Die DSGVO Checkliste

Am 25. Mai 2018 wurde die Datenschutz-Grundverordnung wirksam und regelte den Umgang mit personenbezogenen Daten europaweit einheitlich. Diese Checkliste entstand kurz vor diesem Stichtag und ist seither um die Punkte ergänzt, die danach dazugekommen sind — der Abschnitt am Ende fasst sie zusammen.

Vorweg eine Abgrenzung, die diesen ganzen Text betrifft: Was hier steht, beschreibt die technische Umsetzung. Wo genau die Grenze zwischen zulässig und unzulässig verläuft, welche Rechtsgrundlage im Einzelfall trägt und welches Risiko ein Unternehmen eingehen will, ist eine juristische Bewertung. Die gehört auf den Tisch einer Anwältin oder eines Anwalts oder zur Datenschutzbeauftragten — nicht in einen Blogbeitrag und auch nicht zu Ihrer Webagentur.

Informationspflicht

Grundlage der Verordnung ist das Recht jeder Person, selbst zu bestimmen, was mit ihren Daten geschieht: wer sie erhebt, zu welchem Zweck, wie lange sie gespeichert werden und an wen sie weitergegeben werden. Daraus folgt, dass die betroffene Person informiert sein muss, bevor verarbeitet wird — nicht danach.

Für eine Website heißt das praktisch: Die Datenschutzerklärung deckt den Regelfall ab. Alles, was darüber hinausgeht, braucht einen eigenen Hinweis an der Stelle, an der es passiert — beim Kontaktformular, bei der Newsletter-Anmeldung, beim Bewerbungsupload. Werden Daten nicht direkt bei der betroffenen Person erhoben, sondern etwa aus einer anderen Quelle übernommen, ist sie innerhalb eines Monats zu informieren.

Der Aufwand liegt selten beim Text, sondern bei der Bestandsaufnahme davor: Welche Systeme sammeln in diesem Unternehmen eigentlich Daten? Die Antwort fällt fast immer länger aus als erwartet.

Verzeichnis von Verarbeitungstätigkeiten

Wer personenbezogene Daten verarbeitet, führt ein Verzeichnis darüber und legt es auf Anforderung der Aufsichtsbehörde vor. Dokumentiert wird je Verarbeitung: Zweck, Kategorien betroffener Personen und Daten, Empfänger, Speicherdauer, technische und organisatorische Schutzmaßnahmen.

Sinnvollerweise wird nicht ein Sammelverzeichnis geführt, sondern je Prozess ein Eintrag: Kontaktformular, Newsletter, Bestellabwicklung, Bewerbungen, Website-Analyse, Support-Tickets. So bleibt nachvollziehbar, welche Daten wo hingehören — und der Eintrag lässt sich einzeln ändern, wenn ein Werkzeug ausgetauscht wird.

Unternehmen mit weniger als 250 Beschäftigten können nach Art. 30 Abs. 5 DSGVO von der Pflicht ausgenommen sein, sofern die Verarbeitung

• kein Risiko für die Rechte und Freiheiten der betroffenen Personen birgt,
• nur gelegentlich erfolgt und
• keine besonderen Datenkategorien nach Art. 9 Abs. 1 DSGVO (etwa Gesundheitsdaten) oder Daten zu Straftaten nach Art. 10 DSGVO umfasst.

Diese Bedingungen müssen zusammen erfüllt sein, und ein Onlineshop erfüllt sie in der Regel nicht — regelmäßige Verarbeitung von Kundendaten ist gerade nicht „gelegentlich“.

Transportverschlüsselung

Eine Website ohne durchgängiges HTTPS ist heute nicht mehr vertretbar, und zwar unabhängig von der DSGVO: Browser markieren unverschlüsselte Formulare als unsicher, und jedes Kontaktformular überträgt personenbezogene Daten. Zertifikate sind über Let’s Encrypt kostenlos und lassen sich automatisiert erneuern; das grüne Schlosssymbol, das früher Sicherheit signalisierte, zeigen die Browser inzwischen nicht mehr an — verschlüsselt ist der Normalfall, hervorgehoben wird nur noch die Ausnahme.

