Wie lässt sich die DSGVO-Konformität beurteilen? Die wichtigsten Punkte der Website-Compliance-Selbstprüfung auf einen Blick

Woran lässt sich zuerst erkennen, ob eine Website grundsätzlich den Anforderungen der DSGVO entspricht?

　　Bei der Beurteilung der DSGVO-Konformität ist es ein häufiger Fehler, nur auf das Cookie-Banner und die Datenschutzerklärung zu achten. Für Qualitäts- oder Sicherheitsverantwortliche ist nicht entscheidend, ob etwas „beschrieben“ ist, sondern ob Daten rechtmäßig erhoben, transparent erläutert, ordnungsgemäß übermittelt und nachweisbar verarbeitet werden.

　　Wenn sich eine Website an Nutzer in der EU richtet oder tatsächlich personenbezogene Daten aus der EU verarbeitet, sollten bei einer Selbstprüfung zunächst vier Punkte geprüft werden: Welche personenbezogenen Daten werden erhoben, auf welcher Grundlage erfolgt die Erhebung, an wen werden die Daten weitergegeben und können Nutzer ihre Einwilligung widerrufen oder die Löschung verlangen? Diese Reihenfolge ist sehr hilfreich, da viele Websites zwar oberflächlich vollständige Texte enthalten, die eigentlichen Probleme jedoch in Formularen, Tracking-Codes und Plug-ins von Drittanbietern liegen.

　　Einfach gesagt: Ob eine Website als „grundsätzlich konform“ gilt, hängt nicht davon ab, ob die Seiten ansprechend gestaltet sind, sondern davon, ob sich der Weg eines Datensatzes vom Eintritt in die Website über Speicherung, Nutzung und Weitergabe bis hin zur Löschung nachvollziehen lässt.

Ist eine Website konform, wenn sie nur eine Datenschutzerklärung enthält?

　　Nein. Die Datenschutzerklärung ist lediglich ein Teil der Informationspflichten und nicht gleichbedeutend mit Konformität.

　　Eine brauchbare Datenschutzerklärung sollte zumindest einige zentrale Fragen abdecken: Wer verarbeitet die Daten, welche Daten werden verarbeitet, zu welchem Zweck geschieht dies, auf welcher Rechtsgrundlage erfolgt die Verarbeitung, wie lange werden die Daten gespeichert, werden sie an Dritte oder ins Ausland übermittelt und wie können Nutzer ihre Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch ausüben?

　　Bei vielen Websites liegt das Problem jedoch nicht darin, dass Angaben fehlen, sondern darin, dass die Angaben nicht mit dem tatsächlichen Verhalten übereinstimmen. So kann auf einer Seite stehen, dass Daten „nur zur Beantwortung von Anfragen“ verwendet werden, während die Formulardaten im Hintergrund mit einem CRM-System, einer E-Mail-Marketing-Plattform und einem Tool für Anzeigen-Retargeting synchronisiert werden. Oder es wird angegeben, dass „keine Weitergabe an Dritte“ erfolgt, obwohl externe Chat-Plug-ins, Karten, Videos und Analyse-Skripte geladen werden. Eine solche Abweichung zwischen Dokumentation und tatsächlicher Praxis stellt selbst ein hohes Risiko dar.

Warum kann eine Website trotz angezeigtem Cookie-Banner noch nicht DSGVO-konform sein?

　　Weil es nicht darauf ankommt, ob das Banner angezeigt wird, sondern welches Standardverhalten voreingestellt ist. Wenn nicht notwendige Cookies bereits vor der Einwilligung des Nutzers auf dem Gerät gespeichert werden, bleibt die Website trotz eines vollständig gestalteten Banners problematisch.

