So machst du deine Website fit für die DSGVO (inklusive Checkliste)

Du bist Blogger, Selbstständiger oder führst ein kleines Unternehmen inklusive eigener Webseite? Prima, dann hast du schon den ersten Schritt zu einem aufmerksamkeitsstarken Online-Auftritt getan.

Aber “Aus großer Kraft folgt große Verantwortung”. Und in dem Sinne bist du auch rechtlich verantwortlich für alles, was sich auf deiner Webseite abspielt. Sicherlich hast du in diesem Zusammenhang schon von der 2018 eingeführten DSGVO gehört. Ein Thema, was viele meiner Kunden lange Zeit vor sich hergeschoben oder nur halbherzig in Eigenregie umgesetzt haben. Unwissenheit schützt jedoch vor Strafe nicht gerade deswegen ist es so wichtig, dass du exakt Bescheid weißt, welche rechtlichen Rahmenbedingungen für genau deine Webseite gelten.

Aber keine Sorge, das muss kein Grund zur Panik sein! In diesem Ratgeberartikel zeige ich dir, welche Maßnahmen du ergreifen musst, um deine Webseite datenschutzkonform zu gestalten (oder gestalten zu lassen) und damit rechtlich auf der sicheren Seite zu sein. Und das Beste: Wenn du es richtig machst, kannst du das Vertrauen deiner Webseiten-Besucher gewinnen und damit dein Geschäft stärken. Also lass uns gemeinsam durchstarten und zeigen, wie du mit der DSGVO umgehst!

Aber wo anfangen? Genau hier kommt meine Checkliste ins Spiel, die du Schritt für Schritt durchgehen kannst:

Über diese Checkliste

Diese Checkliste hilft dir, deine Internet-Präsenz Schritt für Schritt DSGVO tauglich zu machen. Sie erhebt keine Garantie auf Vollständigkeit und ersetzt natürlich keine Rechtsberatung.

Hosting deiner Webseite

Ist deine Website SSL-verschlüsselt und hat ein entsprechendes SSL-Zertifikat?

Ein SSL-Zertifikat gewährleistet eine sichere Verbindung zwischen dem Browser des Nutzers und deiner Webseite, indem es alle übermittelten Daten verschlüsselt. Das ist wichtig, da es sicherstellt, dass die Daten deiner Webseitenbesucher (z.B. Login-Daten, Kreditkarteninformationen, persönliche Informationen) sicher übertragen werden und nicht von Hackern gestohlen werden können.

Hast du einen Vertrag zur Auftragsdatenverarbeitung mit deinem Hosting-Anbieter?

Ein Vertrag zur Auftragsdatenverarbeitung ist notwendig, wenn der Hosting-Anbieter personenbezogene Daten im Auftrag verarbeitet.

Hast du einen Mitglieder- oder Kundenbereich, der über ein Passwort zugänglich ist?

• Falls ja, müssen die Zugangsdaten sicher und vor unbefugtem Zugriff geschützt sein.
• Die Passwörter sollten verschlüsselt gespeichert werden, um einen unbefugten Zugriff zu verhindern.

Ist der Administrationsbereich (Backend) deiner Website durch ein Passwort geschützt und ist dieses Passwort sicher?

Das Backend deiner Website sollte durch ein starkes und einzigartiges Passwort geschützt sein (welches du am besten regelmäßig änderst), um unerwünschten Zugriff zu vermeiden.

Als WordPress Nutzer kannst du mit dem Limit Logins Attempt Plugin einstellen, dass nach ein paar fehlgeschlagenen Anmelde-Versuchen die Anmeldung für eine gewisse Zeit nicht mehr möglich ist. Das beugt Hackern vor.

Hälst du deine Webseite immer auf den neuesten Stand?

Regelmäßige Sicherheitsupdates halten deine Webseite und deren Daten vor unerlaubtem Zugriff und Schaden geschützt.

