DSGVO Checkliste für Webseiten und digitale Unternehmen
Die Datenschutzgrundverordnung (kurz DSGVO) ist ab 25.05.2018 vollständig wirksam, bzw. ab da ist die Übergangszeit von 2 Jahren um. Was das bedeutet, welche Änderungen sich für dich ergeben und was du tun musst, kannst du in unserem anderen Artikel nachlesen: “DSGVO für Blogs, Webseiten, Unternehmen. Änderungen und Tipps“.
Wenn du das Geschriebene aus dem oben genannten Artikel zusammengefasst haben möchtest und sehen willst, welche Änderungen es gibt, was du dabei zu beachten hast und wie du dabei am besten vorgehen kannst, kannst du dir gerne unsere DSGVO Checkliste ansehen oder du kannst die DSGVO Checkliste in PDF herunterladen.
Hier siehst du verschiedene Anforderungen aufgeführt und kannst diese Punkt für Punkt durchgehen und bei Erfüllung korrigieren.
Diese Liste soll dir helfen einen Überblick über die verschiedenen ToDos zu behalten, damit du deine Seite möglichst konform nach den Richtlinien der Datenschutzgrundverordnung (DSGVO) erstellen, bzw. konfigurieren kannst.
Disclaimer:
Ich bin kein Rechtsanwalt und das ist keine Rechtsberatung. Diese muss individuell beim entsprechenden Anwalt durchgeführt werden.
DSGVO Checkliste für Webhosting
| Hast du mit deinem Webhosting-Anbieter(n) einen Vertrag zur Auftragsdatenverarbeitung (ADV) abgeschlossen? | |
| Benutzt deine Seite einen Content Delivery Network (CDN)? | |
| Wenn ja, steht der Server in der EU? | |
| Wenn ja, hast du mit diesem Anbieter einen ADV geschlossen? (Falls die Daten nicht auf dem Webserver gespeichert werden, worauf deine Seite läuft) | |
| Wenn nein, erfüllt der Anbieter die Richtlinien der DSGVO und EU-US Privacy Shield? (Bestätigung geben lassen) (Siehe hierzu Kapitel 5, Art. 44 DSGVO) |
DSGVO Checkliste für Verschlüsselung und Sicherheit
| Hast du auf deiner Webseite ein SSL Zertifikat installiert? | |
| Ist das SSL Zertifikat gültig? | |
| Hast du Maßnahmen gegen unbefugten Zugriff durch Hacker oder Dritte ergriffen? (sichere Dateirechte, sichere Passwörter, regelmäßige Updates, ggf. .htpasswd) |
DSGVO Checkliste für Trackingtools
| Hats du ein Tracking Tool im Einsatz (Piwik (Matomo), Analytics, WordPress.com-Stats, Yandex (beachte hierbei folgendes))? Wenn ja, welches hast du im Einsatz? | |
| Hast du die IP Adressen anonymisiert? (Google Analytics, Piwik / Matomo) | |
| Falls Google Analytics, wäre es denkbar auf Piwik, bzw., Matomo zu wechseln? Mit eigenem Server? | |
| Liegen die Daten auf deinem Server? Oder beim Drittanbieter? | |
| Falls Drittanbieter, befindet sich dieser in der EU? | |
| Falls ja, befindet sich dieser in Deutschland? | |
| Hast du eine ADV mit diesem abgeschlossen? | |
| Wenn außerhalb der EU, hast du eine Möglichkeit, diesen zu wechseln? | |
| Falls nicht, erfüllt der Anbieter die Richtlinien der DSGVO und EU-US Privacy Shield? (Bestätigung geben lassen) (Siehe hierzu Kapitel 5, Art. 44 DSGVO) | |
| Kann der Benutzer anhand eines Klicks der Erfassung widersprechen? (Link sollte in der Datenschutzerklärung sein) |
DSGVO Checkliste für Formulare
| Sind auf deiner Webseite Formulare eingebunden, die personenbezogene Daten übertragen? (ohne HTTPS darfst du keine Formulare einbinden) | |
| Falls ja, hats du einen Hinweis, bzgl. der Nutzung der Daten platziert? (unten, oben, daneben, in Kurzform) | |
| Ist ein Verweis auf deine Datenschutzerklärung vorhanden? |
DSGVO Checkliste für Newsletterverwendung
| Wird ein Newsletter Plugin oder Dienst verwendet? | |
| Ist sichergestellt, dass bei der Verwendung des Newsletter Plugins oder Dienstes und somit der Eintragung des Benutzers in den Newsletter nach den Double-Opt-In-Verfahren erfolgt? (Double-Opt-In = Eintragung im Newsletter und anschließende Bestätigung der E-Mail-Adresse per E-Mail). | |
| Ist ein Hinweis bzgl. der Verwendung der Daten gegeben? | |
| Sammelst du alle E-Mail-Adressen auf deiner Seite zusammen in einem Topf? | |
| Wenn ja, hast du den Benutzer darauf aufmerksam gemacht, dass er auch andere Informationen und womöglich auch Angebote erhalten kann, wenn er sich in den Newsletter einträgt? | |
| Wenn du ein Plugin nutzt: werden die Daten auf deinem Server gespeichert? | |
| Wenn du einen Dienstleister nutzt: befindet sich dieser in der EU? | |
| Falls ja, hast du einen ADV mit diesem geschlossen? | |
| Falls nein, erfüllt der Anbieter die Richtlinien der DSGVO und EU-US Privacy Shield? (Bestätigung geben lassen) (Siehe hierzu Kapitel 5, Art. 44 DSGVO) |
DSGVO Checkliste für Plugins, Widgets, Rechner, iFrames, etc.
