Fünf Lehren aus der Zusammenarbeit mit Datenschutzbeauftragten

Rechtsstand: 2022. Dieser Artikel schildert Erfahrungen aus unserer Agenturpraxis — er ist keine Rechtsberatung.

Wie heißt es so schön? Als Webdesigner:in oder -entwickler:in steht man immer mit einem Bein bereits im Gefängnis. Bei der Erstellung einer Website gibt es so viele Dinge zu beachten, dass jemand, der ganz genau hinschaut, mit Sicherheit etwas findet, um deine Kund:innen — und damit auch dich — abzumahnen oder vor Gericht zu ziehen.

Aus der intensiven Zusammenarbeit mit Datenschutzbeauftragten (kurz DSB) in mehreren Kundenprojekten haben wir fünf Lehren gezogen:

1. Datenschutz wird (immer noch) unterschätzt

Früher war Datenschutz nur eine zusätzliche Unterseite mit einem verschwurbelten Rechtstext, wie man ihn gefühlt auf 99 % aller Websites gefunden hat. Spätestens seit Inkrafttreten der DSGVO gibt es aber relativ genaue Anforderungen — an die Datenschutzerklärung, aber auch an die Funktionen der Website. Und die sind sehr individuell, je nachdem, welche Funktionen und Dienste zum Einsatz kommen.

Dass selbst vermeintlich unkritische Funktionen aus Sicht eines DSB problematisch sein können, merkt man oft erst, wenn man sich mit DSB auseinandersetzt.

2. Datenschutz kostet Geld

Entweder im Vorfeld bei der Beauftragung von Expert:innen — oder im Nachgang, wenn ein Verstoß festgestellt wird. Und wenn es am Ende nicht dein Geld sein soll, musst du dich bestmöglich schützen.

Deshalb erstellen wir keine Texte für Datenschutzerklärung und Impressum. Gerade kleine Unternehmen haben nicht unbedingt das Budget für Fachanwält:innen, und es gibt diverse Generatoren im Netz für Rechtstexte. Aber auch wenn du als umsetzende Agentur die Funktionen der Website am besten kennst: Diese Arbeit solltest du deinen Kund:innen nicht abnehmen. Denn kommt es zu einer Abmahnung oder in der nächsten Instanz zu einem Prozess, ist die Situation ziemlich eindeutig: Teilschuld. Und so wird selbst aus einer helfenden Hand irgendwann eine wütende Faust.

Zur Sicherheit lohnt es sich außerdem, alle Mails und Tickets mit den Rechtstexten aufzuheben — als Nachweis, dass die Texte lediglich von dir eingepflegt, aber nicht von dir erstellt wurden.

3. Datenschutz kostet Zeit

Mehr Zeit, als man vielleicht denkt. Wenn die Website fast fertig ist, hat kaum noch jemand Zeit und Lust, sich um das Thema zu kümmern. Besprich Datenschutz deshalb möglichst zu Projektbeginn — dann bleibt genug Zeit, sich um einen DSB zu kümmern oder auf Alternativen hinzuweisen.

Unsere Erfahrung aus mehreren großen Projekten: DSB nehmen sich erst einmal 2–4 Wochen Zeit, um alle Funktionalitäten der Website zu prüfen und dann Handlungsempfehlungen zu geben. Bei einem Projekt, das auf 4–6 Wochen ausgelegt ist, ist es fast unmöglich, im Zeitplan zu bleiben, wenn die Zusammenarbeit mit dem DSB nicht von Beginn an läuft.

4. Datenschutz ist subjektiv

Ob eine Website datenschutzkonform ist, ist — trotz DSGVO — noch immer Ansichtssache. Ein Beispiel aus der Praxis: die Integration externer Jobs-Verwaltungen. Während ein DSB empfiehlt, die Jobs erst nach Einverständnis anzuzeigen, hält ein anderer sie für essentiell, erwähnt den Drittanbieter nur in der Datenschutzerklärung und lädt das iFrame oder Script direkt beim Seitenaufruf.

5. Datenschutz ist im stetigen Wandel

Was gestern noch erlaubt war, ist heute eine rechtliche Grauzone und morgen verboten. Diese Änderungen stetig zu verfolgen — zusätzlich zu den Änderungen in Contao — ist ein eigenes Fachgebiet. Genau deshalb lohnt es sich, den DSB regelmäßig prüfen zu lassen, ob die Website noch dem aktuellen Stand der DSGVO entspricht.

Siehe auch

Wie sich einwilligungspflichtige Drittanbieter konkret entfernen oder ersetzen lassen: DSGVO-Rückbau: Drittanbieter-Dienste von der Website entfernen