Art. 25 DSGVO heißt „Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen“, auf Englisch „Privacy by Design“ und „Privacy by Default“. Abs. 1 verlangt technische und organisatorische Maßnahmen, die Grundsätze wie die Datenminimierung wirksam umsetzen, und zwar schon bei der Planung. Abs. 2 verlangt Voreinstellungen, bei denen nur die Daten verarbeitet werden, die für den jeweiligen Zweck erforderlich sind: bei Menge, Umfang der Verarbeitung, Speicherfrist und Zugänglichkeit.
Eine Liste fester Maßnahmen enthält das Gesetz nicht. Die Leitlinien 4/2019 des Europäischen Datenschutzausschusses erklären Art. 25 genauer und stellen klar, dass er auch für Systeme gilt, die schon laufen. Für eine Website lässt er sich in acht praktische Grundsätze übersetzen.
1. Nur laden, was die Seite braucht
Jede Datei von einem fremden Server übermittelt dem Anbieter die IP-Adresse des Besuchers. Fragen Sie bei jedem Skript, Widget und Plugin: Braucht die Seite das wirklich? Was niemand braucht, fliegt raus. Das ist der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO).
2. Vom eigenen Server statt von fremden
Schriften, Icons, Skript-Bibliotheken und Bilder lassen sich fast immer selbst ausliefern. Dann erfährt kein Dritter, wer Ihre Seite besucht. Anleitung: Google Fonts lokal einbinden.
3. Erst fragen, dann laden
Was nicht von Ihrem Server kommen kann, etwa Videos oder Karten, lädt erst nach einem Klick oder nach der Einwilligung. Bis dahin steht ein Vorschaubild von Ihrem Server da. Anleitungen: YouTube ohne Cookies, Karten datensparsam zeigen, Was „Ablehnen“ leisten muss.
4. Datensparsame Voreinstellungen
Privacy by Default heißt: Wer nichts anklickt, gibt am wenigsten preis. Im Cookie-Banner ist kein Häkchen vorausgewählt (vorausgewählte Häkchen sind keine Einwilligung: EuGH, Urteil vom 01.10.2019, C-673/17), freiwillige Formularfelder sind als freiwillig erkennbar, und die Statistik kommt ohne Cookies aus. Anleitung: Besucher zählen ohne Cookies.
5. Formulare schlank und ohne Tracking
Ein Formular fragt nur, was für die Antwort nötig ist, sendet über HTTPS und schützt sich ohne fremden Dienst vor Spam. Auf der Danke-Seite läuft kein Werbe-Pixel. Anleitungen: Kontaktformular datensparsam gestalten, Spam-Schutz ohne reCAPTCHA.
6. Kurz speichern, automatisch löschen
Nach dem Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) bleiben Daten nur so lange, wie der Zweck es verlangt. Legen Sie für jede Datenart eine Frist fest und lassen Sie die Technik löschen: Zugriffsprotokolle, Formular-Einsendungen, Rohdaten der Statistik, Benutzerprotokolle. Anleitung: Logfiles: IP-Adressen kürzen.
7. Verschlüsselt und sicher betreiben
Die ganze Website läuft über HTTPS, mit Weiterleitung von HTTP und HSTS. Art. 32 DSGVO nennt die Verschlüsselung als Maßnahme für die Sicherheit der Verarbeitung; § 19 Abs. 4 TDDDG nennt für Anbieter digitaler Dienste ausdrücklich ein als sicher anerkanntes Verschlüsselungsverfahren. Dazu gehören aktuelle Software und Sicherheits-Header, die der Server mitschickt.
8. Dienste dokumentieren und nachprüfen
Führen Sie eine Liste aller Dienste, die Ihre Website nutzt, mit Anbieter, Land, Zweck und Zeitpunkt des Ladens. Prüfen Sie nach jedem Update erneut: Ein neues Plugin bringt oft einen neuen Dienst mit. Anleitung: Alle Dienste dokumentieren.
So prüfen Sie den Stand
Vieles davon lässt sich von außen messen. Unser kostenloser Check zeigt, welche fremden Server Ihre Seite lädt, welche Cookies der Server setzt, wohin Formulare senden und ob HTTPS und Sicherheits-Header stimmen. Speicherfristen und Ihre Dokumentation sieht nur, wer Zugang zur Website hat.
Planen Sie eine neue Website? Wir bauen sie von Grund auf nach diesen Grundsätzen: Neue Website, von Grund auf datenschutzfreundlich.