2Was ist die DSGVO? Compliance-Grenzen, die Unternehmen vor dem Aufbau einer Europa-Website kennen müssen

Was bedeutet das von vielen erwähnte 2GDPR eigentlich?

　　Zunächst die Schlussfolgerung: Das im Unternehmensumfeld häufig verwendete „2GDPR“ bezeichnet meist kein neues europäisches Gesetz, sondern ist eher eine informelle Bezeichnung dafür, dass die Anforderungen im Zusammenhang mit der GDPR erneut in den Mittelpunkt gerückt werden. Worauf es tatsächlich ankommt, ist die EU-Datenschutz-Grundverordnung selbst sowie das gesamte Spektrum an Compliance-Anforderungen rund um Websites, Werbeschaltungen, Nutzer-Tracking, E-Mail-Marketing und grenzüberschreitende Datenübermittlungen.

　　Für Entscheidungsträger von Unternehmen mit Websites für den europäischen Markt liegt die größte Gefahr nicht in der „Bezeichnung des Begriffs“, sondern in der Annahme, dass eine mehrsprachige Website, die Werbeanzeigen schalten und Anfragen empfangen kann, bereits ausreicht. Tatsächlich fällt eine Website bereits dann in den Anwendungsbereich der GDPR, wenn sie personenbezogene Daten europäischer Nutzer erfasst – unabhängig davon, ob es sich um Formulare, Cookies, Remarketing-Pixel oder Newsletter-Anmeldungen handelt.

　　Der erste Schritt zum Verständnis von 2gdpr besteht daher nicht darin, neuen Abkürzungen hinterherzulaufen, sondern sich eine praktischere Frage zu stellen: Welche Daten erfasst Ihre Website, warum werden sie erfasst, wo werden sie gespeichert, wer kann sie einsehen und können Nutzer ihre Einwilligung widerrufen?

Müssen Unternehmen die Anforderungen auch beachten, wenn sie kein Büro in Europa haben?

　　Das hängt davon ab, ob sich Ihr Angebot „an Personen in Europa richtet“. Die GDPR gilt nicht nur für Unternehmen mit Sitz innerhalb Europas. Auch Unternehmen in China sollten die Situation sorgfältig prüfen, wenn beispielsweise folgende Umstände vorliegen:

• Die Website unterstützt ausdrücklich Sprachen, Währungen, Lieferungen oder lokale Dienstleistungen von EU-Mitgliedstaaten;
• Werbung wird gezielt Nutzern in europäischen Regionen angezeigt;
• Kontaktdaten, Berufsbezeichnungen oder Unternehmensinformationen europäischer Besucher werden erfasst;
• Das Verhalten europäischer Nutzer wird mithilfe von Analysetools, Cookies oder Pixeln verfolgt;
• E-Mail-Marketing, Remarketing oder Kundenprofiling richtet sich an den europäischen Markt.

　　Ein häufiges Missverständnis lautet: Viele B2B-Unternehmen sind der Ansicht, dass sie „eine geschäftliche E-Mail-Adresse und keine personenbezogenen Daten“ erfassen. Das ist nicht unbedingt richtig. Namen, Mobiltelefonnummern, geschäftliche E-Mail-Adressen von Einzelpersonen, IP-Adressen und Gerätekennungen können in der Regel als personenbezogene Daten gelten, sofern sie einer natürlichen Person zugeordnet werden können. Das bedeutet: Ein Formular für Anfragen aus dem Außenhandel scheint zwar lediglich der Lead-Generierung zu dienen, stellt aus Compliance-Sicht jedoch bereits eine Verarbeitung personenbezogener Daten dar.

Wo liegen die häufigsten GDPR-Risiken bei Websites für den europäischen Markt?

　　Die häufigsten Probleme entstehen nicht dadurch, dass auf einer Seite ein einzelner Hinweis fehlt, sondern dadurch, dass „Datenerfassung“ und „Einwilligungslogik“ nicht aufeinander abgestimmt sind. Die häufigsten Risiken auf Unternehmenswebsites lassen sich grob in vier Kategorien einteilen:

　　Viele Unternehmen investieren beträchtliche Budgets in SEO, Werbung und eigenständige Websites. Sobald ein Nutzer die Website betritt, werden jedoch gleichzeitig Tracking-Skripte, Analysetools, Formulare und automatisiertes Marketing aktiviert, während die erforderliche Compliance-Struktur fehlt. In solchen Fällen scheint das Wachstum zwar voranzukommen, doch die Risiken steigen parallel dazu.

Reicht es aus, eine Datenschutzrichtlinie bereitzustellen?

　　Bei Weitem nicht. Eine Datenschutzrichtlinie dient lediglich der „Information“ und stellt nicht die gesamte Compliance dar. Sie sollte zumindest erläutern, welche Daten Sie erfassen, zu welchen Zwecken sie verwendet werden, auf welcher Rechtsgrundlage die Verarbeitung erfolgt, wie lange die Daten gespeichert werden, ob sie an Dritte weitergegeben werden und wie Nutzer ihre Rechte auf Löschung oder Auskunft ausüben können.

