Checkliste: "EU DSGVO"-konforme Webseite

Ab 25. Mai 2018 gilt ein neues Datenschutzrecht (EU DSGVO) in ganz Europa.

Im Folgenden werden die einzelnen Schritte zur Absicherung Ihrer Webseite, diverser externer Dienste und Online-Profilen kurz dargestellt, jedoch ohne Anspruch auf Vollständigkeit.
Vielmehr handelt es sich hierbei lediglich um eine erste Auflistung, was alles bzgl. des Themas Datenschutz auf Sie und Ihr Unternehmen zukommen kann.

Erst einmal: Das Ziel der neuen Datenschutz-Grundverordnung (DSGVO) ist es, europaweit einheitliche Rahmenbedingungen zu schaffen. So soll generell eine größere Rechtssicherheit beim Umgang mit personenbezogenen Daten entstehen, um mit Daten achtsamer umzugehen. Und die Verordnung betrifft jeden Website-Betreiber, der mit personenbezogenen Daten arbeitet, vom Konzern bis zum Einzelunternehmen.

Obwohl die DSGVO zwar erhöhte Pflichten und hohe Bußgelder bei Verstoß mit sich bringt, berücksichtigt sie auch wirtschaftliche Interessen. So erschwert sie auf der einen Seite die Einholung einer Einwilligung, verpflichtet zur Datenportabilität und stellt klar, dass pseudonyme Cookies und IP-Adressen als "Online-Kennungen" personenbezogene Daten sind.

Allerdings schreibt sie auf der anderen Seite den freien Verkehr von Daten und damit wirtschaftliche Interessen im Artikel 1 fest. Das Abwägen zwischen berechtigten wirtschaftlichen Interessen und dem Schutz von Personendaten wird zum entscheidenden Aspekt der zukünftigen gesetzlich erlaubten Datenverarbeitung.

1.) Ist Ihre eigene Webseite bereits "DSGVO"-rechtskonform?

• SSL-Zertifikat für sicheren Datenverkehr aktivieren.
• AV-Vertrag zur Auftragsverarbeitung (AVV) mit Web-Provider abschließen.
• AV-Verträge zur Auftragsverarbeitung (AVV) ggf. mit Web-Agentur / Web-Admin(s) / sonst. Subunternehmern abschließen.
• "EU DSGVO"-konformes Impressum und Datenschutzerklärung für Webseite erstellen.
• Hinweis-Banner bzgl. "EU Cookie Richtlinie" (ePrivacy-Verordnung) auf Webseite schalten.
• Kontakt- und Kommentarformulare mit Hinweis-Checkbox zum Datenschutz versehen.
• Newsletter-Abo-Abfrage erfolgt ab sofort ausschließlich über „Double-Opt-In“-Verfahren.
   
• Wichtig für Shop-Betreiber: "EU DSGVO"-konforme AGB's und Widerrufsbelehrung.
  Für alle Shop-Betreiber gibt es auch kostengünstig dauerhaft rechtssicheren Abmahnschutz- und AGB-Pflege-Service-Pakete namhafter IT-Kanzleien wie bspw. eRecht24 oder IT-Kanzlei München.

2.) Nutzen Sie für Ihre Webseite auch externe Dienste und / oder Social Media Plugins?

a. Ist auf Ihrer Webseite das Analyse-Tracking-Tool "Google Analytics" integriert? Wenn ja, ...

• Altes Konto mit allen bis dato erhobenen Daten unverzüglich löschen und neu erstellen.
• AV-Vertrag zur Auftragsverarbeitung (AVV) mit Google ("Zusatz zur Datenverarbeitung") online abschließen.
• IP-Anonymisierung aktivieren (manuelle Anpassung im Tracking Code).
• Browser Plugin und "Double-Opt-Out"-Cookie für mobile Nutzung setzen (Javascript).
• SSL-Verschlüsselung bei der Datenübermittlung erzwingen ("Force SSL").
   