Achtung: Als WordPress Nutzer solltest du sicherstellen dass sowohl dein WordPress selbst aber auch dein genutztes Theme und alle deine Plugins auf dem neuesten Stand sind. Achte zudem auch darauf, dass bei deinem Hoster die PHP Version nicht veraltet ist. Für meine Kunden stelle ich beispielsweise per Wartungsvertrag sicher, dass alles auf dem aktuellen Stand ist.

Sicherst du deine Webseite regelmäßig?

Regelmäßige Backups stellen sicher, dass im Falle von Datenverlust oder Schaden, deine Website wiederhergestellt werden kann.

Als intensiver WordPress Nutzer kann ich dir das Plugin BackWPup ans Herz legen. Mit diesem kannst du in regelmäßigen Abständen voll automatisch eine Sicherheitskopie deiner Webseite (inklusive Dateien und Daten) erstellen. Und dann wahlweise auf deinem Server oder bei Diensten wie Dropbox oder GoogleDrive speichern.

Nutzt du externe Schriftarten auf deiner Webseite zB. Google Fonts?

Ganz besonders heikel ist das Thema externe Schriften. Denn zum einen gibt es umstrittene aber dennoch konkrete Abmahnfälle zu Google Fonts. Zum anderen ist es für dich als Webseitenbetreiber nicht immer sofort ersichtlich, ob nicht doch in den untiefen des Quellcodes oder durch ein externes Plugin bei WordPress derartig Schriften geladen werden.

Nutzt du Google Maps auf deiner Webseite?

Einige meiner Kunden haben auf der “Über uns” oder “Kontakt” Seite den beliebten Kartendienst Google Maps eingebunden. Was viele aber nicht wissen: Auch hier werden Daten erfasst. Und auch das muss als Passus in die Datenschutzerklärung. Alternativ kannst du auch einen statischen Screenshot von Google Maps nutzen und gehst damit auf Nummer sicher.

Formulare

Formulare sind wohl die direkteste Art, persönliche Daten deiner Webseiten Besucher abzufragen. Hier ist es relevant, wirklich nur die notwendigsten Informationen zu speichern (weniger ist mehr). Und darüber hinaus jederzeit auskunftsfähig zu sein, wie und wo diese weiterverarbeitet werden. Außerdem ist es wichtig, dass die Datenübertragung generell über eine verschlüsselte Webseite (siehe oben) erfolgt.

Gibt es Formulare auf deiner Webseite, die personenbezogene Daten erfassen?

Gibt es direkt beim Formular (am besten in der Nähe des Absende-Buttons) einen Hinweis zum Datenschutz, wie die Daten verarbeitet werden sowie eine Einverständniserklärung des Users? Dieser Hinweis sollte direkt mit deiner Datenschutz-Seite verlinkt werden.

Achtung: Personenbezogene Daten können auch schon bei der Erfassung einer E-Mail-Adresse über ein Formular vorliegen.

Kann das Formular nur versandt werden, wenn dieser Hinweis angeklickt ist?

Eine Checkbox, die von deinem Webseiten Besucher bewusst aktiviert werden muss, stellt sicher, dass er den Datenschutzhinweis und die Einwilligungserklärung gelesen hat und damit einverstanden ist.

Hast du deine Datenschutzerklärung angepasst?

Die Datenschutzerklärung muss den Nutzer darüber informieren, welche Daten über dein Formular erhoben werden und zu welchem Zweck.

Newsletter

Wenn du Newsletter nutzt, musst du sicherstellen, dass du die personenbezogenen Daten der Empfänger auf rechtmäßige Weise verarbeitest. Dazu gehört, dass du ihre Einwilligung einholst und du sie jederzeit widerrufen lassen kannst.

Setzt du für Newsletter einen speziellen Dienstleister ein?

Es gibt viele spezielle Dienstleister, um Newsletter zu erstellen (zB. Rapidmail, Hubspot oder Cleverreach) und zu versenden. Gehe sicher, dass dieser die datenschutzrechtlichen Anforderungen erfüllt. Wenn dein Dienstleister nicht in der EU ansässig ist, musst du eine gesonderte Datenschutzvereinbarung abschließen. Um sicherzustellen, dass die Verarbeitung der personenbezogenen Daten in Übereinstimmung mit der DSGVO erfolgt.

