DSGVO-konforme Website-Entwicklung
Welche technischen Maßnahmen ein Entwickler für den Datenschutz umsetzt und wie Sie prüfen, ob sie wirklich vorhanden sind.
1 Überblick
Diese Seite beschreibt die technische Seite des Datenschutzes in einem Webprojekt: was ein Entwickler umsetzt und was Sie selbst nachprüfen können. Sie ist eine technische Orientierung und keine Rechtsberatung. Ob eine konkrete Lösung zulässig ist, welche Rechtsgrundlage gilt und was in Ihrer Datenschutzerklärung stehen muss, klären Sie mit Ihrem Datenschutzbeauftragten oder einer spezialisierten Anwaltskanzlei.
Einwilligung, bevor etwas lädt
Ein Consent-Banner erfüllt seinen Zweck nur, wenn es die Skripte tatsächlich steuert. Analyse, Marketing-Tags, eingebettete Videos, Karten und Chat-Widgets bleiben blockiert, bis der Besucher zustimmt, und bleiben es nach einer Ablehnung.
- Ablehnen ist so einfach wie Zustimmen, ohne vorangekreuzte Felder
- Die Auswahl wird gespeichert und lässt sich über einen Link auf jeder Seite ändern
- Kategorien können einzeln gewählt werden
- Jeder Dienst ist mit Zweck und Anbieter aufgeführt
Das können Sie selbst testen: Öffnen Sie die Website in einem privaten Browserfenster, rufen Sie in den Entwicklerwerkzeugen die Netzwerkansicht auf und laden Sie neu. Bevor Sie etwas anklicken, darf keine Anfrage an fremde Analyse- oder Werbedomains gehen.
Ressourcen von Drittanbietern
Viele Datenübertragungen entstehen, ohne dass jemand sie beschlossen hat: Schriften, Icon-Sammlungen und Skriptbibliotheken von fremden Servern übermitteln die IP-Adresse des Besuchers an den jeweiligen Anbieter. Ein Entwickler legt diese Dateien auf Ihrem eigenen Server ab. Videos und Karten werden durch einen Platzhalter ersetzt, der den fremden Inhalt erst nach einem Klick lädt.
Datensparsamkeit
Erhoben wird nur, was der Zweck erfordert, und nur so lange wie nötig.
- Formulare fragen die Felder ab, die wirklich gebraucht werden; freiwillige Angaben sind gekennzeichnet
- Formulareingaben bleiben nicht unbegrenzt in der CMS-Datenbank
- Serverprotokolle werden gekürzt oder nach einer festen Frist gelöscht
- Löschfristen laufen als automatische Aufgaben und stehen nicht nur in einem Dokument
- Test- und Staging-Systeme arbeiten mit anonymisierten Daten statt mit einer Kopie echter Kundendaten
Hosting und Auftragsverarbeiter
Ein Serverstandort in der EU ist ein guter Anfang, betrifft aber nur das Hosting. Es zählt jeder Dienst, der personenbezogene Daten berührt: E-Mail-Versand, Newsletter-Werkzeug, Fehlerüberwachung, Backup-Speicher, Formulardienste, Zahlungsabwicklung, KI-Schnittstellen. Der Entwickler liefert eine vollständige Liste mit Zweck, betroffenen Daten und Standort. Mit Diensten, die Daten in Ihrem Auftrag verarbeiten, schließt Ihr Unternehmen in der Regel einen Vertrag zur Auftragsverarbeitung, meist über das Kundenkonto des Anbieters. Welche Dienste das betrifft, klärt Ihre Rechtsberatung. Dienste außerhalb der EU brauchen eine rechtliche Prüfung, bevor sie eingebaut werden.
Löschung und Auskunft
Betroffene können erfahren wollen, was Sie über sie speichern, und die Löschung verlangen. Die Anwendung muss das leisten können:
- Alle Daten einer Person finden, über Tabellen, Uploads und angebundene Systeme hinweg
- Sie in einem gängigen maschinenlesbaren Format ausgeben
- Sie löschen oder anonymisieren, auch im Newsletter-Werkzeug und im CRM
- Backups durch Rotation auslaufen lassen, damit gelöschte Daten nicht jahrelang weiterbestehen
Im Datenmodell eingeplant ist das deutlich günstiger als nachträglich eingebaut. Wo Aufbewahrungspflichten einer Löschung entgegenstehen, etwa bei Rechnungen, entscheidet die Rechtsberatung, was wie lange bleibt; der Entwickler setzt dann eine Sperrung statt einer Löschung um.
