DSGVO-Pflichten für Websites: Was Sie wirklich beachten müssen

Was ist eine Datenschutzerklärung - und warum braucht jede Website eine?

Eine Datenschutzerklärung informiert Besucher Ihrer Website darüber, welche personenbezogenen Daten erhoben werden, warum das geschieht und welche Rechte die Betroffenen haben. Das klingt abstrakt, ist aber konkret: Schon wenn jemand Ihre Website aufruft, speichert der Server eine IP-Adresse. Das ist ein personenbezogenes Datum. Damit fällt jede Website unter die DSGVO.

Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 in der gesamten EU. Sie verpflichtet jeden Website-Betreiber - ob Konzern, Mittelständler, Verein oder Stiftung - zu einer vollständigen Datenschutzerklärung. Fehlt sie oder ist sie veraltet, drohen Abmahnungen und Bußgelder.

Wichtig: Eine Datenschutzerklärung ist nicht dasselbe wie ein Impressum. Das Impressum regelt, wer für die Website verantwortlich ist (nach dem Digitale-Dienste-Gesetz, DDG). Die Datenschutzerklärung regelt, wie mit Daten umgegangen wird (nach der DSGVO). Beides ist Pflicht, beides muss separat vorhanden sein.

Cookie-Consent: Warum ein einfacher Hinweis nicht reicht

Cookies sind kleine Textdateien, die Websites auf dem Gerät des Besuchers speichern. Manche sind technisch notwendig (zum Beispiel für den Warenkorb in einem Online-Shop). Andere dienen der Analyse oder dem Marketing - und genau hier wird es rechtlich relevant.

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG) schreibt vor: Bevor nicht-essentielle Cookies gesetzt werden, muss der Besucher aktiv einwilligen. Das bedeutet: Ein Banner mit dem Text "Diese Website verwendet Cookies - OK" genügt nicht. Der Besucher muss eine echte Wahl haben - mit der Möglichkeit, einzelne Kategorien abzulehnen.

In der Praxis brauchen Sie ein sogenanntes Consent Management Tool (CMP). Dieses Tool zeigt beim ersten Besuch ein Cookie-Banner mit mindestens zwei Optionen: "Alle akzeptieren" und "Nur notwendige". Erst nach der Einwilligung dürfen Tracking-Cookies gesetzt werden. Ohne funktionierendes CMP ist jedes Tracking auf Ihrer Website rechtswidrig.

Übrigens: Auch eingebettete YouTube-Videos, Google Maps oder Social-Media-Buttons setzen Cookies. Wer solche Inhalte einbindet, braucht entweder eine Einwilligung oder eine Zwei-Klick-Lösung, die erst nach Zustimmung lädt. Das Thema Website-Sicherheit hängt direkt damit zusammen - denn unsichere Einbindungen können auch Datenschutzprobleme verursachen.

Sonderfall Stiftungen und gemeinnützige Organisationen

Ein verbreiteter Irrtum: Stiftungen, Vereine und gemeinnützige Organisationen seien von der DSGVO ausgenommen. Das stimmt nicht. Die DSGVO gilt für jede Organisation, die personenbezogene Daten verarbeitet - unabhängig von der Rechtsform oder dem Zweck.

In der Praxis bedeutet das: Auch die Website einer Bürgerstiftung, eines Fördervereins oder einer kirchlichen Einrichtung braucht eine vollständige Datenschutzerklärung, ein rechtskonformes Cookie-Banner und ein korrektes Impressum. Die Anforderungen sind identisch mit denen eines Wirtschaftsunternehmens.

Es gibt allerdings Erleichterungen bei der internen Organisation: Organisationen mit weniger als 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten, müssen keinen Datenschutzbeauftragten benennen. Die Pflichten gegenüber Website-Besuchern bleiben davon aber unberührt.

Gerade bei Stiftungen sehen wir häufig Websites mit Kontaktformularen, Newsletter-Anmeldungen und Spendenformularen - alles Bereiche, in denen besonders sensible Daten verarbeitet werden. Hier ist eine saubere Datenschutzerklärung nicht nur Pflicht, sondern auch Vertrauenssache gegenüber Spendern und Förderern. Auch die technische Basis der Website spielt eine Rolle - grundlegende Informationen zu Schema.org und SEO-Grundlagen helfen, die Website insgesamt professionell aufzustellen.

Was passiert bei Verstößen?

Die Konsequenzen eines DSGVO-Verstoßes sind real und können existenzbedrohend sein. Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor - je nachdem, welcher Betrag höher ist. In der Praxis bewegen sich die meisten Bußgelder für Website-Verstöße im Bereich von 5.000 bis 50.000 Euro, aber die Tendenz ist steigend.

Neben Bußgeldern gibt es zwei weitere Risiken, die in der Praxis häufiger zuschlagen:

Der wichtigste Punkt: Die meisten Website-Verstöße sind leicht vermeidbar. Eine aktuelle Datenschutzerklärung, ein funktionierendes Cookie-Banner und ein korrektes Impressum kosten einen Bruchteil dessen, was eine Abmahnung oder ein Bußgeld kostet. Prävention ist hier keine Frage des Budgets, sondern der Priorität.

Häufige Fragen zum Website-Datenschutz