DSGVO: Website eines Handwerksbetriebs — was tatsächlich gefordert ist
Die DSGVO verlangt von Ihrer Website drei Dinge: Sie verarbeiten nur die Daten, die Sie für einen klaren Zweck brauchen. Sie sagen den Besuchern in einer Datenschutzerklärung, welche das sind. Und Sie holen eine Einwilligung ein, bevor Sie auf dem Gerät des Besuchers etwas speichern, das nicht technisch notwendig ist. Alles Weitere folgt aus diesen drei Punkten.
Hier geht es nur um den Datenschutz. Das Impressum, Angabe für Angabe, steht im Beitrag Impressum: Pflichtangaben für Handwerksbetriebe. Den Überblick über alle Pflichten einer Handwerker-Website gibt der Artikel Rechtssichere Website, und die Frage, ob Sie einen Banner brauchen, klärt Cookie-Banner-Pflicht. Ein Hinweis vorweg: Dieser Text ordnet ein und ist keine Rechtsberatung. Bei einem konkreten Streitfall hilft ein Anwalt, nicht ein Webdesigner.
Verarbeitet Ihre Website überhaupt personenbezogene Daten?
Ja. Auch eine Seite mit drei Unterseiten und einer Telefonnummer verarbeitet Daten, sobald jemand sie aufruft. Der Server Ihres Hosters speichert bei jedem Aufruf die IP-Adresse des Besuchers, und die gilt nach der Rechtsprechung des Europäischen Gerichtshofs als personenbezogen. Damit ist die Frage „DSGVO: Website ja oder nein?" für jeden Betrieb beantwortet, der eine Seite betreibt.
Das ist kein Grund zur Sorge, sondern eine Standortbestimmung. Ein Dachdeckerbetrieb mit fünf Leuten verarbeitet auf seiner Website deutlich weniger Daten als ein Onlineshop, und entsprechend überschaubar ist die Pflichtliste. Sie müssen nur wissen, an welchen Stellen etwas passiert. Es sind fast immer dieselben fünf.
Die fünf Stellen, an denen Ihre Website Daten verarbeitet
Gehen Sie die Liste mit Ihrer eigenen Seite im zweiten Browserfenster durch. Das ist die DSGVO-Website-Prüfung, die die meisten Betriebe nie gemacht haben, und bei den meisten Handwerker-Websites treffen drei bis vier der fünf Punkte zu.
1. Hosting und Server-Protokolle
Der Hoster speichert IP-Adresse, Uhrzeit, aufgerufene Seite und Browser in seinen Protokollen. Das ist technisch notwendig, um die Seite auszuliefern und Angriffe zu erkennen. Rechtsgrundlage ist Ihr berechtigtes Interesse an einem sicheren Betrieb. Was Sie brauchen: einen Vertrag zur Auftragsverarbeitung mit dem Hoster (dazu unten mehr), eine kurze Erwähnung der Protokolle in der Datenschutzerklärung und einen Hoster, der die Daten nach einer festen Frist löscht. Seriöse Anbieter stellen den Vertrag als PDF zum Download bereit; Sie müssen ihn nur abschließen.
2. Kontaktformular und E-Mail
Wer Ihr Formular ausfüllt, übergibt Ihnen Name, E-Mail-Adresse, meist Telefonnummer und die Beschreibung seines Anliegens. Rechtsgrundlage ist die Anbahnung eines Auftrags, Sie brauchen dafür keine Einwilligung. Was Sie brauchen: eine verschlüsselte Übertragung (das Schloss-Symbol in der Adresszeile, technisch HTTPS), nur die Felder, die Sie für eine Antwort tatsächlich benötigen, und einen Absatz in der Datenschutzerklärung, der sagt, wofür die Angaben verwendet und wann sie gelöscht werden. Ein Pflichtfeld „Geburtsdatum" hat auf dem Formular eines Malerbetriebs nichts zu suchen.
Ein Sonderfall ist die Einwilligung für Werbung. Wenn Sie die Adressen aus dem Formular später für einen Newsletter nutzen wollen, brauchen Sie dafür ein eigenes, nicht vorangekreuztes Häkchen. Die Anfrage selbst deckt das nicht ab.
3. Eingebettete Karten und Videos
Die Anfahrtskarte von Google Maps auf der Kontaktseite und das Imagevideo von YouTube sind die häufigsten Datenlecks auf Handwerker-Websites, ohne dass jemand es merkt. Beim Laden der Seite baut der Browser eine Verbindung zu den Servern des Anbieters auf und übermittelt dabei die IP-Adresse des Besuchers, noch bevor der Besucher irgendetwas angeklickt hat. Was Sie brauchen: eine Zwei-Klick-Lösung. Die Karte erscheint erst, wenn der Besucher auf „Karte laden" klickt und dabei der Datenübermittlung zustimmt. Bis dahin sieht er ein statisches Vorschaubild. Für die Anfahrt reicht oft auch ein einfacher Link „Route in Google Maps öffnen", der gar nichts einbettet.
