Datenschutz-konforme Website
Juchhu: DSGVO

1. Auf Ihrer Website ist eine Datenschutzerklärung Pflicht. Sie informiert Benutzerinnen und Benutzer darüber, welche persönlichen Daten Sie erheben und speichern und wie Sie sie verwenden.
2. Sie benötigen ein SSL-Zertifikat, um alle Daten verschlüsselt zu übertragen.
3. Bei der Verwendung von Drittanbieter-Anwendungen ist besondere Vorsicht geboten und oft eine explizite Zustimmung notwendig
4. Sie sind verpflichtet, aktuelle Software-Versionen einzusetzen. Dies gilt z.B. für Systeme wie TYPO3, WordPress oder Magento. Aber auch für die dahinterliegende Programmiersprache PHP.
5. Sie dürfen nur nachweislich zuverlässige Dienstleister für die Erstellung, das Webhosting und den Betrieb Ihres Webauftritts verwenden. In manchen Fällen benötigen Sie mit ihnen einen Vertrag zur Auftragsdatenbearbeitung oder seit dem Fall des Privacy Shield Abkommens bei US-Dienstleistern zumindest Standardvertragsklauseln.

Disclaimer: Die Rechtslage - speziell die Interpretation durch Urteile - ändert sich schnell. Wir sind Online-Profis, aber keine Juristen. Für Rechtssicherheit ist die Einbindung Ihres Rechtsbeistandes notwendig. Wir vermitteln auch gerne rechtsfreundliche Beratung zum Thema Datenschutz.

In Ihrer Datenschutzerklärung beschreiben Sie, wie Ihre Organisation personenbezogene Daten verarbeitet. Wie sie gesammelt, genutzt und ob sie an Dritte weitergegeben werden. Damit kommen Sie den in der DSGVO und im TKG geforderten Informationspflichten nach. Die Datenschutzerklärung wird wie das Impressum auf Ihrer Website eingebunden. Eine Vorlage zur Formulierung bietet die Wirtschaftskammer Österreich. Wir versorgen Sie im Projektverlauf mit den technischen Aspekten, die darin erwähnt werden müssen.

Mit einem SSL-Zertifikat (SSL: Secure Socket Layer) ist Ihre Website unter dem Protokoll  erreichbar und alle Daten werden verschlüsselt übertragen. Besonders bei Webformularen ist diese Maßnahme unverzichtbar, da dort fast immer auch personenbezogene Daten eingegeben werden. Auch bei der Suchmaschinenoptimierung ist ein SSL-Zertifikat von Vorteil.

Personenbezogene Daten sind neben offensichtlichen Dingen wie Name oder Geburtsdatum auch alle anderen Dinge, anhand derer eine Person identifiziert werden kann. Definitiv zählt auch die IP-Adresse dazu, die bei jedem Besuch einer Website vom Webserver registriert wird. Verboten ist jede Speicherung oder Auswertung solcher Daten, zu der es keine eindeutige Zustimmung und Ablehnungsmöglichkeit der betroffenen Person gibt. 

Ausnahmen von der Informationspflicht und der Einräumung des Rechts auf Ablehnung sind auf jene Situationen beschränkt, in denen die technische Speicherung oder der Zugriff unverzichtbar sind, um die Nutzung eines ausdrücklich angeforderten Dienstes zu ermöglichen.

• Session-Cookies, ohne die eine Website nicht funktionieren würde und die bei Besuchsende gelöscht werden
• Check-out in Webshops (Warenkorb, Login, Speicherung Bestellung)
• Webanalyse mit einem lokal laufendem Dienst (z.B. Matomo) und datenschutzkonformer Konfiguration ohne Verwendung externer Plugins
• Erfassung von Zustimmung oder Ablehnung zur Datenverwendung (z.B. in einem Cookie)

Wenn Ihre Website nur diese Funktionen und Dienste aufweist, ist kein Cookie-Banner notwendig.

