DSGVO auf der eigenen Website: die ehrliche Checkliste

Zwei Dinge verschaffen kleinen Websites in Deutschland tatsächlich Post vom Anwalt: Schriften, die direkt von Googles Servern geladen werden, und ein unvollständiges Impressum. Beides lässt sich beheben. Der Rest dieser Liste führt seltener zu Abmahnungen, gehört aber genauso dazu, wenn die Seite sauber laufen soll.

Die drei Pflichtteile

1. 1
   Impressum

   Seit Mai 2024 steht die Pflicht in Paragraf 5 DDG, vorher war es das TMG. Von jeder Seite in einem Klick erreichbar. Hinein gehören voller Name, ladungsfähige Anschrift (kein Postfach), E-Mail-Adresse und ein zweiter schneller Kontaktweg, bei eingetragenen Firmen die Registerdaten, bei Umsatzsteuerpflicht die Identifikationsnummer. Als echter Text, nicht als Bild.

2. 2
   Datenschutzerklärung

   Eine eigene Seite, getrennt vom Impressum, ebenfalls von überall erreichbar. Sie muss beschreiben, was Ihre Seite wirklich tut. Ein Generator-Text, der zwölf Dienste aufzählt, die Sie gar nicht einsetzen, ist schlechter als ein kurzer, der stimmt: Er beweist, dass niemand hingeschaut hat.

3. 3
   Verschlüsselte Übertragung

   https auf der ganzen Seite, http leitet dorthin weiter. Ohne Verschlüsselung ist jedes Kontaktformular angreifbar, und Browser warnen Ihre Besucher inzwischen deutlich sichtbar.

Der Klassiker, der wirklich abgemahnt wird

Google Fonts. Das Landgericht München I hat am 20. Januar 2022 entschieden (Az. 3 O 17493/20), dass die Übertragung der IP-Adresse an Google ohne Einwilligung das Persönlichkeitsrecht verletzt. Danach rollte eine Abmahnwelle. Der Grund steckt in jedem zweiten WordPress-Theme, also in der Design-Vorlage, auf der die Seite aufbaut: Schriften werden bequem von Googles Servern geladen, und damit geht bei jedem Seitenaufruf die IP-Adresse Ihres Besuchers in die USA.

Im Idealfall laden Sie die Schriftdateien herunter, legen sie auf den eigenen Server und binden sie lokal ein. Unterschätzen Sie den Aufwand aber nicht. Ich habe Seiten gehabt, bei denen die Schriften an vier verschiedenen Stellen nachgeladen wurden: im Theme selbst, in einem Baukasten-Plugin, in einem einzelnen Textmodul und noch einmal in einer Formular-Erweiterung. Jede dieser Stellen muss man erst finden. Wurden über die Jahre dazu viele verschiedene Schriften eingesetzt, ohne sie zentral zu pflegen, ist das Nacharbeiten danach Handarbeit, Seite für Seite.

Was sonst noch von fremden Servern lädt

Adobe Fonts, früher Typekit, hat dasselbe Grundproblem: Die Schriften kommen beim Seitenaufruf von Adobes Servern, die IP-Adresse geht mit. Anders als bei Google dürfen Sie die Dateien lizenzrechtlich meist nicht einfach lokal ablegen. Hier führt der Weg über eine andere Schrift oder über eine Einwilligung, bevor die Seite sie lädt. Genauso verhalten sich Symbolbibliotheken wie Font Awesome und Programmbausteine, die aus einem fremden Verteilnetz nachgeladen werden.

Google Maps ist der Fall, den ich bei regionalen Betrieben mit Abstand am häufigsten sehe: die Anfahrtskarte, fest in der Kontaktseite, ohne jede Abfrage. Die Karte lädt beim Seitenaufruf und überträgt dabei Daten an Google, auch wenn der Besucher sie nie anklickt. Zwei saubere Wege: ein Platzhalterbild, das die Karte erst nach einem Klick nachlädt, oder ein statisches Bild der Umgebung mit einem Link zur Kartenanwendung. Der zweite Weg ist der einfachere, und für eine Anfahrtsbeschreibung reicht er fast immer.

