DSGVO auf der Handwerker-Website: was zu regeln ist

Die Datenschutzerklärung ist kein Rechtstext, den man sich besorgt und ablegt, sondern eine Beschreibung dessen, was die eigene Website tut. Art. 13 DSGVO gibt vor, was darin stehen muss: wer verantwortlich ist und wie er erreichbar ist, zu welchen Zwecken Daten verarbeitet werden, auf welche Rechtsgrundlage sich das stützt, wer die Daten empfängt, wie lange sie gespeichert bleiben, welche Rechte die betroffene Person hat und dass sie sich bei einer Aufsichtsbehörde beschweren kann. Diese Punkte sind eine Struktur, keine Textmenge. Eine gute Erklärung für einen Betrieb mit fünfzehn Beschäftigten ist kürzer als die meisten Vorlagen, weil sie nur beschreibt, was wirklich vorhanden ist.

Genau hier liegt der häufigste Fehler. Vorlagen beschreiben eine fremde Website, nicht die eigene. Sie nennen Dienste, die der Betrieb nie eingesetzt hat, und schweigen zu dem Formular, über das jeden Tag Anfragen hereinkommen. Bei einer Beschwerde ist das der erste Punkt, der auffällt, denn die Prüfung beginnt nicht bei der Formulierung, sondern beim Abgleich: Was lädt die Seite nach, welche Felder hat das Formular, wohin gehen die Daten? Stimmt die Erklärung damit nicht überein, ist der Mangel offensichtlich, und zwar ohne jede juristische Feinarbeit.

Praktisch getrennt davon ist das Impressum nach § 5 DDG. Es enthält die Anbieterkennzeichnung mit Name, Anschrift, Rechtsform, Vertretungsberechtigten, Kontaktangaben und, sofern vorhanden, Registereintrag und Umsatzsteuer-Identifikationsnummer. Beide Seiten müssen von jeder Unterseite aus mit einem Klick erreichbar sein, üblicherweise über den Fußbereich. Bei mobilen Seiten geht das gern verloren, wenn der Fußbereich zusammengeklappt wird und die Verweise nur noch in einem Menü stecken, das sich schwer öffnen lässt.

Die Einwilligung wird auf vielen Handwerker-Websites falsch eingesetzt: Sie fehlt dort, wo sie gebraucht wird, und steht dort, wo sie nichts verbessert. Eine Einwilligung ist nötig, wenn auf Informationen im Endgerät des Besuchers zugegriffen oder etwas darin gespeichert wird — dafür gilt § 25 TDDDG, unabhängig davon, ob die gespeicherte Information personenbezogen ist. Ebenso beim Newsletter, bei eingebetteten Inhalten fremder Anbieter und bei der Veröffentlichung von Fotos, auf denen ein Kundengrundstück erkennbar ist. In diesen Fällen führt kein Weg an einer Zustimmung vorbei, die vorher eingeholt wird.

Nicht nötig ist sie in der Regel für das Kontaktformular selbst. Eine Checkbox mit dem Text, man stimme der Verarbeitung der Daten zu, macht die Anfrage nicht rechtssicherer, sondern schwächer: Wenn die Verarbeitung für die Beantwortung erforderlich ist, ist die Einwilligung nicht freiwillig, und eine unfreiwillige Einwilligung trägt nicht. Hinzu kommt, dass jede Einwilligung jederzeit widerrufen werden kann — dann müsste die Anfrage gelöscht werden, obwohl gerade ein Angebot geschrieben wird. Der Hinweis auf die Datenschutzerklärung erfüllt die Informationspflicht; das Ankreuzfeld ersetzt ihn nicht.

Wo eine Einwilligung erforderlich ist, gelten vier Anforderungen: Sie muss freiwillig sein, informiert, durch eine aktive Handlung erklärt und ebenso einfach widerrufbar, wie sie erteilt wurde. Vorangekreuzte Felder, verschachtelte Schalter und eine Gestaltung, bei der die Zustimmung auffällig und die Ablehnung versteckt ist, erfüllen das nicht. Und der vierte Punkt, der am häufigsten fehlt: Die Einwilligung muss nachweisbar sein. Wer sie eingeholt hat, sollte festhalten, wann, in welchem Wortlaut und wofür.

Sobald ein Dienstleister personenbezogene Daten im Auftrag des Betriebs verarbeitet, verlangt Art. 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Betroffen sind mehr Beteiligte, als zunächst vermutet: der Hoster, der Anbieter der Mailpostfächer, der Betrieb, der die Website pflegt und dafür Zugang hat, ein eventueller Dienst für den Versand der Formularmeldungen, ein externer Backup-Speicher. Diese Verträge sind bei seriösen Anbietern vorbereitet und lassen sich im Kundenkonto abrufen oder anfordern. Der Aufwand liegt nicht im Abschluss, sondern darin, überhaupt eine vollständige Liste der Beteiligten zu haben.

