Datenschutz im Online-Marketing beginnt mit einer Bestandsaufnahme: Welche personenbezogenen Daten werden wofür verarbeitet, welche Dienste erhalten sie und wann werden sie gelöscht? Eine Datenschutzerklärung muss zum tatsächlichen Betrieb passen. Sie ersetzt weder erforderliche Einwilligungen noch Verträge oder technische Schutzmaßnahmen.
Datenflüsse statt nur sichtbare Banner betrachten
Liste zunächst Formulare, Terminbuchung, E-Mail-Versand, Uploads, Analysewerkzeuge und externe Einbindungen auf. Prüfe nicht nur den Quelltext, sondern auch tatsächlich ausgelöste Verbindungen. Ein Formular kann beispielsweise Angaben über einen Versanddienst an ein Postfach senden, während Anhänge zusätzlich auf einem anderen System liegen.
Ordne jedem Schritt einen Zweck und die wirklich benötigten Daten zu. Die Europäische Kommission erläutert die Grundsätze Datenminimierung und Speicherbegrenzung. Daraus folgt für die Planung: Pflichtfelder und Aufbewahrung sollten begründet sein, statt möglichst viele Informationen vorsorglich zu sammeln.
Tracking und Endgerätezugriffe gesondert prüfen
Nicht jede technisch mögliche Messung ist für die Website erforderlich. Prüfe bei Cookies und vergleichbaren Technologien, ob vor ihrem Einsatz eine Einwilligung nötig ist. Die BfDI erklärt die Unterscheidung zwischen erforderlichen und anderen Cookies und Tracking-Technologien. Die konkrete Beurteilung hängt von Funktion und Verarbeitung ab.
Ein Ladebutton für externe Inhalte oder ein sichtbares Banner beweist allein keine wirksame Einwilligung. Auch müssen die tatsächlich geladenen Dienste mit der getroffenen Auswahl übereinstimmen. Serverbasierte Verarbeitung ist ebenfalls nicht automatisch ohne weitere Prüfung zulässig. Entscheidend bleibt der konkrete Datenfluss.
Eine praktische Bestandsliste erstellen
- Daten und Zweck: Was wird benötigt und wofür?
- Rechtsgrundlage: Welche Grundlage passt zum jeweiligen Vorgang?
- Empfänger: Wer verarbeitet oder erhält die Informationen?
- Verträge: Welche Rollen und erforderlichen Vereinbarungen sind dokumentiert?
- Speicherung: Wo liegen Originale, Kopien, Protokolle und Backups?
- Löschung: Welche Frist oder welches nachvollziehbare Kriterium gilt?
Trenne technische Beobachtungen von Vertragsangaben. Aus einem Domainnamen lässt sich beispielsweise nicht zuverlässig ableiten, welche Gesellschaft Vertragspartner ist oder welche Datenregion vereinbart wurde. Ungeklärte Punkte müssen anhand der tatsächlich genutzten Unterlagen und Kontoeinstellungen überprüft werden.
E-Mail-Werbung und Anfragen unterscheiden
Eine Projektanfrage ist keine automatische Newsletter-Anmeldung. Für Werbung per E-Mail gelten eigene Anforderungen. § 7 UWG beschreibt das grundsätzliche Einwilligungserfordernis und eine eng begrenzte Bestandskundenausnahme. Prüfe diese Voraussetzungen für den konkreten Versand; eine öffentlich auffindbare Geschäftsadresse allein ist keine allgemeine Versandfreigabe. Maßgeblich ist der aktuelle Gesetzestext.
Technik und betriebliche Abläufe zusammenführen
Beschränke Zugriffe auf die Personen, die sie benötigen, und kontrolliere sie bei Änderungen. Lege fest, wie Auskunfts- oder Löschanfragen bearbeitet werden und wer die Angaben der Website aktualisiert. Bei neuen Werkzeugen sollte diese Prüfung vor der Aktivierung stattfinden. Der Beitrag über datenbasierte Entscheidungen zeigt, wie Messziele zunächst eingegrenzt werden können.
Häufige Fragen
Reicht eine Datenschutzerklärung aus?
Nein. Dokumentation, tatsächliche Einstellungen und interne Abläufe müssen zusammenpassen. Dieser Überblick ist keine abschließende rechtliche Prüfung.
Ist jedes Analysewerkzeug einwilligungspflichtig?
Das lässt sich nicht pauschal beantworten. Prüfe Endgerätezugriffe, personenbezogene Daten, Zweck und konkrete Konfiguration.
Welche Angaben gelten für diese Website?
Die Informationen zum Betrieb von Tibre findest du in der Datenschutzerklärung. Allgemeine Ratgeber ersetzen diese konkrete Information nicht.