Was ein Datenschutzbeauftragter auf der Website eines Mandanten ohne IT prüfen kann

Wenn Sie als Datenschutzbeauftragter oder DSGVO-Berater arbeiten, kennen Sie diesen Moment. Das Verzeichnis der Verarbeitungstätigkeiten ist in Ordnung, die Datenschutzhinweise sind geschrieben, die Auftragsverarbeitungsverträge unterschrieben. Dann kommen Sie zur Website, und in den Prüfnotizen steht „von der IT zu prüfen“. Der Mandant hat keine IT, und die Agentur, die die Website gebaut hat, antwortet nicht.

Dabei ist die Website oft das einzige System Ihres Mandanten, das personenbezogene Daten von jedem im Internet annimmt: ein Kontaktformular, eine Newsletter-Anmeldung, eine Terminbuchung. Einen guten Teil davon können Sie selbst beurteilen, ohne Admin-Zugang und ohne technischen Hintergrund. So geht es, und so halten Sie es fest.

Was Artikel 32 von einer Website verlangt

Artikel 32 DSGVO verpflichtet den Verantwortlichen und den Auftragsverarbeiter, „geeignete technische und organisatorische Maßnahmen“ zu treffen, „um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Als Beispiele nennt er unter anderem Verschlüsselung, die dauerhafte Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme, die rasche Wiederherstellung der Daten nach einem Zwischenfall und „ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung“.

Für eine öffentliche Website ergeben sich daraus einige konkrete Fragen. Werden Formulardaten auf dem Weg zum Server verschlüsselt? Wird die Software aktuell gehalten? Könnte ein Fremder Dateien mit personenbezogenen Daten herunterladen? Gibt die Website Besucherdaten ohne Rechtsgrundlage an Dritte weiter? Und prüft das jemand regelmäßig und dokumentiert es?

Die letzte Frage hängt mit der Rechenschaftspflicht zusammen. Nach Artikel 5 Absatz 2 ist der Verantwortliche für die Einhaltung der Grundsätze aus Absatz 1 verantwortlich, darunter Integrität und Vertraulichkeit, und muss deren Einhaltung „nachweisen können“. Artikel 39 Absatz 1 Buchstabe b nennt unter den Aufgaben des Datenschutzbeauftragten die Überwachung der Einhaltung der DSGVO einschließlich der diesbezüglichen Überprüfungen. Eine datierte Prüfung der Website passt dort gut hinein. Zur Seite des Verantwortlichen, einschließlich der Meldung von Datenschutzverletzungen binnen 72 Stunden, siehe DSGVO und Ihre Website.

Was Sie in 20 Minuten selbst prüfen können

Alles Folgende kann jeder Besucher tun, Sie brauchen also keinen Zugang. Wenn Sie automatisierte Scan-Werkzeuge gegen die Website laufen lassen wollen, fragen Sie vorher den Mandanten. Machen Sie bei jedem Schritt einen Screenshot, auf dem Adresse und Datum zu sehen sind.

1. Schloss und Zertifikat. Klicken Sie auf das Symbol neben der Adresse und öffnen Sie die Zertifikatsdetails. Notieren Sie, wer es ausgestellt hat und wann es abläuft. Tippen Sie die Adresse dann von Hand mit http:// statt https:// ein. Die Website sollte von selbst auf die https-Version wechseln. Bleibt sie auf http, werden Formulardaten womöglich unverschlüsselt übertragen. Den Rest, einschließlich veralteter Protokollversionen, deckt der kostenlose SSL-Zertifikats-Check (auf Englisch) ab.

2. Die Datenschutzerklärung. Gibt es einen Link im Footer jeder Seite und neben jedem Formular? Funktioniert er, oder führt er auf eine 404-Seite? Nennt die Erklärung den Verantwortlichen, der die Website tatsächlich betreibt, und erwähnt sie die Werkzeuge, die Sie darauf sehen? Eine vor Jahren geschriebene Erklärung passt schnell nicht mehr zu einer Website, die inzwischen ein Chat-Widget oder ein Werbepixel bekommen hat.

3. Formulare. Öffnen Sie jede Seite mit einem Formular und achten Sie auf das Schloss. Ein Formular, das aus einem anderen Dienst eingebettet ist, etwa einem Buchungssystem oder einem Newsletter-Tool, ist ein weiterer Empfänger der Daten und braucht einen Auftragsverarbeitungsvertrag mit dem Mandanten. Prüfen Sie, ob daneben ein kurzer Datenschutzhinweis steht und ob das Formular nicht mehr abfragt, als sein Zweck erfordert. Ein Feld für die Ausweisnummer in einem Kontaktformular ist ein Gesprächsthema. Was bei Formularen sonst schiefgehen kann, steht in Ihr Kontaktformular ist ein Einfallstor.