Sie sind für die Daten Ihrer Websitebesucher und Kundinnen verantwortlich. Zu dieser Verantwortung zählen Sorgfaltspflichten, auch hinsichtlich der verwendeten Software. Sie müssen dafür Sorge tragen, dass:

1. Die verwendete Websoftware immer auf dem letzten, sicherheitstechnischen Stand ist. Systeme wie TYPO3, WordPress oder Magento bringen anlassbezogene Sicherheitsupdates und regelmäßig neue Programmversionen heraus. Es ist Ihre Pflicht, Ihre Software auf dem letztgültigen Sicherheitsstand zu halten. Besonders, wenn Sie personenbezogene Daten speichern.
2. Auch für die dahinterliegende Programmiersprache (z.B. PHP) gibt es regelmäßig Updates, die oft auch Änderungen des Programmcodes notwendig machen.
3. Setzen Sie auf Ihrer Website Module von Drittanbietern ein (Plugins, Extensions), so müssen Sie dafür Sorge tragen, dass sie sicher sind. Dazu gilt es zu prüfen, ob die Programmversion aktuell ist, welche Daten erhoben und ob diese an Dritte weitergegeben werden. Dabei ist es unerheblich, ob das Modul gratis oder kostenpflichtig ist. So eine Prüfung ist aufwändig. Dies ist auch der Grund, warum wir Drittanbieter-Plugins gerne vermeiden.

Die verwendeten Programmversionen sind meist von außen sichtbar. Damit sehen dies auch Hacker und Datenschutzbehörden. Sie müssen gegebenenfalls erklären können, warum Sie abgelaufene Software im Einsatz haben und welche Sicherheitsmaßnahmen Sie verwenden.

Im Rahmen einer Wartungsvereinbarung schützen wir Sie vor diesen Gefahren. Software ist wie ein Garten. Letzteren muss man regelmäßig gießen, Software regelmäßig updaten. 

Damit eine Zustimmung rechtswirksam eingeholt werden kann, müssen einige Voraussetzungen erfüllt werden:

1. Die Zustimmung muss im Vorhinein eingeholt werden.
2. Die Zustimmung muss explizit pro Verwendungszweck eingeholt werden.
3. Usern muss klar sein, wofür sie ihre Zustimmung geben.
4. Zustimmungspflichtige Optionen dürfen nicht vorausgewählt sein.
5. Die Ablehnung darf in Aufmachung und Farbe nicht weniger auffälliger sein als die Zustimmung (zB Link statt Button), muss neben der Zustimmung platziert und am ersten Screen auswählbar sein.
6. Die Zustimmung muss in der Sprache der Website erfolgen können.

Nach bisherigen Urteilen, wie z.B. des Europäischen Gerichtshofs (EuGH) vom 29. Juli 2019 in der Rechtssache C-40/17 "Fashion ID", darf von einer strengen Auslegung seitens der Gerichtsbarkeit ausgegangen werden. Konkludente Zustimmung durch Benutzung der Website, Verschleierung durch unvollständige oder unklare Formulierungen oder auch nur das Anhaken zustimmungspflichtiger Optionen im Vorhinein sind definitiv verboten.

Dennoch bleibt viel Spielraum in der Rechtsauslegung. Muss jedes Cookie einzeln aufgeführt sein? Kann man überhaupt rechtswirksam eine Zustimmungserklärung einholen, wenn man als Websitebetreiber selbst nicht weiß, was Google & Co mit den Daten machen? Wie viel Verständnis darf man voraussetzen? Die ernüchternde Antwort: Bei strengster Rechtsauslegung dürfte man keine Plugins von großen Anbietern wie Google oder Facebook einbinden. Wir beraten Sie aber gerne hinsichtlich einer pragmatischen Lösung. Ein gewisses Restrisiko bleibt - wie immer im Geschäftsleben - bestehen.

Eine Übersicht über rechtliche Rahmenbedingungen im Online-Handel mit zahlreichen Quellen für weiterführende Informationen finden Sie außerdem auf unserer Website "Rechtliches".

Wir setzen auf eine Vielzahl an technischen und organisatorischen Maßnahmen (TOM), die Ihre und die Daten Ihrer Kundinnen und Kunden bei uns schützen. Alle Informationen dazu finden Sie in unserer Datenschutzerklärung und noch besser im persönlichen Gespräch.