{{callout-legal="/site-components/global"}}
{{callout-wb-42-01="/site-components/ratgeber"}}
1. Einleitung: Datenschutz
Der Schutz persönlicher Daten ist heutzutage ein unverzichtbarer Bestandteil jeder Webpräsenz. Die Datenschutz-Grundverordnung (DSGVO) hat die Regeln für den Umgang mit personenbezogenen Daten innerhalb der EU neu definiert und stellt Unternehmen vor die Herausforderung, ihre Webaktivitäten konform zu gestalten.
Die DSGVO zielt darauf ab, die Privatsphäre der Nutzer zu schützen und gleichzeitig transparent zu machen, wie, warum und welche Daten gesammelt werden (dürfen). Jeder Webseitenbetreiber muss sicherstellen, dass seine Seite den strengen Vorgaben dieser Verordnung entspricht.
Bedeutung der DSGVO für Webseitenbetreiber
Für Webseitenbetreiber bedeutet die DSGVO, dass sie nicht nur ihre Datenschutzerklärung anpassen, sondern auch ihre Prozesse überprüfen und gegebenenfalls ändern müssen, um ein angemessenes Datenschutzniveau zu gewährleisten. Es ist von entscheidender Bedeutung, dass alle gesammelten Daten – ob es sich um Kontaktinformationen, Nutzungsstatistiken oder Zahlungsdaten handelt – gemäß den DSGVO-Standards verarbeitet, gespeichert und geschützt werden.
2. Grundlagen der DSGVO
Die DSGVO ist der Eckpfeiler des Datenschutzes in der EU und hat das Ziel, die Privatsphäre der Bürger zu stärken und die Datenverarbeitung durch Unternehmen und Organisationen transparenter zu machen. Sie ist eine der strengsten Datenschutzverordnungen weltweit und stellt sicher, dass Daten nicht ohne das Wissen und die Zustimmung der Personen genutzt werden, auf die sie sich beziehen.
Was ist die DSGVO?
Die Datenschutz-Grundverordnung, kurz DSGVO, ist eine Verordnung der Europäischen Union, die seit Mai 2018 in allen Mitgliedstaaten direkt anwendbar ist. Sie regelt, wie personenbezogene Daten von Personen, die in der EU leben, gesammelt, genutzt und verarbeitet werden dürfen.
Ziele und Anwendungsbereich der DSGVO
Die DSGVO hat das primäre Ziel, den Privacy-Schutz für alle Individuen innerhalb der Europäischen Union zu erhöhen und gleichzeitig den freien Datenverkehr innerhalb des Binnenmarktes zu gewährleisten. Sie gilt für alle Unternehmen, die in der EU tätig sind oder Dienste und Waren an EU-Bürger anbieten, unabhängig davon, ob die Datenverarbeitung in der EU stattfindet oder nicht.
Grundprinzipien des Datenschutzes nach DSGVO
Die DSGVO stützt sich auf feste Grundprinzipien, die sicherstellen, dass die Verarbeitung von personenbezogenen Daten rechtmäßig, fair und transparent erfolgt. Dazu gehören die Datenminimierung, Genauigkeit, Speicherbegrenzung und Integrität sowie Vertraulichkeit der Datenverarbeitung.
3. Die Bedeutung der DSGVO für Webflow
Die DSGVO stellt für viele Unternehmen eine Herausforderung dar, wenn es darum geht, Webseiten datenschutzkonform zu gestalten (präziser: zu veröffentlichen), unabhängig von der eingesetzten Technologie oder Plattform. Webflow bildet hier keine Ausnahme. Es ist wichtig, eine klare Unterscheidung zu treffen:
Webflow ist zunächst ein leistungsstarkes und benutzerfreundliches Tool, das Entwicklern und Designern ermöglicht, moderne Websites zu erstellen.
Aber mit Webflow können Nutzer nicht nur visuell ansprechende Websites entwerfen (mit dem Webflow Designer), sondern auch vom leistungsstarken und nahtlos integriertem Webflow Hosting profitieren. Genau an dieser Stelle wird die DSGVO relevant. Es geht um die grundsätzliche Einhaltung der DSGVO-Vorgaben und um die Übermittlung von Daten an außereuropäische Unternehmen, die Daten von EU-Bürgern erfassen und verarbeiten.
