Compliance bei Websites Datenschutz bei Webseiten ist mehr als Cookies

Anbieter zum Thema

FTAPI Software GmbH

Insider Research

Nicht erst das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG) hat die Cookies auf die Agenda der Website-Betreiber gebracht. Doch so wichtig der datenschutzkonforme Einsatz von Cookies ist, es gibt weitere Datenschutzanforderungen an Webseiten, die gerne übersehen werden. Wir geben einen Überblick, worauf Aufsichtsbehörden besonders hingewiesen haben.

Nutzerinnen und Nutzer sollen beim Besuch einer Webseite oder Nutzung einer App davon ausgehen dürfen, dass ungefragt nur solche Daten verarbeitet werden, die zur Erbringung des nachgefragten Dienstes auch tatsächlich erforderlich sind, so zum Beispiel der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI).

Wollen Diensteanbieter weitere Daten erheben und verarbeiten, müssen sie die Nutzerinnen und Nutzer dazu vorab in informierter Art und Weise um ihre freiwillige Einwilligung ersuchen. Diese Vorgaben werden mittlerweile von vielen Betreibern in der Regel durch vorgeschaltete „Einwilligungsbanner“ umgesetzt. Nicht immer erfolgt dies jedoch rechtskonform, so die Aufsichtsbehörde.

TTDSG zusätzlich zur DSGVO beachten

Das Gesetz über den Datenschutz und den Schutz der Privatsphäre in der Telekommunikation und bei Telemedien (kurz: TTDSG), das am 1.12.2021 bundesweit in Kraft getreten ist, macht unter anderem Vorgaben zu Cookies und anderen Tracking-Technologien. So schützt das TTDSG die Integrität von Endgeräten, indem der Grundsatz gilt, dass es einer vorherigen Einwilligung bedarf, bevor Informationen auf Endgeräten abgespeichert oder daraus ausgelesen werden dürfen, wenn nicht die engen und abschließenden Ausnahmen des Gesetzes greifen.

Wer nun meint, einen rechtskonformen Cookie-Banner zu verwenden und auch andere Tracking-Technologien nur dem Datenschutz entsprechend einzusetzen, sollte aber das Thema Datenschutz bei Websites nicht einfach von der Agenda nehmen. Hier zählt mehr als nur die Cookies, wie weitere Hinweise von Aufsichtsbehörden zeigen.

Datenschutz und Schriftarten

So soll es zu einer Abmahnwelle gegen Tausende von Websites-Betreibern gekommen sein. Der Grund ist die dynamische Einbettung von Google Fonts auf deren Websites gewesen, ohne vorab die Einwilligung der Besucher der Website einzuholen. Auch beim Thüringer Landesbeauftragten für den Datenschutz und die Informationsfreiheit gingen Beschwerden dieses Inhalts gegen Seitenbetreiber ein. Das Datenschutz-Problem ist schnell beschrieben: Bei einer dynamischen Einbindung werden die Schriftarten von Servern des US-Konzerns Google in den Browser des Besuchers geladen und dabei personenbezogene Daten, wie z. B. die IP-Adresse der Benutzer, in die USA übermittelt.

Die Empfehlung der Aufsichtsbehörde zu Google Fonts zur Vermeidung von Abmahnungen ist deshalb: Betreiber von Websites sollten prüfen, ob sie Google Fonts einsetzen und wenn ja, wie der Dienst in die Website eingebunden wird. Wer dynamische Google Fonts nutzt, sollte diese Schriftarten lokal speichern und von dort in den eigenen Internetauftritt einbinden.

Bei Google Fonts lieber nicht auf Einwilligungen setzen

Google Fonts ist aber nur ein Beispiel, generell gilt: „Um externe Schriftarten datenschutzkonform in Webseiten einzubinden, empfehle ich den Webseitenbetreibern dringend, die Schriften nicht direkt vom Server des jeweiligen Anbieters zu laden, sondern diese zunächst herunterzuladen und lokal auf dem eigenen Server zu speichern. Von dort können die Schriften datenschutzkonform in die Webseite eingebunden werden, ohne dass eine Verbindung zu externen Servern aufgebaut wird“, sagte auch die Datenschutzaufsicht von Sachsen-Anhalt.

