DSGVO für Websites: Die technische Checkliste

Sobald Ihre Website personenbezogene Daten von Menschen in der EU verarbeitet, kann die DSGVO greifen, ganz gleich, wie klein Ihr Unternehmen ist. Technisch bedeutet das: Sie wissen, welche Daten Ihre Seite sammelt, holen für nicht notwendige Cookies eine Einwilligung ein, schließen Verträge mit Dienstleistern, speichern nur so lange wie nötig und sichern alles ab. Die Checkliste dazu finden Sie hier.

Gilt die DSGVO für Ihre Website?

Grundsätzlich greift sie, wenn Sie Menschen in der EU Waren oder Dienstleistungen anbieten oder ihr Verhalten auf Ihrer Seite beobachten, auch wenn Ihr Unternehmen woanders sitzt. Ein Onlineshop außerhalb der EU, der nach Deutschland liefert, kann darunter fallen. Ein Beratungsbüro mit Kontaktformular ebenso.

Andere Länder haben ähnliche Datenschutzgesetze mit anderen Details, in der Schweiz etwa das revidierte Datenschutzgesetz (DSG). Kommen Ihre Besucher aus mehreren Ländern, orientieren sich viele Betreiber praktisch an der strengsten Regel. Welche Gesetze für Sie gelten, klärt Ihre Beratung.

Welche personenbezogenen Daten sammelt eine typische Website?

Personenbezogen ist alles, woran sich eine Person direkt oder indirekt erkennen lässt: eine E-Mail-Adresse, aber auch eine IP-Adresse oder eine Cookie-ID. Gehen Sie Ihre Website durch und notieren Sie, wo so etwas vorkommt:

Ein Besucher füllt Ihr Kontaktformular aus. Seine Nachricht landet in Ihrem Postfach, in der Datenbank der Website, vielleicht im Protokoll eines Formular-Plugins und im Backup der letzten Nacht. An alle vier Orte müssen Sie denken, wenn er später um Löschung bittet.

Ein weiterer Klassiker sind Schriftarten, Karten oder Videos, die von fremden Servern kommen. Dabei erhält der Dienst die IP-Adresse des Besuchers. Technisch lässt sich das vermeiden, wenn Sie Schriftarten von Ihrem eigenen Server ausliefern. Ob und wann eine solche Einbindung zulässig ist, beurteilt Ihre Rechtsberatung.

Wie funktionieren Cookie-Einwilligung und Datenschutzerklärung?

Cookies und ähnliche Tracker, die nicht unbedingt erforderlich sind, brauchen in der Regel die Einwilligung des Besuchers, bevor sie laden. In Deutschland betrifft das den Zugriff auf Endgeräte nach § 25 TDDDG. Ein Banner, das erst erscheint, wenn Google Analytics oder ein Werbe-Pixel schon Daten sendet, hilft deshalb nicht. Die Auswahl im Banner muss die Skripte tatsächlich steuern.

Ihre Datenschutzerklärung sollte sagen, was Sie erheben, warum, wie lange Sie es speichern, wer es erhält und wie Betroffene ihre Rechte wahrnehmen. Bleiben Sie ehrlich und konkret. Eine kurze, zutreffende Erklärung ist besser als eine lange, die nicht zur Website passt.

Welche Dienstleister brauchen einen Auftragsverarbeitungsvertrag (AVV)?

Auftragsverarbeiter ist jedes Unternehmen, das in Ihrem Auftrag personenbezogene Daten verarbeitet: Ihr Hoster, der E-Mail-Dienst, das Newsletter-Tool, der Statistikanbieter, der Zahlungsdienstleister oder ein Backup-Dienst. Mit jedem von ihnen verlangt die DSGVO in der Regel einen schriftlichen Vertrag. Viele große Anbieter stellen ihn zum Online-Abschluss bereit.

1. Auflisten: jeden Dienst, der Besucher- oder Kundendaten verarbeitet.
2. Prüfen: ob es für jeden einen AVV gibt, und fehlende Verträge abschließen.
3. Notieren: wo der jeweilige Anbieter Daten speichert.
4. Entfernen: Dienste, die Sie nicht mehr nutzen, samt der dort gespeicherten Daten.

Das gilt auch für uns und für jede freiberufliche Person mit Zugang zu Ihrer Website. Kann bei der Reparatur jemand Kundendaten einsehen, klären Sie vorher den Vertrag.

Wie lange dürfen Sie Daten speichern?

Speichern Sie personenbezogene Daten nur so lange, wie Sie sie für ihren Zweck brauchen. Fachlich heißt das Datenminimierung und Speicherbegrenzung. Legen Sie die Frist fest, schreiben Sie sie auf, und richten Sie dann die Technik danach aus.