Zur Absicherung des Zugangs gehört außerdem, dass jede Person, die am System arbeitet, ein eigenes Konto hat. Sammelzugänge machen jede Nachvollziehbarkeit zunichte. Die früher übliche Empfehlung, Passwörter routinemäßig alle 90 Tage zu wechseln, gilt inzwischen als überholt — erzwungene Wechsel führen zu vorhersehbaren Varianten desselben Passworts. Wirksamer sind lange, einmalig verwendete Passwörter aus einem Passwortmanager plus Zwei-Faktor-Authentifizierung, und ein sofortiger Wechsel dann, wenn es einen Anlass gibt.

Cookies und Einwilligung

Das ist der Punkt, der sich seit 2018 am deutlichsten verschärft hat. Maßgeblich ist inzwischen nicht allein die DSGVO, sondern § 25 TTDSG — seit 2024 TDDDG. Danach ist für das Speichern von Informationen auf dem Endgerät und den Zugriff darauf grundsätzlich eine Einwilligung nötig, unabhängig davon, ob dabei personenbezogene Daten anfallen. Ausgenommen sind nur Cookies, die für den vom Nutzer angeforderten Dienst unbedingt erforderlich sind: Warenkorb, Session, Sprachauswahl.

Für den Consent-Banner heißt das konkret:

• Aktive Einwilligung. Voreingestellte Häkchen genügen nicht. Wer nichts anklickt, hat nicht eingewilligt.
• Skripte laden erst danach. Ein Banner, unter dem Analytics und Marketing-Tags bereits ausgeführt wurden, ist wirkungslos. Das ist der häufigste Fehler in der Praxis und lässt sich in den Entwicklerwerkzeugen des Browsers in einer Minute nachprüfen.
• Ablehnen so einfach wie Annehmen. Ein prominenter Zustimmen-Button neben einem grauen Textlink genügt den Anforderungen der Aufsichtsbehörden nicht.
• Widerruf jederzeit möglich, über einen dauerhaft erreichbaren Link, und ohne dass dabei mehr Aufwand entsteht als bei der Zustimmung.
• Dokumentation. Wann wurde welche Einwilligung mit welchem Bannerstand erteilt? Ohne Protokoll ist sie im Zweifel nicht nachweisbar.

Eingebundene Dienste Dritter

Jede Ressource, die der Browser von einem fremden Server nachlädt, überträgt dabei die IP-Adresse des Besuchers dorthin. Das betrifft Social-Media-Buttons, eingebettete Videos, Kartendienste, Chat-Widgets — und Schriftarten.

Der Fall der Schriften ist der bekannteste: Das Landgericht München I entschied 2022, dass die dynamische Einbindung von Google Fonts ohne Einwilligung einen Eingriff in das Persönlichkeitsrecht darstellt, und sprach der klagenden Person Schadensersatz zu. Die technische Konsequenz ist einfach und in jedem Projekt in kurzer Zeit erledigt: Schriften herunterladen, lokal ausliefern, die Aufrufe an fonts.googleapis.com entfernen. Nebenbei wird die Seite dadurch schneller, weil eine DNS-Auflösung und eine Verbindung zu einem fremden Host entfallen.

Für alles andere gilt dasselbe Muster: entweder erst nach Einwilligung laden, oder durch eine lokale Variante ersetzen. Karten und Videos lassen sich mit einer Vorschaugrafik versehen, die den eigentlichen Dienst erst auf Klick nachlädt.

Impressum und Datenschutzerklärung

Beide müssen von jeder Seite aus mit einem Klick erreichbar sein — üblicherweise über den Footer. In der Datenschutzerklärung muss stehen, welche Daten zu welchem Zweck auf welcher Rechtsgrundlage verarbeitet werden, wie lange sie gespeichert bleiben, an wen sie gehen und welche Rechte die betroffene Person hat.

Der früher kursierende Rat, Impressum und Datenschutzerklärung auf noindex zu setzen, um Abmahnsuchmaschinen auszuweichen, ist keine gute Idee: Er schützt nicht vor Abmahnungen und nimmt Ihnen die Möglichkeit, dass jemand die Seiten über die Suche findet. Eine Erstfassung erstellen Sie sich mit unserem Generator für Datenschutzerklärungen — als Grundlage, die anschließend an das tatsächlich eingesetzte Werkzeugset angepasst gehört.

Analyse, Tracking und Auftragsverarbeitung

Wer Website-Daten auswertet, verarbeitet in der Regel personenbezogene Daten und braucht dafür eine Rechtsgrundlage — bei Analyse- und Marketingwerkzeugen praktisch immer die Einwilligung.