Hast du einen Auftragsdatenverarbeitungs-Vertrag (ADV-Vertrag) mit dem Newsletter-Dienstleister geschlossen?

Ein ADV-Vertrag (Auftragsverarbeitungsvertrag) ist ein Vertrag zwischen dir als Verantwortlichem und deinem Dienstleister, der sicherstellt, dass dieser die datenschutzrechtlichen Anforderungen erfüllt. Mehr dazu im Kapitel über den ADV-Vertrag weiter unten.

Wird nach der Newsletter-Anmeldung über dein Formular eine E-Mail zur Bestätigung der E-Mail-Adresse versendet (Double Opt In)?

Das Double-Opt-In-Verfahren ist eine Methode, bei dem der Empfänger seine Anmeldung für den Newsletter nochmals bestätigen muss. Und zwar indem er eine Bestätigungsmail erhält und den Link darin klickt. Dies stellt sicher, dass die Anmeldung tatsächlich vom Inhaber der angegebenen E-Mail-Adresse stammt.

Wird auf deinem Anmeldeformular auf den Nutzen für den Anmeldenden hingewiesen?

Ich empfehle, den Nutzen für den Anmeldenden auf dem Formular zu erwähnen (zum Beispiel zum Zweck eines Gewinnspiels, für monatliche Rabattaktionen oder Unternehmensmeldungen). So ist direkt bei der Anmeldung schon klar, welche Art von Newslettern wie häufig verschickt wird.

Beinhalten deine Newsletter einen leicht erreichbaren Abmeldelink am Ende?

Deine Empfänger müssen jederzeit die Möglichkeit haben, sich in mit wenigen Klicks abmelden zu können. Dazu gibt es die Abmeldefunktionen Ende jedes Newsletters.

Analyse-Tools

Analyse Tools wie Google Analytics sind zwar sehr beliebt, um tiefgreifende Auswertungen über die Nutzung deiner Webseite zu erhalten dafür sammeln sie allerhand Daten. Mach diese Datenerhebung transparent für deine Webseiten Besucher und biete ihnen die Möglichkeit, dem zu widersprechen.

Nutzt du Analyse-Tools auf deiner Webseite, wie z.B. Google Analytics oder Matomo?

Überprüfe, ob auf deiner Webseite Analyse-Tools wie Google Analytics verwendet werden. Wenn ja, ist es notwendig sicherzustellen, dass die Verarbeitung der Nutzerdaten in Übereinstimmung mit der Datenschutz-Grundverordnung (DSGVO) erfolgt. So sind IP-Adressen deiner Besucher beispielsweise zu anonymisieren, damit kein direkter Bezug hergestellt werden kann.

Wurde ein Vertrag zur Auftragsdatenverarbeitung (ADV-Vertrag) abgeschlossen?

Wenn der Anbieter deines Analyse-Tools die Daten auf seinen eigenen Servern speichert und verarbeitet, ist wieder mal ein ADV-Vertrag Pflicht, um die Einhaltung der Datenschutzbestimmungen zu gewährleisten. Mehr dazu im Kapitel über den ADV-Vertrag weiter unten.

Werden deine Webseiten Besucher über die Verwendung von Cookies informiert?

Stelle sicher, dass deine Webseiten Besucher über die Verwendung von Cookies informiert werden, um ihrer Einwilligung zu erhalten. Dies kann durch die Verwendung eines Cookie-Banners oder einer Cookie-Richtlinie auf der Website erreicht werden.

Hast du sichergestellt, dass Nutzer anhand eines Klicks der Erfassung widersprechen können?

In die Datenschutzerklärungen gehört ein Passus, der erklärt, warum Cookies erhoben werden. Darüber hinaus muss dein Webseitenbesucher hier auch die Möglichkeit haben, dieser Erfassung zu widersprechen.

