Datenschutz
Die Fehler, die teuer werden
Die häufigsten Datenschutzbefunde auf Websites sind keine juristischen Feinheiten, sondern Handwerksfehler: eine Schrift, die von einem fremden Server lädt, ein Banner ohne echtes Nein, ein Formular ohne Absicherung. Hier steht, worauf ich bei jedem Projekt achte.
Warum das an Ihnen hängt
Verantwortlich für eine Website ist der Betrieb, der sie betreibt, nicht die Agentur, die sie gebaut hat. Wenn ein Besucher sich beschwert oder eine Abmahnung kommt, liegt der Brief auf Ihrem Schreibtisch.
Dazu kommt der Teil, der auch ohne Beschwerde weh tut. Ein Formular ohne technische Begrenzung ist ein offener Endpunkt. Eine Datenbank ohne Zugriffsregeln ist offen lesbar. Beides fällt im Alltag nicht auf, weil die Seite normal aussieht, solange es niemand ausprobiert.
Sieben Befunde, die ich immer wieder sehe
01
Schriften vom fremden Server
Wer Google Fonts direkt von Google lädt, überträgt die IP-Adresse jedes Besuchers in die USA, ohne dass der Besucher gefragt wurde. Das Landgericht München I hat dafür Schadensersatz zugesprochen (Az. 3 O 17493/20). Der Aufwand für die Lösung: Schriftdatei herunterladen, lokal einbinden, fertig.
02
Banner ohne echtes Nein
Ein Cookie-Banner, bei dem „Akzeptieren“ ein großer Knopf ist und „Ablehnen“ ein grauer Link in der zweiten Ebene, ist keine Einwilligung. Beide Wege müssen gleich leicht sein, und die Einwilligung muss sich später widerrufen lassen.
03
Alles, was vor dem Klick lädt
Eine eingebettete Karte, ein YouTube-Video, ein Chat-Widget: Das lädt beim Seitenaufruf, also bevor jemand zugestimmt hat. Die Lösung ist eine Vorschau, die erst auf Klick nachlädt. Auf dieser Website läuft das eingebettete Quiz genau so.
04
Eine Erklärung, die etwas anderes beschreibt
Generierte Datenschutzerklärungen nennen oft Werkzeuge, die gar nicht im Einsatz sind, und lassen die aus, die laufen. Der einzige verlässliche Abgleich ist der Netzwerk-Tab beim Livegang: Was dort auftaucht, gehört in die Erklärung, und nichts sonst.
05
Ein Formular ohne Bremse
Ein Kontaktformular braucht die Einwilligungs-Checkbox, aber auch eine technische Begrenzung. Ohne die ist es ein offener Endpunkt, über den Fremde in Ihrem Namen Mails auslösen können. Der Schaden ist nicht die Rechnung, sondern die verbrannte Absenderadresse: Danach landet Ihre Geschäftspost wochenlang im Spam.
06
Eine Datenbank ohne Zugriffsregeln
Moderne Baukästen legen den Datenbankzugang in den Browser. Ohne aktive Zugriffsregeln liest damit jeder die ganze Tabelle, ohne Angriff, nur mit der Entwicklerkonsole. Das fällt niemandem auf, weil nichts kaputtgeht.
07
Ein unvollständiges Impressum
Pflicht nach § 5 DDG, erreichbar in höchstens zwei Klicks, mit ladungsfähiger Anschrift. Das ist der billigste Fehler von allen, weil er in zehn Minuten behoben ist und trotzdem regelmäßig fehlt.
Was diese Seite selbst tut
Diese Website lädt keine einzige Datei von einem fremden Server. Die Schriften liegen lokal, es gibt kein Tracking, keine Analyse-Software und deshalb auch keinen Cookie-Banner, weil es nichts einzuwilligen gibt. Das eingebettete Quiz auf der W&S-Fallstudie lädt erst, wenn Sie darauf klicken, und sagt vorher, wohin die Verbindung geht.
Das ist keine Behauptung, sondern nachprüfbar: Öffnen Sie den Netzwerk-Tab Ihres Browsers und laden Sie diese Seite neu. Was dort auftaucht, kommt von dieser Domain.
Wo ich aufhöre
Ich bin kein Anwalt und berate nicht rechtlich. Was hier steht, ist die technische Seite: was eine Website lädt, was sie speichert und wer darauf zugreifen kann. Sobald es um die Bewertung Ihres Einzelfalls geht, um Verträge zur Auftragsverarbeitung oder um besonders geschützte Daten, gehört ein Fachanwalt dazu. Ich sage Ihnen, wann ich an dieser Grenze stehe, statt darüber hinwegzugehen.
Sie wollen wissen, wie Ihre bestehende Seite dasteht? Sagen Sie Bescheid, dann sehe ich mir an, was sie lädt und was in der Erklärung fehlt. Das Erstgespräch kostet nichts.