Der rechtliche Teil einer Website ist unbeliebt, überschaubar und der Bereich, in dem Fehler unmittelbar Geld kosten. Vier Themen decken für die meisten Seiten den Bedarf: Anbieterkennzeichnung, Datenschutzerklärung, Einwilligung für nicht notwendige Dienste und Verträge mit Dienstleistern, die Daten verarbeiten.
Was hier steht, ordnet die Pflichten und benennt die typischen Fehler. Es ist ausdrücklich keine Rechtsberatung und ersetzt im konkreten Fall keine anwaltliche Prüfung.
Impressum
Die Anbieterkennzeichnung muss von jeder Seite aus mit maximal zwei Klicks erreichbar, als solche erkennbar benannt und ohne Einwilligung zugänglich sein. Hinter einem Cookie-Banner versteckt ist sie das nicht.
Inhaltlich gehören hinein: vollständiger Name beziehungsweise Firma mit Rechtsform, Anschrift mit Straße und Hausnummer, Vertretungsberechtigte bei Gesellschaften, E-Mail-Adresse und ein weiterer schneller Kontaktweg, Umsatzsteuer-Identifikationsnummer sofern vorhanden, Register und Registernummer, sowie berufsrechtliche Angaben bei reglementierten Berufen. Bei journalistisch-redaktionellen Angeboten kommt eine inhaltlich verantwortliche Person hinzu.
Die häufigsten Fehler: Postfach statt Anschrift, fehlende Rechtsform, veraltete Angaben nach einem Umzug, Kontaktformular als einziger Kontaktweg und eine Bezeichnung wie “Über mich” statt “Impressum”. Details in Impressumspflicht.
Datenschutzerklärung
Sie muss beschreiben, was auf dieser Seite tatsächlich passiert. Eine Vorlage, die Dienste aufführt, die nicht eingesetzt werden, ist genauso falsch wie eine, die eingesetzte Dienste verschweigt.
Aufzunehmen sind: Verantwortlicher und Kontakt, Server-Logdaten mit Zweck und Speicherdauer, Kontaktformular und dessen Empfänger, Hosting samt Auftragsverarbeitung und Serverstandort, eingesetzte Analyse- und Marketingdienste mit Rechtsgrundlage, Einbettungen wie Karten, Videos oder Schriften von Dritten, Newsletter samt Anmeldeverfahren, Betroffenenrechte und Beschwerderecht bei der Aufsichtsbehörde.
Ein Punkt wird fast immer übersehen: Bei Affiliate-Links und Empfehlungsnetzwerken werden Daten an Dritte übermittelt, und das gehört in die Erklärung. Details in DSGVO für Websites.
Einwilligung und Cookie-Banner
Die Regel ist einfacher als ihr Ruf: Technisch notwendige Cookies brauchen keine Einwilligung, alles andere schon, und zwar vorher. Nicht notwendig sind unter anderem Analyse, Werbenetzwerke, eingebettete Videos mit Tracking, Chat-Widgets und Kartendienste, die beim Aufruf Daten übertragen.
Wenn ein Banner nötig ist, muss er bestimmte Eigenschaften haben: Ablehnen genauso einfach wie Zustimmen, keine Vorauswahl bei nicht notwendigen Kategorien, keine Ausspielung der Dienste vor der Entscheidung, und eine Möglichkeit, die Entscheidung später zu ändern.
Die wirksamste Maßnahme ist allerdings eine andere: die Zahl der einwilligungspflichtigen Dienste reduzieren. Schriften lokal ausliefern, Karten erst nach Klick laden, Videos über datenschutzfreundliche Einbettung, Analyse gegebenenfalls über ein Werkzeug ohne personenbezogene Cookies. Wer so aufsetzt, braucht in vielen Fällen keinen Banner mehr. Details in Cookie-Banner und Google Fonts lokal.
Auftragsverarbeitung
Sobald ein Dienstleister personenbezogene Daten im Auftrag verarbeitet, braucht es einen Vertrag zur Auftragsverarbeitung. Das betrifft praktisch immer den Hoster, häufig den Newsletter-Dienst, den Formularanbieter, das Backup-Ziel und Analysewerkzeuge.
Die Verträge sind bei seriösen Anbietern im Kundenkonto abrufbar oder mit einem Klick abschließbar. Sie gehören abgelegt, weil sie im Fall einer Anfrage vorzulegen sind. Details in AV-Vertrag.
Bilder und Texte
Fremde Bilder ohne Lizenz sind der Klassiker unter den kostenpflichtigen Fehlern, und ein Bild aus einer Bildersuche ist keine Lizenz. Auch bei freien Bildquellen gilt es, die jeweilige Lizenz zu prüfen: Manche verlangen Namensnennung, manche schließen kommerzielle Nutzung aus, manche verlangen einen Hinweis auf die Quelle in bestimmter Form.
Bei Personen auf Fotos kommt das Recht am eigenen Bild hinzu, bei Gebäuden gelegentlich Hausrecht und Panoramafreiheit, bei Produktfotos Marken- und Urheberrechte des Herstellers. Die Reihenfolge mit dem geringsten Risiko: eigene Fotos, dann lizenzierte Bilder mit dokumentierter Lizenz, dann freie Quellen mit protokollierter Herkunft. Details in Bildrechte.
Reihenfolge für ein neues Projekt
- Impressumsangaben zusammenstellen, bevor die Seite gebaut wird
- Liste aller eingesetzten Dienste führen, während gebaut wird
- AV-Verträge einsammeln, sobald ein Dienst hinzukommt
- Datenschutzerklärung aus dieser Liste erstellen, nicht aus einer Vorlage
- Einwilligungspflichtige Dienste prüfen und wo möglich ersetzen
- Banner nur einbauen, wenn nach Schritt 5 noch etwas übrig ist
- Vor dem Livegang alles gegen die tatsächliche Seite abgleichen
Punkt 2 ist der Punkt, der Arbeit spart. Wer die Liste erst nach dem Bau rekonstruiert, vergisst zuverlässig etwas.