Social Media

Auch soziale Netzwerke wie beispielsweise Facebook oder Instagram können sich Daten von deiner Webseite ziehen. Zum Beispiel, wenn du die Möglichkeiten anbietest um deine Inhalte zu teilen oder bestimmte Werbefunktionen nutzt.

Bietest du Social-Media-Funktionen auf deiner Website an?

Wenn du Social-Media-Buttons (zum Beispiel eine Funktion um deine Inhalte auf Facebook oder Twitter zu teilen) auf deiner Webseite anbietest, dann garantiere dass deine Besucher über die Verwendung und Übertragung ihrer Daten an die Betreiber der Social-Media-Plattformen informiert werden.

Werden Daten an die Betreiber der Social-Media-Plattformen übermittelt?

Füge in der Datenschutzerklärung deiner Website ein Abschnitt ein, der Nutzer über die Verwendung und Übertragung ihrer Daten an die Betreiber der Social-Media-Plattformen informiert. Zudem sollte dein Webseiten Besucher die Möglichkeit haben, dieser Datenübermittlung zu widersprechen.

Ich nutze mittlerweile bei vielen Kundenprojekten einfache Links jeweils zu den sozialen Plattformen, anstatt diese mittels Plugin direkt auf der Webseite einzubinden. Zum einen kommt das deiner Ladegeschwindigkeit zugute, zum anderen gehst du hier 100% sicher, dass keine Daten nach außen übertragen werden.

Nutzt du Funktionen, um deine Inhalte auf sozialen Plattformen zu teilen?

Dann empfehle ich für WordPress das Plugin Shariff. Das ist vollkommen DSGVO konform und sendet wirklich nur Daten zu den sozialen Netzwerken, wenn der Nutzer sie klickt (und nicht schon beim bloßen Laden der Webseite).

Online-Shops

Für Online-Shops gelten nochmal besondere Regeln, denn hier gehst du nicht nur mit Kundeninformationen sondern auch hochsensiblen Zahlungsdaten um. Selbstverständlich muss deine Webseite dafür zwingend mit einem SSL Zertifikat verschlüsselt sein. Darüber hinaus gelten hier besonders stark die Punkte zur Sicherheit beim Hosting aus dem ersten Abschnitt. Ansonsten solltest du noch auf die folgenden Dinge achten:

Verwendest du für die Zahlungsabwicklung externe Dienstleister, wie zum Beispiel PayPal?

Falls ja, solltest du in deiner Datenschutzerklärung detailliert darauf eingehen und transparent darauf hinweisen, welche Daten übertragen und wo sie gespeichert werden. Vermeide es, Kreditkarteninformationen bei dir zu speichern. Nutze möglichst einen sicheren externen Dienst, um die Speicherung dieser sensiblen Informationen zu umgehen.

Setzt du für die Lieferung auf externe Versanddienstleister?

Gleiches gilt auch für den Versanddienstleister: Werden E-Mail-Adressen oder Handynummern zum Zwecke der Benachrichtigung erhoben, muss das ganz transparent ausgewiesen werden. Zudem bedarf es auch hier natürlich wieder eines ADV-Vertrages. Mehr dazu im Kapitel über den ADV-Vertrag weiter unten.

Motivierst du deine Kunden zu sorgsamen Umgang mit ihren Daten?

Du hast selbst nicht auf alles Einfluss. Beispielsweise nicht auf die Anmeldedaten, die deine Kunden für deinen Online-Shop nutzen. Aber du kannst sie motivieren und aufklären für einen sorgsamen Umgang mit diesen. Passwörter für deinen Online-Shop sollten beispielsweise eine gewisse Komplexität aus mehreren Buchstaben, Zahlen und Zeichen voraussetzen. Hilfetexte können an den richtigen Stellen sensibilisieren.

Was ist die DSGVO?

