DSGVO und Ihre Website: Wofür Sie als Inhaber verantwortlich sind

Ein Kontaktformular, eine Newsletter-Anmeldung, eine Terminbuchung, ein Kundenkonto in Ihrem Shop. Jedes davon erfasst einen Namen, eine E-Mail-Adresse, manchmal eine Telefonnummer. Nach der DSGVO sind das personenbezogene Daten, und Ihr Unternehmen ist dafür der Verantwortliche.

Viele Inhaber gehen davon aus, dass die Sicherheit Sache der Agentur ist, die die Website gebaut hat, und des Hosters, der den Server betreibt. So funktioniert es nicht. Entwickler und Hoster haben eigene Pflichten, aber Sie als Verantwortlicher stehen gegenüber der Aufsichtsbehörde und Ihren Kunden in der Pflicht.

Hier steht in einfachen Worten, was die Regeln von Ihnen als Inhaber erwarten. Das ist keine Rechtsberatung. Bei allem, was ungewöhnlich ist, fragen Sie einen Anwalt oder Ihren Datenschutzbeauftragten.

Wer auf Ihrer Website welche Rolle hat

Die DSGVO teilt die Beteiligten in zwei Rollen. Der Verantwortliche entscheidet, wozu und wie die Daten erhoben werden. Das ist Ihr Unternehmen. Ein Auftragsverarbeiter verarbeitet die Daten in Ihrem Auftrag: der Hoster, auf dessen Server die Datenbank liegt, der Entwickler oder die Agentur mit Zugang zum Adminbereich, das Newsletter-Tool, das Buchungssystem.

Das hat praktische Folgen. Wenn die Agentur die Updates vernachlässigt und jemand die Formulareingaben stiehlt, melden Sie die Datenpanne, informieren Ihre Kunden und beantworten die Fragen der Aufsichtsbehörde. Mit der Agentur klären Sie das hinterher, auf Grundlage Ihres Vertrags, falls es einen gibt.

Artikel 32: Sicherheit, die zum Risiko passt

Artikel 32 schreibt nicht vor, welches Plugin Sie verwenden oder wie lang ein Passwort sein muss. Er verlangt „geeignete technische und organisatorische Maßnahmen“, also Maßnahmen, die dem Risiko entsprechen. Er nennt einige Beispiele: Verschlüsselung, Vertraulichkeit und Verfügbarkeit der Daten, die Fähigkeit, sie nach einem Vorfall rasch wiederherzustellen, und die regelmäßige Überprüfung, ob Ihre Sicherheitsmaßnahmen tatsächlich wirken.

Auf der Website eines kleinen Unternehmens heißt das ganz handfeste Dinge:

• die gesamte Website läuft über HTTPS, und kein Formular sendet Daten über einfaches http,
• CMS, Theme und Plugins werden nach Plan aktualisiert und nicht dann, wenn jemand daran denkt,
• nur Personen, die den Adminbereich wirklich brauchen, können sich anmelden, und sie nutzen die Zwei-Faktor-Anmeldung,
• Backups liegen getrennt vom Server der Website, und jemand hat geprüft, dass eine Wiederherstellung funktioniert,
• alte Formulareingaben bleiben nicht ohne Grund jahrelang in der Datenbank,
• in Abständen prüft jemand die Website von außen, zum Beispiel mit einem Sicherheitsscanner, und notiert das Ergebnis.

Der letzte Punkt wird am leichtesten übersprungen, dabei erfüllt er die Forderung nach „regelmäßiger Überprüfung“ direkt. Falls die Aufsichtsbehörde je fragt, wie Sie sich um die Sicherheit kümmern, ist eine Notiz wie „geprüft am 3. März, zwei Probleme, behoben am 10. März“ mehr wert als jede Versicherung, die Website sei wohl in Ordnung.

72 Stunden für die Meldung an die Behörde

Eine Verletzung des Schutzes personenbezogener Daten muss kein spektakulärer Hackerangriff sein. Es kann ein Export der Formulareingaben sein, den jeder unter einer öffentlichen Adresse herunterladen konnte. Ein gekapertes Administratorkonto. Eine E-Mail an alle Ihre Kunden, bei der die Adressen in CC statt in BCC standen.

Artikel 33 sagt, dass der Verantwortliche die Aufsichtsbehörde unverzüglich und möglichst binnen 72 Stunden benachrichtigt, nachdem ihm die Verletzung bekannt wurde. In Polen ist diese Behörde das UODO, im Vereinigten Königreich das ICO (die UK GDPR hat dieselbe Regel übernommen), in Irland die Data Protection Commission. Es sind Uhrstunden, ein Wochenende hält die Frist also nicht an. Die Meldung entfällt nur, wenn die Verletzung voraussichtlich nicht zu einem Risiko für die Personen führt, um deren Daten es geht.

