Nahezu jede Website verarbeitet personenbezogene Daten. Für Seitenbetreiber bedeutet dies, die datenschutzrechtlichen Vorgaben der DSGVO berücksichtigen zu müssen. Da jeder Internetauftritt anders konzipiert ist, sind die notwendigen Maßnahmen individuell abzustimmen.
Aus DSGVO-Sicht ist entscheidend, wo und wie auf einem Internetauftritt die Verarbeitung von Daten mit Personenbezug erfolgt. Dies hängt wieder davon ab, welche Leistungen dem Besucher angeboten werden und welche Dienste der Seitenbetreiber im Hintergrund verwendet.
Daher führt der Weg zur Website mit angemessenem Datenschutzniveau über eine vorausgehende Analyse. Für die Durchführung einer solchen Analyse ist es notwendig, alle relevanten Datenschutzthemen zu kennen. In diesem Beitrag zeigen wir, wo die häufigsten Datenschutzfallen liegen.
Themenübersicht
IP-Adressen
Logfiles
Cookies
Tracking & Webanalyse
Profiling
Auftragsverarbeitung
Content-Delivery-Network
Externe Services
E-Mail
Formulare & Kommentarfelder
Verschlüsselung
Zugang zum Content-Management-System
Informationspflichten
IP-Adressen
Eine IP-Adresse ist eine eindeutige Kennung, die jedem Gerät zugewiesen wird, das mit dem Internet verbunden ist. Besucht ein Nutzer eine Website, wird seine IP-Adresse vom Server erfasst.
IP-Adressen werden oft als personenbezogene Daten angesehen, da sie bestimmten Geräten und damit möglicherweise bestimmten Personen zuordenbar sind. Sie können zur Identifizierung einer Person dienen, insbesondere in Kombination mit anderen Informationen, wie z.B. Benutzerkonten, E-Mail-Adressen oder Online-Transaktionen.
Logfiles
Die meisten Webserver erfassen automatisch Informationen über jede Anfrage, die an sie gesendet wird, einschließlich der IP-Adresse des anfragenden Geräts. Diese Informationen werden Protokolldateien, den sogenannten Logfiles, gespeichert. Die Speicherung von IP-Adressen in Logfiles gilt als Verarbeitung personenbezogener Daten.
Cookies
Cookies sind kleine Textdateien, die von einer Website auf dem Gerät eines Nutzers gespeichert werden. Sie enthalten Informationen über die Aktivitäten des Nutzers auf der Website und ermöglichen es, den Nutzer beim nächsten Besuch wiederzuerkennen und beispielsweise personalisierte Inhalte und Dienste anzubieten.
Gemäß Rechtsprechung dürfen Seitenbetreiber nur technisch notwendige Cookies ungefragt setzen, also solche, die aus technischer Sicht notwendig sind. Für das Setzen anderer Cookies ist zuvor die Einwilligung des Nutzers einzuholen, was in der Praxis üblicherweise via Cookie-Banner erfolgt.
Tracking & Webanalyse
Auf vielen Websites gelangen Tracking-Technologien zum Einsatz, die Seitenbetreibern detaillierte Webanalysen ermöglichen und ihnen so Auskunft über das Verhalten der Seitenbesucher geben. Mit solchen Lösungen drohen aus datenschutzrechtlicher Sicht gleich zwei Stolpersteine einherzugehen.
Erster Stolperstein: Voraussetzung für das Tracking ist eine eindeutige Identifikation des Besuchers, um seine weiteren Bewegungen auf der Website nachvollziehen zu können. Zu diesem Zweck wird nach Identifikationsmerkmalen gesucht, wie z.B. IP-Adressen oder Browser-Fingerprints.
Zweiter Stolperstein: Zur eindeutigen Kennzeichnung des Nutzers werden in aller Regel Cookies gesetzt. Hierbei kann es sich je nach Konstellation um Cookies handeln, die technisch nicht notwendig sind und deshalb die Einwilligung des Betroffenen erfordern.
Profiling
Profiling ermöglicht die Personalisierung von Inhalten, damit diese auf die Interessen oder Vorlieben des Nutzers zugeschnitten sind. Wie bereits erwähnt, lassen sich Cookies als Datengrundlage heranziehen.
Aus Sicht des Datenschutzes wird es noch spannender, wenn Seitenbetreiber mit Daten arbeiten, die aus externen Quellen stammen, wie z.B. Werbepartnern oder sozialen Netzwerken. Die Verarbeitung solcher Daten mit Personenbezug ist nur bei Erfüllung strenger Voraussetzungen gestattet.
Auftragsverarbeitung
Viele Seitenbetreiber greifen auf Dienste externer Partner zurück, die den Betrieb der Website erst ermöglichen oder das Nutzererlebnis verbessern. Findet eine Übermittlung personenbezogener Daten an die Partner statt, liegt zumeist eine Auftragsverarbeitung vor.
Ob Webhosting oder die Zusammenarbeit mit Freelancern, jede Auftragsverarbeitung ist vertraglich abzusichern. Entsprechend ist mit dem jeweiligen Auftragsverarbeiter ein Auftragsverarbeitungsvertrag zu schließen.