　　Bei der Prüfung sollten Cookies in zwei Kategorien betrachtet werden:

• Notwendige Cookies: zum Beispiel für Anmeldesitzungen, die Aufrechterhaltung des Warenkorbs und grundlegende Sicherheitsmaßnahmen. Diese können in der Regel auf Grundlage der für den Betrieb der Website erforderlichen Funktionen eingesetzt werden.
• Nicht notwendige Cookies: beispielsweise für statistische Analysen, Werbetracking, Social-Media-Sharing sowie Heatmaps und Sitzungsaufzeichnungen. Für diese ist häufig zunächst eine wirksame Einwilligung erforderlich.

　　Außerdem sollten drei Details beachtet werden: Ist die Schaltfläche zum Ablehnen klar sichtbar, können die Kategorien einzeln ausgewählt werden und kann der Nutzer seine Auswahl später ändern? Nur eine Schaltfläche zum „Akzeptieren“ anzubieten und keine zum „Ablehnen“ oder den Zugang zur Ablehnung tief zu verstecken, sind häufige Probleme.

Ist das Formular der problematischste Bereich einer Website?

　　In der Regel ja. Denn Formulare erfassen direkt Namen, E-Mail-Adressen, Telefonnummern, Firmennamen und Positionen; manchmal werden auch Budgets, Beschaffungsanforderungen, Regionen und Dateianhänge erhoben. Sobald diese Informationen eine Person identifizieren können, fallen sie in den Anwendungsbereich der DSGVO.

　　Um zu beurteilen, ob ein Formular konform ist, kann folgende Logik angewendet werden:

1. Sind die Felder erforderlich? Wenn auf eine Telefonnummer verzichtet werden kann, sollte sie nicht standardmäßig als Pflichtfeld vorgegeben werden.
2. Wird vor der Übermittlung klar über den Zweck informiert? Zum Beispiel, ob die Daten für ein Angebot, den Kundendienst oder ein Marketing-Abonnement verwendet werden.
3. Wird das Marketing-Abonnement separat ausgewählt? Eine Kontaktanfrage darf nicht mit der Marketingeinwilligung verbunden werden.
4. Ist die Übertragung verschlüsselt? Sowohl die Formularseite als auch die Übermittlungsschnittstelle sollten über HTTPS laufen.
5. Sind im Backend Zugriffskontrollen und Aufbewahrungsfristen eingerichtet?

　　Viele Teams gestalten die Hinweise im Frontend sehr umfassend. Automatische Weiterleitungen an E-Mail-Postfächer im Backend, langfristig gespeicherte exportierte Formulardateien und gemeinsam genutzte Testkonten stellen jedoch allesamt Schwachstellen in Bezug auf Sicherheit und Compliance dar.

Wie umfassend müssen Tools von Drittanbietern geprüft werden?

　　Mindestens müssen sie „sichtbar, erklärbar und abschaltbar“ sein. Zu den häufig eingesetzten Tools von Drittanbietern gehören Statistik- und Analysefunktionen, Werbe-Pixel, Online-Kundendienste, E-Mail-Abonnements, CDNs, Videoplayer, Karten-Plug-ins und Social-Media-Komponenten. Sie sind nicht zwangsläufig rechtswidrig. Das Problem besteht darin, dass viele Unternehmen überhaupt nicht wissen, welche Daten diese Tools konkret erfassen.

　　Bei der Selbstprüfung sollte man sich nicht nur ansehen, was im Quellcode der Seite steht, sondern auch die tatsächlichen Netzwerkanfragen, den Zeitpunkt des Skriptladens und den Verbleib der Daten prüfen. Sicherheitsverantwortliche interessieren sich in der Regel für folgende Inhalte in dieser Übersicht:

Welche Fehleinschätzung tritt bei Marketing-Websites für den europäischen Markt am häufigsten auf?

　　Eine häufige Fehleinschätzung besteht darin, dass Unternehmen davon ausgehen, die DSGVO habe für sie keine große Bedeutung, wenn sich der Server der Website nicht in Europa befindet. Tatsächlich kommt es nicht nur auf den Standort des Servers an, sondern auch darauf, ob Produkte oder Dienstleistungen für Nutzer in der EU angeboten oder deren Verhalten beobachtet wird.

