Die DSGVO gilt für jede Website, die Daten von EU-Bürgern verarbeitet, unabhängig davon, in welchem Land das Unternehmen gehostet ist. Bußgelder können bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes betragen, je nachdem, welcher Betrag höher ist. Acht Jahre nach ihrem Inkrafttreten weisen die meisten E-Commerce-Seiten, die ich prüfe, noch mindestens drei oder vier wesentliche Verstöße auf. Hier die konkrete Checkliste, Punkt für Punkt, um regelkonform zu sein, ohne Jurist zu werden.
1. Der Cookie-Banner
Das ist der sichtbarste und am häufigsten schlecht umgesetzte Punkt. Die Regel ist einfach: Das Ablehnen nicht essenzieller Cookies muss genauso einfach sein wie das Akzeptieren, auf demselben Bildschirm und mit einem einzigen Klick. Keine Checkbox darf für nicht essenzielle Cookies vorausgewählt sein. Es muss eine klare Unterscheidung zwischen für den Betrieb der Website unbedingt notwendigen Cookies (keine Einwilligung erforderlich) und Cookies für Reichweitenmessung, Marketing oder soziale Netzwerke (Einwilligung erforderlich) geben. Die Einwilligung muss mit einem genauen Zeitstempel und einem technischen Nachweis (Session-ID, Version des angezeigten Textes) gespeichert werden, um sie bei einer Prüfung vorlegen zu können.
2. Impressum und Datenschutzerklärung
Zwei unterschiedliche Dokumente, die oft fälschlich vermischt werden. Das Impressum identifiziert das Unternehmen (Firmenname, Handelsregisternummer, Adresse, Hosting-Anbieter). Die Datenschutzerklärung muss die Identität des Verantwortlichen, den genauen Zweck jeder Datenverarbeitung, die Aufbewahrungsdauer für jede Datenkategorie, die Empfänger (einschließlich externer Auftragsverarbeiter) sowie die Details der Nutzerrechte angeben: Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch und Einschränkung der Verarbeitung, samt der konkreten Wege, sie auszuüben.
3. Formulare zur Datenerhebung
Jedes Formular (Kontakt, Registrierung, Bewertungen) muss für jede optionale Einwilligung eine klare, nicht vorausgewählte Checkbox enthalten, mit einem expliziten und verständlichen Hinweis darauf, wie die Daten tatsächlich verwendet werden. Erheben Sie nur die Daten, die für den angegebenen Zweck unbedingt notwendig sind – das Prinzip der Datenminimierung, das oft aus übertriebener geschäftlicher Vorsicht ignoriert wird ("man weiß ja nie, könnte mal nützlich sein").
4. Newsletter und Marketing-E-Mails
Double-Opt-in ist in der Praxis Pflicht: Nach der Anmeldung muss eine Bestätigungs-E-Mail mit einem expliziten Validierungslink verschickt werden. Jede folgende E-Mail muss einen klaren Abmeldelink enthalten, der mit einem Klick funktioniert, ohne dass eine Kontoanmeldung nötig ist. Die Bearbeitung einer Abmeldung darf nicht länger als einige Werktage dauern.
5. Auftragsverarbeiter und Drittanbieter-Tools
Erstellen Sie eine vollständige Liste aller Drittanbieter-Tools, die in Ihrem Auftrag personenbezogene Daten verarbeiten: Analytics-Lösung, CRM, Zahlungsdienstleister, Hosting, E-Mail-Marketing-Lösung, Chatbot, Bewertungsmodul. Für jedes muss ein Auftragsverarbeitungsvertrag (AVV/DPA) unterzeichnet werden, der die Sicherheitsgarantien und den Ort der Datenverarbeitung präzisiert (besonders wichtig, wenn der Anbieter außerhalb der EU sitzt).
6. Technische Sicherheit
HTTPS ist auf der gesamten Website ausnahmslos Pflicht. Gespeicherte Passwörter müssen mit einem robusten Algorithmus verschlüsselt werden (mindestens bcrypt, niemals nur MD5 oder SHA1). Bei einem Sicherheitsvorfall mit personenbezogenen Daten ist die Meldung an die zuständige Aufsichtsbehörde innerhalb von 72 Stunden Pflicht, und die Benachrichtigung der Betroffenen ist erforderlich, wenn das Risiko für ihre Rechte und Freiheiten hoch ist.
7. Verzeichnis von Verarbeitungstätigkeiten
Jedes Unternehmen, auch Kleinstunternehmen und Freiberufler, muss ein Verzeichnis von Verarbeitungstätigkeiten führen, das jede Art der erhobenen Daten, ihren Zweck, ihre Aufbewahrungsdauer und die zugehörigen Sicherheitsmaßnahmen auflistet. Dieses Dokument, das von kleinen Unternehmen oft vergessen wird, ist das Erste, wonach bei einer Prüfung durch die Aufsichtsbehörde gefragt wird.
Konkrete Folgen einer Nichtkonformität
Über das direkte finanzielle Risiko hinaus wird eine förmliche Mahnung der Aufsichtsbehörde öffentlich gemacht und schadet dem Ruf des Unternehmens. Bei den Fällen, die ich bearbeite, dauert eine vollständige Wiederherstellung der Konformität in der Regel 2 bis 4 Wochen Arbeit, aufgeteilt auf das Erstaudit, die Aktualisierung der rechtlichen Dokumente, die Neukonfiguration des Cookie-Banners und die technische Absicherung der Website.
