Rechtssichere Webseiten mit dem DSGVO-Website-Check

Kategorien: Allgemein und Datenschutz

Auf jeder Webseite werden personenbezogene Daten verarbeitet. Der Grund sind Cookies und IP-Adressen, die laut EuGH als personenbezogene Daten gelten. Um Webseiten abzusichern, müssen alle Unterseiten, Cookies und Datentransfers analysiert, Einwilligungen abgefragt und die Datenschutztexte vorhanden sein. Was einem Menschen für die Compliance kaum möglich ist, schafft ein automatisierter Check.

Einleitung

Webseiten müssen zahlreiche Datenschutzvorschriften erfüllen, auch wenn es sich nicht um Online-Shops handelt. Dies gilt für alle öffentlich zugänglichen Websites. Eine rein private Webseite gibt es so gut wie nie (diese dürfte nur sichtbar sein, nachdem ein Nutzer sich per Login-Dialog angemeldet hat).

Vor allem ist das Einbinden von Plugins und Tools kritisch. Denn dabei wird die personenbezogene Netzwerkadresse (IP-Adresse) des Website-Besuchers zu Dritten übertragen. Weiterhin werden beim Verwenden von Plugins häufig Cookies transferiert und auf dem Endgerät des Nutzers abgelegt.

Typischerweise brauchen Webseiten eine Einwilligungsabfrage, auch als Consent bezeichnet. Und zwar nicht etwa, weil dies Vorschrift wäre, sondern weil Webseiten häufig unnötig unsicher ausgestaltet sind.

Datenschutz-Vorschriften für Webseiten

Grundsätzlich gelten aufgrund der DSGVO (seit dem 25.05.2018) einige Vorschriften, die auch für Webseiten relevant sind und eingehalten werden müssen. Dazu gehören:

• Datenschutzhinweise: Diese müssen von JEDER Unterseite einer Homepage aus erreichbar sein, mit maximal zwei Klicks. Die Verlinkung darf nicht von einem Popup verdeckt sein.
• Rechtsgrundlage für Datenverarbeitung: Ohne Plugins und ohne Homepage-Baukasten ist es einfach: Ihre Website benötigt kein Cookie Popup. Hier gilt das sogenannte berechtigte Interesse (Art. 6 Abs. 1 lit. f DSGVO). Sobald Sie aber Plugins von Dritten nutzen, müssen Sie (meistens) eine Einwilligung abfragen. Auch wenn Sie selbst Marketing-Cookies nutzen, ist die Cookie Box erforderlich.
• Einwilligungsabfrage: Sofern erforderlich, muss sie angezeigt werden, bevor einwilligungspflichtige Datenvorgänge stattfinden. Auch der Google Tag Manager darf erst nach Einwilligung geladen werden.
• Impressum: Zwar kein Datenschutzthema, aber für jede Website wichtig. Muss ebenfalls mit maximal zwei Klicks von jeder Web Page aus erreichbar sein. Im Impressum werden häufig Fehler gemacht. Beispielsweise wird der redaktionell Verantwortliche nicht oder falsch erwähnt, oder es wird eine Steuernummer statt der Umsatzsteuer-ID angegeben.

Die Praxis zeigt, dass die Einwilligungsabfrage (User Consent) so gut wie immer falsch gestaltet ist. Auch fehlen häufig Datenschutztexte oder sind falsch. Die Einwilligung wird oft nicht richtig oder zu spät eingeholt.

Auch der Widerruf einer zuvor erteilten Einwilligung funktioniert oft nicht oder nicht richtig.

Die Folge ist eine rechtswidrige Webseite. Die Folgen können sein:

• Beschwerde durch Besucher bei der Datenschutzaufsicht, die den Beschwerden nachgehen muss.
• Abmahnung durch einen Wettbewerber (UWG)
• Abmahnung durch eine Privatperson
• Unnötige Auskunftsgesuche (Art. 12 DSGVO), die meist nicht oder nur unter größten Mühen innerhalb der Monatsfrist erteilt werden können. Zudem muss bewiesen werden, dass eine „unverzügliche“ Auskunft, wie sie die DSGVO fordert, nicht möglich war, falls die Auskunft verspätet erteilt wird.

Mit dem Website-Check können derartige Probleme vermieden werden. Uns unterscheidet von anderen Anbietern wie Comply (Meilenstein) aus Hamburg, dass wir bereits vor der DSGVO unsere Website-Checks im Angebot hatten und immer noch auf dem Markt sind und unseren Kunden die gebuchte Leistung erbringen. Wir verzeichnen zahlreiche langjährige Kunden, die wir kontinuierlich betreuen dürfen.

Kurz etwas zur Funktionsweise der Webseiten-Checks.