Es hängt also davon ab, ob dein Projekt später das Webflow Hosting nutzen soll. Solange man nur den Webflow Designer nutzt und nicht das Hosting und somit keine veröffentlichte Website hat, die Daten sammeln und speichern kann, ist die Verwendung des Webflow Designers bedenkenlos möglich. Es ist daher wichtig, diesen Schritt rechtzeitig in die Launch-Planung aufzunehmen.
4. DSGVO: Eine kleine Geschichte
Die Anfänge: Safe Harbor
Bereits Anfang der 2000er-Jahre war der „Datenaustausch“ zwischen der EU und den USA ein bedeutendes Thema. Im Jahr 2000 wurde das Safe-Harbor-Abkommen geschlossen, das es Unternehmen ermöglichte, personenbezogene Daten von der EU in die USA zu übertragen, sofern sie bestimmte Datenschutzprinzipien einhielten. Der Europäische Gerichtshof (EuGH) erklärte Safe Harbor jedoch im Oktober 2015 für ungültig, da es keinen ausreichenden Schutz vor dem Zugriff durch US-Behörden bot.
Privacy Shield Abkommen
Als Nachfolger von Safe Harbor wurde das EU-US-Privacy-Shield im Juli 2016 eingeführt (auch bekannt als „Privacy Shield Framework“ oder „Privacy Shield Principles“). Es sollte strengere Anforderungen und verbesserte Überwachungsmechanismen bieten, um die Datenschutzrechte der EU-Bürger besser zu schützen.
Das Privacy Shield war darauf ausgelegt, sicherzustellen, dass außereuropäische Unternehmen, insbesondere aus den USA, ein Datenschutzniveau einhalten, das von der EU-Kommission als angemessen erachtet wird. Unternehmen, die sich innerhalb dieses Frameworks gelistet hatten, wurden somit als compliant betrachtet und konnten bestätigen, dass ihr Datenschutzniveau den Anforderungen der EU für die Verarbeitung von Daten von EU-Bürgern entsprach.
Die Datenschutzgrundverordnung (DSGVO bzw. GDPR)
Die Datenschutzgrundverordnung (DSGVO bzw. GDPR) trat nach einer zweijährigen Übergangsfrist im Mai 2018 in Kraft.
Privacy Shield Abkommen wird aufgehoben
Im Juli 2020 erklärte der EuGH das Privacy Shield Abkommen für ungültig, da es ähnliche Datenschutzbedenken aufwies wie das zuvor aufgehobene Safe Harbor und somit ebenfalls als unzureichend angesehen wurde.
Beide Abkommen sollten einen rechtlichen Rahmen für den transatlantischen Datentransfer schaffen, wurden jedoch jeweils letztlich aufgrund von Bedenken hinsichtlich des Datenschutzes aufgehoben.
Eine rechtliche Grauzone
Die Aufhebung des EU-US-Privacy-Shield sorgte für erhebliches Aufsehen und Besorgnis. Die Erklärung der Ungültigkeit dieser Vereinbarung bedeutete für alle Unternehmen in der EU, dass sie die Verarbeitung personenbezogener Daten von EU-Bürgern durch nicht europäische Unternehmen außerhalb der EU unterlassen mussten.
In der Praxis war dies jedoch schwer umsetzbar, da viele EU-Unternehmen auf Dienstleistungen aus den USA angewiesen sind. Dazu gehören weitverbreitete CRM-Systeme wie HubSpot, Salesforce oder Pipedrive sowie Cloud Delivery Networks für Websites, wie die von AWS, Cloudflare und ähnlichen Anbietern.
{{callout-wb-42-02="/site-components/ratgeber"}}
Und wo kommt Webflow - speziell das Webflow Hosting dort ins Spiel?
Webflow verwendet für das Hosting aller Kundenwebsites die Dienste von Amazon Web Services (AWS). Sowohl Webflow als auch AWS sind US-amerikanische Unternehmen mit Hauptsitz und Serverstandorten außerhalb der EU. Nach den Anforderungen der DSGVO muss daher davon ausgegangen werden, dass die Verarbeitung aller Daten von EU-Bürgern, die auf Websites zugreifen, die dieses Hosting nutzen, außerhalb der EU stattfindet.
Mit der Aufhebung des EU-US-Privacy-Shield wurde diese Praxis besonders problematisch und war theoretisch nicht mehr zulässig.
