Datenschutz und rechtliche Grundlagen einer Website

Grundlage

Die Vorbereitung verbindet verbindliche Unternehmensangaben mit einer Übersicht der eingesetzten Technik. Daraus wird erkennbar, welche Informationen vorliegen und welche Fragen noch fachkundig geklärt werden müssen.

Für die Planung eines geschäftlichen Auftritts werden zunächst die verbindlichen Unternehmensangaben gesammelt. Dazu gehören insbesondere die zutreffende Bezeichnung, Anschrift und Kontaktinformationen. Welche weiteren Angaben erforderlich sind, hängt von der konkreten Tätigkeit und Unternehmensform ab. Die gesetzlichen Informationspflichten und Anforderungen an die Erreichbarkeit sind unter anderem in § 5 DDG geregelt. Diese Norm ist ein Ausgangspunkt, keine vollständige Prüfung sämtlicher denkbarer Pflichten.

Die Angaben sollten von einer zuständigen Person des Unternehmens bereitgestellt und freigegeben werden. Alte Unterlagen sind darauf zu prüfen, ob Anschrift, Vertretung oder andere Informationen noch stimmen. Bei regulierten Tätigkeiten oder besonderen Angebotsformen können zusätzliche Fragen entstehen. Offene rechtliche Punkte werden mit einer qualifizierten Stelle geklärt. Der Webdienstleister benötigt anschließend eine eindeutige Fassung für die Einbindung.

In der Umsetzung wird kontrolliert, ob der Impressumsbereich auf den vorgesehenen Seiten erreichbar ist. Dazu gehört auch die mobile Ansicht. Ein Link im Footer hilft nicht, wenn er durch ein darüberliegendes Element verdeckt wird oder sich nicht bedienen lässt. Die erreichbare Veröffentlichung und die inhaltliche Richtigkeit der Angaben sind zwei unterschiedliche Prüfpunkte. Beide brauchen einen klaren Verantwortlichen.

Für die Datenschutzhinweise wird erfasst, welche Funktionen und Dienste die Website verwendet. Dazu können Hosting, Kontaktformulare, Auswertungen, eingebundene Videos oder Buchungsdienste gehören. Wichtig ist nicht allein, was im Entwurf vorgesehen war, sondern was in der veröffentlichten Fassung tatsächlich aktiv ist. Eine übersichtliche Liste der Anbieter und Funktionen erleichtert die weitere Prüfung und verhindert, dass versteckte Einbindungen übersehen werden.

Die rechtliche Einordnung muss zur konkreten Verarbeitung passen. Welche Daten werden verarbeitet, zu welchem Zweck und durch wen? Welche Informationen müssen Besucher erhalten? Welche Vereinbarungen oder weiteren Maßnahmen sind erforderlich? Diese Fragen werden anhand des Einzelfalls geprüft. Eine beliebig übernommene Datenschutzerklärung bildet eine andere Website und deren Abläufe möglicherweise nicht zutreffend ab. Ein Text ersetzt außerdem keine notwendige technische Anpassung.

Auch interne Abläufe gehören zur Vorbereitung. Eine Formularanfrage kann beispielsweise in einem Postfach, einem Verwaltungssystem oder bei mehreren Empfängern ankommen. Diese Wege sollten bekannt sein, damit Angaben und tatsächlicher Umgang zusammenpassen. Wer die Website erstellt, kann die technische Einrichtung beschreiben. Das Unternehmen muss die anschließende Verarbeitung in seiner Organisation klären und gegebenenfalls fachkundig prüfen lassen.

Umsetzung

Die rechtliche Einordnung wird in konkrete Einstellungen und Abläufe übersetzt. Anschließend ist am tatsächlichen Verhalten der Website zu prüfen, ob Auswahlmöglichkeiten und Kontaktwege wie vorgesehen funktionieren.

Bei Cookies und ähnlichen Technologien ist zwischen der Speicherung beziehungsweise dem Zugriff auf dem Endgerät und einer anschließenden Verarbeitung personenbezogener Daten zu unterscheiden. § 25 TDDDG regelt den Schutz der Privatsphäre auf Endgeräten einschließlich Einwilligung und Ausnahmen. Welche Ausnahme im konkreten Fall greift und welche weiteren Anforderungen bestehen, muss anhand der tatsächlichen Funktion beurteilt werden. Nicht jeder Dienst lässt sich durch seine Bezeichnung eindeutig einordnen.

Für die Umsetzung wird festgelegt, welche Funktionen eine vorherige Einwilligung benötigen. Anschließend wird geprüft, ob diese Funktionen vor einer entsprechenden Auswahl tatsächlich zurückgehalten werden. Ein sichtbarer Dialog ist dafür allein kein Beleg. Auch eine Auswahl „Ablehnen“ muss technisch berücksichtigt werden. Die Datenschutzaufsicht Baden-Württemberg beschreibt typische Probleme bei Einwilligungsabfragen und ihrer Umsetzung.

Zur Funktionsprüfung gehören der erste Aufruf, eine Ablehnung, eine gezielte Auswahl und das spätere erneute Öffnen der Einstellungen. Dabei wird kontrolliert, ob die Auswahl nach einem erneuten Seitenaufruf angemessen berücksichtigt wird und wie eine Änderung möglich ist. Ein Zugang zu den Einstellungen sollte verständlich beschriftet und bedienbar sein. Er darf wichtige Inhalte oder rechtliche Informationslinks nicht durch seine Position unzugänglich machen.

