DSGVO und Consent: Website rechtssicher aufsetzen

Die meisten Einwilligungsdialoge im Netz wurden nachträglich über eine fertige Website gelegt. Genau daraus entstehen die typischen Probleme: Skripte laden bereits, während der Dialog noch aufgebaut wird; Zwecke sind so grob beschrieben, dass niemand versteht, worin er einwilligt; das Ablehnen kostet drei Klicks, das Zustimmen einen. Rechtlich ist der Dialog aber kein Zubehör, sondern der Nachweis dafür, dass eine Verarbeitung überhaupt eine Rechtsgrundlage hat. Fehlt dieser Nachweis, fehlt die Grundlage, und zwar rückwirkend für den gesamten Zeitraum, in dem Daten geflossen sind. Deshalb gehört die Frage nach der Einwilligung an den Anfang eines Website-Projekts und nicht an dessen Ende. Wer eine Website mit KI erstellen lässt, sollte die Datenflüsse von der ersten Skizze an mitdenken, weil sie sich später nur mit erheblichem Aufwand zurückbauen lassen.

Wie ernst die Aufsicht das Thema nimmt, zeigt der europäische Abstimmungsprozess. Nach 422 Beschwerden (Europäischer Datenschutzausschuss, Bericht der Cookie Banner Taskforce) über Einwilligungsdialoge bei mehreren europäischen Aufsichtsbehörden richtete der Europäische Datenschutzausschuss eine eigene Taskforce ein und veröffentlichte 2023 einen gemeinsamen Bewertungsrahmen. Der Bußgeldrahmen der DSGVO reicht bei Verstößen gegen die Grundsätze der Verarbeitung bis zu 20 Millionen Euro (Artikel 83 Absatz 5 DSGVO) oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. In der Praxis sind Beschwerden von Besucherinnen und Besuchern sowie wettbewerbsrechtliche Schreiben das häufigere Risiko, doch die Richtung ist eindeutig: Einwilligung wird geprüft, nicht unterstellt.

Paragraf 25 Absatz 2 TDDDG kennt zwei Ausnahmen: Der Zugriff dient allein der Übertragung einer Nachricht über ein Telekommunikationsnetz, oder er ist unbedingt erforderlich, damit ein von der Nutzerin oder dem Nutzer ausdrücklich gewünschter Telemediendienst bereitgestellt werden kann. Unbedingt erforderlich ist dabei eng zu verstehen: Gemeint ist, was ohne die Speicherung technisch nicht funktioniert, nicht das, was den Betrieb komfortabler oder die Auswertung ergiebiger macht. Die Datenschutzkonferenz hat diese Linie in ihrer Orientierungshilfe für Anbieter von Telemedien (Datenschutzkonferenz) konkretisiert und dabei auch klargestellt, dass die Sicht des Diensteanbieters allein nicht ausschlaggebend ist. Die folgenden Fälle gelten typischerweise als einwilligungsfrei.

Ausdrücklich nicht erfasst sind Reichweitenmessung, Marketing-Pixel, eingebettete Videos, extern nachgeladene Schriftarten, Kartendienste, Chat-Fenster fremder Anbieter und Testverfahren für Seitenvarianten. Auch eine rein statistische Auswertung gilt nach deutscher Aufsichtspraxis nicht als unbedingt erforderlich, selbst wenn sie ohne Klarnamen erfolgt, denn schon das Setzen des Werts auf dem Endgerät löst die Einwilligungspflicht aus. Wer Reichweiten ohne Dialog messen möchte, muss deshalb auf Verfahren ausweichen, die ohne Speichern und Auslesen im Browser auskommen, etwa auf serverseitige Auswertungen ohne Wiedererkennungsmerkmal. Wie stark sich solche Entscheidungen auf Aufbau und Ladezeit auswirken, zeigt der Beitrag zur statischen Auslieferung mit PageSpeed 100, und wie eine Seite ohne externe Einbindungen wirkt, lässt sich an den Demo-Websites nachvollziehen.

Artikel 7 Absatz 1 DSGVO verlangt, dass der Verantwortliche die Einwilligung nachweisen kann. Das ist ein aktiver Nachweis und keine Behauptung: Zu jeder Einwilligung gehören der Zeitpunkt, die konkret gewählten Zwecke, die Version des Dialogs und der Stand der Informationstexte, die zum Zeitpunkt der Entscheidung galten. Ändert sich die Liste der eingebundenen Dienste, ist die alte Einwilligung für den neuen Dienst wertlos, der Dialog muss also erneut ausgespielt werden. Für die Protokollierung selbst gilt wiederum Datenminimierung: Ein pseudonymer Datensatz ohne Klarnamen und ohne vollständige IP-Adresse genügt in der Regel, weil er die Entscheidung belegt, ohne ein zusätzliches Personenprofil aufzubauen.

Nach Artikel 7 Absatz 3 DSGVO muss der Widerruf so einfach sein wie die Erteilung. Praktisch heißt das: Wenn die Zustimmung mit einem Klick möglich war, darf der Widerruf nicht durch drei Untermenüs führen. Bewährt hat sich ein dauerhafter Eintrag im Fußbereich, der denselben Dialog erneut öffnet und die gespeicherte Auswahl sichtbar macht. Ebenso wichtig ist, dass ein Widerruf die betroffenen Skripte tatsächlich stoppt und die gesetzten Werte entfernt. Ein Dialog, der die Auswahl zwar speichert, die geladenen Dienste aber weiterlaufen lässt, erzeugt lediglich einen Anschein von Kontrolle und fällt in einer Prüfung sofort auf. Wie sich dieser Ansatz von klassischen CMS-Installationen mit nachträglich ergänzten Erweiterungen unterscheidet, ordnet der Vergleich der Ansätze ein.

Der Dialog ist nur ein Teil des Pflichtenhefts. Dazu kommen die Informationspflichten aus Artikel 13 DSGVO, das Verarbeitungsverzeichnis nach Artikel 30, Verträge zur Auftragsverarbeitung nach Artikel 28 mit allen Dienstleistern, also Hosting, Mailversand und Formularverarbeitung, sowie die Anbieterkennzeichnung, die seit Mai 2024 in Paragraf 5 Digitale-Dienste-Gesetz geregelt ist. Für Verarbeitungen außerhalb der Europäischen Union gelten die Artikel 44 und folgende der DSGVO; nachdem der Gerichtshof der Europäischen Union 2020 im Verfahren C-311/18 das damalige Transferabkommen für ungültig erklärt hatte, stützt sich der transatlantische Datenverkehr auf den 2023 gefassten Angemessenheitsbeschluss der Europäischen Kommission. Wer Verarbeitung und Speicherung in der EU hält, umgeht diese Diskussion weitgehend. Hinter XICflow steht XICTRON aus Söhlde; die Angaben dazu finden sich im Unternehmensprofil.

Eine Bestandsaufnahme muss keine Wochen dauern. Erfahrungsgemäß bringt ein strukturierter Durchgang in wenigen Stunden die meisten offenen Punkte ans Licht, weil sich die kritischen Fälle auf wenige Muster verteilen. Sinnvoll ist, mit dem Netzwerkmitschnitt des Browsers zu beginnen und jede ausgehende Verbindung einer Rechtsgrundlage zuzuordnen; danach folgen der Dialog und zuletzt die Texte. Vergleichbare Prüfmuster entstehen bei der Barrierefreiheit nach BFSG und bei mehrsprachigen Websites mit hreflang, weshalb sich ein gemeinsamer Prüfdurchgang lohnt. Welche Leistungen dabei in welchem Umfang enthalten sind, zeigt die Preisübersicht.