• Bitte beachten: Sollten Sie eine externe Agentur oder externen Dienstleister mit der regelmäßigen Betreuung Ihres Accounts bei "Google Analytics" beauftragt haben, sollten Sie mit der Agentur oder dem Dienstleister zusätzlich einen AV-Vertrag zur Auftragsverarbeitung (AVV) abschließen.

 
b. Nutzen Sie sog. "Google Fonts" auf Ihrer Webseite? Wenn ja, ...

• Laden Sie alle Google Fonts herunter und binden Sie diese über Ihren eigenen Webserver ein (Anleitung).

 
c. Betreiben Sie flankierend dazu Unternehmensprofile bei Drittanbietern ("Social Media Plugins")? Wenn ja, ...

• "EU DSGVO"-konforme Impressen auch bei allen externen Unternehmensprofilseiten integrieren.
• "Like & Share"-Plugins nicht mehr verwenden – nur noch externe Verlinkung auf jeweilige Profilseite setzen.
   
• Beispiele sind: Facebook ("Like & Share"), Twitter, Instagram, Google+, Tumblr, LinkedIn, XING, Pinterest, etc.

3.) Welche Art von Datenschutzmanagement ist für Ihr Unternehmen verpflichtend?

• Frage nach Pflicht zur Benennung eines "Datenschutzbeauftragten" sowie Durchführung einer "Datenschutz-Folgenabschätzung" (bei regelmäßiger Erhebung von "sensiblen Daten" verpflichtend) abklären.
• "Verzeichnis für Verarbeitungstätigkeiten" anlegen, anhand dessen der Weg der Daten von der Erhebung (etwa bei einer Online-Terminvergabe beim Frisör) über die Speicherung (etwa bei einem externen Anbieter für Terminmanagement) bis hin zur eigentlichen Nutzung nachgezeichnet werden kann.
   
• Bitte beachten: Alle mit der Datenverarbeitung verbundenen Prozesse sollten hinlänglich dokumentiert werden.
  Denn kommen bspw. Daten durch einen Hackerangriff abhanden, müssen Sie als Unternehmen binnen 72 Stunden die zuständige Landesdatenschutzbehörde informieren.

4.) Rechtsgrundlage und weiterführende Links

• DSGVO im Überblick
  Hier finden Sie die offizielle Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) in der aktuellen Version des ABl. L 119, 04.05.2016; ber. ABl. L 127, 23.05.2018 übersichtlich aufbereitet.
   
• DSGVO-CHECK bei eRecht24
  Einen individuell auf Ihr Unternehmen zugeschnittenen und anwaltlichen DSGVO-Check gibt es bspw. bei unserem Premium-Partner "eRecht24".
   
• Verzeichnis der Datenschutz-Aufsichtsbehörden in Deutschland
  Für öffentliche Stellen ist "Der Landesbeauftragte für den Datenschutz" zuständig. Außer in Bayern sind die Landesbeauftragten für den Datenschutz darüber hinaus auch für die Datenschutzaufsicht im nicht-öffentlichen Bereich, d. h. bei Wirtschaftsunternehmen, Vereinen, Verbänden oder Parteien, zuständig. Zu den öffentlichen Stellen gehören z.B. Verwaltungen von Städten, Gemeinden und Kreisen sowie Schulen und Universitäten.
  
  Welche Aufsichtsbehörden der einzelnen Bundesländer für die betroffene nicht-öffentliche Stellen zuständig ist, richtet sich nach dem Sitz der nicht-öffentlichen Stelle. Zu den nicht-öffentlichen Stellen gehören z.B. Versandhäuser, Adresshändler, Internet-Provider, Vereine, Ärzte und sonstige private Unternehmen.

5.) Wichtiger rechtlicher Hinweis!

Unser Artikel gibt Ihnen einen Überblick über die wichtigsten Punkte der DSGVO. Er ist allerdings kein Ersatz für eine Rechtsberatung. Für die korrekte Umsetzung aller datenschutzrechtlichen Anforderungen lassen Sie sich am besten von einem Anwalt oder Datenschutzbeauftragten beraten.

FOTO Header | © sdecoret