Eine Website kann optisch fertig sein und trotzdem datenschutzrechtlich erhebliche Lücken haben. Ein eingebettetes Video, ein Analyse-Tool oder ein Kontaktformular reichen oft schon aus, um personenbezogene Daten zu verarbeiten. Wer eine DSGVO-konforme Website umsetzen möchte, sollte Datenschutz deshalb nicht als letzten Punkt vor dem Go-live behandeln, sondern als festen Teil von Konzeption, Design und Technik.
Gerade für KMU ist eine pragmatische Herangehensweise entscheidend. Es geht nicht darum, jede Seite mit Hinweisen zu überladen. Es geht darum, nur jene Daten zu verarbeiten, die tatsächlich gebraucht werden, Besucher verständlich zu informieren und externe Dienste sauber einzubinden. Das schafft nicht nur Klarheit gegenüber Behörden, sondern stärkt auch das Vertrauen potenzieller Kunden.
Inhaltsverzeichnis
ToggleDSGVO-konforme Website umsetzen beginnt mit dem Iststand
Am Anfang steht eine einfache, aber konsequente Frage: Welche Daten verlassen beim Besuch der Website den Browser – und wohin? Dazu gehören nicht nur Eingaben in Formularen. Auch Server-Logfiles, Cookies, eingebundene Karten, Webfonts, Videos, Chat-Tools, Newsletter-Anmeldungen und Tracking-Skripte können Daten wie IP-Adresse, Geräteinformationen oder Nutzungsverhalten verarbeiten.
In der Praxis lohnt sich ein gemeinsamer Blick von Marketing, Technik und Geschäftsführung. Das Marketing weiss, welche Messdaten oder Kampagnen benötigt werden. Die technische Umsetzung zeigt, welche Dienste tatsächlich geladen werden. Die Geschäftsführung entscheidet, welche Massnahmen wirtschaftlich sinnvoll sind und wer Verantwortung übernimmt. Diese Abstimmung verhindert einen häufigen Fehler: Tools werden eingebaut, weil sie verfügbar sind, nicht weil sie einen nachvollziehbaren Zweck erfüllen.
Bei bestehenden Websites empfiehlt sich ein technischer Datenschutz-Check vor einem Relaunch oder vor neuen Marketingmassnahmen. Besonders kritisch sind über Jahre gewachsene WordPress-Installationen, Shop-Systeme mit vielen Erweiterungen und Websites, auf denen mehrere Agenturen oder Mitarbeiter Änderungen vorgenommen haben. Nicht jedes Plugin ist ein Problem. Aber jedes Plugin sollte einen klaren Nutzen, einen aktuellen Wartungsstatus und eine datenschutzkonforme Konfiguration haben.
Cookies und externe Dienste richtig steuern
In Österreich ist neben der DSGVO insbesondere § 165 Telekommunikationsgesetz 2021 für das Speichern oder Auslesen von Informationen auf Endgeräten relevant. Vereinfacht gesagt: Für technisch nicht notwendige Cookies und vergleichbare Technologien ist in der Regel vorab eine wirksame Einwilligung erforderlich. Das betrifft häufig Reichweitenmessung, Marketing, Retargeting und die Einbindung externer Medien.
Ein Cookie-Banner allein löst dieses Thema nicht. Entscheidend ist, was technisch vor der Auswahl durch den Besucher passiert. Werden Analyse-Skripte, Marketing-Tags oder externe Videoplayer bereits beim ersten Seitenaufruf geladen, obwohl noch keine Zustimmung vorliegt, passt die technische Umsetzung nicht zum Banner.
Ein sinnvoll konfiguriertes Consent-Tool unterscheidet nachvollziehbare Kategorien. Notwendige Funktionen dürfen nicht mit Marketing vermischt werden. Optionale Kategorien müssen ablehnbar sein, und eine bereits erteilte Einwilligung muss sich später einfach ändern oder widerrufen lassen. Voreingestellte Häkchen oder eine Gestaltung, bei der das Ablehnen deutlich schwieriger ist als das Zustimmen, sind keine gute Grundlage.