Content Delivery Network
Ein Content-Delivery-Network (CDN) ist ein Netzwerk von Servern für die beschleunigte Auslieferung statischer Inhalte wie Bilder, Videos und anderer Dateien an Nutzer auf der ganzen Welt. Es optimiert die Bereitstellung von Inhalten durch die Nutzung von Servern, die geografisch näher an den Nutzern liegen.
Beim Einsatz eines CDN besteht das Risiko einer Übermittlung personenbezogener Daten an den Betreiber des Netzwerks. Zudem ist es möglich, dass die Übermittlung an Server erfolgt, die sich außerhalb des Europäischen Wirtschaftsraums (EWR) und damit in Drittstaaten befinden.
Externe Services
Zahlreiche Websites lassen sich im Handumdrehen mit einer Vielzahl an Funktionen ausstatten. Ganz egal ob 2-Faktor-Authentisierung (2FA), Tools zur Durchführung von Umfragen oder Terminbuchungen, für viele dieser Funktionen stehen als Webservices externer Anbieter bereit. In Content-Management-Systeme (CMS), wie z.B. WordPress, lassen sich solche Webservices oft mühelos via Plugin integrieren. Doch aufgepasst, viele dieser Lösungen erfassen und übermitteln personenbezogene Daten an ihre Entwickler und Betreiber.
Wer eine Website betreibt, ist üblicherweise per E-Mail erreichbar. Im Zusammenhang mit dem Betrieb eines oder mehrerer E-Mail Postfächer ist zu bedenken, dass Nutzer in ihren Mails personenbezogene Daten übermitteln können.
Mit E-Mail Postfächern gehen gleich mehrere datenschutzrechtliche Herausforderungen einher. Ein zentraler Punkt ist der E-Mail Server, weil er die E-Mails und womöglich personenbezogene Daten speichert. Ebenso ist an das Endgerät zu denken, welches die E-Mails abruft und ggf. sogar speichert.
Formulare & Kommentarfelder
Formulare und Kommentarfelder sind weitere Schnittstellen, die Seitenbesuchern eine Datenübermittlung ermöglichen. Hier ist unter anderem zu berücksichtigen, über welche Wege die Daten transportiert werden, wer sie abrufen kann und wo die Speicherung erfolgt.
Verschlüsselung
Ob Versand von E-Mails oder Formulardaten, für eine sichere Übermittlung von Daten mit Personenbezug empfiehlt sich die Nutzung verschlüsselter Verbindungen. Diese setzt eine entsprechende Konfiguration der betroffenen Systeme voraus.
Zugang zum Content-Management-System
Mittlerweile basieren so gut wie alle Websites auf Content-Management-Systemen. Ein CMS verspricht Komfort: um neue Inhalte zu veröffentlichen, braucht der Nutzer nicht die Web-Entwicklung zu beherrschen. Stattdessen loggt er sich in das CMS ein, um anschließend die Daten einzupflegen.
In diesem Zusammenhang ist zu berücksichtigen, dass Nutzer (z.B. Administratoren, Redakteure, Service-Mitarbeiter etc.) innerhalb des CMS womöglich personenbezogene Daten einsehen können. Dies sollte jedoch nur möglich sein, sofern eine Notwendigkeit besteht. Eine mögliche Lösung besteht in einer gezielten Autorisierung, sodass Nutzer jeweils die nur Rechte zugeteilt bekommen, die für ihre Arbeit notwendig ist. Darüber hinaus sind Zugänge angemessen abzusichern, beispielsweise mittels 2-Faktor-Autentisierung.
Informationspflichten
Der Betreiber einer Internetseite ist dazu verpflichtet, betroffene Personen über die Verarbeitung ihrer personenbezogenen Daten einschließlich des Zwecks, der Dauer und der Empfänger der Daten zu informieren. In der Praxis geschieht dies über die Bereitstellung einer Datenschutzerklärung.
Im Detail betrachtet, ist jede Datenschutzerklärung ein komplexes Konstrukt, das exakt auf die jeweilige Website abgestimmt wurde. Eine händische Erstellung in Eigenregie ist nahezu unmöglich, selbst Rechtsexperten müssten enorme Ressourcen aufwenden und würden dennoch Gefahr laufen, den einen oder anderen Aspekt zu vergessen. Daher werden nahezu alle Datenschutzerklärungen mittels Konfigurator erzeugt.
Fazit
Der Betreiber einer Website muss unterschiedlichste Bereiche berücksichtigen, um den datenschutzrechtlichen Anforderungen der DSGVO gerecht zu werden. Welche konkreten Bereiche in der Praxis betroffen sind, hängt vom der Website und ihrer Funktionalität ab.
Aufgrund der Vielzahl an Bereichen und deren Komplexität ist der Website-Datenschutz keine Angelegenheit, die sich kurzfristig oder gar nebenbei erledigen lässt. Stattdessen ist eine gründliche und zielgerichtete Herangehensweise notwendig. Unternehmen, die hierbei Unterstützung wünschen, stehen wir gerne zur Seite. Mehr erfahren Sie im Rahmen unserer kostenlosen Erstberatung.