Zwei Dinge machen das weniger beängstigend. Sie brauchen nicht sofort das vollständige Bild: Die Regeln erlauben, Informationen schrittweise nachzureichen, es ist also besser, rechtzeitig zu melden, was Sie wissen, und den Rest später zu ergänzen, als auf einen vollständigen Bericht Ihres Entwicklers zu warten. Und die meisten Behörden nehmen Meldungen über ein Online-Formular auf ihrer Website entgegen.

Eine verspätete Meldung muss die Verzögerung begründen. Vereinbaren Sie deshalb mit demjenigen, der Ihre Website betreut, dass Sie von jedem Verdacht auf ein Datenleck noch am selben Tag erfahren. Ein Auftragsverarbeiter muss Sie unverzüglich informieren, aber die Entscheidung über die Meldung liegt bei Ihnen, und die Frist auch.

Wann Sie Ihre Kunden informieren müssen

Artikel 34 geht einen Schritt weiter. Hat eine Verletzung voraussichtlich ein hohes Risiko für die Betroffenen zur Folge, müssen Sie auch sie informieren, ebenfalls unverzüglich. In klaren Worten: was passiert ist, welche Folgen wahrscheinlich sind, was Sie unternommen haben und worauf die Betroffenen achten sollten, etwa auf E-Mails, die vorgeben, von Ihrem Unternehmen zu stammen.

Ein hohes Risiko sind zum Beispiel geleakte Passwörter zu Kundenkonten, Ausweisnummern, Gesundheitsangaben aus dem Anmeldeformular einer Praxis oder die Mandantenliste einer Kanzlei mit Notizen zu den Fällen. Eine E-Mail-Adresse aus einer Newsletter-Anmeldung wiegt meist weniger, aber die Bewertung hängt immer von der Situation ab.

Es gibt Ausnahmen. Sie müssen die Betroffenen nicht informieren, wenn die Daten so verschlüsselt waren, dass kein Unbefugter sie lesen kann, oder wenn Sie sofort so gehandelt haben, dass das hohe Risiko aller Wahrscheinlichkeit nach nicht mehr besteht. Wäre es unverhältnismäßig aufwendig, alle einzeln zu erreichen, kann stattdessen eine öffentliche Bekanntmachung erfolgen.

Ein Auftragsverarbeitungsvertrag mit Hoster und Entwickler

Wer in Ihrem Auftrag personenbezogene Daten verarbeitet, sollte mit Ihnen einen Auftragsverarbeitungsvertrag haben (Artikel 28). Das muss kein dickes Dokument sein. Größere Hoster und Newsletter-Tools haben meist einen fertigen AV-Vertrag im Kundenbereich oder in den Nutzungsbedingungen. Sie akzeptieren ihn und bewahren eine Kopie auf.

Bei Freelancern und kleinen Agenturen hat oft niemand daran gedacht. Der Vertrag legt unter anderem fest, dass sie Daten nur nach Ihren Weisungen verarbeiten, sie sicher aufbewahren, Ihnen bei einer Datenpanne helfen und die Daten löschen oder zurückgeben, wenn die Zusammenarbeit endet. Ergänzen Sie die praktischen Details: wer die Kontaktperson ist, über welchen Kanal ein Vorfall gemeldet wird und wie schnell.

Was Sie schriftlich festhalten

Die DSGVO beruht auf Rechenschaftspflicht. Es reicht nicht, die Regeln einzuhalten, Sie müssen es auch nachweisen können. Für eine Unternehmenswebsite heißt das: ein Ordner, auf Papier oder auf einem gemeinsamen Laufwerk.

1. Auftragsverarbeitungsverträge mit Ihrem Hoster, Ihrem Entwickler oder Ihrer Agentur und mit jedem Tool, das Daten aus Ihren Formularen erhält.
2. Eine kurze Beschreibung Ihrer Sicherheitsmaßnahmen: was aktualisiert wird und von wem, wo die Backups liegen, wer Administratorzugang hat.
3. Die Ergebnisse der regelmäßigen Prüfungen der Website und eine Notiz, was daraufhin getan wurde.
4. Ein Verzeichnis der Datenpannen. Artikel 33 verlangt, jede Verletzung zu dokumentieren, auch die, die Sie nicht melden: was passiert ist, welche Auswirkungen sie hatte und was Sie getan haben. Bei nicht gemeldeten notieren Sie, warum Sie auf die Meldung verzichtet haben.
5. Ein Verzeichnis von Verarbeitungstätigkeiten, falls es für Sie gilt. Die Ausnahme für Organisationen mit weniger als 250 Beschäftigten ist enger, als sie aussieht: Sie gilt nicht für eine Verarbeitung, die mehr als nur gelegentlich erfolgt, und ein Formular, das jede Woche Anfragen bringt, lässt sich kaum gelegentlich nennen.

Nichts davon braucht ein großes Budget. Es braucht eine klare Absprache, wer was tut, bevor etwas passiert. Während eines Vorfalls vergehen 72 Stunden sehr schnell, besonders wenn Sie den ersten Tag damit verbringen herauszufinden, wer Zugang zum Server hat.