Standardvertragsklauseln to the rescue?
Hier kommt jedoch wieder die DSGVO ins Spiel und die Standardvertragsklauseln, auf die sich ein Unternehmen außerhalb der EU berufen kann, um sicherzustellen, dass das Datenschutzniveau gegenüber der EU Bürger angemessen ist. Sich auf diese Klauseln zu berufen und diese in die Datenschutzvereinbarungen mit aufzunehmen war die Antwort tausender Unternehmen (auch von Webflow) auf das Urteil, das das Privacy Shield Abkommen für ungültig erklärt hat.
Da es jedoch nie eine klare Aussage der EU oder des Bundesgerichtshofs gab, ob diese Maßnahme ausreichte, um die rechtmäßige Verarbeitung personenbezogener Daten von EU-Bürgern durch nicht europäische Unternehmen zu gewährleisten, befand sich die Nutzung ausländischer Dienste (wie zum Beispiel das Webflow Hosting) lange in einer Grauzone.
Demzufolge wünschten sich tausende europäische Nutzer von Webflow, dass das Unternehmen eine Tochtergesellschaft in der EU gründet und die Datenverarbeitung serverseitig zwischen der EU und anderen Regionen trennt. Webflow bot jedoch keine solche Lösung an, sondern setzte andere Maßnahmen um, wie beispielsweise die Einführung einer speziellen "EU & Swiss Privacy Policy".
{{callout-wb-42-03="/site-components/ratgeber"}}
Neues EU-US Data Privacy Framework
Das neue EU-US Data Privacy Framework trat am 10. Juli 2023 in Kraft. Während der fast dreijährigen Übergangszeit war die Nutzung von Webflow also lediglich in einem rechtlichen Graubereich möglich bzw. es musste nach individueller Risikoabschätzung entschieden und agiert werden.
Am 10. Juli 2023 verabschiedete die EU-Kommission den Angemessenheitsbeschluss für das EU-US Data Privacy Framework (DPF). Dieses Abkommen stellt nach „Safe Harbor“ und „Privacy Shield“ die dritte Vereinbarung dar, die den Datentransfer in die USA regelt und den USA ein angemessenes Schutzniveau für die Verarbeitung personenbezogener Daten gemäß der Datenschutz-Grundverordnung (DSGVO) bescheinigt.
Link zum Originaltext: US Data Privacy Framework
{{callout-wb-42-04="/site-components/ratgeber"}}
Mit dem Inkrafttreten des neuen Abkommens wurde viel Unsicherheit beseitigt, und viele Betreiber konnten aufatmen 😮💨
{{cta-wb-42-01="/site-components/ratgeber"}}
Zum Abschluss möchten wir betonen, dass es nicht nur um das Fehlen eines Abkommens zur Datenverarbeitung zwischen der EU und den USA ging, sondern dass die Einhaltung bestimmter Maßnahmen unerlässlich ist, um eine Website datenschutzkonform zu betreiben.
Diese Maßnahmen schauen wir uns nun an.
5. Anleitung Webflow Hosting datenschutzkonform nutzen
Grundsätzlich gelten immer die 3 goldenen Datenschutzregeln:
- KEINE Datenverarbeitung ohne Vereinbarung
- MINIMIERUNG der Datenerfassung
- KEINE Cookies ohne Zustimmung
Aber es gibt noch weitere Punkte, die beachtet werden müssen. Lass uns diese im Detail durchgehen und systematisch die einzelnen Punkte betrachten.
KEINE Verarbeitung von Daten ohne Vereinbarung: Rechtsgrundlage sichern
Wenn du deine Website mit Webflow hostest, musst du mit Webflow einen Datenverarbeitungsvereinbarung (auch Auftragsverarbeitungsvertrag oder AVV genannt) abschließen.
AV-Verträge sind nicht nur wegen des US-EU-Datentransfers wichtig, sondern weil Kundendaten (zwischen dir und deinem Kunden) an Drittanbieter weitergegeben werden. Dieses Thema ist daher auch bei rein deutschlandweiten Datenübertragungen relevant. Glücklicherweise ist das Abschlussverfahren für AVVs mit den Anbietern oft intuitiv gestaltet.
Hier kannst du die Datenverarbeitungsvereinbarung (Webflow Data Privacy Addendum) von Webflow anfordern: DocuSign - Webflow Data Privacy Addendum.