• Fragen Sie nur ab, was Sie wirklich brauchen. Ist die Telefonnummer wirklich nötig?
• Löschen Sie alte Formulareinträge, abgebrochene Warenkörbe und inaktive Konten regelmäßig nach einem festen Plan.
• Verkürzen Sie die Aufbewahrung von Server-Logs und Statistikdaten.
• Legen Sie fest, wie lange Backups aufbewahrt werden, und bedenken Sie, dass sie auch längst gelöschte Daten enthalten.

Backups sind der schwierige Teil, denn aus einem nächtlichen Backup lässt sich kein einzelner Datensatz entfernen. Bewahren Sie die Historie deshalb nur so lange auf, wie nötig, und sorgen Sie dafür, dass ein zurückgespieltes Backup bereits gelöschte Personen nicht unbemerkt wieder einspielt. Zum Einstieg genügt eine schriftliche Routine.

Wie gehen Sie mit Auskunfts- und Löschanfragen um?

Betroffene können wissen wollen, welche Daten Sie über sie haben, eine Kopie verlangen oder um Berichtigung oder Löschung bitten. Antworten müssen Sie in der Regel innerhalb eines Monats. Schwierig ist meist nicht die Antwort, sondern das Auffinden der Daten.

Dafür ist die Liste von vorhin da. Trifft eine Anfrage ein, durchsuchen Sie Formular-Plugin, Shop-Bestellungen, Newsletter-Tool, Postfach und Logs. Klären Sie zuerst, wer anfragt, damit keine Daten an die falsche Person gehen.

Was bedeutet „angemessene Sicherheit“ technisch?

Die DSGVO verlangt Sicherheit, die zum Risiko passt. Konkrete Werkzeuge nennt sie nicht, doch ein paar Grundlagen gelten bei Websites allgemein als Mindeststandard.

• Updates: Halten Sie Kern, Plugins und Themes aktuell. Veraltete Software ist ein häufiger Einstieg für Angreifer, mehr dazu in Veraltete Plugins und PHP: Risiken und sichere Updates.
• HTTPS: ein gültiges Zertifikat auf jeder Seite, rechtzeitig vor Ablauf erneuert. Bei Browserwarnungen hilft SSL-Zertifikat-Fehler beheben.
• Zugriffskontrolle: für jeden Dienst ein eigenes Passwort, Zwei-Faktor-Authentifizierung und pro Person ein Konto mit nur den nötigen Rechten.
• Backups: an einem anderen Ort, nach Möglichkeit verschlüsselt, und eine Wiederherstellung, die Sie wirklich getestet haben.
• Überwachung: Sie merken schnell, wenn sich die Seite verändert oder ausfällt.

Was tun nach einer Datenpanne?

Eine Datenpanne mit Risiko für die Betroffenen ist nach der DSGVO in der Regel unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde zu melden. Manchmal müssen auch die Betroffenen selbst informiert werden. Ob Ihr Fall darunter fällt, ist eine Rechtsfrage, deshalb holen Sie früh rechtlichen Rat ein.

Technisch läuft die erste Stunde so ab: Seite eindämmen, eine Kopie als Beweis sichern, alle Passwörter ändern, den Einstiegspunkt finden. Ausführlich beschreiben wir das in Website gehackt? Die ersten 60 Minuten, und auf der Seite zur gehackten Website sehen Sie, wie wir vorgehen. Halten Sie schriftlich fest, was wann passiert ist. Aufsichtsbehörde und Rechtsberatung werden danach fragen.

Was lässt sich prüfen und automatisieren?

Ein Teil der Checkliste ist Recht und Abwägung. Anderes sind schlichte technische Tatsachen, die sich automatisch immer wieder prüfen lassen.

• Laden Tracker, bevor eine Einwilligung vorliegt?
• Speichern Formulare Einsendungen, und wie lange?
• Wie lange liegen Backups und Logs?
• Ist Software veraltet, und läuft das Zertifikat bald ab?

Automatische Prüfungen sagen nicht, ob Sie die Vorgaben einhalten. Sie zeigen nur, ob die Seite tut, was Sie annehmen. Das ist trotzdem wertvoll, denn die meisten Probleme stecken in Kleinigkeiten, die niemand angesehen hat.

Unsere Rolle ist begrenzt: Wir bieten keine DSGVO-Leistungen oder Zertifizierungen an und können Ihre rechtliche Lage nicht beurteilen. Bei der technischen Seite der „angemessenen Sicherheit“ helfen wir aber mit unseren Wartungsplänen (ab 99 € netto pro Monat): tägliche Backups außerhalb Ihres Hostings, automatische Erreichbarkeits- und Zertifikatsprüfungen, Updates mit Rollback und ein Monatsbericht. Eine Website, die aktuell, gesichert und überwacht ist, gibt Ihrer Beratung eine solide Grundlage. Wenn Sie einen ersten Blick auf Ihre Seite möchten, schreiben Sie uns. Die Diagnose ist kostenlos.