DSGVO (Datenschutz-Grundverordnung)

Die Datenschutz-Grundverordnung (DSGVO) ist seit Mai 2018 die zentrale Rechtsgrundlage für den Datenschutz in der Europäischen Union. Sie regelt, wie Unternehmen personenbezogene Daten erheben, verarbeiten und speichern dürfen. Für Website-Betreiber bedeutet das konkrete Pflichten: Datenschutzerklärung, Cookie-Consent, sichere Datenübertragung und das Recht auf Löschung.

Verstöße gegen die DSGVO können teuer werden: Bußgelder bis zu 20 Millionen Euro oder 4% des weltweiten Jahresumsatzes sind möglich. Bekannte Abmahnwellen (z.B. wegen Google Fonts oder unsicherer Kontaktformulare) zeigen, dass auch kleine Websites betroffen sind. Die DSGVO gilt für alle Unternehmen, die Daten von EU-Bürgern verarbeiten - unabhängig vom Firmensitz.

Für eine DSGVO-konforme Website sind essenziell: SSL-Verschlüsselung, rechtssicheres Cookie-Banner mit Opt-in, vollständige Datenschutzerklärung, Auftragsverarbeitungsverträge (AVV) mit Dienstleistern und lokales Hosting von Drittanbieter-Ressourcen (Google Fonts, etc.). Regelmäßige Audits stellen sicher, dass die Website compliant bleibt.

Herzstück der DSGVO sind die Betroffenenrechte (Art. 15-22): Auskunft über gespeicherte Daten, Berichtigung, Löschung (Recht auf Vergessenwerden), Datenübertragbarkeit und Widerspruch. Auf solche Anfragen müssen Unternehmen grundsätzlich innerhalb eines Monats reagieren. Zentrale Prinzipien sind zudem Datenminimierung (nur erheben, was wirklich nötig ist), Zweckbindung und Privacy by Design - Datenschutz wird von Anfang an mitgedacht, nicht nachträglich aufgesetzt.

Für Website-Betreiber wichtig ist die Rollenverteilung: Wer über Zweck und Mittel der Verarbeitung entscheidet, ist Verantwortlicher; Dienstleister wie ein Hoster, ein E-Mail-Versender oder ein Analytics-Anbieter sind Auftragsverarbeiter, mit denen ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 abzuschließen ist. Ab 20 Personen, die ständig mit der automatisierten Verarbeitung befasst sind, oder bei umfangreicher Verarbeitung sensibler Daten wird in Deutschland ein Datenschutzbeauftragter Pflicht (§ 38 BDSG). Ein Verzeichnis von Verarbeitungstätigkeiten (Art. 30) dokumentiert alle Prozesse. Praktisch bedeutet DSGVO-Konformität für eine Website daher mehr als ein Cookie-Banner: Sie umfasst technisch-organisatorische Maßnahmen (TOMs) wie Verschlüsselung, Zugriffskontrollen und Backups sowie die Pflicht, Datenpannen binnen 72 Stunden an die Aufsichtsbehörde zu melden. Bei besonders risikoreichen Verarbeitungen - etwa umfangreichem Profiling oder der Verarbeitung sensibler Gesundheitsdaten - ist zudem vorab eine Datenschutz-Folgenabschätzung (DSFA nach Art. 35) durchzuführen, die Risiken für die Betroffenen systematisch bewertet und dokumentiert.