Datenschutz - DSGVO

Warum ist Datenschutz und Sicherheit im Web so wichtig?

Datenschutz wird in der heutigen Zeit immer wichtiger für uns Menschen. Sei es zum Schutz der Privatsphäre, zum Schutz vor Identitätsdiebstahl oder auch nur um sicherzustellen, dass unsere Daten nicht für unerwünschte Zwecke verwendet werden. Gleiches gilt aber auch, wenn wir eine Webseite betreiben und z.B. Kundendaten verarbeiten. Fehlendes Know-How in Sachen Datenschutz kann hier schnell zu bösen Überraschungen führen. Aber wie komplex ist es überhaupt Datenschutz und Sicherheit zu gewährleisten?

Rechtsrahmen kurz erklärt:
DSGVO-Grundsätze (Art. 5): u. a. Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität/Vertraulichkeit.
Privacy by Design/Default (Art. 25): Schutzmaßnahmen schon beim Design und standardmäßig nur notwendige Daten verarbeiten.
Auftragsverarbeitung (Art. 28): externe Dienstleister nur mit AV-Vertrag.
Datenschutzvorfälle (Art. 33): meldepflichtig i. d. R. binnen 72 h.

"Ich habe gehört, die haben irgendwas nicht beachtet beim Datenschutz und müssen jetzt voll viel Geld als Strafe zahlen!" Jeder kennt solche oder ähnliche Nachrichten. Aber was steckt dahinter? Fehlende Rechte an Bildern, fehlende SSL-Verschlüsselung, Tracking ohne Einwilligung, Datenübertragung in die USA ohne Rechtsgrundlage, fehlende Security-Header, keine Datenschutzerklärung, kein Cookie-Banner, kein AV-Vertrag mit Dienstleistern, Newsletter ohne SPF/DKIM/DMARC, keine Prozesse für den Umgang mit Datenpannen usw. All das sind Punkte die immer wieder zu Abmahnungen, Bußgeldern oder auch Schadensersatzforderungen führen.

Tracking ohne Einwilligung

Analyse-Tools wie Google Analytics, Matomo oder Facebook Pixel erfordern ein vorheriges Opt-in, das über einen Cookie-Consent eingeholt werden sollte. Erst nach der Zustimmung dürfen Cookies gesetzt oder Daten gesammelt werden. Andernfalls drohen Abmahnungen und Bußgelder.

Datenübertragung in Drittländer

Häufig werden Daten in Drittländer übertragen durch WordPress-Plugins oder eingebundene Tools wie Calendly, Google Fonts, Google Analytics 4, Google Maps, YouTube oder Facebook-Plugins. Solche Datentransfers müssen im Cookie-Consent transparent offengelegt werden, da sie ohne Einwilligung nicht DSGVO-konform sind.

Newsletter/Transaktionsmails

Viele Unternehmen versenden Newsletter oder Systemmails (z. B. Bestellbestätigungen) ohne korrekte Authentifizierung. Fehlen SPF, DKIM und DMARC, landen Mails oft im Spam oder können missbraucht werden. Auch Marketing-Mails benötigen rechtlich einen One-Click-Unsubscribe. Zusätzlich sollte ein Bounce-Monitoring aktiv sein, um Zustellprobleme früh zu erkennen.

Updates & Patch-Management

Veraltete CMS-Versionen, Plugins oder Betriebssysteme sind ein Hauptrisiko für Angriffe. Angreifer nutzen bekannte Sicherheitslücken gezielt aus, wenn keine Updates installiert sind. Nur mit regelmäßigen Patches, Backups und Monitoring bleibt eine Website oder IT-Umgebung dauerhaft geschützt.

Wie finde ich heraus, ob meine Webseite DSGVO-Konform ist?

