DSGVO für die Webseite: die Checkliste für Handwerksbetriebe

„Datenschutz? Ehrlich gesagt blicke ich da nicht durch.“ Diesen Satz höre ich fast bei jedem zweiten Betrieb, sobald das Gespräch auf die Webseite kommt. Die gute Nachricht vorweg: DSGVO auf der Webseite heißt für einen Handwerksbetrieb im Kern nur eine Handvoll Dinge. Eine saubere Datenschutzerklärung, ein korrektes Impressum, eine SSL-Verschlüsselung und ein ehrlicher Umgang mit den Google-Diensten, die Sie eingebunden haben. Das meiste davon ist an einem Nachmittag erledigt.

Damit wir uns richtig verstehen: Hier geht es nicht um Abmahn-Horror und teure Schreckenszahlen. Was eine Abmahnung kostet und welche Fehler am teuersten werden, habe ich im Ratgeber zur Abmahnung wegen der Webseite zusammengefasst. Und es geht auch nicht um die Frage, wer am Ende geradesteht, wenn doch etwas schiefgeht. Das kläre ich im Ratgeber zur Haftung für die Webseite. Hier bekommen Sie das Gegenstück dazu. Eine ruhige Liste zum Abhaken, was Ihre Seite wirklich braucht.

DSGVO Webseite für Handwerker: Was wirklich Pflicht ist

Zuerst die Entwarnung, die kaum jemand ausspricht. Die DSGVO gilt für jeden, der eine geschäftliche Webseite betreibt. Vom Ein-Mann-Malerbetrieb bis zum Bauunternehmen mit dreißig Leuten. Eine Ausnahme für kleine Betriebe gibt es nicht. Was viele durcheinanderbringen: Einen eigenen Datenschutzbeauftragten brauchen Sie erst, wenn bei Ihnen mindestens zwanzig Personen ständig mit der Datenverarbeitung am Rechner sitzen. Das trifft auf fast keinen Handwerksbetrieb zu. Die Regeln der DSGVO selbst gelten aber trotzdem, ganz gleich wie klein Sie sind. Pflicht ist also die Umsetzung, nicht der teure Beauftragte.

Ob Handwerksbetrieb oder kleines Unternehmen in Sachsen, die Anforderungen sind für alle dieselben. Und sie sind überschaubar. Damit Sie sehen, worum es überhaupt geht, hier die Bausteine, die auf so gut wie jede Firmenwebseite gehören.

Die Datenschutzerklärung: Pflicht auf jeder Seite

Der wichtigste Baustein ist die Datenschutzerklärung. Sie ist auf jeder Firmenwebseite Pflicht, sobald Sie überhaupt Daten von Besuchern erheben. Und das tun Sie schon mit einem simplen Kontaktformular. Die Rechtsgrundlage ist Artikel 13 der DSGVO. Vereinfacht sagt der: Wer Daten sammelt, muss die Leute vorher verständlich informieren.

In die Erklärung gehört, wer Sie sind, welche Daten Sie zu welchem Zweck erheben, wie lange Sie die speichern, an wen sie gehen und welche Rechte der Besucher hat. Klingt nach viel, ist aber Fließbandarbeit. Wichtig ist vor allem eins: Jedes Werkzeug, das Sie einbinden, muss darin auftauchen. Ihr Kontaktformular, Google Maps auf der Anfahrtsseite, ein eingebettetes YouTube-Video, ein Newsletter. Fehlt eines davon, passt die Erklärung nicht mehr zur Seite.

Jetzt die Entwarnung: Sie müssen das nicht selbst juristisch formulieren. Nutzen Sie einen guten Datenschutz-Generator, der laufend aktualisiert wird, und lassen Sie die Erklärung einmal im Jahr gegen Ihre Seite prüfen. Eine Vorlage von 2018, die seit Jahren unverändert im Footer liegt, ist der häufigere Fehler als gar keine Erklärung.

Cookie-Banner: Wann Sie einen brauchen, und wann nicht

Kein Thema sorgt für mehr unnötige Panik als der Cookie-Banner. Also räumen wir damit auf. Sie brauchen nicht automatisch einen, nur weil alle anderen einen haben. Die Rechtsgrundlage ist Paragraph 25 im TDDDG, und der macht einen klaren Unterschied.

Cookies, die für den Betrieb der Seite technisch notwendig sind, dürfen Sie ohne Zustimmung setzen. Eine Sitzungserkennung zum Beispiel läuft ohne Banner. Sobald Sie aber Dienste einbinden, die das Verhalten der Besucher verfolgen, brauchen Sie eine echte Einwilligung. Dazu zählen Google Analytics, eingebettete Karten von Google Maps, YouTube-Videos oder ein Facebook-Pixel. Und diese Einwilligung muss ehrlich sein. Ablehnen muss genauso leicht gehen wie Zustimmen, gleich auf der ersten Ebene, ohne versteckte Grau-in-Grau-Buttons.

Für viele Handwerksbetriebe heißt das konkret: Wenn Ihre Seite nur ein Kontaktformular hat und sonst keine Tracker mitschleppt, brauchen Sie überhaupt keinen Cookie-Banner. Der ständige Zwang zum Wegklicken entfällt, und die Seite wirkt sofort aufgeräumter. Ob Sie einen brauchen, entscheidet allein, was im Hintergrund lädt.

