. Eine Zwei-Klick-Lösung oder ein einfacher Link auf die Karte vermeidet das.
- Statistikwerkzeuge: Es gibt datensparsame Varianten, die ohne Cookies auskommen und auf eigenen Servern laufen.
- Social-Media-Buttons: Einfache Links auf Ihr Profil übertragen keine Daten, eingebundene Plugins schon.
Kontaktformulare
Ein Kontaktformular sollte nur die Angaben abfragen, die für die Antwort wirklich nötig sind. Pflichtfelder für Telefonnummer oder Anschrift sind bei einer allgemeinen Anfrage selten gerechtfertigt. Die Übertragung muss verschlüsselt erfolgen, was bei einer Seite mit gültigem SSL-Zertifikat gegeben ist (siehe Webhosting). Oft reicht auch schlicht eine anklickbare E-Mail-Adresse.
Auftragsverarbeitung
Wer Dienstleister einsetzt, die in Ihrem Auftrag Daten verarbeiten – Hoster, Newsletter-Anbieter, Formulardienste –, braucht mit ihnen einen Vertrag zur Auftragsverarbeitung. Seriöse Anbieter stellen ihn online bereit.
Checkliste
- Datenschutzerklärung beschreibt, was die Seite wirklich tut
- Link zur Datenschutzerklärung auf jeder Seite
- Schriften lokal eingebunden
- Karten, Videos und Social Media nur per Link oder Zwei-Klick
- Einwilligung für alle nicht notwendigen Cookies – oder gar keine
- Verträge zur Auftragsverarbeitung abgeschlossen