Mehr noch: Der Landesbeauftragte rät davon ab, für die Einbindung der Schriftarten von externen Servern eine Einwilligung des Webseitenbesuchers gemäß DSGVO (Datenschutz-Grundverordnung) einzuholen. Für eine wirksame Einwilligung müssten den Nutzer oder der Nutzerin vor der Datenerhebung Informationen nach DSGVO zur Verfügung stehen, um zu wissen, in welchem Umfang eine Einwilligung erteilt wird. Diese Informationen müssten auch die Risiken im Zuge der Drittlandübermittlung umfassen.

Überdies kann in eine Übermittlung in ein unsicheres Drittland nur für gelegentliche Übermittlungen eingewilligt werden, so die Aufsichtsbehörde. Sofern auf einer Webseite Schriftarten von externen Servern geladen und eingebunden werden, sodass bei jedem Aufruf der Webseite die IP-Adresse des Webseitenbesuchers an diese Server übermittelt wird, ist aber von einer systematischen, sich wiederholenden Datenverarbeitung auszugehen, sodass eine Einwilligung so nicht möglich ist.

Online-Übersetzungen und Rechtschreibprüfungen bei Webseiten

Ein weiteres Beispiel für Datenschutzanforderungen bei Websites, die über die klassischen Cookies hinausgehen:

Moderne Web-Browser unterstützen die Anwenderinnen und Anwender auf vielfältige Weise bei einer möglichst komfortablen Nutzung des Internets. Eine Rechtschreibprüfung, welche die auf Webseiten eingegebenen Texte auf Korrektheit hin überprüft und Verbesserungsvorschläge unterbreitet, gehört dabei schon lange wie selbstverständlich dazu, so zum Beispiel der Hessische Beauftragte für Datenschutz und Informationsfreiheit.

Das Datenschutz-Problem: Bei der Nutzung von Internet-Browsern kann es zu ungewollten und nicht zulässigen Übermittlung von personenbezogenen Daten in Drittländer kommen, wenn cloudbasierte Schreibunterstützungen oder Übersetzungen aktiviert sind. Deshalb empfiehlt auch die Landesdatenschutzbeauftragte NRW Unternehmen, Behörden und anderen verantwortlichen Stellen in NRW, die Einstellungen der Browser, die in ihren Organisationen genutzt werden, zu prüfen.

Rechtschreibhilfen, die Texte auf semantische und syntaktische Richtigkeit prüfen, sind nur ein Beispiel für Online-Unterstützung auf Webseiten. Darüber hinaus bieten Web-Browser inzwischen „erweiterte“, „verbesserte“ oder „intelligente“ andere Schreibunterstützungen und Übersetzungen an. Dabei kommen unter anderem cloudbasierte Funktionen zum Einsatz, zum Beispiel, um mit Hilfe so genannter „Künstlicher Intelligenz“ die Ergebnisse weiter zu optimieren. Benutzereingaben im Browser und auf den Webseiten können dann an Server eines bestimmten Herstellers übermittelt werden, wenn eine solche cloudbasierte Schreibunterstützung aktiv ist. Dazu könnten neben personenbezogenen Daten unter Umständen sogar Eingaben in Passwortfeldern gehören.

Viele Websites, die zum Beispiel eine Mehrsprachigkeit anbieten wollen, greifen ebenfalls auf solche Browser-Funktionen und damit Cloud-Funktionen zurück, was zu einer problematischen Datenübermittlung führen kann.

Es zeigt sich: Datenschutz bei Websites ist so vielschichtig wie auch die Gestaltung und der Betrieb von Webseiten. Jedes Element, das eine Website nutzen soll, muss auch nach Datenschutzgesichtspunkten betrachtet werden. Privacy by Design muss eben auch bei Webseiten gelten.

(ID:49061894)