| Hast du auf deiner Webseite Plugins, Widgets, iframes, Scripte oder weitere Schnittstellen in Verwendung? | |
| Werden dadurch personenbezogene Daten gespeichert? | |
| Wenn ja, bei dir auf dem Server? | |
| Oder bei einem Drittanbieter? | |
| Zu welchem Zweck werden die Daten gespeichert?
|
|
| Werden nur die Daten gespeichert, die benötigt werden oder möglicherweise auch zu viele Daten? |
DSGVO Checkliste für Membership Funktionen
| Benutzt du Membership Funktionen oder Dienste? | |
| Werden die Daten auf deinem Server gespeichert? | |
| Falls ja, steht dieser Server in der EU? | |
| Hast du mit diesem Hosting Anbieter einen ADV geschlossen? | |
| Wenn der Server außerhalb der EU steht: erfüllt der Anbieter die Richtlinien der DSGVO und EU-US Privacy Shield? (Bestätigung geben lassen) (Siehe hierzu Kapitel 5, Art. 44 DSGVO) |
Hinweis: Bei Membership-, Newsletter-, Social-Media, Formular-Plugins werden immer persönliche Daten gesammelt. Dasselbe kann auch für Finanzrechner gelten oder anderweitige Rechner und Tools, wo Name, Adresse oder E-Mail-Adresse eingegeben werden müssen.
Am besten ist es, wenn du in der jeweiligen Dokumentation des Anbieters oder Plugins nachliest, was alles gesendet wird und wohin. Es haben hoffentlich die meisten schon über das Thema GDPR / DSGVO gehört und ihre Dienste und Dokumentationen entsprechend angepasst.
Allerdings wirst du auch auf solche stoßen, die es noch nicht gehört haben. Hier hilft nur eines, du musst selbst herausfinden, welche Tools Daten sammeln und verschicken. Dabei kannst du folgende Methoden verwenden:
- Chrome Developer Tools öffnen (rechte Maustaste -> Untersuchen -> Reiter „Sources“ gehen)
- Cookies findest du bei Chrome auch, wenn du in der Adresszeile auf das „i“ bzw. auf das Schlüssel-Symbol, links neben der Domain klickst:
- Es erscheint ein Fenster und zeigt dir die Anzahl der Cookies auf, dort kannst du auf diese Schaltfläche klicken und erhältst weitere Informationen, indem du dich entlang hangelst
- Bei Firefox ebenfalls, wenn du in der Adresszeile auf das „i“ bzw. auf das Schlüssel-Symbol, links neben der Domain klickst:
- Dann öffnet sich ein Fenster, wo du auf den Pfeil nach rechts klicken musst und schließlich ganz unten auf „weitere Informationen“ und dort auf „cookies anzeigen“.
