Die Datenschutz-Grundverordnung gilt für nahezu jedes Unternehmen — vom Einzelunternehmer mit Website bis zum Mittelständler mit Kundendatenbank. Verstöße können Abmahnungen und empfindliche Bußgelder nach sich ziehen.
Dieser Ratgeber zeigt, welche Pflichten wirklich wichtig sind, worauf es bei Website und Cookies ankommt und was im Fall einer Datenpanne zu tun ist.
Pflichtangaben auf der Website
Fehlen diese Angaben oder sind sie veraltet, drohen Abmahnungen durch Mitbewerber oder Verbände. Wir prüfen Ihren Auftritt und liefern rechtssichere Texte.
- Korrektes Impressum (§ 5 DDG / TMG)
- Vollständige Datenschutzerklärung (Art. 13 DSGVO)
- Rechtskonformer Cookie-Banner mit Einwilligung
- Verschlüsselung der Datenübertragung (TLS/HTTPS)
Cookies und Einwilligung
Nicht notwendige Cookies (Tracking, Marketing, eingebettete Dienste) dürfen erst nach aktiver Einwilligung gesetzt werden. Ein bloßer Hinweis genügt nicht — erforderlich ist eine echte Wahlmöglichkeit mit gleichwertigem „Ablehnen“.
Rechtsgrundlagen jeder Verarbeitung
Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage (Art. 6 DSGVO). In Betracht kommen vor allem die Einwilligung der betroffenen Person, die Erforderlichkeit zur Vertragserfüllung, eine rechtliche Verpflichtung sowie das berechtigte Interesse des Verantwortlichen.
Welche Grundlage greift, sollte für jede Verarbeitung bewusst bestimmt und dokumentiert werden. Eine einmal erteilte Einwilligung muss zudem freiwillig, informiert und jederzeit widerrufbar sein — vorausgefüllte Häkchen oder Kopplungen sind unzulässig.
Die Rechte der Betroffenen
Die DSGVO gibt den betroffenen Personen weitreichende Rechte, die Unternehmen fristgerecht (in der Regel binnen eines Monats) erfüllen müssen. Werden Anfragen ignoriert oder falsch beantwortet, drohen Beschwerden und Bußgelder.
- Auskunft über die gespeicherten Daten (Art. 15 DSGVO)
- Berichtigung unrichtiger Daten (Art. 16 DSGVO)
- Löschung und „Recht auf Vergessenwerden“ (Art. 17 DSGVO)
- Einschränkung der Verarbeitung und Datenübertragbarkeit
- Widerspruch gegen die Verarbeitung (Art. 21 DSGVO)
Dokumentationspflichten
Die DSGVO verlangt Nachweise (Rechenschaftspflicht). Dazu gehört insbesondere das Verzeichnis von Verarbeitungstätigkeiten, das die wesentlichen Verarbeitungen dokumentiert. Kleinstunternehmen sind hiervon nur unter engen Voraussetzungen befreit.
Bei risikoreichen Verarbeitungen — etwa umfangreichem Tracking oder der Verarbeitung sensibler Daten — ist zusätzlich eine Datenschutz-Folgenabschätzung erforderlich. Eine saubere Dokumentation ist im Prüfungs- oder Beschwerdefall Ihr wichtigster Schutz.
Auftragsverarbeitung und Dienstleister
Setzen Sie externe Dienste ein (Hosting, Newsletter, Cloud, IT-Wartung), brauchen Sie in der Regel einen Auftragsverarbeitungsvertrag (AV-Vertrag). Bei Übermittlungen in Drittländer — etwa bei US-Diensten — sind zusätzliche Garantien wie Standardvertragsklauseln und eine Risikobewertung nötig.
Prüfen Sie Ihre Dienstleister sorgfältig: Sie bleiben als Verantwortlicher gegenüber den Betroffenen in der Pflicht, auch wenn ein Dienstleister patzt. Ein fehlender oder unzureichender AV-Vertrag ist ein häufiger und vermeidbarer Verstoß.
Eine meldepflichtige Datenpanne muss in der Regel binnen 72 Stunden der Aufsichtsbehörde gemeldet werden. Dokumentieren Sie den Vorfall und holen Sie früh rechtlichen Rat — das begrenzt Haftung und Bußgeldrisiko.
Datenschutz im Beschäftigtenkontext
Auch gegenüber den eigenen Mitarbeitern gilt die DSGVO. Die Verarbeitung von Beschäftigtendaten — von der Bewerbung über die Personalakte bis zur Zeiterfassung und Videoüberwachung — ist nur in den gesetzlich erlaubten Grenzen zulässig.
Besonders heikel sind Kontroll- und Überwachungsmaßnahmen, die häufig der Mitbestimmung des Betriebsrats unterliegen und streng am Verhältnismäßigkeitsgrundsatz zu messen sind. Wir beraten Sie zu rechtssicheren Lösungen.
Fachanwalt für Familienrecht und Kanzleiinhaber. Berät und vertritt in Familien- und Arbeitsrecht — ruhig, klar und mit Blick für das wirtschaftlich Sinnvolle.