EU-Datenschutzgrundverordnung
Am 25. Mai 2018 tritt die EU-Datenschutzgrundverordnung in Kraft. Dieses Gesetz regelt den Datenschutz in der EU komplett neu. Um die personenbezogenen Daten von Website-Besuchern zu schützen, müssen auch einige Anpassungen an Internet-Präsenzen gemacht werden, um sie weiterhin rechtskonform betreiben zu können. Hier haben wir eine Übersicht zusammengestellt:
1. SSL-Verschlüsselung
Alle Websites, auf denen die Möglichkeit besteht, personenbezogene Daten einzugeben, müssen dringend mit einem SSL-Zertifikat abgesichert werden. Wer z. B. eine Newsletter-Anmeldung, eine Bestell- oder Kommentarfunktion oder einfach nur ein Kontaktformular auf der Website anbietet, ist von dieser Vorschrift betroffen. Bei Websites, auf denen es nicht möglich ist, personenbezogene Daten einzugeben, ist eine Verschlüsselung nicht unbedingt nötig. Ich empfehle aber inzwischen grundsätzlich, Websites mit einem Zertifikat abzusichern, weil auch Google das sehr positiv bewertet.
2. Datenschutzhinweise in Formularen
Wenn der Nutzer Daten eingeben kann, muss ihm direkt vor dem Absenden des Formulars mitgeteilt werden, für welchen Zweck diese Daten verwendet werden, und dass sie nicht für andere Zwecke verwendet oder weitergegeben werden. Das bedeutet, dass fast alle Kontaktformulare oder sonstige Eingabemöglichkeiten wie Newsletter-Anmeldung, Bestell- oder Kommentarfunktionen überarbeitet werden müssen. Alternativ kann man natürlich das Formular auch von der Seite löschen.
3. Datenschutzerklärung aktualisieren
Veraltete Datenschutzerklärungen müssen durch neue, EU-DSGVO-konforme Texte ausgetauscht werden. Da die neueste Version der Texte, die wir verwenden, erst seit Februar 2018 verfügbar ist, besteht leider auch bei den Websites Handlungsbedarf, die wir in den letzten Monaten neu erstellt haben.
4. Cookiemeldung
Nach der EU-Cookie-Richtlinie sollten Websites, die Cookies im Browser speichern (das machen fast alle modernen Websites aus technischen Gründen oder weil sie Google Analytics o. ä. nutzen), den Nutzer darüber informieren. Diese Vorschrift ist allerdings momentan kein Bestandteil der EU-DSGVO, also nicht unbedingt nötig. Ich empfehle die Cookiemeldung aber trotzdem, auch wenn ich sie persönlich als störend empfinde.
5. Newsletterversand
Die Regeln für E-Mail-Newsletter werden durch das neue Gesetz sehr streng. Man darf E-Mail-Werbung nur noch an Empfänger versenden, von denen man eine schriftliche Einwilligung hat. Eine E-Mail, z. B. durch eine Anmeldung auf der Website, ist hier ausdrücklich auch ausreichend, vorausgesetzt die Anmeldung wurde mit dem sog. Double-Opt-In Verfahren durchgeführt, was bei unserem CMS-Newsletter-Modul schon lange der Fall ist.
Es ist also ratsam, Empfängerlisten von E-Mail-Newslettern diesbezüglich zu überarbeiten und ggf. eine neue Einwilligung einzuholen. Hier genügt es ausdrücklich nicht, eine Nachricht zu versenden, die den Empfänger auffordert, sich abzumelden, wenn er den Newsletter nicht mehr will. Es ist eine aktive Anmeldung des Empfängers nötig, die man ihm auch nachweisen können muss, wenn es zu Beschwerden kommt. Aber das betrifft die Anpassungen auf der Website nicht direkt. Alte Einwilligungen bzw. Anmeldungen sind weiterhin gültig, vorausgesetzt sie sind schriftlich oder als E-Mail vorzeigbar.
6. Google Analytics
Google Anlytics, das von vielen Website-Betreibern zur Analyse des Nutzerverhaltens eingesetzt wird, überträgt jede Menge Nutzerdaten an Google. Aus diesem Grund sollte Google Analytics nur noch mit der sog. IP-Anonymisierung eingesetzt werden. Das kann i. d. R. durch eine zusätzliche Zeile im Tracking-Code aktiviert werden. Außerdem sollte in der Datenschutzerklärung der Link zum Setzen eines sog. Opt-Out-Cookies eingefügt werden. Es wird auch empfohlen, mit Google einen Vertrag zur Auftragsdatenverarbeitung abzuschließen. Das hat allerdings nicht direkt etwas mit der Website selbst zu tun. > Link zum Vertragsentwurf von Google (PDF)
7. Plugins von Facebook, Google, Twitter ...
Es gibt kleine Programme, die z. B. von Facebook angeboten werden, um z. B. einen Like-Button auf der eigenen Website einzubinden. Über diese Programme, die über den Quelltext direkt in die eigene Website eingebaut werden, können die Anbieter wie Facebook und Twitter das Nutzerverhalten von Ihren Website-Besuchern analysieren. Diese Plugins sollten zukünftig nicht mehr genutzt werden. Als Alternative gibt es z. B. Share-Buttons, die keine Daten an die Anbieter übertragen.
Da an vielen Stellen noch nicht klar ist, wie das Gesetz umgesetzt wird, können wir keine Haftung für diese Vorschläge und Maßnahmen übernehmen. Ich empfehle aber dringend, die eigene Website zu prüfen und die nötigen Änderungen durchführen zu lassen. Der Stichtag für die EU-DSGVO ist der 25. Mai 2018. Ab diesem Tag drohen sehr hohe Bußgelder, wenn eine Website nicht rechtskonform gestaltet ist. Weitere Informationen dazu finden Sie beim Bayerischen Landesamt für Datenschutzaufsicht: https://www.lda.bayern.de/de
Hier können Sie das Gesetz selbst nachlesen: https://dsgvo-gesetz.de/