Bei Karten, Videos oder Social-Media-Feeds gibt es oft eine datensparsame Alternative: Der externe Inhalt wird erst nach Zustimmung geladen. Bis dahin sieht der Besucher einen Platzhalter mit einer kurzen Erklärung. Das ist nicht immer die optisch spektakulärste Lösung, aber transparent und gut steuerbar. Ob eine direkte Einbettung für einen konkreten Dienst vertretbar ist, hängt von dessen Datenflüssen, Verträgen und der jeweiligen Rechtsgrundlage ab.
Datenschutzerklärung: konkret statt Textbaustein
Die Datenschutzerklärung muss zur tatsächlich eingesetzten Website passen. Eine allgemeine Vorlage mit zehn Diensten, die gar nicht verwendet werden, schafft keine Sicherheit. Ebenso problematisch ist eine Erklärung, die Analyse, Newsletter oder Zahlungsanbieter verschweigt, obwohl diese technisch aktiv sind.
Besucher sollen verständlich erkennen können, wer für die Verarbeitung verantwortlich ist, welche Daten verarbeitet werden, zu welchem Zweck dies geschieht und auf welcher Rechtsgrundlage. Dazu gehören auch Speicherdauer, Empfänger, allfällige Übermittlungen in Drittländer sowie die Rechte der betroffenen Personen. Für Webshops kommen üblicherweise weitere Prozesse hinzu, etwa Kundenkonten, Bestellungen, Zahlungsabwicklung, Versand, Rechnungen und gegebenenfalls Bonitäts- oder Betrugsprüfungen.
Rechtstexte sind keine reine Designfrage. Sie brauchen juristisch passende Inhalte und müssen danach technisch eingehalten werden. Wenn etwa die Erklärung festhält, dass ein Analyse-Tool erst nach Einwilligung eingesetzt wird, muss der Tag Manager genau das gewährleisten. Die beste Formulierung hilft nicht, wenn der Code etwas anderes macht.
Formulare, Newsletter und Webshops datensparsam planen
Kontaktformulare werden oft unnötig umfangreich gestaltet. Für eine erste Anfrage reichen meist Name, E-Mail-Adresse und Nachricht. Pflichtfelder für Telefonnummer, vollständige Adresse oder Unternehmensgrösse sollten nur vorgesehen werden, wenn sie für die Bearbeitung tatsächlich erforderlich sind. Je weniger Daten abgefragt werden, desto geringer ist der organisatorische Aufwand bei Auskunft, Löschung und Schutz.
Auch die Kommunikation nach einer Anfrage sollte geregelt sein. Wer kann auf die Nachricht zugreifen? Wie lange wird sie im Postfach oder CRM-System aufbewahrt? Werden Daten aus dem Formular an weitere Systeme übertragen? Solche Fragen sind im Alltag wesentlich relevanter als eine möglichst lange Datenschutzerklärung.
Beim Newsletter gilt: Anmeldung und Einwilligung müssen nachvollziehbar dokumentiert sein. Das Double-Opt-in-Verfahren ist dafür ein bewährter Standard. Die Abmeldung muss einfach möglich sein. Gekaufte Adresslisten oder unklare Verteiler sind dagegen ein unnötiges Risiko und schaden meist auch der Qualität des Marketings.
Im Webshop kommt der Grundsatz der Datenminimierung mit betrieblicher Realität zusammen. Rechnungs- und steuerrechtliche Aufbewahrungspflichten können einer sofortigen Löschung entgegenstehen. Daten, die für Versand, Zahlung oder Gewährleistung benötigt werden, dürfen nicht mit Daten für Werbung verwechselt werden. Wer diese Zwecke sauber trennt, kann Prozesse besser erklären und technisch gezielter steuern.
