Auch nach über einem Jahr Gültigkeit entsprechen längst noch nicht alle Websites der DSGVO. Über die Tatsache, dass Fehler in der Datenschutzerklärung, ein unzureichendes Impressum oder unverschlüsselte Formulare aber eine Abmahngefahr darstellen, wissen nur die Wenigsten Bescheid. Auch, dass Unternehmen durch solche Fahrlässigkeit empfindliche Strafen drohen, hat sich noch nicht ausreichend herumgesprochen. Doch gerade für KMUs können die teils sehr hohen Bußgelder schnell existenzbedrohend werden.
5 Stolpersteine auf dem Weg zur datenschutzkonformen Website
Auf Websites von Unternehmen sind oftmals wiederkehrende Fehlerquellen auszumachen. Diese beziehen sich insbesondere auf folgende Punkte:
- Social-Share-Buttons
Wer auf der eigenen Website Social-Share-Buttons verwendet, sollte vorsichtig sein. Denn diese Buttons geben oftmals automatisiert Nutzerdaten von Website-Besuchern an die entsprechenden Sozialen Netzwerke weiter, auch wenn der Besucher überhaupt nicht auf diesem Netzwerk eingeloggt oder angemeldet ist. Deswegen sollten diese Buttons entweder inaktiv oder mittels sog. Shariff-Buttons eingebunden werden (als HTML-Link).
- Unvollständige Formulare
Websites, die Formulare zur Kontaktübertragung für den Websitebesucher anbieten, müssen nach der DSGVO mehrere Kriterien einhalten: Es dürfen nur die notwendigen Daten erhoben werden (Datenminimierung), die Daten müssen verschlüsselt übertragen werden (Vertraulichkeit) und die Integrität muss gewahrt werden (die Sicherheit der übermittelten personenbezogenen Daten muss zu jeder Zeit sichergestellt sein). Im Zuge der Überprüfung von Formularen bietet es sich zudem an, die Website-Verschlüsselung zu überprüfen: Ist sie auf dem neuesten technischen Stand?
- Verschlüsselte Datenübertragung
Werden auf Websites personenbezogene Daten übertragen, muss eine entsprechende Verschlüsselung gewährleistet werden. Eine Website ist nach momentanem Stand dann sicher verschlüsselt, wenn sie ein SSL-Zertifikat (Secure-Sockets-Layer) oder ein TLS-Zertifikat (Transport-Layer-Security) besitzt, welche auf dem Server installiert werden. Ist dies erfüllt, läuft die Seite mit dem sicheren Kommunikationsprotokoll HTTPS. Übrigens ist eine sichere Website-Verschlüsselung nicht nur im Sinne des Datenschutzes sinnvoll, sondern stuft die Website auch beim Suchmaschinen-Ranking höher ein.
- Aktualisierte Cookie-Banner
Es gibt immer noch Websites, die keine Cookie-Banner haben. Andere hingegen haben zwar welche, diese sind aber unvollständig oder fehlerhaft. Spätestens jetzt, nach einem neuen EuGH-Urteil (10/19) sollte gehandelt werden, denn die Richtlinien für Cookies wurden deutlich verschärft. Abgesehen von sog. erforderlichen Cookies, die technisch notwendig sind, um eine Website fehlerfrei laufen zu lassen, muss ein Websitebesucher alle anderen Cookies (wie Präferenz-Cookies, Statistik-Cookies und Marketing-Cookies) nicht mehr akzeptieren. Eine automatische Einwilligung für die Akzeptanz von Cookies darf übrigens nicht gesetzt sein; der User muss hier selbst rechtswirksam in die Verwendung nicht-notwendiger Cookies einstimmen.
- Vollständige Datenschutzerklärung
Eine Datenschutzerklärung muss von jeder Unterseite der Website aus erreichbar sein, den Namen und die Kontaktdaten des Verantwortlichen enthalten und darauf verweisen, welche personenbezogenen Daten zu welchem Zweck erhoben, verarbeitet und gespeichert werden. Doch es gibt noch mehr: Ein sehr häufiger Fehler ist beispielsweise der Einsatz von Trackingtools wie Google Analytics, auf den in der Datenschutzerklärung nicht verwiesen wird. Wem es zu mühsam ist, alle Vorgaben der DSGVO hinsichtlich seiner Datenschutzerklärung umzusetzen, kann sich eine solche, angepasst an die eigene Branche, beispielsweise von juristisch versierten Generatoren automatisch erstellen lassen.
Hilfe durch DSGVO-Website-Check
Unternehmen, die auf Nummer sicher gehen wollen, dass sie eine DSGVO-konforme Website haben, lassen diese zusätzlich automatisch überprüfen. Dazu gibt es eine Reihe von Online-Tools für Website-Checks, mit denen potenzielle Schwachpunkte wie Verschlüsselung, Formulare, das Trackingverhalten und die Datenschutzerklärung getestet werden können.
Schließlich werden nur mit einer datenschutzkonformen Website die Rechte der Nutzer gewahrt, und Unternehmen können sich sicher sein, dass sie nicht aus Unwissenheit eine grobe – und womöglich kostspielige – Datenschutzverletzung begehen.