Ein Formular sollte nur Angaben abfragen, die für seine Aufgabe benötigt werden. Beschreiben Sie zunächst, was mit der Anfrage geschehen soll und welche Informationen dafür erforderlich sind. Manche Fragen können im späteren Gespräch geklärt werden. Pflichtfelder, Dateiuploads und zusätzliche Empfänger werden bewusst festgelegt. Die geeignete Rechtsgrundlage und erforderliche Information hängen vom jeweiligen Ablauf ab und werden gesondert eingeordnet.

Technisch wird nicht nur das Absenden betrachtet. Eine Testanfrage sollte beim vorgesehenen Empfänger ankommen, die Übertragung sollte über eine geeignete geschützte Verbindung erfolgen und Fehlermeldungen sollten verständlich sein. Für den Test werden passende Testdaten verwendet. Eine bestätigte Zustellung beweist die Funktion des geprüften Wegs, aber keine vollständige datenschutzrechtliche Prüfung des anschließenden Umgangs mit den Angaben.

Externe Karten, Videos und andere Inhalte werden nach ihrem Nutzen ausgewählt. Ist eine direkte Einbindung erforderlich oder genügt ein Link? Welche Verbindung wird beim Laden aufgebaut? Welche Verarbeitung entsteht beim Aktivieren eines Inhalts? Solche Fragen helfen, die technische Umsetzung nachvollziehbar zu gestalten. Eine alternative Darstellung kann den Informationsbedarf manchmal mit weniger Einbindungen erfüllen. Die Entscheidung wird an der tatsächlichen Aufgabe der Seite ausgerichtet.

Entscheidung

Neben Datenverarbeitung betreffen weitere Fragen die veröffentlichten Inhalte und deren Zugänglichkeit. Zuständigkeiten werden deshalb so festgelegt, dass auch spätere Änderungen nachvollziehbar geprüft werden können.

Neben Datenschutz betreffen weitere Fragen die veröffentlichten Inhalte. Für Texte, Bilder, Logos und andere Materialien muss geklärt sein, ob und in welchem Umfang sie verwendet werden dürfen. Bei eigenen Fotos können ebenfalls Rechte oder Einwilligungen relevant sein. Legen Sie fest, wer die Nachweise und Freigaben bereitstellt. Eine Bilddatei im gemeinsamen Ordner belegt für sich genommen keine zulässige Veröffentlichung in jedem gewünschten Zusammenhang.

Auch Anforderungen an Barrierefreiheit sind anhand des Angebots zu prüfen. Das Barrierefreiheitsstärkungsgesetz erfasst bestimmte Produkte und Dienstleistungen, darunter den elektronischen Geschäftsverkehr. Die Bundesfachstelle Barrierefreiheit erläutert den Anwendungsbereich und Ausnahmen. Daraus folgt keine pauschale Aussage, dass jede Unternehmenswebsite gleichermaßen erfasst ist oder dass ein kleines Unternehmen grundsätzlich von allen Anforderungen ausgenommen wäre.

Unabhängig von dieser rechtlichen Einordnung sind verständliche Inhalte und bedienbare Funktionen sinnvolle Projektziele. In der Umsetzung können beispielsweise Tastaturbedienung, erkennbare Beschriftungen und lesbare Kontraste geprüft werden. Welche Anforderungen und Prüftiefe zum Auftrag gehören, wird konkret vereinbart. Ein einzelner automatisierter Test oder ein zusätzliches Bedienelement ersetzt keine vollständige Beurteilung der Zugänglichkeit einer Website.

Die Prüfung endet nicht zwangsläufig mit dem ersten Livegang. Neue Funktionen können neue Datenwege oder Informationspflichten mit sich bringen. Wenn später ein Buchungsdienst, eine Auswertung oder ein anderer externer Inhalt ergänzt wird, sollten die betroffenen Angaben und Einstellungen erneut betrachtet werden. Auch Änderungen im Unternehmen können eine Aktualisierung erforderlich machen. Dafür braucht es einen klaren Melde- und Abstimmungsweg.

Halten Sie fest, welche Aufgaben der Webdienstleister übernimmt und welche beim Unternehmen oder einer rechtlichen Fachstelle liegen. Technische Wartung bedeutet nicht automatisch eine laufende juristische Überwachung sämtlicher Inhalte. Auch ein begrenzter Erstellungsauftrag umfasst nicht unbegrenzt neue Dienste und Prüfungen. Der Umfang wird ausdrücklich vereinbart, damit bei Änderungen keine Zuständigkeitslücke entsteht und notwendige Informationen rechtzeitig vorliegen.

Eine nachvollziehbare Übergabe enthält die eingesetzten Funktionen, relevante Zugänge und bekannte offene Punkte. Technische Prüfergebnisse werden von rechtlichen Freigaben unterschieden. Wie diese Abstimmung in das Gesamtprojekt passt, zeigt unser Ratgeber zum Ablauf der Website-Erstellung. Auf der Leistungsseite zur Website-Erstellung finden Sie die Grundlage für die gemeinsame Planung des benötigten Umfangs.