4. Schriften und Skripte von fremden Servern
Viele Baukasten-Seiten und Vorlagen laden ihre Schriftarten bei jedem Aufruf von Google-Servern nach. Auch dabei geht die IP-Adresse des Besuchers an Google. Ein Urteil des Landgerichts München aus dem Jahr 2022 hat genau diesen Fall entschieden und eine Welle von Abmahnschreiben ausgelöst. Was Sie brauchen: Die Schriften liegen auf Ihrem eigenen Server und werden von dort geladen. Das ist für einen Webdesigner eine Arbeit von einer halben Stunde und macht die Seite nebenbei schneller. Dasselbe gilt für Skript-Bibliotheken, Icon-Sammlungen und Chat-Widgets, die von fremden Adressen nachgeladen werden.
5. Statistik, Cookies und andere Dienste auf dem Gerät des Besuchers
Hier greift eine Regel, die nicht in der DSGVO selbst steht, sondern im deutschen Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. Nach § 25 TDDDG darf Ihre Website auf dem Gerät des Besuchers nur dann etwas speichern oder auslesen, wenn er „auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat". Ausgenommen ist nur, was „unbedingt erforderlich" ist, damit der Dienst funktioniert, den der Besucher ausdrücklich möchte.
Für Ihren Betrieb heißt das: Ein Statistikwerkzeug wie Google Analytics, ein Facebook-Pixel oder ein Marketing-Cookie braucht eine echte Einwilligung vor dem Setzen. Ein Cookie, das die Sprache merkt oder das Kontaktformular vor Spam schützt, braucht keine. Wer keine Einwilligung einholen will, kann auf Werkzeuge ausweichen, die ohne Cookies und ohne Datenweitergabe arbeiten, oder ganz auf Statistik verzichten. Für die meisten Handwerksbetriebe reicht die Statistik im Google-Unternehmensprofil vollkommen aus.
Was in die Datenschutzerklärung gehört
Wer „DSGVO Website" googelt, landet meist bei Generatoren. Die Datenschutzerklärung ist aber keine Sammlung von Textbausteinen, die niemand liest. Sie ist die Antwort auf die Frage: Was passiert mit den Daten, wenn jemand diese Website benutzt? Die DSGVO schreibt in Artikel 13 vor, was darin stehen muss. Übersetzt in die Praxis eines Handwerksbetriebs:
- Wer verantwortlich ist: Name des Betriebs, Anschrift, E-Mail-Adresse, wie im Impressum.
- Welche Daten zu welchem Zweck verarbeitet werden, Stelle für Stelle aus der Liste oben: Protokolle, Kontaktformular, Karten, Schriften, Statistik.
- Auf welcher Rechtsgrundlage: berechtigtes Interesse, Vertragsanbahnung oder Einwilligung.
- Wer die Daten außerdem bekommt: Hoster, gegebenenfalls Kartendienst, Statistikanbieter.
- Wie lange die Daten gespeichert bleiben.
- Welche Rechte der Besucher hat: Auskunft, Berichtigung, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde.
Der Text muss von jeder Seite aus mit einem Klick erreichbar sein, üblicherweise als Link in der Fußzeile neben dem Impressum. Ein Generator ist ein brauchbarer Ausgangspunkt. Aber er kennt Ihre Seite nicht. Ein Generator-Text, der Google Analytics erklärt, obwohl Sie kein Analytics einsetzen, ist genauso falsch wie einer, der die YouTube-Einbettung verschweigt, die auf Ihrer Startseite läuft. Gehen Sie den erzeugten Text einmal gegen die fünf Stellen durch und streichen Sie, was nicht zutrifft.
Auftragsverarbeitung: der Vertrag mit Hoster und Webdesigner
Jeder, der in Ihrem Auftrag Daten Ihrer Besucher verarbeitet, braucht nach Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung mit Ihnen. Für eine Handwerker-Website sind das in der Regel zwei Parteien: der Hoster, auf dessen Server die Seite läuft, und der Webdesigner oder die Agentur, wenn sie die Seite pflegt und dabei Zugriff auf Formulareingänge oder Protokolle hat. Bei Werkzeugen wie einem Newsletter-Dienst oder einer Statistik kommt jeweils ein weiterer Vertrag dazu.
Dazu kommt das Verzeichnis der Verarbeitungstätigkeiten aus Artikel 30. Das klingt nach Konzern, ist aber für einen kleinen Betrieb eine Seite Papier: Welche Verarbeitung, welcher Zweck, welche Daten, welche Empfänger, welche Löschfrist. Die fünf Stellen aus diesem Beitrag sind praktisch schon die Gliederung. Wer sein Verzeichnis einmal angelegt hat, schreibt die Datenschutzerklärung daraus in einer Stunde.
