DSGVO für Ihre Website: Cookies, externe Inhalte, Formulare und Datenschutzerklärung

Fast jede Website verarbeitet personenbezogene Daten: Namen und E-Mail-Adressen aus einem Formular, Bestellungen, Benutzerkonten, aber auch IP-Adressen und Cookies. Dafür gelten die DSGVO (Datenschutz-Grundverordnung) und, für Cookies, das niederländische Telekommunikationsgesetz (Telecommunicatiewet). Hier lesen Sie, worauf Sie bei Ihrer eigenen Website achten sollten.

Dieser Artikel ist keine Rechtsberatung. Er gibt die Grundzüge wieder, wie die niederländische Datenschutzbehörde Autoriteit Persoonsgegevens (AP) sie erläutert. Wenn Sie bei Ihrer eigenen Situation unsicher sind, lesen Sie die Seiten der AP oder wenden Sie sich an eine Fachperson.

Cookies und Einwilligung

Ein Cookie-Banner holt diese Einwilligung ein. Laut AP erläutern Sie, welche Cookies Sie verwenden und wofür, das Ablehnen ist genauso einfach wie das Akzeptieren, und es sind keine Kästchen vorab angekreuzt. Ein Banner, das den Tracking-Code bereits lädt, bevor der Besucher eine Wahl trifft, genügt nicht. Wählen Sie ein Cookie-Plugin, das Skripte tatsächlich blockiert, und überprüfen Sie das in den Entwicklertools Ihres Browsers (F12, Registerkarte Netzwerk).

Sie möchten Besucher ohne Banner zählen? Lesen Sie Besucher messen ohne Cookie-Banner.

Externe Inhalte

Lädt eine Seite etwas von einem anderen Anbieter, ruft der Browser Ihres Besuchers es bei diesem Anbieter ab. Dieser sieht dann mindestens die IP-Adresse, auch ohne Cookies. Prüfen Sie deshalb, was Ihre Website von außen lädt:

• Schriftarten von einem externen Dienst: Legen Sie diese auf Ihrem eigenen Hosting ab.
• Videos: Nutzen Sie den datenschutzfreundlichen Einbettungsmodus der Plattform oder ein Bild, das das Video erst nach einem Klick lädt.
• Karten: ein Bild mit einem Link zur Karte.
• Captchas, Chatfenster und Widgets: Wählen Sie eine Variante ohne externen Dienst oder laden Sie diese erst nach der Einwilligung.
• Avatare in Kommentaren laufen bei WordPress standardmäßig über Gravatar. Schalten Sie sie ab, wenn Sie sie nicht benötigen (Einstellungen > Diskussion).

Was übrig bleibt, nennen Sie in Ihrer Datenschutzerklärung.

Formulare

• Fragen Sie nur ab, was Sie benötigen. Für eine Rückrufbitte genügen ein Name und eine Telefonnummer.
• Sorgen Sie dafür, dass Ihre Website nur über https erreichbar ist: siehe SSL-Zertifikat aktivieren, erneuern und Probleme lösen.
• Viele Formular-Plugins speichern jede Einsendung zusätzlich zur E-Mail auch in der Datenbank. Legen Sie eine Aufbewahrungsfrist fest oder deaktivieren Sie das Speichern, wenn die E-Mail ausreicht. Auch das Protokoll eines SMTP-Plugins enthält Einsendungen.
• Eine Anmeldung zum Newsletter ist ein eigenes Kästchen, das nicht vorab angekreuzt ist.

Die Datenschutzerklärung

In Ihrer Datenschutzerklärung teilen Sie Ihren Besuchern unter anderem mit:

• wer Sie sind und wie man Sie erreicht;
• welche Daten Sie verarbeiten, wofür und auf welcher Rechtsgrundlage;
• mit wem Sie diese teilen und ob sie in Länder außerhalb der EU übermittelt werden;
• wie lange Sie sie aufbewahren;
• welche Rechte die Besucher haben, etwa auf Auskunft und Löschung, und dass sie eine Beschwerde bei der AP einreichen können;
• welche Cookies und externen Dienste Ihre Website verwendet.

WordPress erstellt bei der Installation einen Seitenentwurf Datenschutzerklärung und bietet unter Einstellungen > Datenschutz Beispieltexte. Das ist ein Anfang, aber kein fertiger Text. Setzen Sie einen Link zur Datenschutzerklärung in die Fußzeile und zu jedem Formular. Unter Werkzeuge können Sie personenbezogene Daten eines Benutzers exportieren oder löschen, wenn jemand darum bittet.

Wenn Sie Ihre Website mit AI Builder erstellen, kann dieser aus den Inhalten Ihrer Website eine Datenschutzerklärung verfassen und für Dienste anderer Anbieter ein Cookie-Banner anzeigen. Lesen Sie den Text immer gründlich durch und ergänzen Sie, was fehlt.

Der Auftragsverarbeitungsvertrag mit Ihrem Hoster

Lassen Sie personenbezogene Daten von einem anderen Anbieter für sich verarbeiten, etwa von Ihrem Hoster, einem E-Mail-Dienst oder einem Plugin mit Cloud-Dienst, dann ist dieser Anbieter ein Auftragsverarbeiter. Dafür schließen Sie einen Auftragsverarbeitungsvertrag ab. Mit WebOké haben Sie diesen bereits: Er ist eine Anlage zu unseren Allgemeinen Geschäftsbedingungen. Siehe Auftragsverarbeitungsvertrag: Wo finde ich ihn? Für andere Dienste, die Sie auf Ihrer Website nutzen, regeln Sie dies mit dem jeweiligen Dienst.

Geht etwas schief, etwa durch einen Hack oder ein durchgesickertes Backup, kann es sich um eine Datenpanne handeln, die Sie melden müssen. Siehe Datenpannen bei der AP und Hilfe! Meine Website wurde gehackt. Wie behebe ich das und wie verhindere ich es?

Ein kurzer Schritt-für-Schritt-Plan

1. Erstellen Sie eine Liste von allem auf Ihrer Website, das personenbezogene Daten verarbeitet: Formulare, Benutzerkonten, Bestellungen, Kommentare, Statistiken, Newsletter.
2. Prüfen Sie, was Ihre Website beim Laden an andere Anbieter sendet.
3. Entfernen Sie, was nicht nötig ist, und ersetzen Sie, was sich datenschutzfreundlicher lösen lässt.
4. Holen Sie für das, was übrig bleibt und dies tatsächlich erfordert, eine Einwilligung ein.
5. Schließen Sie Auftragsverarbeitungsverträge ab und verfassen oder überarbeiten Sie Ihre Datenschutzerklärung.
6. Überprüfen Sie alles jedes Jahr erneut sowie nach jedem neuen Plugin oder Dienst.

Die Cookie-Auswahl auf weboke.nl selbst finden Sie unter Cookies bei WebOké: Ihre Auswahl ansehen oder ändern. Das betrifft unsere Website, nicht Ihre.

Weiterlesen bei der Autoriteit Persoonsgegevens

• Cookies: Sorgen Sie für gute Richtlinien
• Faustregeln für klare Cookie-Banner
• Recht auf Information

Mehr erfahren? Besuchen Sie den kostenlosen WordPress-Kurs, Lektion 9.3 DSGVO: Cookies, Formulare und Datenschutzerklärung.