Dieselbe Regel gilt für YouTube- und Vimeo-Videos, Bewertungs-Widgets und Social-Media-Feeds. Die einfachste Variante: Platzhalter, der erst auf Klick lädt, oder weglassen. Nebenbei wird die Seite dadurch spürbar schneller. Alternativ benötigt die Website sonst ein Cookie Consent Tool, das die Einwilligung noch vor dem Laden einholt.

Brauche ich einen Cookie-Banner?

Einen brauchen Sie, wenn Ihre Seite etwas im Browser des Besuchers speichert oder ausliest, das für den Betrieb nicht nötig ist. Dazu zählen Reichweitenmessung, Werbepixel und eingebettete Karten, Videos oder Social-Media-Inhalte. Nicht dazu zählen ein Kontaktformular, der Warenkorb eines Shops oder die gespeicherte Spracheinstellung. Geregelt ist das in Paragraf 25 TDDDG.

Viele kleine Unternehmensseiten brauchen überhaupt keinen. Wer die Karte als Platzhalter einbindet, die Schriften lokal legt und auf Google Analytics verzichtet, spart sich den Banner und gewinnt dazu Ladezeit. Ein Banner auf einer Seite ohne Tracking ist Deko, die Besucher wegklicken müssen, bevor sie Ihr Angebot sehen.

Google Analytics, und was besser funktioniert

Google Analytics setzt Cookies und überträgt Daten an Google. Es darf deshalb erst laden, wenn der Besucher zugestimmt hat. Nicht vorher, auch nicht nur zum Zählen.

Damit ist die Messung aber kaum noch brauchbar. Ein großer Teil der Besucher klickt auf Ablehnen oder schließt das Fenster, und diese Besuche tauchen in der Statistik überhaupt nicht auf. Sie entscheiden dann auf Basis einer Teilmenge, von der Sie nicht einmal wissen, wie groß sie ist. Wer schon einmal Analytics-Zahlen mit den Server-Protokollen verglichen hat, kennt den Schreck.

Es gibt Messwerkzeuge, die ohne Cookies arbeiten, keine Daten in Drittländer schicken und auf dem eigenen Server laufen. Weil dabei nichts auf dem Gerät des Besuchers gespeichert oder ausgelesen wird, ist in aller Regel keine Einwilligung nötig, und damit entfällt der Banner. Was bleibt, ist ein Widerspruchsrecht: ein Hinweis in der Datenschutzerklärung und eine Möglichkeit, die Messung abzuschalten. Der Gewinn ist doppelt. Keine Abfrage, die Besucher vertreibt, und Sie sehen wieder alle Zugriffe statt nur die der Zustimmenden.

Das Kontaktformular

• Nur abfragen, was Sie brauchen. Jedes Pflichtfeld muss begründbar sein. Eine Telefonnummer als Pflichtangabe bei einer schriftlichen Anfrage ist es nicht.
• Eine Checkbox mit Verweis auf die Datenschutzerklärung. Nicht vorangekreuzt.
• Wohin läuft die Nachricht? Wenn ein Formular-Dienst dazwischenhängt, ist das ein Auftragsverarbeiter und gehört in die Datenschutzerklärung.
• Wie lange bleiben die Daten liegen? Anfragen, aus denen nichts geworden ist, nach einer festgelegten Frist löschen. Ein voller Posteingang von 2019 ist auch ein Datenbestand.

Die Verträge, die fast niemand hat

Jeder, der in Ihrem Auftrag personenbezogene Daten verarbeitet, braucht einen Vertrag zur Auftragsverarbeitung mit Ihnen: Hoster, Mailanbieter, Newsletter-Werkzeug, Formular-Dienst, Terminbuchung, Cloud-Speicher. Die Anbieter halten das als fertiges Dokument bereit, bei vielen genügt ein Klick im Kundenkonto. Das ist wenig Arbeit und der am häufigsten übersehene Punkt überhaupt, weil man ihn auf der Website nicht sieht.