Google-Dienste sauber einbinden: Fonts, Maps und Kontaktformular

Jetzt zum Teil, der die meisten Abmahnungen der letzten Jahre ausgelöst hat. Die Google-Dienste. Hier steckt der Teufel im Detail, und hier lohnt es sich, genau hinzuschauen.

Der Klassiker sind die Google Fonts, also Schriftarten von Google. Bindet Ihre Seite die direkt von Googles Servern nach, wird bei jedem Aufruf die IP-Adresse Ihres Besuchers an Google übertragen, ohne dass er gefragt wurde. Das Landgericht München hat 2022 genau das als Datenschutzverstoß eingestuft und dem Kläger hundert Euro Schadensersatz zugesprochen. Seitdem rollt eine Abmahnwelle. Die Lösung ist simpel: Die Schriften werden einmal heruntergeladen und vom eigenen Server geladen. Dann geht nichts mehr an Google. Ob Ihre Seite betroffen ist, sehen Sie so. Seite aufrufen, F12 drücken und im Quelltext nach „fonts.googleapis.com“ suchen. Taucht das auf, laden Ihre Schriften noch extern.

Ähnlich ist es bei Google Maps. Eine fest eingebaute Karte lädt sofort Daten zu Google, noch bevor der Besucher irgendetwas anklickt. Sauberer ist die Klick-Lösung. Statt der Karte liegt erst ein Platzhalter da, und die echte Karte erscheint erst, wenn der Besucher bewusst darauf klickt und damit einwilligt. Für die Anfahrt zu Ihrem Betrieb in Wilsdruff oder Freital reicht das völlig, und Sie sind auf der sicheren Seite.

Beim Kontaktformular kommen zwei Dinge zusammen. Es braucht eine SSL-Verschlüsselung, damit die Nachricht Ihres Kunden nicht offen durchs Netz geht. Und die Datenschutzerklärung muss erklären, was mit den eingegebenen Daten passiert. Ein kurzer Hinweis mit Link direkt beim Formular gehört dazu.

Ganz ehrlich: Schriften lokal einbinden, die Klick-Lösung für die Karte einrichten, ein Consent-Werkzeug sauber verdrahten. Das ist Fummelarbeit im Code, bei der man leicht etwas übersieht. Wenn Sie da nicht selbst ran wollen, ist das kein Beinbruch. Ich erstelle Webseiten von Anfang an datenschutzfreundlich, mit lokalen Schriften und der Karte auf Klick. Was dabei alles drinsteckt, sehen Sie auf meiner Leistungsübersicht.

Impressum, SSL und Auftragsverarbeitung: die letzten drei Bausteine

Drei Dinge fehlen noch zur vollständigen Liste. Das Impressum ist auf jeder geschäftlichen Seite Pflicht und muss von überall mit maximal zwei Klicks erreichbar sein. Für Handwerksbetriebe gehören ein paar Extra-Angaben hinein, etwa die zuständige Handwerkskammer. Welche das genau sind, habe ich im Abmahn-Ratgeber aufgeschlüsselt, deshalb hier nur der Merker: Impressum vollständig halten.

Die SSL-Verschlüsselung ist der einfachste Punkt von allen. Sie erkennen sie am Schloss-Symbol und an „https“ in der Adresszeile. Seit der DSGVO ist sie Pflicht, sobald Sie Daten erheben, und sie zählt als technische Schutzmaßnahme nach Artikel 32. Die meisten Hoster schalten das kostenlose Zertifikat von Let’s Encrypt mit einem Klick frei. Wenn Sie unsicher sind, fragen Sie kurz bei Ihrem Anbieter nach, meist ist es in Minuten erledigt.

Bleibt der Vertrag zur Auftragsverarbeitung, kurz AVV. Klingt sperrig, ist aber schnell erklärt. Sobald ein Dienstleister in Ihrem Auftrag Daten Ihrer Besucher verarbeitet, brauchen Sie mit ihm so einen Vertrag. Der wichtigste Fall ist Ihr Webhoster, denn auf dessen Servern liegt Ihre Seite. Seriöse Hoster stellen den AVV fertig zum Download bereit, Sie müssen ihn nur abschließen und ablegen. Das Gleiche gilt, falls Sie später einen Newsletter-Dienst oder Analyse-Werkzeuge nutzen.

Was Sie jetzt tun sollten

Sie müssen kein Jurist sein, um Ihre Webseite in Ordnung zu bringen. Nehmen Sie sich einen ruhigen Nachmittag und gehen Sie die Punkte der Reihe nach durch:

1. Impressum vollständig und mit zwei Klicks erreichbar?
2. Datenschutzerklärung aktuell und passt sie zu allen eingebundenen Diensten?
3. SSL aktiv, also „https“ in der Adresszeile?
4. Google-Schriften lokal, Google Maps nur auf Klick?
5. Cookie-Banner nur, falls Sie wirklich Tracking nutzen, und dann mit fairer Ablehnen-Option?
6. AVV mit dem Hoster abgeschlossen und abgelegt?

Wer bei allen sechs Punkten ein Häkchen setzt, hat den Großteil geschafft. Und wo Sie unsicher sind, holen Sie sich Hilfe, bevor Post ins Haus flattert. Das kostet weniger Nerven und weniger Geld.