Wissen · Websites
Datenschutz auf Websites
Eine Website verarbeitet häufig schon beim ersten Aufruf personenbezogene Daten – auch wenn kein Kontaktformular ausgefüllt und kein Konto eröffnet wird.
Was beim Seitenaufruf geschieht
Damit ein Webserver eine Seite ausliefern kann, erhält er technisch erforderliche Verbindungsdaten. Dazu gehört regelmäßig die IP-Adresse. Server können außerdem Zeitpunkt, aufgerufene Adresse, Browserangaben, Statuscode und weitere Informationen protokollieren. Umfang, Zweck und Speicherdauer dieser Protokolle müssen zur tatsächlichen Konfiguration passen.
Externe Verbindungen
Schriftarten, Analysewerkzeuge, Videos, Karten, Social-Media-Elemente, Werbenetzwerke und Content Delivery Networks können beim Seitenaufruf direkte Verbindungen zu weiteren Anbietern auslösen. Dabei können personenbezogene Daten übertragen werden, bevor ein Besucher bewusst mit dem eingebetteten Inhalt interagiert.
Vor jeder Einbindung sollte deshalb geprüft werden, ob der Dienst wirklich erforderlich ist, welche Daten fließen, wo sie verarbeitet werden und auf welcher Grundlage die Verarbeitung erfolgt. Häufig existiert eine lokal eingebundene oder datensparsamere Alternative.
Cookies und andere Browserspeicher
Neben Cookies können Websites beispielsweise Local Storage, Session Storage, IndexedDB oder vergleichbare Techniken verwenden. Entscheidend ist nicht die Bezeichnung der Technik, sondern ob Informationen in der Endeinrichtung gespeichert oder daraus ausgelesen werden und ob dies technisch unbedingt erforderlich ist.
Kontaktformulare
Ein Formular verarbeitet die eingegebenen Angaben und benötigt außerdem einen sicheren Transport, eine definierte Zuständigkeit, angemessene Löschregeln und einen wirksamen Schutz gegen Missbrauch. Externe Captcha- oder Spam-Dienste können zusätzliche Datenverarbeitungen verursachen.
Ein Banner löst nicht jedes Problem
Eine Einwilligungsabfrage kann erforderlich sein, legitimiert aber nicht automatisch jede technische Einbindung. Unnötige Dienste sollten zunächst entfernt oder datensparsam gestaltet werden. Erst danach lässt sich beurteilen, ob und wofür eine Einwilligung benötigt wird.
Dokumentation und tatsächliches Verhalten müssen übereinstimmen
Eine Datenschutzerklärung darf nicht nur aus einem allgemeinen Muster bestehen. Sie muss verständlich beschreiben, was die konkrete Website tatsächlich verarbeitet. Änderungen an Plugins, Hosting, Formularen oder externen Diensten sollten deshalb immer auch eine erneute Datenschutzprüfung auslösen.
§ 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen (externe Website)
Ob eine konkrete Verarbeitung zulässig ist oder eine Einwilligung erfordert, muss anhand der tatsächlichen technischen Umsetzung geprüft werden.