Website-Check: Funktionsweise

Der Website-Scanner geht wie folgt vor:

1. Sie geben die Adresse Ihrer Webseite ein (URL)
2. Der Scanner ruft nun die Startseite ab
3. Der Scanner ermittelt die internen Seiten der Website
4. Der Scanner ruft alle ermittelten Seiten ab, so als hätte ein Mensch sie abgerufen
5. Dabei werden die geladenen Plugins und Cookies ermittelt
6. Ein Datenschutzbericht wird erstellt

Der Datenschutzbericht enthält alle Befunde, gefundenen Probleme auf der Webseite sowie Lösungsvorschläge für häufige Probleme. Beispielsweise kann oft auf Google Maps und YouTube Videos verzichtet werden, weil es bessere Alternativen gibt. Diese Alternativen machen den Datenschutz einfacher, weil sie keine Einwilligung abfragen müssen.

Aus Marketing-Sicht ist es besser, wenn der Besucher einer Webseite sofort die Karte oder das Video sieht, anstatt auf einen Button klicken zu müssen, um eine (meist rechtswidrige) Einwilligungsabfrage zu bestätigen.

Hier ein paar Auszüge aus einem repräsentativen Datenschutzbericht:

Direkt am Anfang folgt ein Gesamtbefund und eine Liste von Indikatoren, die den Befund ergaben:

Die wichtigen Cookies sowie erkannte Tracking Tools und sonstige relevante Tools werden erkannt und berücksichtigt. Auch das SSL-Zertifikat wird geprüft – es ist für Webseiten heutzutage Standard und bei Kontaktformularen sogar Vorschrift.

Auf einen Blick sind die DSGVO-relevanten Punkte aufgeführt. Der Bericht kann ausgedruckt oder als PDF heruntergeladen werden. Das PDF nutzen viele, um es zu ihren Unterlagen zu legen, falls mal eine Datenschutzprüfung erfolgt.

Die Handlungsanweisungen zeigen kompakt, wo die offenen Punkte liegen.

Im Bericht sind weiter unten die konkreten Handlungsschritte aufgeführt. Bei häufigen Problemen wird sogar eine konkrete, empfohlene Lösung mitgeliefert.

Der Website-Check erkennt Seiten mit Datenschutzhinweisen, das Impressum sowie Kontaktformulare und auch Spezialseiten (etwa Login-Seiten bei WordPress oder Typo3).

Der Website-Scanner listet alle gefundenen Tools & Plugins auf. Häufig kommt es vor, dass beispielsweise Faebook Connect ohne Einwilligung geladen wird, weil das Consent Tool (CMP) nicht richtig funktioniert.

Manchmal gibt es auch Sonderseiten (etwa 404), wo Google Ads eingebunden ist, ohne dass es der Webseitenbetreiber weiß. Beispielsweise passiert dies öfters im Rahmen des Sedo-Domain Parking, und zwar auch bei Webseiten, die mit Ihren Inhalten gefüllt sind!

Oft werden Cookies ohne Einwilligung geladen. Das erkennt der Scanner. Die DSGVO erlaubt zwar die Rechtsgrundlage „berechtigtes Interesse“, aber nicht für Cookies. Hier gilt der § 25 TDDDG als lex specialis zur DSGVO. Cookies benötigen immer eine Einwilligung, außer sie sind erforderlich, damit eine Webseite dargestellt werden kann. Für Spracheinstellungen (Deutsch/Englisch etwa) könnte ein Cookie ohne Einwilligung genutzt werden, nicht aber für Marketing-Zwecke (Google Ads o.ä.).

Auch der Google Consent Mode ist weder rechtssicher noch aus Marketing-Sicht zu empfehlen. Mit dem Datenschutzbericht können derartige Probleme erkannt und behoben werden.

Im Beispielbericht sind zahlreiche weitere Hilfestellungen genannt, die in den echten Berichten auch genannt werden. Jeder Datenschutzbericht wird individuell für die gescannte Webseite erstellt.

Enthalten sind auch Datenschutztexte, die Sie für Ihre Datenschutzerklärung verwenden können.

Verwenden Sie auf Ihrer Webseite lieber den Begriff „Datenschutzhinweise“ statt „Datenschutzerklärung“.

So vermeiden Sie den Anschein von AGB (für die das strenge AGB_Recht gilt).

Wo gibt es die Scans und Datenschutzberichte?

Der Website-Check ist ab 15 Euro hier erhältlich:

Direkt nach der Bezahlung (online oder auf Rechnung) wird der Scan gestartet. Das dauert je nach Webseite und Auslastung des Scanners üblicherweise ein paar Minuten.

Nach dem Scan erhalten Sie per Mail einen Link auf den individuellen Datenschutzbericht.

Im Bericht sind die Befunde und Maßnahmen zur Absicherung Ihrer Webseite genannt.

Datenschutzbeauftragte, Agenturen oder Verbände nutzen häufig die Volumentarife, um mehr als eine Webseite zu checken.

Problem gelöst: Was ein Mensch nicht kann, macht der Website-Check. Er läuft übrigens ohne KI ab. Denn die Analyse von Datenverarbeitungen, Cookies und Plugins funktioniert zuverlässig ohne KI.

Statt Stunden Quelltexte und Netzwerkanalysen zu wälzen reicht ein Knopfdruck, um einen hilfreichen Report zur Webseite zu erhalten. Er hilft, die Webseite rechtssicher zu gestalten und Datenschutzvorschriften zu erfüllen.