DSGVO auf der Firmenwebsite: die Pflichten, die im Alltag zählen

Zum Thema Datenschutz auf Websites gibt es zwei verbreitete Haltungen: Panik vor Abmahnungen und die Überzeugung, dass es schon niemanden interessiert. Beide führen zu schlechten Entscheidungen. Der tatsächliche Pflichtenkatalog für eine normale Firmenwebsite ist überschaubar.

Was braucht jede Firmenwebsite?

Vier Dinge, unabhängig von Größe und Branche:

• Ein Impressum. Vollständig, von jeder Seite mit einem Klick erreichbar.
• Eine Datenschutzerklärung. Ebenfalls von überall erreichbar, und sie muss beschreiben, was Ihre Seite tatsächlich tut – nicht, was eine Vorlage vermutet.
• Eine verschlüsselte Verbindung. HTTPS ist keine Kür.
• Einen Auftragsverarbeitungsvertrag mit dem Hosting-Anbieter. Der Punkt, der am häufigsten fehlt, weil niemand daran denkt.

Der letzte ist unspektakulär und schnell erledigt: Die meisten Anbieter stellen ihn im Kundenkonto zum Abschluss bereit.

Wann ist ein Cookie-Banner nötig?

Nicht immer. Ein Einwilligungsbanner brauchen Sie, wenn Ihre Website etwas einbindet, das nicht technisch notwendig ist – also alles, was über den reinen Betrieb hinausgeht.

Ohne Banner geht es, wenn Ihre Seite nur das tut, was sie zum Funktionieren braucht: Seiten ausliefern, ein Kontaktformular verarbeiten, eine Spracheinstellung merken.

Ein Banner brauchen Sie, sobald Sie zum Beispiel Reichweitenmessung, eingebettete Videos von fremden Plattformen, Kartendienste oder Werbewerkzeuge einsetzen.

Und wenn Sie eines haben, muss es funktionieren: Ablehnen muss genauso leicht sein wie Zustimmen – auf derselben Ebene, gleich sichtbar. Ein Banner, in dem „Alle akzeptieren" groß und farbig ist und „Ablehnen" als grauer Text im Untermenü versteckt liegt, ist keine wirksame Einwilligung. Ebenso wenig darf etwas geladen werden, bevor zugestimmt wurde.

Was wird am häufigsten falsch gemacht?

Aus dem, was uns bei Bestandsseiten begegnet:

| Fehler | Warum er passiert | |---|---| | Schriften vom fremden Server | Kommen ungefragt mit vielen Vorlagen mit | | Karten direkt eingebettet | Werden geladen, bevor jemand zugestimmt hat | | Videos von Plattformen | Setzen beim Seitenaufruf sofort Kennungen | | Datenschutzerklärung als Vorlage | Beschreibt Dienste, die es nicht gibt – oder verschweigt welche | | Kontaktformular ohne Hinweis | Es fehlt der Verweis auf die Datenverarbeitung | | Kein Auftragsverarbeitungsvertrag | Wird beim Hosting-Wechsel vergessen |

Die ersten drei haben dieselbe Ursache: Etwas wird von einem fremden Server geladen, sobald jemand die Seite öffnet. Die Lösung ist meist einfach – Schriften lokal einbinden, Karten und Videos erst nach einem Klick laden.

Was ist mit Abmahnungen?

Die Sorge ist verbreitet und in der Praxis seltener begründet, als der Ton mancher Anbieter vermuten lässt. Wer Impressum, Datenschutzerklärung und HTTPS in Ordnung hat und keine fremden Dienste ungefragt lädt, hat die häufigsten Angriffspunkte beseitigt.

Wichtiger als die Angst vor Abmahnungen ist ohnehin der Umstand, dass diese Dinge Vertrauen kosten, wenn sie fehlen. Ein Banner, das sich nicht ablehnen lässt, ist ein Signal – und zwar kein gutes.

Wie halten Sie das aktuell?

Der Pflichtenkatalog ist kein Zustand, sondern ein laufendes Thema. Was sich ändert:

• Sie binden ein neues Werkzeug ein – die Datenschutzerklärung muss nach.
• Ein Dienstleister ändert seine Verarbeitung.
• Die Rechtsprechung verschiebt sich.

Praktisch heißt das: einmal im Jahr durchsehen, und immer dann, wenn etwas Neues auf die Seite kommt. Der zweite Punkt ist der wichtigere – die meisten veralteten Datenschutzerklärungen sind veraltet, weil jemand ein Werkzeug ergänzt hat, ohne daran zu denken.

Wie wir damit umgehen

Als zertifizierter eRecht24-Agenturpartner richten wir die Grundlagen von Anfang an ein: Cookie-Einwilligung, Datenschutzerklärung, Impressum und eine saubere technische Basis. Weil die Betreuung bei uns laufend ist, wird die Erklärung mitgeführt, wenn sich etwas an der Seite ändert – das ist genau der Teil, der bei Einmalprojekten liegen bleibt.

Eine Rechtsberatung im engeren Sinne dürfen wir nicht leisten. Die Umsetzung schon, und die deckt den größten Teil dessen ab, worüber im Alltag gestolpert wird.

Verwandt: Barrierefreiheit: Was das BFSG für Firmenwebsites bedeutet. Unsere eigene Datenschutzerklärung zeigt, wie so etwas aussieht, wenn es die tatsächliche Verarbeitung beschreibt.

Dieser Beitrag erklärt die allgemeine Rechtslage und ersetzt keine Rechtsberatung.