Durch Tools wie z.B. Cookiebot, Usercentrics, Borlabs Cookie oder auch Consentmanager können Sie Ihre Webseite auf eingesetzte Cookies und Tracker scannen lassen. Diese Tools verschaffen Ihnen einen guten Überblick, welche Cookies/Tracker auf Ihrer Webseite aktiv sind. Es gibt auch kostenlose Tools wie z.B. Cookie-Check.de oder Webbkoll, die Ihnen ebenfalls einen ersten Überblick verschaffen können.
Wichtig: Diese Tools sind nur ein erster Schritt und ersetzen keine professionelle Beratung

Was tun bei einer Datenpanne?

1) Eindämmen & dokumentieren: Betroffene Systeme sofort sichern, Passwörter/Logins zurücksetzen, Logs speichern und den Vorfall genau dokumentieren. Ziel: den Schaden begrenzen und eine Grundlage für die Bewertung schaffen.
2) Risiko bewerten: Welche Daten sind betroffen? Wie viele Personen? Welche Folgen sind denkbar (z. B. Identitätsdiebstahl, finanzieller Schaden)? Diese Bewertung entscheidet, ob eine Meldung erforderlich ist.
3) Melden (innerhalb von 72 Stunden): Bei Risiko für Betroffene muss die Aufsichtsbehörde (Art. 33 DSGVO) informiert werden. Bei hohem Risiko zusätzlich die betroffenen Personen (Art. 34 DSGVO). Beispiele: Hacker erbeuten Passwörter oder Kreditkartendaten.
4) Maßnahmen Um zukünftige Vorfälle zu minimieren oder ganz zu vermeiden, sollten Systeme stets aktuell gehalten und durch kontinuierliches Monitoring überwacht werden. Zusätzlich können technische Maßnahmen wie Verschlüsselung, Pseudonymisierung oder Anonymisierung gespeicherter Daten auf Servern das Risiko deutlich senken.

Praktische Tools

SecurityHeaders.com – prüft gängige Header.
Mozilla Observatory – Security-Score inkl. TLS/CSP.
SSL Labs – TLS-Konfiguration.
MXToolbox – SPF/DKIM/DMARC-Checks.

Wenn Sie unsicher sind, ob Ihre Webseite datenschutzkonform ist, helfen wir Ihnen gerne weiter.

Rufen Sie uns an oder schreiben Sie uns eine E-Mail. Wir prüfen Ihre Webseite auf DSGVO-Risiken und zeigen sofort, welche Anpassungen nötig sind, damit rechtliche Konsequenzen vermieden werden.

Kostenlos anrufen

E-Mail schreiben

Häufige Fragen

Sobald nicht technisch notwendige Cookies oder Tracker eingesetzt werden. § 25 TTDSG/TDDDG verlangt vor dem Speichern oder Auslesen eine Einwilligung. Das Banner muss informiert, granular und widerrufbar sein (Art. 7 DSGVO). Auch bei der Einbettung von Diensten wie Google Maps oder Google Fonts (wenn nicht lokal gehostet) ist ein Banner erforderlich.

Immer, wenn ein externer Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet (Art. 28 DSGVO). Der AV regelt Zweck, Dauer, Datenarten, Sicherheitsmaßnahmen und Weisungen. In der Regel kann man einen AV kostenfrei bei den meisten Anbietern anfordern oder direkt elektronisch abschließen.

Drittländer sind Staaten außerhalb der EU bzw. des EWR. Ein Datentransfer dorthin ist nur zulässig, wenn ein angemessenes Datenschutzniveau besteht (z. B. UK, Schweiz, Japan) oder geeignete Garantien wie Standardvertragsklauseln (SCC) oder Binding Corporate Rules (BCR) vorliegen. Ohne diese Grundlagen ist ein Transfer nur in Ausnahmefällen erlaubt, etwa bei ausdrücklicher Einwilligung.

Zuerst Systeme sichern und den Vorfall dokumentieren, dann das Risiko für Betroffene bewerten. Liegt ein Risiko vor, muss die Aufsichtsbehörde innerhalb von 72 Stunden informiert werden (Art. 33 DSGVO), bei hohem Risiko zusätzlich die Betroffenen selbst (Art. 34 DSGVO). Anschließend Ursachen beheben und Sicherheitsmaßnahmen wie Updates, Verschlüsselung und Schulungen umsetzen.