Die DSGVO (Datenschutz-Grundverordnung) ist eine EU-Verordnung, die die Datenschutzgesetze in Europa vereinheitlicht und stärkt. Sie stellt seit dem Inkrafttreten am 25. Mai 2018 sicher, dass personenbezogene Daten geschützt werden und dass du als Webseiten Betreiber transparent darüber informieren musst, wie du Daten sammelst, speicherst und verwendest.

Klar, dabei denkst du sicherlich zuerst an Formulare oder mögliche Zahlungsoptionen in deinem Online-Shop – das sind tatsächlich die offensichtlichsten Szenarien, wo du es mit sensiblen Kundendaten zu tun bekommst. Doch bereits beim Hosting deiner Webseite, beim Einsatz von Analyse-Software oder verschiedener Plugins bei WordPress musst du die DSGVO stets im Auge behalten.

Die Einhaltung hilft, das Vertrauen von Kunden und Nutzern zu gewinnen und das Risiko von Datenschutzverletzungen zu reduzieren. Verstößt du gegen die DSGVO, dann bist du abmahngefährdet und setzt dich dem Risiko hoher Bußgelder aus.

Die DSGVO gilt für alle Selbstständigen, Unternehmen und Organisationen, die personenbezogene Daten von EU-Bürgern verarbeiten, unabhängig davon, ob sie in der EU ansässig sind oder nicht. Vom Blogger bis zum Großkonzern.

Du möchtest diesen DSGVO Ratgeber in Kurzform zum schnellen Durchgehen und Abhaken? Dann lad dir diese praktische DSGVO Checkliste herunter.

Was muss in die Datenschutzerklärung?

Wie in den vorigen Abschnitten bereits mehrfach erwähnt, benötigt jede Webseite neben dem Impressum auch eine Seite mit der jederzeit einsehbaren Datenschutzerklärung. Diese ist erwartungsgemäß am unteren Ende deiner Website verlinkt und sollte stets mit ein bis zwei Klicks erreichbar sein.

Zudem raten wir, an allen Stellen wo du personenbezogenen Daten erhebst, auch einen Link zur Datenschutz-Seite anzubieten (zum Beispiel bei einem Formular).

Aber was gehört denn nun genau in eine Datenschutzerklärung? Nun ja, neben allgemeinen Informationen zur Erhebung und Speicherung der Daten, muss auch stets ein Ansprechpartner mit Kontaktmöglichkeiten genannt werden.

Die weiteren Paragraphen hängen stark davon ab, welche Dienste und Funktionen die auf deiner Webseite nutzt.

Ich empfehle den Generator von Recht 24. Mit diesen kannst du anfangs wählen, welche Dienste auf die Daten deiner Webseite zugreifen (zum Beispiel Google Analytics, YouTube oder Facebook). Im zweiten Schritt erhälst du einen angepassten Datenschutz-Text, den du nur noch kopieren musst. Für Selbstständige, Blogger und Kleinunternehmer genügt das vollkommen. Mittlere und größere Unternehmen haben natürlich ihre spezifischen Formulierungen und auch einen offiziellen Datenschutz Beauftragten.

Was ist eine Cookie Erlaubnis (Cookie Consent)?

Ein Cookie Consent ist eine Zustimmung deines Besuchers zur Verwendung von Cookies auf deiner Webseite. Als Webseitenbetreiber benötigst du diese Zustimmung, um sicherzustellen, dass du die Datenschutzbestimmungen einhältst und die Privatsphäre deiner Besucher respektierst.

Ohne eine Zustimmung zur Verwendung von Cookies verletzt du die DSGVO und riskierst eine Abmahnung oder gar Bußgelder. Daher ist es wichtig, dass du deine Besucher direkt beim Betreten deiner Webseite nach Erlaubnis fragst, Daten über sie in Cookies zu speichern. Diese Erlaubnis-Abfrage wird auch Cookie Consent bezeichnet und die kennst du sicherlich auch als kleines Fenster wenn du eine fremde Webseite aufrufst. Wichtig: Stelle sicher, dass deine Besucher ihre Zustimmung erteilen, bevor Cookies gesetzt und verwendet werden.