　　Wenn jedoch die tatsächlichen Abläufe im Backend der Website, in den Werbesystemen und im CRM nicht mit den Angaben auf der Seite übereinstimmen, ist auch ein noch so vollständiges Dokument nutzlos. Wenn die Datenschutzrichtlinie beispielsweise festlegt, dass „Marketing-Tracking erst nach Einwilligung des Nutzers erfolgt“, die Marketing-Skripte aber bereits beim Öffnen der Seite geladen werden, liegt ein Problem vor. Ebenso problematisch ist es, wenn zwar angegeben wird, dass „Nutzer die Löschung ihrer Daten beantragen können“, intern jedoch kein entsprechender Prozess existiert. Der Kern des Problems liegt dann nicht im Text, sondern darin, dass operative Abläufe und technische Umsetzung nicht ineinandergreifen.

Welche Punkte sollten Unternehmen mindestens prüfen, bevor sie eine Website für den europäischen Markt live schalten?

　　Wenn Sie verantwortlich sind, müssen Sie nicht sofort seitenlange Gesetzestexte durcharbeiten. Konzentrieren Sie sich zunächst auf einige Prüfpunkte, die das Risiko besonders stark beeinflussen:

1. Datenquellen erfassen: Formulare, Chat-Tools, Anmeldefelder, Seiten zum Herunterladen von Materialien, Zahlungsseiten und Karriereseiten gehören alle dazu.
2. Tracking-Tools prüfen: Werden Analyse-Codes, Werbe-Pixel, Heatmaps oder Retargeting-Tags bereits vor der Einwilligung ausgelöst?
3. Cookie-Management überprüfen: Ist eine Zustimmung nach Kategorien möglich, können nicht notwendige Cookies abgelehnt und Einwilligungen später erneut geändert werden?
4. Datenschutzdokumente prüfen: Stimmen Datenschutzrichtlinie, Cookie-Richtlinie und Einwilligungstexte in Formularen miteinander überein?
5. Datenflüsse nachvollziehen: In welches CRM, E-Mail-System oder Kundenservice-Tool gelangen die Leads, und wo befinden sich die Server?
6. Reaktionsprozesse einrichten: Wer nimmt Anfragen zur Datenübertragung, Löschung oder zum Widerruf der Einwilligung entgegen, wer führt sie aus und innerhalb welcher Frist?

　　Nach Abschluss dieser Prüfung kann ein Unternehmen in der Regel einschätzen, ob lediglich „Dokumente fehlen“ oder ob bereits „Fehler in der technischen Konfiguration“ beziehungsweise „Lücken in den Prozessen“ bestehen. Die beiden letztgenannten Risiken sind meist größer und treten häufig erst zutage, wenn die Werbemaßnahmen ausgeweitet werden.

Warum wird das Cookie-Einwilligungsbanner immer wieder thematisiert?

　　Weil es unmittelbar damit zusammenhängt, ob Website-Tracking und Werbe-Attribution rechtmäßig durchgeführt werden können. Viele Unternehmen mit Websites für den europäischen Markt sorgen sich vor allem darum, dass „der Datenfluss nicht unterbrochen wird“. Aus Compliance-Sicht ist jedoch entscheidender, ob die Datenverarbeitung auf einer wirksamen Einwilligung beruht. Wenn Sie Nutzer vor ihrer Einwilligung mithilfe nicht notwendiger Cookies identifizieren, Remarketing betreiben oder individuelle Nutzerpfade erfassen, kann bereits dieser Schritt problematisch sein.

　　In der Praxis sind drei Punkte wichtig: Erstens darf die Schaltfläche zum Ablehnen nicht zu schwer auffindbar sein. Zweitens sollten Cookies für unterschiedliche Zwecke möglichst gruppenweise ausgewählt werden können. Drittens muss die Einwilligung nach ihrer Erteilung im Backend nachvollziehbar protokolliert werden können. Viele Unternehmen achten nur auf die Darstellung im Frontend und übersehen die Reihenfolge der Skriptauslösung sowie die Einwilligungsprotokolle. Das Ergebnis ist ein Banner, das „compliant aussieht“, tatsächlich aber keine wirksame Sperre darstellt.

Ist das Risiko bei der Erfassung von Visitenkarten- und Anfrageinformationen auf B2B-Websites geringer als bei B2C?

　　In der Regel ist die Situation etwas einfacher, aber keineswegs risikofrei. B2B-Websites gehen häufig davon aus, dass sie „geschäftliche Kontaktdaten“ erfassen und daher nur einem geringen Compliance-Druck unterliegen. Entscheidend ist nach den europäischen Vorschriften jedoch, ob Daten natürlicher Personen betroffen sind – nicht, ob das Unternehmen im Einzelhandel tätig ist.