4. Cookies vor der Einwilligung. Öffnen Sie die Website in einem privaten Fenster und lassen Sie das Cookie-Banner unberührt. Drücken Sie F12, gehen Sie in Chrome oder Edge auf den Tab „Anwendung“ (Application), in Firefox auf „Web-Speicher“ (Storage), und öffnen Sie die Cookie-Liste. Stehen dort schon Analyse- oder Werbe-Cookies, bevor Sie etwas angeklickt haben, etwa _ga von Google Analytics oder _fbp vom Meta-Pixel, beginnt das Tracking ohne Einwilligung. Klicken Sie dann auf „Ablehnen“, laden Sie neu und sehen Sie nach, ob sie verschwinden. Die Pflicht zur vorherigen Einwilligung stammt aus Artikel 5 Absatz 3 der ePrivacy-Richtlinie (2002/58/EG), wie sie im jeweiligen nationalen Recht umgesetzt ist, und nicht aus der DSGVO selbst. Die personenbezogenen Daten, die diese Werkzeuge erheben, sind dagegen eine Frage der DSGVO. Für einen schnellen ersten Durchgang ohne F12 listet der Check „Cookies vor der Einwilligung“ (auf Englisch) die Cookies, die der Server setzt, und die Tracker im Seitencode. Cookies, die Skripte erst später schreiben, sieht man nur im Browser.

5. E-Mail auf der Domain. Geben Sie die Domain des Mandanten in den SPF-, DKIM- und DMARC-Check (auf Englisch) ein. Ohne DMARC kann jeder E-Mails verschicken, die scheinbar von Ihrem Mandanten kommen, auch an dessen eigene Kunden, mit der Bitte um persönliche Daten oder eine Zahlung. Das ist ein Risiko für eine Datenschutzverletzung, das außerhalb der Website beginnt, aber dieselbe Domain nutzt.

6. Sichtbare Softwareversionen. Drücken Sie Strg+U, um den Quelltext der Seite anzuzeigen, und suchen Sie (Strg+F) nach generator. Oft finden Sie etwas wie WordPress 6.x. Vergleichen Sie die Nummer mit der aktuellen Version auf wordpress.org. Eine sichtbare Versionsnummer ist für sich keine Schwachstelle, aber eine alte Version deutet darauf hin, dass auch niemand die Plugins aktualisiert. Fehlt der Tag, beweist das nichts, denn er lässt sich ausblenden.

Was Sie von außen nicht sehen

Eine Prüfung im Browser hat Grenzen, und Ihre Notizen sollten sie genauso festhalten wie die Befunde:

• Backups: ob es sie gibt, wo sie liegen und ob die Website schon einmal daraus wiederhergestellt wurde,
• Admin-Konten: wer Administratorzugang hat und ob die Zwei-Faktor-Anmeldung genutzt wird,
• Plugin-Versionen, die im Seitencode nicht auftauchen, und wer sie aktualisiert,
• was mit einer Einsendung nach dem Absenden passiert: ob sie in der Datenbank bleibt, wie lange und in welchem Postfach sie landet,
• Serverkonfiguration, Protokolle und wie die Datenbank geschützt ist,
• wo das Hosting steht und ob Daten den EWR verlassen.

Machen Sie daraus Fragen an den Mandanten oder seinen Webentwickler und notieren Sie, wer wann geantwortet hat. Keine Antwort ist auch ein Ergebnis und gehört in die Notizen.

Wie Sie die Prüfung dokumentieren

Eine Prüfnotiz sollte auch dann standhalten, wenn jemand ein Jahr später fragt, woher Sie etwas wussten. Halten Sie sich an ein festes Format:

1. Datum und Uhrzeit, die Adresse der Website, wer geprüft hat und mit welchem Browser.
2. Die Liste der geprüften Punkte, jeweils markiert als in Ordnung, zu beheben oder nicht prüfbar.
3. Screenshots zu jedem Punkt, der behoben werden muss.
4. Wer die Ergebnisse wann und in welcher Form erhalten hat.
5. Die mit dem Verantwortlichen vereinbarte Frist für die Behebung und das Datum der Nachprüfung.

Eine solche Dokumentation hilft beiden Seiten. Der Mandant hat einen Nachweis über die regelmäßige Überprüfung, die Artikel 32 Absatz 1 Buchstabe d verlangt. Sie haben einen Nachweis, dass Sie überwacht und Ihre Empfehlungen weitergegeben haben. Die Behebung selbst ist Sache des Verantwortlichen und desjenigen, der seine Website baut.

Wiederholen Sie die Prüfung mindestens einmal im Jahr und nach jeder größeren Änderung, etwa einer neuen Webagentur oder einem neuen Onlineshop. Zwei datierte Berichte zeigen, ob Ihre Empfehlungen umgesetzt wurden.

Wenn Sie viele Mandanten haben

Bei einem Dutzend Mandanten oder mehr kostet die manuelle Prüfung jeder Website ganze Tage. Den äußeren Teil können Sie mit ShieldWave automatisieren. Es prüft jede Website so, wie sie jeder im Internet sieht, einschließlich offen liegender Dateien, Sicherheits-Header und bekannter Schwachstellen in Softwareversionen, und liefert einen datierten PDF-Bericht mit DSGVO-Zuordnung. Der technische Teil geht unverändert an den Entwickler des Mandanten, ohne dass Sie ihn übersetzen müssen. Der Pro-Tarif kostet 12 US-Dollar im Monat für bis zu 25 Websites. Er bescheinigt keine DSGVO-Konformität und schaut nicht in den Admin-Bereich, die Fragen aus dem Abschnitt oben bleiben also Ihre Aufgabe.