Seit Inkrafttreten der Datenschutz-Grundverordnung im Mai 2018 sind Website-Betreiber verpflichtet, strenge datenschutzrechtliche Vorgaben einzuhalten. Die DSGVO Anforderungen für Websites sind komplex und betreffen nahezu jeden Aspekt der Online-Präsenz – von der Datenschutzerklärung über Cookie-Banner bis hin zu technischen Sicherheitsmaßnahmen. Dieser Artikel gibt Ihnen einen fundierten Überblick über alle wesentlichen Pflichten, die Sie als Website-Betreiber kennen und umsetzen müssen.
Die DSGVO stellt Website-Betreiber vor eine Reihe von Grundanforderungen, die unabhängig von der Größe oder Art der Website gelten. Im Kern geht es darum, personenbezogene Daten rechtmäßig, transparent und zweckgebunden zu verarbeiten.
Jede Website, die personenbezogene Daten verarbeitet, benötigt eine vollständige und verständliche Datenschutzerklärung. Diese muss folgende Informationen enthalten:
Die Datenschutzerklärung muss von jeder Seite Ihrer Website aus mit maximal zwei Klicks erreichbar sein. Typischerweise wird sie im Footer verlinkt.
Neben den DSGVO-spezifischen Anforderungen gilt für geschäftsmäßige Websites auch die Impressumspflicht nach § 5 TMG. Diese ist zwar keine DSGVO-Anforderung im engeren Sinne, gehört aber zu den rechtlichen Grundpflichten jeder professionellen Website.
Die Datenschutz-Grundverordnung verlangt nicht nur formale Erklärungen, sondern auch konkrete technische Maßnahmen zum Schutz personenbezogener Daten.
Eine verschlüsselte HTTPS-Verbindung ist heute Pflicht für jede Website, die personenbezogene Daten verarbeitet. Dies gilt insbesondere für Kontaktformulare, Newsletter-Anmeldungen oder Online-Shops. Die SSL-Verschlüsselung schützt die Datenübertragung zwischen Browser und Server vor unbefugtem Zugriff.
Art. 32 DSGVO verpflichtet Website-Betreiber zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen (TOM). Dazu gehören:
Eine der praktisch wichtigsten DSGVO Anforderungen für Websites betrifft den Einsatz von Cookies und anderen Tracking-Technologien. Seit dem "Planet49"-Urteil des EuGH ist klar: Für nicht technisch notwendige Cookies ist eine aktive Einwilligung erforderlich.
Ein DSGVO-konformer Cookie-Banner muss folgende Kriterien erfüllen:
Die technische Umsetzung erfordert, dass Scripts erst nach erteilter Einwilligung geladen werden. Viele Website-Betreiber unterschätzen diese Anforderung und setzen Cookies bereits vor der Einwilligung – ein häufiger Abmahngrund.
Website-Analyse gehört zu den Bereichen mit den höchsten Datenschutzrisiken. Tools wie Google Analytics, Facebook Pixel oder Matomo verarbeiten umfangreiche Nutzerdaten und müssen entsprechend sorgfältig implementiert werden.
Wenn Sie Tracking-Tools auf Ihrer Website einsetzen, müssen Sie mehrere DSGVO Anforderungen beachten:
Besonders kritisch ist der Einsatz von Tools mit Datenübertragung in Drittländer außerhalb der EU. Nach dem "Schrems II"-Urteil gelten hier verschärfte Anforderungen. Detaillierte Informationen zur rechtskonformen Umsetzung finden Sie in unserem Artikel über Tracking DSGVO-konform.
Viele Website-Betreiber unterschätzen die datenschutzrechtlichen Risiken bei der Einbindung externer Dienste. Jeder eingebundene Service kann personenbezogene Daten verarbeiten und erfordert entsprechende Maßnahmen.
Besonders kritisch sind folgende Dienste:
Auch bei scheinbar einfachen Funktionen wie Kontaktformularen gelten strenge DSGVO Anforderungen für Websites.
Bei jedem Kontaktformular müssen Sie:
Für Newsletter ist das Double-Opt-in-Verfahren praktisch unverzichtbar. Nach der Anmeldung erhält der Nutzer eine Bestätigungsmail mit einem Link, den er anklicken muss. Dieses Verfahren schützt vor Missbrauch und dient als Nachweis der Einwilligung.
Sobald Sie externe Dienstleister einsetzen, die in Ihrem Auftrag personenbezogene Daten verarbeiten, benötigen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Dies betrifft praktisch jeden Website-Betreiber, der externe Services nutzt.
Typische Fälle, in denen ein AVV erforderlich ist:
Die meisten professionellen Anbieter stellen standardisierte AVV-Vorlagen bereit, die Sie digital abschließen können.
Die DSGVO gewährt Nutzern umfangreiche Rechte bezüglich ihrer Daten. Als Website-Betreiber müssen Sie in der Lage sein, diese Rechte zu erfüllen:
Technisch bedeutet dies, dass Sie wissen müssen, wo welche Daten gespeichert sind und diese systematisch exportieren oder löschen können.
Die Vielzahl der DSGVO Anforderungen macht es für Website-Betreiber schwierig, den Überblick zu behalten. Eine systematische Prüfung ist daher unerlässlich.
Mit einem DSGVO Checker können Sie Ihre Website automatisiert auf häufige Datenschutzprobleme untersuchen lassen. Solche Tools identifizieren beispielsweise:
Einen praktischen Leitfaden für die manuelle Prüfung finden Sie in unserem Artikel Ist meine Website DSGVO-konform?, der Sie Schritt für Schritt durch die wichtigsten Prüfpunkte führt.
Die DSGVO verlangt nicht nur die Umsetzung von Maßnahmen, sondern auch deren Dokumentation. Als Website-Betreiber sollten Sie folgende Dokumente vorhalten:
Die Nichteinhaltung der DSGVO Anforderungen für Websites kann ernsthafte Konsequenzen haben. Datenschutzbehörden können Bußgelder von bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes verhängen – je nachdem, welcher Betrag höher ist.
Noch häufiger als behördliche Sanktionen sind jedoch Abmahnungen durch Wettbewerber oder spezialisierte Anwaltskanzleien. Typische Abmahngründe sind:
Die Kosten einer Abmahnung können schnell mehrere tausend Euro betragen – ein ausreichender Grund, die DSGVO-Konformität ernst zu nehmen.
Die DSGVO Anforderungen an Websites sind umfangreich und betreffen nahezu jeden Aspekt der Online-Präsenz. Von der rechtssicheren Datenschutzerklärung über technische Sicherheitsmaßnahmen bis hin zu Cookie-Consent-Management und der konformen Einbindung externer Dienste – Website-Betreiber müssen zahlreiche Details beachten. Eine systematische Prüfung und kontinuierliche Überwachung der Datenschutz-Konformität ist daher unverzichtbar. Nutzen Sie automatisierte Prüftools, um Schwachstellen frühzeitig zu erkennen, und bleiben Sie über aktuelle Rechtsprechung informiert. Die Investition in Datenschutz-Konformität schützt nicht nur vor Abmahnungen und Bußgeldern, sondern stärkt auch das Vertrauen Ihrer Website-Besucher.