Kurz gesagt
- Jede geschäftliche Website braucht ein Impressum nach § 5 DDG und eine Datenschutzerklärung, die zu ihr passt.
- Cookies und Dienste, die technisch nicht notwendig sind, brauchen vorher eine Einwilligung.
- Mit Hoster und Dienstleistern, die in Ihrem Auftrag Daten verarbeiten, schließen Sie einen Vertrag zur Auftragsverarbeitung.
- Schriften, Karten und Videos von fremden Servern übertragen die IP-Adresse Ihrer Besucher. Am einfachsten ist es, sie gar nicht erst von dort zu laden.
Impressum und Datenschutzerklärung
Wer eine Website geschäftsmäßig betreibt, braucht ein Impressum. Die Pflicht steht seit dem 14. Mai 2024 in § 5 des Digitale-Dienste-Gesetzes (DDG), vorher in § 5 des Telemediengesetzes. Inhaltlich hat sich wenig geändert: Name und Anschrift, bei Gesellschaften die Rechtsform und die vertretungsberechtigten Personen, eine E-Mail-Adresse und ein weiterer Weg, Sie schnell zu erreichen, gegebenenfalls Registergericht und Registernummer, die Umsatzsteuer-Identifikationsnummer und bei bestimmten Berufen die zuständige Kammer. Das Impressum muss leicht zu finden und von jeder Seite aus erreichbar sein; üblich ist ein Link in der Fußzeile. Steht auf Ihrer Website noch „Angaben gemäß § 5 TMG“, ist das ein Hinweis, dass die Rechtstexte länger nicht geprüft wurden.
Die Datenschutzerklärung erfüllt die Informationspflichten aus Art. 13 DSGVO: wer verantwortlich ist, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden, wie lange sie gespeichert werden, an wen sie gehen und welche Rechte die Betroffenen haben. Sie muss beschreiben, was Ihre Website tatsächlich tut. Ein Mustertext, der Dienste aufzählt, die Sie gar nicht nutzen, ist ebenso falsch wie einer, der eingebundene Dienste verschweigt. Jede Änderung an der Technik ist deshalb auch eine Frage an die Datenschutzerklärung.
Cookies und Einwilligung
Für Cookies und ähnliche Techniken gilt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), bis Mai 2024 TTDSG genannt. Die Regel: Informationen auf dem Gerät Ihrer Besucher speichern oder von dort auslesen dürfen Sie nur mit Einwilligung, es sei denn, es ist unbedingt erforderlich, damit ein Dienst funktioniert, den die Besucherin ausdrücklich nutzen möchte. Ein Warenkorb oder eine Anmeldung ist erforderlich, eine Reichweitenmessung mit Cookies oder ein Werbepixel nicht.
Eine wirksame Einwilligung wird vorher eingeholt, ist freiwillig und lässt sich so leicht ablehnen wie erteilen. Ein Banner mit einem großen „Alle akzeptieren“ und einem versteckten Weg zur Ablehnung erfüllt das nicht. Der einfachste Weg ist, auf nicht notwendige Cookies ganz zu verzichten; dann braucht es auch kein Banner. Besucherzahlen lassen sich ohne Cookies erheben, so arbeitet auch unser Website-Cockpit. In die Datenschutzerklärung gehört eine solche Statistik trotzdem. Welche Zahlen sich lohnen, steht unter Besucherzahlen messen, ohne Cookie-Banner.
Verschlüsselung, Hosting und Auftragsverarbeitung
Eine Website wird heute durchgehend verschlüsselt über HTTPS ausgeliefert. Spätestens wenn ein Formular Daten überträgt, verlangt die DSGVO eine sichere Übertragung (Art. 32), und Browser markieren unverschlüsselte Seiten als „nicht sicher“. Zertifikate dafür sind bei den meisten Hostern inzwischen Standard.