　　Beispiele hierfür sind die Unterstützung von EU-Sprachen, Werbung in Europa, die Abwicklung von Zahlungen in Euro, die Erfassung von Anfragen europäischer Besucher oder Tracking für Retargeting. All dies kann dazu führen, dass die DSGVO Anwendung findet. Für Websites zur Gewinnung von Kunden im Ausland gilt: Je vollständiger die Marketingkette ist, desto weniger darf Compliance als bloße Ergänzung einer Rechtsseite verstanden werden. Website-Erstellung, SEO, Anzeigenschaltung und Datenanalyse bilden eine zusammenhängende Kette. Erhebungsmethoden im Frontend, Aufbewahrungsregeln im Backend und Berechtigungen für Schnittstellen von Drittanbietern sollten daher möglichst gemeinsam überprüft werden. Dies ist auch ein Punkt, der bei vielen integrierten Projekten für Website- und Marketingleistungen vor dem Launch gleichzeitig bearbeitet werden sollte.

Sollten Qualitäts- oder Sicherheitsverantwortliche bei einer internen Prüfung zuerst die Dokumente oder zuerst die Systeme prüfen?

　　Zuerst sollte eine Checkliste erstellt und anschließend ein Abgleich zwischen Dokumenten und Systemen vorgenommen werden. Wer nur die Dokumente prüft, übersieht technische Umsetzungen; wer nur die Systeme prüft, kann nur schwer beurteilen, ob die Verarbeitungsgrundlage vollständig dokumentiert ist.

　　Eine besonders praktikable Vorgehensweise besteht darin, zunächst eine Übersicht der Datenverarbeitungstätigkeiten zu erstellen: Seiteneinstieg, Feldbezeichnung, Erhebungszweck, empfangendes System, Speicherort, Aufbewahrungsdauer, Löschverfahren und beteiligte Dritte. Anschließend wird diese Übersicht mit der Datenschutzerklärung, den Cookie-Einstellungen, der Rechtekonfiguration, den Protokollaufzeichnungen und den Vereinbarungen mit Dienstleistern abgeglichen.

　　In einigen Teams sind die Richtliniendokumente sehr detailliert, während sich in den Systemen weiterhin historische Formulardatenbanken befinden, die niemand bereinigt, Konten ausgeschiedener Mitarbeiter nicht zurückgenommen wurden oder echte Kundendaten in Testumgebungen kopiert werden. Für Sicherheitsverantwortliche sind diese Punkte häufig dringlicher als die Texte auf der Website.

Welche Nachweise sollten bei der Selbstprüfung der DSGVO-Konformität frühzeitig aufbewahrt werden?

　　Nicht jedes Problem lässt sich durch eine mündliche Erklärung lösen. Alles, was sich dokumentieren lässt, sollte möglichst dokumentiert werden. Zu den wichtigen Unterlagen gehören: Aufzeichnungen über Cookie-Einwilligungen, Versionsprotokolle der Datenschutzerklärung, Verzeichnisse der Tools von Drittanbietern, Aufzeichnungen der Verarbeitungstätigkeiten, Abläufe zur Bearbeitung von Nutzeranfragen, die Vergabe von Kontoberechtigungen sowie Nachweise über die Durchführung von Löschungen oder Anonymisierungen.

　　Eine praktische Erfahrung dazu: Bei einer Überarbeitung der Website, der Einbindung eines neuen Plug-ins oder einer Änderung der Formularfelder kann der Compliance-Status unbemerkt beeinträchtigt werden. Wenn Änderungsprotokolle nur oberflächlich geführt werden, ist die spätere Ursachenanalyse sehr aufwendig. Auch bei Marketingseiten sollten Datenschutzhinweise, Tracking-Strategien und Änderungen an Schnittstellen in die Launch-Prüfung aufgenommen werden.

