Datenschutz für Websites

In Episode 141 widmen sich Holger und Joerg gemeinsam mit Dr.
Sebastian Kraska den wichtigsten Datenschutzthemen für
Website-Betreiber. Sebastian ist Rechtsanwalt und Geschäftsführer
der IITR Datenschutz GmbH, die Unternehmen bei Datenschutz und
Informationssicherheit berät. Am Beispiel eines fiktiven
Katzenfutter-Shops arbeiten die drei systematisch zentrale
Anforderungen ab. Zunächst geht es um Cookie-Banner: Technisch
notwendige Cookies für Warenkörbe oder Spracheinstellungen
benötigen keine Einwilligung. Anders sieht es bei Tracking-Tools
oder anderen nicht technisch erforderlichen Cookies aus. Hier
müssen Website-Betreiber eine echte Wahlmöglichkeit bieten. Die
Aufsichtsbehörden fordern dabei gleichwertige Ja- und Nein-Buttons
auf derselben Ebene sowie granulare Einstellungsmöglichkeiten. Bei
der Datenschutzerklärung rät Sebastian Betreibern kleinerer
Websites zu Generatoren statt Eigenbauten. Die Erklärung muss
transparent über alle Datenverarbeitungen informieren - von
Tracking-Tools über Rechtsgrundlagen bis zu Empfängern der Daten.
Je komplexer die Website, desto umfangreicher wird das Dokument.
Die Datenschutzerklärung von heise.de umfasst beispielsweise etwa
14 Druckseiten, wie Joerg anmerkt. Ein weiteres Thema sind
Datenübermittlungen in Drittländer, etwa durch Google Analytics
oder eingebundene Schriftarten. Bei Google Fonts empfiehlt
Sebastian, die Schriften lokal zu hosten statt von Google-Servern
zu laden. So vermeidet man ungewollte Datenübertragungen. Für
YouTube-Videos oder Google Maps können Overlays eingesetzt werden,
die erst nach expliziter Zustimmung die Inhalte laden. Interessant
ist die Diskussion über cookiefreies Tracking: Tools wie Matomo
oder etracker kann man so konfigurien, dass sie nur aggregierte
Daten ohne individuelles Nutzerverhalten erfassen. Dann ist keine
Einwilligung nötig. Für viele kleine Websites reichen diese
aggregierten Daten völlig aus, um Besucherzahlen und Verweildauer
zu messen. Die technische Sicherheit darf nicht vernachlässigt
werden: SSL-Verschlüsselung ist mittlerweile Standard, regelmäßige
Backups und Updates sind Pflicht. Kraska empfiehlt zudem
Zwei-Faktor-Authentifizierung für Backend-Zugänge. Passwörter
dürfen niemals im Klartext gespeichert werden. Abschließend
beruhigt Sabastian Website-Betreiber: Die Aufsichtsbehörden zeigen
sich bei kleineren Verstößen meist kulant und unterstützen bei der
Behebung von Mängeln. Wichtig sei, sich erkennbar zu bemühen und
die grundlegenden Anforderungen umzusetzen. Für kleine Websites und
Vereine gebe es zudem kostenlose Vorlagen und Tools, die den
Einstieg erleichtern.