Ihr Hoster verarbeitet in Ihrem Auftrag personenbezogene Daten, mindestens die IP-Adressen in den Server-Protokollen. Mit ihm und mit jedem anderen Dienstleister, der das tut, etwa einem Newsletter-Versand oder einem Buchungssystem, schließen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Die meisten Anbieter stellen ihn im Kundenkonto bereit; Sie müssen ihn abschließen und aufbewahren. Liegt der Server in Deutschland, stellen sich für das Hosting außerdem keine Fragen zur Übermittlung in Drittländer. Bei uns gehören Hosting in Deutschland und SSL zu jedem Website-Paket.
Schriften und Inhalte von fremden Servern
Viele Websites laden Schriften, Skripte oder Bilder von fremden Servern, etwa Google Fonts. Dabei überträgt der Browser Ihrer Besucher deren IP-Adresse an den fremden Anbieter, bevor jemand gefragt wurde. Das Landgericht München I hat am 20. Januar 2022 (Az. 3 O 17493/20) entschieden, dass die dynamische Einbindung von Google Fonts ohne Einwilligung das allgemeine Persönlichkeitsrecht eines Besuchers verletzt, und ihm Schadensersatz zugesprochen. In der Folge erhielten viele Websitebetreiber Schreiben mit Forderungen.
Die Lösung ist einfach: Schriften lassen sich auf dem eigenen Server ablegen und von dort ausliefern. Dann baut der Browser beim Seitenaufruf keine Verbindung zu Dritten auf. So halten wir es auf dieser Website: Schriften, Skripte und Bilder kommen vom eigenen Server, und ein Cookie-Banner ist hier nicht nötig.
Dasselbe gilt für eingebettete Videos und Karten. Ein YouTube-Video oder eine Google-Karte, die mit der Seite lädt, baut die Verbindung zum Anbieter auf, auch wenn niemand darauf klickt. Besser ist eine Vorschau mit einem kurzen Hinweis, die den fremden Inhalt erst nach einem Klick lädt, oder ein einfacher Link.
Das Kontaktformular
Ein Kontaktformular fragt nur, was Sie für eine Antwort brauchen; das folgt aus dem Grundsatz der Datenminimierung in Art. 5 DSGVO. Pflichtfelder sind in der Regel Name, E-Mail-Adresse und Nachricht. Eine Telefonnummer oder Anschrift ist ein freiwilliges Feld, solange Sie sie nicht zwingend brauchen. Das Formular verweist auf die Datenschutzerklärung, und dort steht, was mit den Angaben geschieht und wann sie gelöscht werden.
Die Checkliste zum Abhaken
- Impressum nach § 5 DDG, vollständig und von jeder Seite mit einem Klick erreichbar.
- Eine Datenschutzerklärung, die zu Ihrer Website passt, ebenfalls von jeder Seite erreichbar.
- Die ganze Website läuft über HTTPS, auch Unterseiten und Formulare.
- Keine nicht notwendigen Cookies ohne vorherige Einwilligung; Ablehnen ist so einfach wie Zustimmen.
- Verträge zur Auftragsverarbeitung mit dem Hoster und allen Dienstleistern, die Daten verarbeiten.
- Schriften und Skripte liegen auf dem eigenen Server.
- Videos, Karten und Beiträge aus sozialen Netzwerken laden erst nach einem Klick.
- Das Kontaktformular fragt nur ab, was nötig ist.
- Nach jeder Änderung an der Technik: Datenschutzerklärung prüfen.
Ob Ihre Website Verbindungen zu fremden Servern aufbaut, sehen Sie in den Entwicklerwerkzeugen Ihres Browsers: Taste F12, Reiter „Netzwerk“, dann die Seite neu laden. Jede Adresse, die nicht zu Ihrer Domain gehört, ist ein Dritter.
Dieser Artikel ist eine Orientierung und keine Rechtsberatung. Die Rechtstexte selbst sollten aus einer verlässlichen Quelle stammen, etwa von einer Anwältin, einem Anwalt oder einem seriösen Generator; die technische Umsetzung gehört ins Angebot für die Website.