Wird ein externer Dienst eingesetzt, kommt ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO hinzu. Das gilt für Analysewerkzeuge genauso wie für Newsletter-Dienstleister, Hoster, CRM-Systeme und externe Buchhaltung. Der Begriff „ADV“ stammt noch aus der Zeit vor der DSGVO; gemeint ist heute der AVV.

Beim Drittlandtransfer hat sich seit 2018 die Rechtsgrundlage zweimal geändert: Das EU-US Privacy Shield wurde 2020 vom Europäischen Gerichtshof für ungültig erklärt, seit 2023 gilt das EU-US Data Privacy Framework, unter dem sich US-Anbieter erneut zertifizieren können. Ob ein konkreter Anbieter zertifiziert ist und welche zusätzlichen Maßnahmen nötig sind, ist im Einzelfall zu prüfen — und diese Prüfung ist juristischer Natur.

Zwei technische Punkte, die 2018 noch nicht galten:

Universal Analytics wurde im Juli 2023 abgeschaltet. Wer noch das alte Skript einbindet, sammelt seit Jahren nichts mehr. Nachfolger ist Google Analytics 4, das die IP-Adressen unabhängig von einer Einstellung nicht mehr speichert. Wer die Daten lieber im eigenen Haus behält, findet mit Matomo eine selbst gehostete Alternative — das reduziert die Drittlandfrage auf null, ersetzt aber nicht die Einwilligung.

Consent Mode v2 ist seit März 2024 Voraussetzung dafür, dass Google-Dienste im Europäischen Wirtschaftsraum Messdaten und Zielgruppen weiter verarbeiten. Technisch überträgt der Consent-Banner dabei den Einwilligungsstatus an die eingebundenen Google-Tags, die ihr Verhalten daran ausrichten. Wer das nicht umgesetzt hat und Google Ads einsetzt, verliert Messbarkeit. Wie sich Website-Daten ohne vollständiges Tracking sinnvoll auswerten lassen, behandeln wir auf der Seite zu Web-Analytics.

Formulare und Newsletter

Bei jedem Formular gehört ein Hinweis dazu, wofür die Daten verwendet werden und wie lange sie gespeichert bleiben — verlinkt auf die Datenschutzerklärung, nicht als Textwand daneben. Erhoben wird, was gebraucht wird: Ein Kontaktformular, das die Telefonnummer als Pflichtfeld verlangt, obwohl per E-Mail geantwortet wird, sammelt Daten ohne Zweck.

Für Newsletter ist das Double-Opt-in-Verfahren der praktische Standard: Nach der Anmeldung geht eine Bestätigungsmail raus, erst der Klick darin schaltet den Versand frei. Damit ist die Einwilligung dokumentiert und nachweisbar. Im Anmeldeformular sollte stehen, was tatsächlich versendet wird — Angebote, Fachbeiträge, Produktneuheiten —, und jede Mail braucht einen funktionierenden Abmeldelink. Mit dem Versanddienstleister wird ein AVV geschlossen.

Was sich seit 2018 geändert hat

• Für Cookies und vergleichbare Technologien gilt seit dem TTDSG, heute TDDDG, ein eigener Einwilligungstatbestand in § 25. Voreingestellte Häkchen sind keine Einwilligung.
• Google Fonts und andere externe Ressourcen gehören lokal eingebunden oder hinter die Einwilligung.
• Universal Analytics ist abgeschaltet, Google Analytics 4 hat es abgelöst.
• Consent Mode v2 ist seit März 2024 Voraussetzung für die Nutzung der Google-Messdienste im EWR.
• Das Privacy Shield ist Geschichte, an seine Stelle trat das EU-US Data Privacy Framework.
• Die Aufsichtsbehörden prüfen aktiv und automatisiert, vor allem Consent-Banner und externe Ressourcen.

Bei WordPress-Installationen sammeln sich diese Punkte typischerweise in den Plugins an — dazu haben wir eine eigene Seite zur DSGVO-Umsetzung für WordPress. Für Shops kommen die Pflichten aus dem Verbraucherrecht hinzu, die auf der Seite zum E-Commerce zusammengefasst sind.

Wenn wir bei der technischen Umsetzung unterstützen sollen, schildern Sie uns Ihre Situation kurz über die Kontaktseite.