Datenschutzkonforme Website betreiben: Tipps zum Website-Check

(Auszug aus der Pressemitteilung)

Fulda, 22.05.2023 – Eine Website DSGVO-konform zu betreiben ist eine komplexe Angelegenheit: Im Hintergrund werden zahlreiche Plugins, externe Ressourcen und andere Quellen geladen. Website-Betreibende setzen Cookies ein, um Tracking, Analyse und verschiedene Funktionen zu ermöglichen.

Gleichzeitig gibt es aber auch immer mehr Verordnungen, Gesetze und Anforderungen an den Datenschutz, die erfüllt werden müssen. Immer wieder verschicken findige Rechtsanwälte Abmahnungen wegen nicht korrekter Einstellungen. Ob berechtigt oder nicht: Für Website-Betreiber ist es allemal unnötig und nervig, sich damit auseinanderzusetzen – und häufig auch teuer.

„Die DSGVO-Konformität einer Website einfach so nebenbei zu prüfen, ist kaum möglich. Der größte Aufwand liegt in der Identifizierung von Webseitenerweiterungen und Cookies. Auch die Information der Betroffenen ist ein weiterer Punkt, der Hürden bereithält. Denn zum einen muss der Grundsatz der Transparenz gewährleistet sein und eine einfache Sprache verwendet werden. Zum anderen müssen die rechtlichen Vorgaben erfüllt werden. Gerade letzteres führt dazu, dass Datenschutzerklärungen zu langen Rechtstexten mutieren und es für Laien schwierig wird, zu verstehen, worum es eigentlich geht“, mahnt Patrycja Schrenk, Geschäftsführerin der PSW GROUP (www.psw-group.de)

Immerhin: Dank einiger Tools kann jeder Website-Betreibende selbst testen, ob die eigene Website auch wirklich datenschutzkonform ist. „Tatsächlich gibt es eine Unmenge an brauchbaren Tools zur Analyse. Mit Qualys, den Entwicklertools im Browser und Cookiedatabase können wir jedoch drei Tools wirklich jedem ans Herz legen, da diese sich in unserem Alltag als Datenschützer bewährt haben“, gibt die IT-Sicherheitsexpertin einen Tipp.

Qualys SSL-Labs misst die Sicherheit einer SSL-verschlüsselten Website. Verschiedene Parameter – beispielsweise der Einsatz von Perfect Forward Secrecy (PFS) – werden zur Bewertung herangezogen. „Konkret untersucht der kostenlose Online-Test die SSL-Zertifikatskette von Webseiten. Das Sicherheitsprotokoll SSL dient der Verschlüsselung sensibler Daten während einer Online-Übermittlung. Des Weiteren werden auch die Übertagungsprotokolle geprüft – je aktueller, je besser“, informiert Schrenk. Für den Test wird einfach die Domain eingegeben, den Rest erledigt das Tool. Ratings zwischen A bis F bewerten die Website dann von ausgezeichnet bis extrem unsicher.

Mit den sogenannten „Entwicklertools“ steht gleich eine ganze Kollektion hilfreicher Werkzeuge bereit, die jeder Webbrowser kostenlos mitgeliefert. Sie erlauben es, die gerade angezeigte Webseite zu analysieren und hinter die Kulissen zu schauen. Hier erfahren Website-Betreibende zum Beispiel welche Cookies eingebunden und welche Dienste, zum Beispiel Google Fonts oder Google Analytics, geladen werden, wie groß diese sind, welche Web Services im Hintergrund laufen und wo potenzielle Problemstellen und Risiken verborgen liegen.

„Zu den Entwicklertools gelangt man über einen Rechtsklick an jeder beliebigen Stelle einer Website und anschließend mit einem Klick auf durchsuchen oder F12 auf der Tastatur. Die Entwicklertools zeigen nun unter anderem an, welche Cookies auf der jeweiligen Website gesetzt sind und ob sie aus einer externen Quelle stammen oder direkt von der Website eingebunden werden. Cookies aus externer Quelle sind in den meisten Fällen ein Problem und sollten nach Möglichkeit unterbunden werden“, erklärt Patrycja Schrenk. Dem gegenüber sind technisch notwendige Cookies alle Cookies, die keine Analyse- oder Marketing-Zwecke verfolgen, sondern notwendig für eine Funktion der Website sind. Ein Cookie zum Speichern des Warenkorbes ist beispielsweise ein technisch notwendiges Cookie, genauso wie auch das Cookie zum Speichern der Cookie-Banner-Einstellungen.

Natürlich ist es nicht allein damit getan, zu wissen, welche Cookies geladen werden. Doch es kann durchaus schwierig sein, die Art oder den Zweck eines Cookies zu ermitteln – vor allem, wenn dessen Bezeichnung keinen Anhaltspunkt bietet und die angezeigte Domain mit der eigenen Website identisch ist. „Aber auch dafür gibt es eine Lösung. Denn mit cookiedatabase.org gibt es eine sehr praktische Cookie-Datenbank, mit der sich die gängigsten Cookies identifizieren lassen“, so Schrenk. Die Suchfunktion des Dienstes liefert reichlich Informationen über Cookies, unter anderem von welchem Dienst das Cookie stammt, zu welchem Zweck das Cookie verwendet wird, wie lange das Cookie gespeichert wird und welche Funktion das Cookie hat.

Datenschutzerklärung nicht vergessen!

Ein wichtiger Baustein einer jeden datenschutzkonformen Website ist die Datenschutzerklärung selbst. Sie muss Besucherinnen und Besucher einer Website über jede Erhebung, Verarbeitung und Nutzung personenbezogener Daten aufklären – etwa über die Verarbeitung der IP-Adresse, von Browser-Daten, Cookies, Webanalyse-Tools wie Google Analytics sowie Social-Media-Plugins. „Die Datenschutzerklärung muss nicht nur darüber informieren, welche Daten erhoben werden, sondern auch was mit ihnen passiert, warum diese Daten erhoben werden und ob Daten an Dritte weitergegeben werden“, informiert Schrenk und betont: „Die Datenschutzerklärung muss eindeutig als solche gekennzeichnet sein. Daher ist es nicht ausreichend, sie innerhalb des Impressums unterzubringen. Datenschutzerklärung und Impressum sind klar voneinander zu trennen.“

Patrycja Schrenk

Diese Angaben sind zwingend erforderlich:

• Name und Kontaktdaten des/ der Verantwortlichen
• Zweck und Rechtsgrundlage der Datenverarbeitungen: Was wird auf der Website gemacht, welche Tools werden dazu eingesetzt und welche Legitimation hab der Betreibende dafür? Falls die Rechtsgrundlage Artikel 6, Absatz 1 der DSGVO ist, muss das berechtigte Interessen des oder der Verantwortlichen oder Dritter beschrieben werden.
• Aufklärung über Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragung)
• Hinweis auf Beschwerderecht bei einer Aufsichtsbehörde
• Speicherdauer der Daten
• Sofern vorhanden: Kontaktdaten des Datenschutzbeauftragten