Fast jede Website mit Kontaktformular, Newsletter-Anmeldung oder Analysetool verarbeitet personenbezogene Daten. Die Datenschutz-Grundverordnung (DSGVO) verlangt, dass Besucher klar erfahren, zu welchem Zweck und auf welcher Rechtsgrundlage ihre Daten verarbeitet werden, und dass diese Daten angemessen geschützt sind; das türkische Datenschutzgesetz KVKK folgt denselben Grundsätzen. Dieser Leitfaden fasst die technischen und gestalterischen Punkte auf Seiten der Website zusammen. Er ersetzt keine Rechtsberatung.
Welche Texte brauchen Sie?
- Datenschutzhinweise: Sie erklären, welche Daten zu welchen Zwecken und auf welcher Rechtsgrundlage verarbeitet werden, an wen sie übermittelt werden können und welche Rechte Betroffene haben. Sie müssen an jeder Stelle erreichbar sein, an der Daten erhoben werden.
- Einwilligungstexte: Nur für Verarbeitungen, die auf einer Einwilligung beruhen; die Einwilligung muss konkret, freiwillig und getrennt von den Datenschutzhinweisen erfolgen.
- Cookie-Richtlinie: Sie beschreibt Arten, Zwecke und Speicherdauer der eingesetzten Cookies.
- Datenschutzerklärung: Sie fasst den allgemeinen Umgang der Website mit Daten und die Sicherheitsmaßnahmen zusammen.
Wie sollte die Cookie-Einwilligung funktionieren?
Nach § 25 TDDDG (vormals TTDSG) und der europäischen ePrivacy-Richtlinie dürfen nicht unbedingt erforderliche Cookies erst nach Einwilligung gesetzt werden. Auch die türkische Datenschutzbehörde verfolgt in ihren Leitlinien diesen Ansatz. Technisch bedeutet das:
- Analyse- und Marketing-Cookies dürfen erst nach der Einwilligung geladen werden.
- Das Consent-Banner muss eine „Ablehnen“-Option bieten, die ebenso sichtbar ist wie „Akzeptieren“.
- Vorausgewählte Checkboxen sind unzulässig.
- Nutzer müssen ihre Wahl später einfach ändern können; ein Link „Cookie-Einstellungen“ im Footer ist dafür eine gängige Lösung.
- Google Analytics, Werbepixel und Social-Media-Plug-ins müssen so eingebunden sein, dass sie mit dem Consent-Management zusammenarbeiten (zum Beispiel über Google Consent Mode).
Worauf Sie bei Formularen achten sollten
- Fragen Sie nur die Daten ab, die Sie wirklich brauchen (Datenminimierung).
- Verlinken Sie die Datenschutzhinweise deutlich neben dem Formular.
- Wenn Sie Werbe-E-Mails versenden möchten, holen Sie dafür eine separate, freiwillige Einwilligung ein – idealerweise per Double-Opt-in.
- Übertragen Sie Formulardaten verschlüsselt (HTTPS) und schützen Sie sie vor unbefugtem Zugriff.
- Legen Sie fest, wie lange Daten gespeichert werden, und löschen oder anonymisieren Sie Datensätze nach Ablauf dieser Frist.
Gesundheitsdaten und andere besondere Kategorien
Angaben zu Gesundheit, Biometrie, Religion oder Gewerkschaftszugehörigkeit gehören zu den besonderen Kategorien personenbezogener Daten und unterliegen strengeren Regeln. Müssen Praxen, Versicherungen und ähnliche Organisationen solche Daten über Website-Formulare erheben, sind zusätzliche technische Maßnahmen wie Zugriffsrechte, Verschlüsselung und Protokollierung einzuplanen.
Dienste mit Sitz im Ausland
Laufen Hosting, E-Mail, Analyse oder KI-Dienste über Anbieter mit Sitz in anderen Ländern, kann eine Übermittlung personenbezogener Daten in Drittländer vorliegen. Nach der DSGVO braucht jede Übermittlung außerhalb des Europäischen Wirtschaftsraums eine geeignete Garantie, und auch die Türkei hat ihre Regeln für Auslandsübermittlungen 2024 neu gefasst. Am sichersten ist es, ein Verzeichnis zu führen, welche Anbieter Sie wofür nutzen, und die Rechtsgrundlage jeder Übermittlung mit Ihrer Rechtsberatung festzulegen.
Technische Sicherheitsmaßnahmen
- HTTPS und aktuelle Security-Header auf der gesamten Website
- Rollenbasierte Zugriffe und starke Authentifizierung für das Admin-Panel
- Protokollierung von Zugriffen auf Formulare und Datenbanken
- Regelmäßige, verschlüsselte Backups mit getesteter Wiederherstellung
- Entfernen nicht genutzter Plug-ins und Konten
Fazit
Datenschutzkonformität entsteht nicht durch einen einzelnen Text; jede Stelle der Datenerhebung, jedes Cookie und die technische Infrastruktur müssen gemeinsam betrachtet werden. In unseren Projekten planen wir die Platzierung der Datenschutztexte, das Cookie-Consent-Management und die nötigen technischen Schutzmaßnahmen von Anfang an – und empfehlen, die Texte selbst mit Ihrer Rechtsberatung abzustimmen.