Newsletter

Anmeldung, Bestätigungsmail, erst nach dem Klick in den Verteiler. Diesen doppelten Bestätigungsweg muss Ihr Werkzeug protokollieren, mit Zeitpunkt. Adressen von Visitenkarten oder aus alten Angeboten einfach einzutragen, ist unzulässig. Dass es viele machen, ändert daran nichts.

Die Liste zum Abhaken

• Impressum vollständig und von jeder Seite in einem Klick erreichbar
• Datenschutzerklärung vorhanden, aktuell und passend zu dem, was die Seite tut
• https erzwungen, http leitet weiter
• Keine Schriften von Google oder Adobe, keine Symbole und Skripte von fremden Servern
• Google Maps nur als Platzhalter oder als statisches Bild mit Link
• Videos, Bewertungs-Widgets und Social-Feeds laden erst auf Klick
• Reichweitenmessung entweder cookielos und selbst gehostet, oder erst nach Einwilligung
• Cookie-Banner nur, wenn nötig, und dann mit gleichwertigem Ablehnen
• Nichts lädt vor der Einwilligung
• Formular schlank, mit Checkbox und ohne unnötige Pflichtfelder
• Verträge zur Auftragsverarbeitung mit Hoster, Mail- und Newsletter-Anbieter
• Newsletter mit doppelter Bestätigung und gespeichertem Nachweis

Selbst machen, Baukasten oder Dienstleister?

Beim Durchlesen dieser Liste entsteht leicht der Eindruck, das sei alles hochkompliziert. Wer es zum ersten Mal macht, für den ist es das auch. Die übliche Reaktion ist dann entweder, es eben selbst zu machen, oder ein Baukasten, bei dem angeblich schon alles eingebaut ist.

Beides geht oft schief. Viele Baukästen kommen aus den USA und sind nicht für den deutschsprachigen Raum gebaut: Schriften und Skripte laden von fremden Servern, die Einwilligungsabfrage ist nachträglich daraufgesetzt und hält die Dienste trotzdem nicht zurück, ein Vertrag zur Auftragsverarbeitung ist vielleicht gar nicht vorgesehen oder nur auf Englisch auffindbar. Sie merken davon nichts, weil die Seite gut aussieht.

Ein Dienstleister, der Websites baut, kann und berücksichtigt das alles. Fragen Sie trotzdem nach, bevor Sie beauftragen: Wo liegen die Schriften? Was lädt beim Seitenaufruf von fremden Servern? Wie ist die Karte eingebunden? Gibt es einen Vertrag zur Auftragsverarbeitung mit dem Hoster? Wer darauf eine klare Antwort gibt, hat es im Griff. Wer ausweicht, baut Ihnen das Problem mit ein, und geradestehen müssen am Ende bei einer Abmahnung Sie.

Wie ich das halte

Meine Websites erfüllen bei der Übergabe selbstverständlich die geltenden Vorgaben. Schriften liegen lokal, es läuft kein Tracker ohne Ihren Auftrag, Karten und Videos bekommen einen Platzhalter, Formulare fragen nur das Nötige ab, Impressum und Datenschutz sind von jeder Seite erreichbar, https ist erzwungen. Den Text der Datenschutzerklärung liefert ein Dienst wie eRecht24 oder Ihr Anwalt, ich baue ihn ein und sorge dafür, dass er zu dem passt, was die Seite tatsächlich tut.

Das Recht steht nicht still. Ändert sich etwas Wesentliches, melde ich mich bei meinen Kunden im Betriebs-Paket und sage, was zu tun ist. Die Anpassung mache ich dann schnell und unkompliziert. Kommt eine neue Anforderung dazu, bin ich dafür Ihr Ansprechpartner, auch wenn Ihre Seite schon Jahre läuft.