Grundlagen der Sicherheit
Durchgehend verschlüsselte Übertragung, Passwörter nur als Hash, Zugriffsrechte nach Rollen, verschlüsselte Backups, zeitnahe Updates und ein Protokoll der Administratorzugriffe. Personenbezogene Daten gehören weder in URLs noch in Fehlermeldungen, die an externe Werkzeuge gehen.
Was der Entwickler übergibt
Am Projektende sollten Sie eine Dokumentation erhalten, mit der Ihre Rechtsberatung arbeiten kann:
- Alle Cookies und Einträge im lokalen Speicher mit Zweck und Laufzeit
- Alle externen Dienste und die Daten, die sie erhalten
- Wo welche personenbezogenen Daten liegen und wann sie gelöscht werden
- Wie eine Auskunfts- oder Löschanfrage Schritt für Schritt bearbeitet wird
Das sind die Grundlagen für Datenschutzerklärung und Verzeichnis der Verarbeitungstätigkeiten. Diese Texte zu verfassen und zu bewerten ist juristische Arbeit.
2 Für wen das relevant ist
Marketingleitung
Sie sehen, was Analyse und Marketing-Tags technisch voraussetzen, und wie Sie im Browser prüfen, ob Ihr Consent-Banner sie bis zur Zustimmung des Besuchers tatsächlich blockiert.
Gründerinnen und Gründer
Sie wissen, welche technischen Maßnahmen Sie vom Entwickler verlangen, welche Dokumentation Sie bei der Übergabe erwarten können und an welchen Stellen stattdessen eine Rechtsberatung nötig ist.
Interne Entwicklerinnen und Entwickler
Sie erhalten eine Arbeitsliste für das Projekt: Skriptblockierung nach Einwilligung, lokal eingebundene Ressourcen, Löschaufgaben, Export- und Löschwege, Dienstverzeichnis und Übergabedokumentation.
3 Fragen und Antworten
Reicht ein Cookie-Banner, damit eine Website DSGVO-konform ist?
Nein. Das Banner ist eine Maßnahme, und nur dann, wenn es Skripte bis zur Einwilligung technisch blockiert. Datenschutz betrifft außerdem Formulare, Serverprotokolle, extern geladene Schriften und Medien, die Dienste, die Daten für Sie verarbeiten, Löschfristen sowie Auskunft und Löschung. Ob die Gesamtlösung den rechtlichen Anforderungen genügt, beurteilt ein Datenschutzbeauftragter oder eine Anwaltskanzlei.
Ist mit einem Hosting in der EU die Frage der Datenübermittlung erledigt?
Nur für das Hosting selbst. E-Mail-Versand, Newsletter-Werkzeug, Fehlerüberwachung, eingebettete Medien, Zahlungsabwicklung und KI-Dienste können weiterhin Daten an andere Orte senden. Ein Entwickler kann jeden Dienst mit Standort und übermittelten Daten auflisten. Ob eine Übermittlung außerhalb der EU zulässig ist, ist eine Rechtsfrage, die vor dem Einbau geklärt wird.
Wer ist für den Datenschutz verantwortlich, der Entwickler oder der Betreiber?
Gegenüber Besuchern und Behörden steht das Unternehmen ein, das die Website betreibt. Der Entwickler setzt die technischen Maßnahmen um, weist auf Risiken hin und dokumentiert die Datenflüsse, ersetzt aber keine Rechtsberatung. Wie Verantwortung und Haftung zwischen Ihnen und dem Entwickler verteilt sind, gehört in den Vertrag und sollte anwaltlich geprüft werden.
Sie planen ein ähnliches Projekt?
Schildern Sie uns Ihr Vorhaben. Sie erhalten eine klare Einschätzung zu Umfang, Vorgehen und Aufwand.