　　Beim Herunterladen eines Whitepapers, bei einer Angebotsanfrage, der Vereinbarung einer Demo oder der Übermittlung eines Beschaffungsbedarfs werden häufig Name, Position, E-Mail-Adresse, Telefonnummer, Unternehmensname und Herkunft des Besuchs erfasst. Wenn diese Leads zusätzlich zur automatisierten Bewertung, Segmentierung, Kontaktaufnahme und für weiteres Marketing an ein Vertriebssystem übertragen werden, wird die Verarbeitungskette noch länger. Das Grundprinzip ist nicht kompliziert: Man muss die Lead-Generierung in einzelne Schritte aufteilen und prüfen, was erfasst wird, wofür es verwendet wird, an wen es weitergegeben wird und wie lange es gespeichert bleibt.

　　Bei der Planung von Websites und internationalem Marketing stoßen Unternehmensleitungen häufig auf zahlreiche Studien und Informationsmaterialien, darunter auch Inhalte zu Themen wie Forschung zur Optimierung von Vermögensverwaltungssystemen für Banken. Im Kontext der GDPR gilt hierbei dasselbe einfache Prinzip: Die Prozessgestaltung muss vor der Skalierung erfolgen, und die Daten-Governance darf nicht nachträglich ergänzt werden.

Ist die grenzüberschreitende Datenübermittlung eine weitere große Herausforderung?

　　Ja, und sie wird häufig unterschätzt. Viele Websites für den europäischen Markt wirken im Frontend wie eine einfache Unternehmenswebsite, sind im Hintergrund jedoch mit globalen CDN, Formular-Tools, E-Mail-Plattformen, Kundenservice-Systemen, Werbeplattformen und CRM-Systemen verbunden. Sobald personenbezogene Daten aus der EU in andere Regionen übermittelt werden, handelt es sich nicht mehr nur um eine Frage der „Website-Bereitstellung“, sondern auch um die Regelung grenzüberschreitender Datenübermittlungen.

　　Verantwortliche in Unternehmen sollten mindestens drei Fragen klären: Auf welchem Server werden die Daten zunächst gespeichert? Welche Rolle übernimmt der externe Dienstleister? Enthält der Vertrag Regelungen zur Datenverarbeitung und Datenübermittlung? Viele Risiken entstehen nicht auf dem eigenen Server, sondern durch eingebundene externe Tools. Die Website ist eingerichtet und die Marketing-Automatisierung läuft, doch die Verarbeitungsbeziehungen innerhalb der Lieferkette wurden nicht eindeutig geklärt. Die Kosten einer späteren Nachbesserung können dann sehr hoch sein.

Wo sollte ein Unternehmen ansetzen, wenn die Website bereits online ist?

　　Nehmen Sie nicht sofort einen umfassenden Relaunch vor, sondern priorisieren Sie zunächst nach Auswirkung. In der Praxis ist folgende Reihenfolge besonders wirksam: Zuerst offensichtlich nicht konforme Tracking-Auslösungen stoppen, anschließend das Cookie-Management ergänzen, danach die Datenschutzhinweise vereinheitlichen und zuletzt die internen Prozesse zur Datenverarbeitung ordnen. Der Grund ist einfach: Die ersten beiden Maßnahmen betreffen unmittelbar die Frage, ob die Website weiterhin Risiken verursacht; die letzten beiden bestimmen, ob der langfristige und stabile Betrieb gewährleistet werden kann.

　　Wenn ein Unternehmen gleichzeitig mehrsprachige Websites, SEO, Werbeschaltungen und Social-Media-Leadgenerierung betreibt, sollte es Compliance umso stärker bereits in die Anfangsphase des Projekts integrieren, statt nach dem Aufbau des Traffics nachzubessern. Besonders auf dem europäischen Markt sind Wachstumssystem und Datenschutz-Compliance zwei Seiten derselben Medaille: Seitenstruktur, Formulargestaltung, Tracking, Lead-Verteilung und E-Mail-Kommunikation sollten möglichst von Beginn an nach einheitlichen Regeln konzipiert werden.

Welches Grundprinzip sollte die Führungsebene letztlich beachten?

　　Merken Sie sich einen besonders praxisnahen Grundsatz: Jede Maßnahme, die europäische natürliche Personen identifiziert, ihr Verhalten aufzeichnet oder Informationen in ein Marketingsystem übermittelt, darf nicht lediglich als technische Funktion betrachtet werden. Sie ist zugleich eine Compliance-Maßnahme.

　　Beim Verständnis von 2gdpr muss ein Unternehmen daher nicht zuerst versuchen, sämtliche rechtlichen Fachbegriffe auswendig zu lernen. Wichtiger ist es, den eigenen Geschäftsprozess abzubilden: Woher gelangen Nutzer auf die Website? Auf welchen Seiten wird Tracking ausgelöst? Welches Formular erfasst personenbezogene Daten? In welches System gelangen die Daten? Wer ist für die Löschung und die Bearbeitung von Anfragen zuständig? Erst wenn diese Abläufe klar sind, kann eine Website für den europäischen Markt zuverlässig und stabil betrieben werden.