Tipp: für WordPress Nutzer empfehlen wir das Borlabs Cookie Plugin. Dieses fragt deine Webseiten Besucher direkt beim Betreten, ob diese mit der Cookiespeicherung einverstanden sind.

Was ist ein Vertrag zur Auftragsdatenverarbeitung?

Ein Vertrag zur Auftragsdatenverarbeitung (ADV-Vertrag) ist jeweils ein Vertrag zwischen dir und jedem deiner Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet. Das kann zum Beispiel der Hoster deiner Webseite sein, ein Analyse-Werkzeug wie Google Analytics oder ein Newsletter-Tool.

Der ADV-Vertrag legt transparent die Bedingungen fest, unter denen der Dienstleister die personenbezogenen Daten deiner Webseiten Besucher verarbeiten darf. Zugleich verpflichtet er ihn dazu, angemessene Sicherheitsmaßnahmen zu ergreifen, um den Datenschutz gewährleisten. Ein solches Regelwerk ist eine wichtige Maßnahme zur Einhaltung der DSGVO, da so eine rechtmäßige Verarbeitung der sensiblen Daten gewährleistet ist.

Für welche Dienstleister brauche ich einen ADV Vertrag?

Grundsätzlich immer wenn du Daten “nach außen” rausgibst an andere Dienstleister. Hier ist eine (nicht vollständige) Liste, um dir ein Gefühl dafür zu geben, wo überall ein ADV Vertrag ratsam ist:

• Webhoster (z.B. Strato oder AllInkl, wenn nicht auf dem eigenen Server)
• externer WordPress-Hoster (z.B. WordPress.com)
• Homepage-Baukästen (z.B. 1&1 oder WIX)
• Kundenverwaltung (CRM) Systeme (z.B. Hubspot)
• Newsletter-Tools (z.B. Getresponse)
• Online-Kurs-Plattformen / Lernplattformen (z.B. Elopage)
• CMS in der Cloud (z.B. Contentful)
• Landingpage-Software
• Tracking Dienstleister (z.B. Google Analytics oder Matomo)
• Shopsysteme
• externe Druckdienstleister
• Archivierungsdienstleister
• Aktenvernichtungsdienstleister

Wo bekomme ich einen ADV Vertrag her?

Kundenorientierte Dienstleister bieten von Haus aus Vorlagen für ADV-Verträge. Einige musst du dir ausdrucken, unterschreiben und zurück mailen. Andere wiederum kannst du gleich online ausfüllen und erhälst ein Exemplar zum speichern. Eine sehr ausführliche Liste über eine Vielzahl von Dienstleistern findest du beim Blogger-Kollegen Finn Hillebrandt.

Falls kein derartiger Vertrag angeboten wird kannst du auch auf ein standardisiertes Dokument zurückgreifen und dies entsprechend anpassen. Dafür gibts im Internet zahlreiche Vorlagen für ADV-Verträge wie zum Beispiel diese hier von ActiveMind.

Fazit

DSGVO ist gar nicht so schwer. Mit der richtigen Checkliste kannst du viele Punkte eventuell schon selbst lösen. Oder mit der Person bzw. Agentur (möglicherweise Pixxelpassion), die die Maßnahmen für dich umsetzt auf Augenhöhe sprechen.

Auf jeden Fall solltest du die rechtlichen Vorgaben ernst nehmen. Denn seitdem die DSGVO in Kraft getreten ist, gab es schon etliche Firmen und Webseiten, die sehr kostspielig abgemahnt worden sind.

Aktualisierungen dieses Artikels:

• 23.04.2023 – Erstveröffentlichung
• 09.06.2023 – ADV Abschnitt um Beispiele erweitert, DSGVO Scanner hinzugefügt

Quellen:

• https://www.e-recht24.de/muster-datenschutzerklaerung.html
• https://www.blogmojo.de/av-vertraege/
• https://www.activemind.de/datenschutz/dokumente/av-vertrag/