Minimierung der Datenerfassung
In unserer zunehmend vernetzten Welt ist die Datenübertragung ein kritischer Aspekt des Datenschutzes. Besonders im Kontext der DSGVO müssen Unternehmen, die in der EU tätig sind oder Daten von EU-Bürgern verarbeiten, besondere Sorgfalt walten lassen.
Auch wenn du eine Datenverarbeitungsvereinbarung abgeschlossen hast, bedeutet das nicht, dass du sorglos und unnötig Daten erfassen darfst. Die DSGVO verlangt, dass nur die unbedingt notwendigen Daten erhoben werden.
Solltest du ein oder mehrere Kontaktformulare verwenden, plane im Voraus sorgfältig, welche Daten unbedingt erfasst werden müssen.
Keine Cookies ohne Zustimmung: Webflow Cookie-Banner und DSGVO
Um die DSGVO-Konformität deiner Website zu gewährleisten, ist die Implementierung eines Cookie-Banners unerlässlich.
Notwendigkeit eines Cookie-Banners auf Webflow-Seiten
Der Einsatz eines Cookie-Banners ist nicht nur eine rechtliche Notwendigkeit unter der DSGVO, sondern auch ein Zeichen deines Engagements für den Datenschutz. Er informiert Besucher darüber, dass Daten auf ihren Geräten gesammelt werden, gibt ihnen die Kontrolle über die Zustimmung und trägt dazu bei, das Vertrauen in deine Website zu stärken.
Gestaltung eines DSGVO-konformen Cookie-Banners in Webflow
Ein DSGVO-konformer Cookie-Banner sollte klar, verständlich und ohne Fachjargon gestaltet sein. Wichtig ist, dass der Banner vor dem Setzen von Cookies erscheint und den Nutzern die Wahl lässt, welche Cookies sie akzeptieren möchten.
Für die Gestaltung eines solchen Banners in Webflow solltest du folgende Punkte beachten:
- Der Banner muss eine klare Erklärung enthalten, warum und welche Cookies verwendet werden.
- Er sollte eine direkte Verlinkung zur Datenschutzerklärung beinhalten, wo Nutzer detaillierte Informationen finden können.
- Eine einfache Möglichkeit für den Nutzer, die Zustimmung zu verschiedenen Arten von Cookies zu erteilen oder zu verweigern, muss integriert sein.
- Der Banner sollte so gestaltet sein, dass er die Nutzung der Webseite nicht stört, aber dennoch sichtbar und leicht zugänglich ist.
- Dazu muss sichergestellt sein, dass VOR dem Akzeptieren KEINE Cookies gesetzt oder gespeichert werden. Der Banner ist also nicht nur eine optische Sache, sondern muss auch technisch sauber implementiert werden.
Als starke Lösung bietet sich zum Beispiel Iubenda an, was wir hier auch selbst nutzen. Alternativen wären zum Beispiel https://cookie-script.com oder https://www.cookiebot.com.
Webflow, Google Fonts und die DSGVO
Die Verwendung von Google Fonts ist ein gängiger Weg, um Websites visuell ansprechender zu gestalten. Doch im Kontext der DSGVO ergeben sich spezifische Herausforderungen, die es zu beachten gilt.
Problematik von Google Fonts unter der DSGVO
Der Einsatz von Google Fonts kann zur Übertragung personenbezogener Daten an Google-Server, typischerweise in den USA, führen. Da diese Datenübertragung ohne explizite Zustimmung der Website-Besucher erfolgt, steht sie potenziell im Widerspruch zu den Privacy-Vorgaben der DSGVO. Die Hauptproblematik liegt in der Übermittlung der IP-Adresse der Nutzer, was als personenbezogene Information gilt.
Lösungsansätze für die Nutzung von Google Fonts in Webflow
Um Google Fonts DSGVO-konform in Webflow zu nutzen, gibt es eine einfache Möglichkeit, nämlich das »lokale« Speichern der Google Fonts im Webflow-Projekt. Somit werden die Fonts von der eigenen Seite geladen, statt von den Google Servern, um so die problematische Datenübermittlung an Google zu vermeiden.
Schritte zur sicheren Integration von Google Fonts in Webflow:
- Schriftarten von Google Fonts herunterladen und in den Site Settings -> Fonts hochladen.
