Die kurze Antwort
Ja, die DSGVO gilt für Ihre neue Website oder Ihren neuen Online-Shop, sobald personenbezogene Daten dort verarbeitet werden. Das geschieht schneller, als viele Unternehmer denken: ein Kontaktformular, eine Bestellung mit Name und Adresse, ein Cookie-Banner für Analytics oder ein Chat-Fenster, das eine E-Mail-Adresse abfragt – all das sind Verarbeitungen personenbezogener Daten. Die Größe Ihres Unternehmens oder die Anzahl der Besucher spielen dabei keine Rolle.
Was sich unterscheidet, ist der Umfang dessen, was von Ihnen verlangt wird. Eine informative Website mit nur einer Adresse und Telefonnummer erfordert wenig. Ein Online-Shop mit Kundenkonten, Zahlungsdaten, Lieferadressen und einem Newsletter erfordert mehr: dort sind mehrere Parteien beteiligt, die Daten in Ihrem Namen verarbeiten, und dafür sind Vereinbarungen erforderlich.
Wann betrifft Sie das konkret
Die DSGVO kommt ins Spiel, wenn Ihre Website oder Ihr Online-Shop etwas mit Daten tut, die einer Person zugeordnet werden können. Denken Sie an ein Kontaktformular, das Name und E-Mail-Adresse speichert, ein Analytics-Tool, das Besucherverhalten verfolgt, ein Werbe-Pixel eines Drittanbieters, ein Kundenkonto zum Anmelden oder einen Bestellprozess, bei dem Adress- und Zahlungsdaten erfasst und an einen Paketdienst oder Zahlungsanbieter weitergeleitet werden.
Jedes dieser Elemente bedeutet, dass es einen Partner gibt, der Daten in Ihrem Namen verarbeitet: Ihr Hosting-Partner, Ihre Online-Shop-Plattform, Ihr Analytics-Anbieter, Ihr E-Mail-Marketing-Tool. Für diese Partner gilt in den meisten Fällen, dass eine Auftragsverarbeitungsvereinbarung bestehen sollte. Wie Sie diese Vereinbarung beurteilen und worauf Sie achten müssen, finden Sie in der Wissensdatenbank mit Erläuterungen pro Situation.
Wann betrifft Sie das weniger
Eine reine Informationswebsite ohne Formulare, ohne Tracking-Cookies und ohne Drittanbieter, die mitschauen, verarbeitet wenig bis keine personenbezogenen Daten. In diesem Fall ist die Auswirkung der DSGVO begrenzt. Aber in der Praxis ist dies selten: Die meisten Websites haben mindestens ein Kontaktformular oder ein Analytics-Skript, und beide zählen bereits als Verarbeitung.
Es geht also nicht um die Frage ‚betrifft mich das oder nicht', sondern um ‚in welchem Umfang'. Eine einfache Broschüren-Website erfordert eine kurze Datenschutzerklärung und einen Blick auf die verwendeten Tools. Ein Online-Shop mit Kundenkonten und mehreren Lieferanten erfordert ein vollständigeres Bild: Welches Tool verarbeitet was, wer ist der Auftragsverarbeiter, und wo werden welche Daten gespeichert.
Was das in der Praxis bedeutet
Wenn Sie eine neue Website oder einen neuen Online-Shop aufbauen, entstehen normalerweise drei Fragen gleichzeitig. Erstens: Welche Tools und Lieferanten verarbeiten künftig Daten in Ihrem Namen, und haben Sie mit jedem von ihnen eine Auftragsverarbeitungsvereinbarung? Zweitens: Steht auf der Website eine Datenschutzerklärung, die erklärt, was Sie tun und warum? Drittens: Ist diese neue Verarbeitung in Ihrem Verarbeitungsverzeichnis eingetragen, damit Sie jederzeit nachweisen können, was geschieht?
Diese drei Fragen sollten nicht unabhängig voneinander beantwortet werden. Eine Shop-Plattform, ein Zahlungsanbieter und ein Versandunternehmen sind oft alle drei Auftragsverarbeiter, und jeder von ihnen sollte im Verzeichnis aufgeführt werden. Wenn bei der Umsetzung etwas schief geht – zum Beispiel, weil ein Lieferant Daten ungeschützt weiterleitet – ist das ein Moment, um schnell beurteilen zu können, was passiert ist und ob dies meldepflichtig ist. Eine erste Orientierung dazu erhalten Sie mit ein paar Fragen, die sofort eine Richtung vorgeben.
Wie sich dies zu bestehenden Verpflichtungen verhält
Eine neue Website oder ein neuer Webshop ist normalerweise keine separate Verpflichtung gemäß der Verordnung (EU) 2016/679, sondern eine Erweiterung dessen, was bereits galt. Wenn Ihr Unternehmen bereits Personalverwaltungsdaten verarbeitet oder bereits Kundendaten erfasst, kommt die Website hinzu: neue Auftragsverarbeiter, neue Datenströme und daher eine Ergänzung des Verarbeitungsverzeichnisses und der bestehenden Auftragsverarbeitungsverträge. Die Verordnung (EU) 2016/679 selbst und die Leitlinien des Europäischen Datenschutzausschusses und der Autoriteit Persoonsgegevens bilden dabei den Ausgangspunkt; wie diese Informationen auf dieser Plattform strukturiert sind und wo die Quelle für jeden Teil zu finden ist, lesen Sie bei der Erklärung, wie die Informationen strukturiert sind.
Ob Ihre spezifische Website oder Ihr Webshop vollständig der Verordnung (EU) 2016/679 entspricht, ist etwas, das Sie am besten mit einem Juristen oder bei Zweifeln an einer konkreten Verarbeitung mit der Autoriteit Persoonsgegevens besprechen können. Dieser Artikel bietet Orientierung, keine Rechtsberatung.
Selbst überprüfen, wo Sie stehen
Möchten Sie schnell sehen, welche Komponenten zu Ihrer neuen Website oder Ihrem Webshop gehören — welche Tools, welche Auftragsverarbeiter, welche Dokumente? Führen Sie die kostenlose Quick-Scan durch oder blättern Sie durch die Themen in der Wissensdatenbank. Möchten Sie dies strukturell verfolgen, sobald das Verarbeitungsverzeichnis und die Überwachung dazukommen, können Sie ein geschäftliches Konto erstellen und von dort fortfahren, wo Sie jetzt stehen.