Ein Tipp aus der Praxis: Bewahren Sie die Verträge und das Verzeichnis dort auf, wo auch die Zugangsdaten zur Website liegen. Bei einem Anbieterwechsel oder einer Anfrage der Aufsichtsbehörde suchen Sie sonst in alten E-Mails.
Checkliste DSGVO: Website in einer Stunde selbst prüfen
Für eine erste Bestandsaufnahme brauchen Sie keinen Anwalt und kein Werkzeug. Sie brauchen Ihre Website, ein privates Browserfenster und diese Liste:
- Beginnt die Adresse mit https und zeigt der Browser das Schloss? Wenn nicht, ist das der erste Anruf beim Hoster.
- Gibt es eine Datenschutzerklärung, ist sie von jeder Seite verlinkt, und nennt sie Ihren Betrieb mit Anschrift?
- Ist auf der Kontaktseite eine Karte eingebettet, und lädt sie sofort? Dann fehlt die Zwei-Klick-Lösung.
- Läuft irgendwo ein Video von YouTube oder Vimeo direkt in der Seite? Gleiche Frage.
- Verlangt das Kontaktformular Angaben, die Sie für eine Antwort nicht brauchen?
- Erscheint ein Cookie-Banner? Wenn ja: Ist „Ablehnen" so leicht erreichbar wie „Akzeptieren"? Wenn nein: Setzen Sie tatsächlich keine Statistik ein?
- Liegt Ihnen ein Vertrag zur Auftragsverarbeitung mit dem Hoster vor?
Ob Ihre Seite Schriften von fremden Servern lädt, sehen Sie nicht mit bloßem Auge. Diesen Punkt sowie Impressum, Datenschutzerklärung und die Ladezeit auf dem Handy prüft der kostenlose Website-Check in zwei Minuten und listet auf, was fehlt. Dahinter steht ASR Webdesign — Nikola aus Wuppertal, Websites für Handwerksbetriebe zum Festpreis von 1.490 bis 3.990 € netto, 14 Tage bis online. Bei einer neuen Seite sind die fünf Stellen von Anfang an sauber gelöst, weil sie zum Bauplan gehören und nicht zur Nacharbeit.
Wenn Ihre Seite schon älter ist und mehrere Punkte der Liste zutreffen, stellt sich die Frage, ob eine Überarbeitung reicht oder ein Neubau günstiger ist. Dazu mehr im Beitrag Website-Relaunch: Wann er sich lohnt. Und wer die laufende Pflege der Seite regeln will, findet im Artikel Website-Wartung, was dazugehört.
Häufige Fragen
Braucht eine kleine Handwerker-Website eine Datenschutzerklärung?
Ja, ohne Ausnahme. Sobald die Seite aufgerufen wird, speichert der Server die IP-Adresse des Besuchers, und das ist bereits eine Verarbeitung personenbezogener Daten. Die Datenschutzerklärung muss von jeder Unterseite mit einem Klick erreichbar sein und die tatsächlich eingesetzten Dienste beschreiben, nicht mehr und nicht weniger.
Ist ein Cookie-Banner Pflicht für eine DSGVO-Website?
Nein, nicht automatisch. Der Banner ist nur nötig, wenn die Seite auf dem Gerät des Besuchers etwas speichert, das nicht technisch erforderlich ist, etwa ein Statistik- oder Marketing-Cookie. Eine Handwerker-Website ohne Tracking kommt ohne Banner aus. Wer einen Banner braucht, muss „Ablehnen" genauso leicht anbieten wie „Akzeptieren".
Reicht ein Datenschutz-Generator aus?
Als Ausgangspunkt ja, als Endergebnis nur nach Kontrolle. Der Generator kennt Ihre Seite nicht und erzeugt Absätze für Dienste, die Sie vielleicht gar nicht einsetzen, während er die Karteneinbettung auf Ihrer Kontaktseite übersehen kann. Gehen Sie den Text einmal gegen die fünf Stellen aus diesem Beitrag durch und passen Sie ihn an.
Braucht mein Betrieb einen Datenschutzbeauftragten?
In den meisten Handwerksbetrieben nicht. Die Pflicht entsteht in Deutschland in der Regel erst, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ein Betrieb mit acht Monteuren und einer Bürokraft liegt weit darunter. Verantwortlich für den Datenschutz bleibt trotzdem der Inhaber.
Was passiert, wenn meine DSGVO-Website-Prüfung Mängel zeigt?
Beheben Sie sie in der Reihenfolge der Liste oben: erst Verschlüsselung und Datenschutzerklärung, dann Einbettungen und Schriften, dann Formular und Verträge. Die meisten Punkte erledigt ein Webdesigner in wenigen Stunden. Wichtig ist, dass Sie anfangen und den Stand dokumentieren. Eine Seite, die nachweislich in Ordnung gebracht wird, ist etwas anderes als eine, um die sich niemand kümmert.