Inhaltlich regelt der Vertrag, dass der Dienstleister nur auf Weisung handelt, welche technischen und organisatorischen Maßnahmen er einsetzt, wie er mit Unterauftragnehmern umgeht, wie er bei Auskunftsanfragen und Datenpannen unterstützt und was am Ende mit den Daten geschieht. Zu lesen ist vor allem der Abschnitt zu den Unterauftragnehmern, denn dort steht, welche weiteren Unternehmen mitwirken und wo diese sitzen. Wer eine Liste der Beteiligten braucht, findet sie meist genau an dieser Stelle.

Dazu kommt das Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO. Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten greift praktisch selten, weil sie nur für nicht regelmäßige Verarbeitungen ohne Risiko gilt — laufend eingehende Kundenanfragen und die Personalverwaltung sind das nicht. Das Verzeichnis muss aber keine Software sein. Eine Tabelle mit einer Zeile je Verarbeitung, gepflegt einmal im Jahr, erfüllt den Zweck und ist im Ernstfall das Dokument, das die meisten Fragen auf einmal beantwortet.

Der häufigste Anlass für Beschwerden und Abmahnschreiben ist unscheinbar: Inhalte, die beim Aufruf der Seite von einem fremden Server nachgeladen werden. Dazu zählen Schriftarten, eingebettete Karten mit dem Anfahrtsweg, Videos, Bewertungsanzeigen und Schaltflächen sozialer Netzwerke. Beim Nachladen wird die IP-Adresse des Besuchers an den fremden Server übertragen, bevor er irgendetwas angeklickt hat. Rechtlich ist das eine Verarbeitung, die vorher zu rechtfertigen wäre — und die sich meist gar nicht rechtfertigen lässt, weil sie für die Darstellung nicht erforderlich ist.

Die Lösungen sind unspektakulär und einmalig zu erledigen. Schriftarten werden lokal auf dem eigenen Server abgelegt und von dort ausgeliefert; das ist zusätzlich schneller. Statt einer eingebetteten Karte genügt oft ein Standbild des Standorts mit einem Verweis, der den Kartendienst erst nach einem Klick öffnet — auf dem Telefon ist das ohnehin der bequemere Weg, weil sich die Karte sonst in den Scrollverlauf drängt. Videos werden erst nach einer aktiven Zustimmung geladen. Bewertungsanzeigen lassen sich durch zitierte Bewertungen im eigenen Text ersetzen.

Wie viele Fremdzugriffe eine Seite auslöst, lässt sich ohne Fachkenntnis nicht ansehen, wohl aber messen: Die Entwicklerwerkzeuge jedes Browsers zeigen unter Netzwerkanalyse jede Anfrage mit ihrem Ziel. Wer die Startseite und eine Leistungsseite einmal so öffnet, sieht in fünf Minuten, welche fremden Server beteiligt sind. Das Ergebnis ist die verlässlichste Grundlage für den Abgleich mit der Datenschutzerklärung — und meist auch die kürzeste Aufgabenliste, die aus diesem Thema entsteht.

Die Reihenfolge ist wichtiger als die Vollständigkeit. Wer mit der Formulierung der Datenschutzerklärung beginnt, schreibt einen Text über eine Website, die er noch nicht kennt. Sinnvoller ist der umgekehrte Weg: erst feststellen, was die Seite tut, dann das Überflüssige entfernen, dann die Verträge einsammeln, und erst zum Schluss den Text an den erreichten Stand anpassen. So beschreibt die Erklärung am Ende einen Zustand, der tatsächlich besteht, und der Text muss nur einmal geschrieben werden.

Der Aufwand ist überschaubar, wenn die Website nicht über Jahre gewachsen ist. Für einen Betrieb mit einer Seite von zehn bis zwanzig Unterseiten liegt die Bestandsaufnahme bei ein bis zwei Stunden, das Beseitigen der Fremdzugriffe je nach technischem Aufbau bei einem halben Tag, die Verträge bei ein paar Mails. Der einzige Punkt, der wirklich Zeit braucht, ist das Löschkonzept — weil dabei zum ersten Mal ausgesprochen wird, wie lange Anfragen und Projektfotos im Betrieb bleiben sollen. Diese Entscheidung kann niemand von außen treffen.

Danach wird das Thema klein. Ein Durchgang im Jahr, üblicherweise im Winter, reicht in der Regel aus: Hat sich am Formular etwas geändert, ist ein Dienstleister hinzugekommen, sind Anfragen zu löschen, stimmt die Erklärung noch? Wer diesen Termin einhält, muss nicht befürchten, dass ein Brief einen Zustand aufdeckt, von dem im Betrieb niemand mehr wusste. Und ein Kunde, der wissen will, was mit seinen Daten passiert, bekommt eine Antwort, die in zwei Sätzen passt.