Auftragsverarbeiter und Datenflüsse dokumentieren
Viele Website-Dienste verarbeiten Daten im Auftrag des Unternehmens: Hosting, Newsletter-Versand, Cloud-Backups, Support-Tools, Shop-Betrieb oder Analyseplattformen. Soweit die rechtlichen Voraussetzungen vorliegen, braucht es mit diesen Dienstleistern einen Auftragsverarbeitungsvertrag. Das sollte nicht erst bei einer Anfrage geprüft werden, sondern bei der Auswahl und Einrichtung eines Systems.
Besondere Aufmerksamkeit verdienen Anbieter ausserhalb des Europäischen Wirtschaftsraums. Hier genügt es nicht, nur auf den Firmensitz oder eine Checkbox im Backend zu schauen. Entscheidend ist, welche Daten konkret fliessen, welche Zusatzvereinbarungen bestehen und ob ergänzende Schutzmassnahmen erforderlich sind. Diese Bewertung ist je nach Dienst, Konfiguration und verarbeitetem Datenumfang unterschiedlich.
Für Unternehmen ist ein internes Verzeichnis der Verarbeitungstätigkeiten hilfreich. Es muss nicht kompliziert sein, sollte aber die wesentlichen Website-Prozesse abbilden. Damit lassen sich Änderungen kontrollierter umsetzen: Kommt ein neues Buchungstool dazu, wird nicht nur ein Account angelegt, sondern auch Datenschutz, Vertrag, Einwilligung und Erklärung werden geprüft.
Technik und Sicherheit gehören dazu
Datenschutz endet nicht bei Cookies. Eine verschlüsselte Verbindung per HTTPS, aktuelle Systeme, sichere Passwörter, Rollen und Berechtigungen sowie regelmässige Backups sind Grundlagen. Bei Content-Management-Systemen und Shops ist ein geregelter Update-Prozess besonders wichtig. Veraltete Erweiterungen sind nicht nur ein Sicherheitsrisiko, sondern können auch unerwünschte externe Verbindungen herstellen.
Server-Logfiles sind für den stabilen und sicheren Betrieb meist notwendig. Trotzdem sollten Umfang und Aufbewahrungsdauer angemessen sein. Administrator-Zugänge sollten nur jene Personen erhalten, die sie für ihre Aufgabe brauchen. Gerade bei kleineren Unternehmen entstehen Risiken oft nicht durch komplexe Angriffe, sondern durch gemeinsam genutzte Zugänge, nicht dokumentierte Zuständigkeiten oder alte Benutzerkonten.
Eine praxistaugliche Prüfung vor dem Go-live umfasst mindestens diese Punkte:
- Alle Formulare, eingebundenen Dienste und Tracking-Tags sind erfasst.
- Nicht notwendige Dienste starten erst nach einer gültigen Einwilligung.
- Datenschutzerklärung, Consent-Tool und tatsächliche Technik stimmen überein.
- Verträge mit relevanten Auftragsverarbeitern sind geprüft und abgelegt.
- Zuständigkeiten für Updates, Anfragen von Betroffenen und laufende Änderungen sind klar.
Datenschutz als laufender Teil der Website-Betreuung
Eine einmal korrekt konfigurierte Website bleibt nicht automatisch dauerhaft DSGVO-konform. Neue Kampagnen, ein Plugin-Update, ein Wechsel des Hosters oder ein zusätzliches Tracking-Tool verändern die Ausgangslage. Deshalb gehört Datenschutz in jeden Änderungsprozess: zuerst Zweck und Datenfluss klären, dann technisch einbauen und abschliessend Dokumentation sowie Rechtstexte aktualisieren.
Für eine belastbare rechtliche Beurteilung sollte bei offenen Fragen eine auf Datenschutz spezialisierte Rechtsberatung eingebunden werden. Die technische Umsetzung und die juristische Bewertung greifen ineinander. Eine Website, die Daten sparsam verarbeitet, sauber dokumentiert ist und laufend gewartet wird, ist für Besucher nachvollziehbar – und für das Unternehmen wesentlich leichter zu betreuen.