1. Vier konkrete Pflichten eines Webseitenverantwortlichen

1.1 Anbieterkennzeichnung und Pflichtinformationen

Der Verantwortliche muss prüfen, ob die Webseite ein vollständiges, leicht erkennbares und unmittelbar erreichbares Impressum benötigt. Je nach Angebot sind insbesondere erforderlich:

• Name beziehungsweise Firma
• ladungsfähige Anschrift
• vertretungsberechtigte Person
• Kontaktdaten
• Register- und Umsatzsteuerangaben
• gegebenenfalls berufsrechtliche Informationen

Bei einem Onlineshop kommen umfangreiche Verbraucherinformationen hinzu, etwa zu Preisen, Versandkosten, Zahlung, Lieferung, Gewährleistung und Widerrufsrecht.

1.2 Datenschutz

Der Betreiber muss transparent darüber informieren, welche personenbezogenen Daten verarbeitet werden. Dazu gehören beispielsweise:

• Serverprotokolldaten
• Kontaktformularangaben
• Bestell- und Kundendaten
• Newsletterdaten
• Analyse- und Marketingdaten
• Datenübermittlungen an externe Anbieter

Für jede Verarbeitung muss eine tragfähige Rechtsgrundlage bestehen. Außerdem sind Betroffenenrechte, Speicherdauer, Empfänger und gegebenenfalls Drittlandübermittlungen zu berücksichtigen.

1.3 Cookies und externe Dienste

Vor dem Einsatz von Cookies oder vergleichbaren Technologien ist zu prüfen, ob diese technisch unbedingt erforderlich sind. Nach § 25 TDDDG ist die Speicherung von Informationen auf einem Endgerät oder der Zugriff auf dort gespeicherte Informationen grundsätzlich einwilligungsbedürftig. Ausgenommen sind insbesondere technisch unbedingt erforderliche Vorgänge, die für einen ausdrücklich gewünschten digitalen Dienst notwendig sind.

Dies betrifft nicht nur klassische Cookies, sondern gegebenenfalls auch:

• Local Storage
• Tracking-Pixel
• Geräte-Fingerprinting
• eingebettete Karten
• Videos
• Social-Media-Plugins
• Analyse- und Werbedienste

1.4 Technische Sicherheit

Der Betreiber muss die Webseite dem Risiko angemessen absichern. Dazu gehören insbesondere:

• regelmäßige Sicherheitsupdates
• sichere Passwörter und Mehrfaktor-Authentisierung
• minimale Benutzerrechte
• verschlüsselte Übertragung mittels TLS
• regelmäßige, getrennte Datensicherungen
• Protokollierung und Überwachung
• Schutz des Administrationsbereichs
• Notfall- und Wiederherstellungsplanung

Die bloße Installation eines CMS genügt nicht. Auch Themes, Plugins, Server, Datenbanken und Benutzerkonten müssen laufend gepflegt werden.