DSGVO für kleine Websites: die praktische Liste

Die DSGVO wird entweder als bedrohlich oder als ignorierbar behandelt. Für eine normale Unternehmenswebsite ist sie überwiegend eine kurze Liste. Das hier ist die Struktur; die verbindliche Beurteilung Ihres Falls kommt von einer Rechtsberatung.

Das Minimum

• Eine Datenschutzerklärung, die nennt: wer verantwortlich ist, welche Daten erhoben werden, wozu, auf welcher Rechtsgrundlage, wie lange sie gespeichert werden, wer sie sonst noch sieht und welche Rechte Betroffene haben. Von jeder Seite erreichbar.
• Eine Rechtsgrundlage je Verarbeitung. Ein Kontaktformular stützt sich meist auf berechtigtes Interesse oder vorvertragliche Maßnahmen; ein Newsletter braucht Einwilligung; Analyse-Werkzeuge brauchen in der EU Einwilligung.
• Echte Einwilligung, wo Einwilligung die Grundlage ist: nicht vorangekreuzt, spezifisch, widerrufbar — und protokolliert.
• Datenminimierung. Erheben Sie keine Telefonnummer, die Sie nie anrufen.
• Auftragsverarbeitungsverträge mit allen, die Daten für Sie verarbeiten — Hoster, Mailanbieter, Analysewerkzeug. Meist ein Formular auf deren Website.
• Verzeichnis von Verarbeitungstätigkeiten. Auch kleine Unternehmen brauchen es in aller Regel; es ist ein Dokument, kein Projekt.
• Verschlüsselung in der Übertragung. HTTPS überall — das haben Sie ohnehin.

Die drei häufigsten Fehler

1. Schriften von Google geladen. Eine Schrift von einem fremden Server überträgt die IP-Adresse des Besuchers, bevor irgendeine Einwilligung vorliegt. Deutsche Gerichte haben dafür Schadensersatz zugesprochen. Schriften selbst hosten — schneller ist es außerdem.
2. Analytics feuert vor der Einwilligung. Wenn das Skript lädt, während das Banner erscheint, ist das Banner Dekoration.
3. Formulardaten unbegrenzt aufbewahrt. Legen Sie eine Löschfrist fest und löschen Sie tatsächlich. „Wir behalten alles" ist keine Regelung.

Einbettungen sind das stille Risiko

Ein YouTube-Video, eine Google-Karte, ein Social-Feed, ein Chat-Widget — jedes kontaktiert beim Laden einen Dritten. Nutzen Sie für alle die Zwei-Klick-Lösung. Das löst das rechtliche Problem und beschleunigt die Seite.

Wenn etwas passiert

Eine Verletzung des Schutzes personenbezogener Daten ist grundsätzlich innerhalb von 72 Stunden nach Kenntnis der Aufsichtsbehörde zu melden, bei hohem Risiko zusätzlich den Betroffenen. Legen Sie heute fest, wer diese Entscheidung trifft — die Frist ist kurz und beginnt ohne Vorwarnung.