- Du kannst aber auch die Seite „builtwith.com“ nutzen
- Oder du verwendest Ghostery (Browser Plugin)
DSGVO Checkliste für Online Shops
Online Shops können unterschiedlich aufgebaut sein und daher ist es nur schwer darauf einzugehen, da dies sehr komplex sein kann. Gerade bei Kreditkarten und anderen Daten hinsichtlich Finanzen ist es sehr kritisch. Grundlegend und einige Themen können dennoch aufgegriffen werden:
| Nutzt du hier einen Shop selbst gehostet? | |
| Wenn nein, befindet sich der Dienstleister in der EU? | |
| Wenn ja, hast du mit ihm eine ADV abgeschlossen? | |
| Wenn außerhalb der EU: erfüllt der Anbieter die Richtlinien der DSGVO und EU-US Privacy Shield? (Bestätigung geben lassen) (Siehe hierzu Kapitel 5, Art. 44 DSGVO) | |
| Nutzt du externe Bezahldienste? | |
| Wenn ja, hast in deiner Datenschutzerklärung detailliert darauf hingewiesen, welche Daten gesammelt und wohin geschickt werden? | |
| Beachte auch hier wieder, ADV Vereinbarung mit deinem Bezahldienstleister. | |
| Wenn außerhalb der EU: erfüllt der Anbieter die Richtlinien der DSGVO und EU-US Privacy Shield? (Bestätigung geben lassen) (Siehe hierzu Kapitel 5, Art. 44 DSGVO) | |
| Wird ein Paket-Trackingsystem verwendet? | |
| Werden dafür E-Mail oder Telefonnummer verwendet? | |
| Hast du in deiner Datenschutzerklärung darauf hingewiesen? | |
| Wenn ja, hast du eine ADV mit diesem Dienstleister geschlossen? | |
| Wenn außerhalb der EU: erfüllt der Anbieter die Richtlinien der DSGVO und EU-US Privacy Shield? (Bestätigung geben lassen) (Siehe hierzu Kapitel 5, Art. 44 DSGVO) | |
| Muss sich der Benutzer registrieren damit er die Bestellung durchführen kann? | |
| Wenn ja, ist dies entsprechend gekennzeichnet? | |
| Ist dies auch entsprechend in der Datenschutzvereinbarung aufgelistet? | |
| Hast du ein sicheres Passwort (mind. 10-stellig, klein- / Großschreibung, Zahlen, Sonderzeichen) für den Zugang zum Shop backend? | |
| Hast du ein sicheres Passwort für die Datenbank? | |
| Sind alle weiteren Passwörter die für das Shopsystem verwendet werden ebenfalls sicher? | |
| Ist die Verbindung verschlüsselt? (ohne SSL kein Shop) | |
| Ist die IT um den Shop (Webserver, Webseite, Netzwerk, Datenbank, Schnittstellen, etc.) gut abgesichert? Hier ist es notwendig, dass das von einem IT-Experten gründlich untersucht wird. | |
| Führe all deine Schnittstellen und externe Dienstleister auf und prüfe, ob du eine ADV mit diesen geschlossen hast (bei Kunden- und Mitarbeiterdaten notwendig). | |
| Prüfe außerdem, ob sich alle Dienstleister, die mit Kundendaten (aber auch Mitarbeiterdaten) in Berührung kommen, in der EU sind, sonst musst du prüfen, ob der Dienstleister außerhalb der EU alle Richtlinien nach der DSGVO erfüllt. |
DSGVO Checkliste für Marketing
Das Thema Marketing ist ebenfalls sehr komplex aufgebaut. Das hat unter anderem den Grund, weil du teilweise nicht weißt, welche Schnittstellen und Systeme noch an der Plattform angeschlossen sind und was evtl. dahinter geschieht.
Wichtig für die eigene Seite ist daher, dass du prüfst, welche Schnittstellen und Marketinginstrumente und -software angeschlossen ist, sowie was diese tut. Ein paar Punkte:
| Nutzt du Google Analytics oder ähnliches? | |
| Wenn ja, hast du dies in deiner Datenschutzerklärung aufgeführt? | |
| Nutzt du Doubleclick? | |
| Wenn ja, hast du dies in deiner Datenschutzerklärung aufgeführt? | |
| Nutzt du Google Adsense oder ähnliches? | |
| Wenn ja, hast du dies in deiner Datenschutzerklärung aufgeführt? | |
| Nutzt du den Facebook Pixel oder ähnliches? | |
| Wenn ja, hast du dies in deiner Datenschutzerklärung aufgeführt? | |
| Hast du eine Möglichkeit eingebaut, dass der Nutzer dem Tracking widersprechen kann? | |
| Grundsätzlich ist dieses Thema „Tracking und Marketing“ sehr heikel. Daher wäre es – auch wenn es sehr unschön ist – besser, wenn du eine Opt-Out-Methode einbaust. Damit kann der Benutzer dem Tracking widersprechen. | |
| Gerade bei den Remarketing / Retargeting Möglichkeiten ist es besser, wenn du eine Opt-In Methode einbaust, damit der Benutzer explizit zustimmen muss, dass er getrackt werden möchte. Ebenfalls, dass er auf den Facebook Like-Button klickt und dann seine Daten entsprechend verwendet werden. |
DSGVO Checkliste für Social Media (Plugins)
| Benutzt du Social Media Plugins? | |
| Hast du darauf in deiner Datenschutzerklärung hingewiesen? | |
| Wenn du die Social Media Plugins verwendest, ist es sichergestellt, dass keine personenbezogenen Daten übertragen werden, bevor der Nutzer widersprechen kann? (Gilt für die Standard sharing Buttons). | |
| Verwende lieber alternative Plugins, wie z. B. das Shariff Plugin (bei WordPress) | |
| Verwendest du das Affiliatetheme.io? Dann sind die Social Media Plugins bereits DSGVO konform (es sind nur Links). zu affiliatetheme.io* | |
| Hast du auf deinen Social Media Seiten ein Impressum oder verlinkst du zumindest auf dein Impressum? |
Mehr gibt es auch in meinem Buch*.
Keine Kommentare vorhanden