DSGVO-Checkliste für kleine Websites

Die meisten Betreiber kleiner Websites wissen zwei Dinge über die DSGVO: dass es sie gibt und dass die Bußgelder hoch sind. Selten gesagt wird, dass die Umsetzung für eine typische Firmenseite — Präsentation, Kontaktformular, etwas Statistik — die Arbeit eines Nachmittags ist.

Gilt die DSGVO für Sie

Sie gilt, sobald Sie personenbezogene Daten von Personen in der EU verarbeiten. Dazu zählen Name, E-Mail und Telefonnummer, aber auch IP-Adressen und Cookie-Kennungen. Praktisch heißt das: Wenn Sie ein Kontaktformular oder ein Analysewerkzeug einsetzen, gilt sie für Sie.

Sechs Dinge, die Ihre Website haben muss

• Eine Datenschutzerklärung auf einer eigenen Seite, aus der Fußzeile verlinkt. Sie muss nennen: welche Daten Sie erheben, wozu, wie lange Sie sie speichern, an wen Sie sie weitergeben und wie eine Löschung verlangt wird.
• Eine Rechtsgrundlage je Verarbeitung. Beim Kontaktformular ist das meist das berechtigte Interesse oder die Vertragsanbahnung — eine Einwilligung brauchen Sie dafür nicht. Für den Newsletter brauchen Sie eine ausdrückliche Einwilligung.
• Ein Cookie-Banner, das tatsächlich blockiert. Das ist der häufigste Fehler: Das Banner erscheint, aber Analytics wurde bereits geladen, bevor der Besucher irgendetwas angeklickt hat. Analyse- und Marketingskripte dürfen erst nach der Einwilligung starten.
• Ablehnen so einfach wie Zustimmen. Die Schaltfläche „Alle ablehnen" muss gleich sichtbar sein wie „Alle akzeptieren". Versteckt unter „Einstellungen" ist nicht zulässig.
• Keine vorangekreuzten Kästchen. Ein Newsletter-Häkchen im Kontaktformular muss leer beginnen, und diese Einwilligung muss vom Absenden getrennt sein.
• HTTPS. Unverschlüsselt übertragene personenbezogene Daten sind für sich genommen ein Verstoß. SSL ist heute kostenlos und in jedem unserer Pakete enthalten.

Verarbeitungsverzeichnis und Auftragsverarbeitung

Unternehmen mit weniger als 250 Beschäftigten sind weitgehend von einem vollständigen Verzeichnis befreit, eine einseitige Tabelle lohnt sich dennoch: welche Daten, wo gespeichert, wie lange. Mit jedem externen Dienst, der Nutzerdaten berührt — Hosting, Mailanbieter, CRM — brauchen Sie einen Auftragsverarbeitungsvertrag. Seriöse Anbieter halten ihn unterschriftsbereit oder im Kundenbereich zur Annahme bereit.

Wo die Daten physisch liegen

Eine Übermittlung außerhalb der EU ist nicht verboten, verlangt aber eine zusätzliche Rechtsgrundlage. Am einfachsten ist ein Server in der EU oder in einem Land mit Angemessenheitsbeschluss. Wenn Sie Hosting auswählen, ist der Serverstandort eine Frage, die Sie vor dem Kauf stellen sollten.

Fristen, die Sie kennen sollten

• 30 Tage für die Antwort auf einen Betroffenenantrag (Auskunft, Berichtigung, Löschung).
• 72 Stunden für die Meldung einer schwerwiegenden Datenpanne an die Aufsichtsbehörde.
• Löschen, wenn der Zweck entfällt — fünf Jahre alte Formularnachrichten haben im Postfach keine Grundlage mehr.

Eine schnelle Prüfung für heute

Öffnen Sie Ihre Seite im privaten Fenster mit den Entwicklertools im Tab „Netzwerk". Sehen Sie nach, ob google-analytics oder ein Facebook-Pixel lädt, bevor Sie im Banner etwas anklicken. Falls ja, haben Sie eine halbe Stunde Arbeit vor sich. Das ist in der Praxis der häufigste und am leichtesten erkennbare Verstoß.