　　Nebenbei sei erwähnt, dass auch bei internen Schulungsunterlagen oder Wissensinhalten, die Richtlinien und Abläufe betreffen, auf eine angemessene Einbindung und einen passenden Nutzungskontext geachtet werden sollte. Inhalte wie Untersuchung des Finanzmanagements bei Krankenhausbauprojekten vor dem Hintergrund des neuen Rechnungslegungssystems stellen beispielsweise als reine Materialdarstellungsseite nicht zwangsläufig ein hohes Risiko dar. Entscheidend ist vielmehr, ob die Seite Formulare, Tracking-Skripte, Downloads gegen Angabe von Kontaktdaten oder Weiterleitungen zu externen Links enthält.

Wenn eine Nichtkonformität festgestellt wird: Sollte zuerst eine Funktion deaktiviert oder zuerst die Dokumentation ergänzt werden?

　　Das hängt vom Risikograd ab. Der Grundsatz ist jedoch eindeutig: Wenn eine fortlaufend rechtswidrige Erhebung oder eine bereits ohne Einwilligung ausgelöste Datenverarbeitung vorliegt, müssen zunächst die Risiken kontrolliert und erst danach die Dokumente ergänzt werden.

　　Einige Szenarien sollten vorrangig bearbeitet werden:

• Werbe- oder Analyseskripte beginnen bereits vor der Einwilligung des Nutzers mit dem Tracking.
• Das Formular erfasst sensible Informationen, die für den Geschäftszweck nicht relevant sind.
• Daten werden unverschlüsselt per E-Mail oder über eine Schnittstelle übertragen.
• Die Herkunft eines Plug-ins eines Drittanbieters ist unklar und es sendet weiterhin Besucherdaten nach außen.

　　Solche Probleme lassen sich nicht allein durch eine nachträgliche Änderung der Datenschutzerklärung „beheben“. Zunächst sollten die betreffenden Skripte pausiert, Felder deaktiviert, Zugriffe eingeschränkt und Synchronisierungen unterbrochen werden. Erst danach sollten Informationen, Einwilligungen und Nachweise vervollständigt werden. Diese Reihenfolge ist richtig.

Kann man sich nach einer einmaligen Prüfung langfristig sicher fühlen?

　　Nein. Die DSGVO-Konformität einer Website ist kein einmaliger Zustand, sondern eher das Ergebnis einer kontinuierlichen Pflege. Gerade bei Marketing-Websites mit häufigen Änderungen, vielen Plug-ins, zahlreichen Landingpages und langen Schaltungsketten gilt: Was heute konform ist, muss es im nächsten Monat nicht mehr sein.

　　Eine zuverlässige Vorgehensweise besteht darin, die Prüfintervalle in die täglichen Abläufe zu integrieren: vor dem Launch jeder neuen Seite, bei der Einbindung eines neuen Tools eines Drittanbieters und bei jeder Änderung von Formularfeldern sollte eine Prüfung erfolgen; zusätzlich sollte einmal pro Quartal eine umfassende Überprüfung stattfinden. Für Sicherheitsverantwortliche besteht der größte Nutzen nicht darin, Bestimmungen auswendig zu lernen, sondern einen Prüfmechanismus einzurichten, der Abweichungen erkennt, Verantwortlichkeiten nachverfolgt und zeitnah Korrekturen ermöglicht.

　　Abschließend lässt sich der wichtigste praktische Grundsatz so formulieren: Bei der Beurteilung, ob eine Website der DSGVO entspricht, sollte man nicht zuerst fragen, ob die Seite vollständig genug formuliert ist, sondern woher diese personenbezogenen Daten kommen, wohin sie gelangen, warum sie verarbeitet werden dürfen und wer dies nachweisen kann. Wenn diese vier Punkte geklärt sind, lässt sich der Compliance-Status der Website grundsätzlich gut einschätzen.