- Dann im Designer die Schriftarten richtig referenzieren, damit ausschließlich die installierten Schriften genutzt werden.
- Projekt publishen und überprüfen, dass keine externen Fonts mehr geladen werden.
- Gegebenenfalls Datenschutzerklärung aktualisieren, um die Nutzung lokaler Schriftarten zu dokumentieren.
Durch die lokale Speicherung der Google Fonts auf dem eigenen Server werden die Daten der Website-Besucher geschützt, da keine Informationen mehr an Google übertragen werden. Dieser Ansatz hilft, die Privacy-Anforderungen der DSGVO zu erfüllen und bietet gleichzeitig die gewünschte gestalterische Freiheit.
{{cta-wb-42-02="/site-components/ratgeber"}}
Informiere Website-Nutzer über die Nutzung des Webflow Hostings
In jeder Datenschutzerklärung muss der Hoster der Website angegeben werden. Wenn du das Webflow Hosting verwendest, ist Webflow der Hoster deiner Website.
Datenschutzerklärung auf Webflow-Seiten
Eine umfassende und transparente Datenschutzerklärung ist nicht nur eine rechtliche Anforderung unter der DSGVO, sondern auch ein Schlüssel zum Aufbau von Vertrauen zwischen dir und den Besuchern deiner Website.
Inhalte einer DSGVO-konformen Datenschutzerklärung
Eine DSGVO-konforme Datenschutzerklärung muss bestimmte Informationen enthalten, um den Nutzern Klarheit über die Verarbeitung ihrer Daten zu geben. Dazu gehören:
- Identität und Kontaktdaten des Verantwortlichen
- Zwecke und Rechtsgrundlagen für die Verarbeitung
- Informationen über die Nutzung personenbezogener Daten
- Hinweise zu den Rechten der Betroffenen, wie das Recht auf Zugang, Berichtigung und Löschung ihrer Daten
- Informationen zur Datenübermittlung und zum Datenschutzniveau, insbesondere bei Übermittlungen in Drittländer
Integration der Datenschutzerklärung in Webflow
Die Integration deiner Datenschutzerklärung in Webflow sollte so erfolgen, dass sie leicht zugänglich und für jeden Nutzer auffindbar ist. Idealerweise platzierst du einen deutlich sichtbaren Link im Footer deiner Website oder in einem ständig zugänglichen Menü.
Um die Datenschutzerklärung effektiv in Webflow zu integrieren, solltest du folgende Schritte beachten:
- Erstelle eine separate Seite für deine Datenschutzerklärung, die über klare und verständliche Informationen verfügt.
- Verlinke diese Seite deutlich sichtbar von jeder Seite deiner Website aus, vorzugsweise im Footer.
- Stelle sicher, dass die Datenschutzerklärung regelmäßig aktualisiert wird, um Änderungen in der Gesetzgebung oder in deinen Datenverarbeitungspraktiken widerzuspiegeln.
{{cta-wb-42-03="/site-components/ratgeber"}}
Mit einer gut strukturierten Datenschutzerklärung, die alle erforderlichen Informationen enthält und leicht zugänglich ist, zeigst du, dass du den Datenschutz ernst nimmst.
Zusammenfassende Übersicht
{{table-wb-42-01="/site-components/ratgeber"}}
6. Fazit: Webflow und die DSGVO
Zusammenfassend lässt sich sagen, dass es keine außergewöhnlichen Maßnahmen gibt, die über die grundlegenden Anforderungen hinausgehen, um ein Webflowprojekt DSGVO-konform zu gestalten.
Es sind im Wesentlichen nur drei einfache Regeln zu beachten:
- Keine Datenverarbeitung ohne eine Datenverarbeitungsvereinbarung
- Immer auf die Minimierung der Datenerfassung achten
- Keine Cookies setzen oder speichern ohne ausdrückliche Zustimmung
Zusätzlich (optional) gilt: Wenn du Google Fonts verwendest, solltest du diese lokal speichern. Dieser Punkt ist nur relevant, wenn du Google Fonts einsetzt.
Die anderen beiden Regeln betreffen die schriftliche Pflicht zur Information und Dokumentation.
{{cta-wb-42-04="/site-components/ratgeber"}}
Frequently Asked Questions - FAQ
{{faq-wb-42="/site-components/ratgeber"}}
