Warum die Einhaltung der DSGVO ein fortlaufender Prozess ist

Datenschutz ist Teil der täglichen digitalen Arbeit geworden. Neue Kampagnen, Landingpages, Analysetools, eingebettete Inhalte, Newsletter und ja, Videoplattformen werfen alle die gleiche Frage auf:

Gehen wir damit tatsächlich richtig um?

Das klingt nach einer einfachen Frage, ist es aber in der Praxis selten. Nicht weil Unternehmen nachlässig sind, sondern weil Datenschutzgesetze wie die DSGVO eher auf Prinzipien als auf genauen technischen Anweisungen basieren. Das Gesetz erklärt, wofür Organisationen verantwortlich sind, ohne klar zu erklären, wie sich eine Website oder Plattform in jedem Szenario verhalten soll. Die DSGVO verlangt von Organisationen, klar zu erklären, wie und warum personenbezogene Daten verarbeitet werden. Die Umsetzung dieser Grundsätze in konkrete technische Umsetzungen ist jedoch oft weniger einfach.

Daher bewegen sich viele Teams in einer Grauzone zwischen rechtlicher Auslegung, technischer Umsetzung und praktischer Anwendbarkeit.

Ein Cookie-Scanner kann Ihnen eines sagen. Ein Rechtsberater kann es anders interpretieren. Ein Anbieter behauptet, seine Plattform sei „vollständig DSGVO-konform“, während ein anderer ein Einwilligungsbanner für fast jede Interaktion empfiehlt. Selbst Regulierungsbehörden wie die niederländische Datenschutzbehörde lassen häufig Interpretationsspielraum, da sich moderne Technologien schneller weiterentwickeln, als es die Gesetzgebung kann.

Warum DSGVO-Scanner nicht ausreichen

Mittlerweile gibt es viele Tools, die versprechen, Websites auf DSGVO-Risiken zu scannen. Einige davon sind wirklich nützlich. Sie können Cookies, externe Anfragen, Tracking-Skripte oder fehlende Richtlinienseiten identifizieren. Diese Sichtbarkeit kann bereits wertvoll sein. Gleichzeitig können diese Tools nicht den vollständigen Kontext hinter dem Verhalten einer Website ermitteln.

Sie können nicht entscheiden, ob eine bestimmte Datenübermittlung erforderlich ist. Sie können nicht beurteilen, ob die Einwilligung freiwillig erteilt wird oder ob eine Dienstleistung Dritter mit der eigenen Interpretation der Verhältnismäßigkeit und des Risikos einer Organisation übereinstimmt. Am wichtigsten ist, dass sie nicht entscheiden können, welches Maß an Datenschutzverantwortung eine Organisation tragen möchte.

Dies ist wichtig, da der Datenschutz zunehmend zu einem organisatorischen und strategischen Thema wird.

Ein Kommunikationsteam, das ein Video auf einer Kampagnenseite einbettet, versucht normalerweise nicht, Personen zu verfolgen. Sie versuchen, eine Geschichte klar zu erzählen. Doch hinter einer einfachen Einbettung stecken möglicherweise immer noch Anfragen an externe Domains, Cookies von Drittanbietern, Analysesammlungen oder eine außerhalb Europas gehostete Infrastruktur.

In vielen Organisationen werden diese Entscheidungen schrittweise im Laufe der Zeit getroffen. Der Einfachheit halber wird ein Tool hinzugefügt, ein Skript für Analysen, eine Plattform für Video-Hosting und eine weitere Integration für die Marketingautomatisierung. Für sich genommen fühlt sich jede Entscheidung relativ klein an. Zusammen prägen sie den Datenschutz-Fußabdruck der gesamten Website.

Versteckte Datenschutzrisiken durch Abhängigkeiten von Drittanbietern

Die meisten Websites sind heutzutage auf ein Netzwerk externer Dienste angewiesen, die Funktionalität, Leistung, Analyse, Personalisierung, Werbung, Hosting oder Medienbereitstellung bereitstellen. Es ermöglicht Teams, schnell zu handeln und anspruchsvolle Funktionen hinzuzufügen, ohne alles selbst erstellen zu müssen.

Dazu können Analyseskripte, Schriftartenbibliotheken, Tag-Manager, Videoeinbettungen, CDN-Ressourcen oder APIs von Drittanbietern gehören, die stillschweigend Teil der Infrastruktur der Website werden.

Gleichzeitig führt jede Abhängigkeit zu einer weiteren Beziehung, die verstanden und verwaltet werden muss. Daten können über mehrere Anbieter fließen, bevor eine Seite vollständig geladen wird. Einige Organisationen entdecken dies überhaupt nicht oder erkennen es erst nach einer Compliance-Überprüfung oder einer rechtlichen Diskussion über Einwilligungsanforderungen.

Dies ist einer der Gründe, warum Gespräche über den Datenschutz intern schwierig werden können. Marketingteams konzentrieren sich auf Benutzerfreundlichkeit und Reichweite. Rechtsteams konzentrieren sich auf Risiko und Verantwortlichkeit. Entwickler konzentrieren sich auf Implementierung und Leistung. Alle drei Perspektiven sind gültig, führen jedoch nicht immer zu den gleichen Entscheidungen.

Wir sehen, dass viele Organisationen nach Klarheit und angemessener Kontrolle suchen.

Sie wollen verstehen:

• welche Dienste auf ihrer Website aktiv sind,
• was diese Dienste sammeln,
• wo Daten verarbeitet werden.

Oder einfach: Halten wir unsere eigenen Organisationsstandards ein und sind sie daran ausgerichtet?

Eingebettetes Video und die wachsende Datenschutzdiskussion

Videos sind ein gutes Beispiel dafür, wie sich Datenschutz und Infrastruktur zunehmend überschneiden.

Jahrelang waren eingebettete Videos die Lösung. Ein Team hat ein Video auf eine große Plattform hochgeladen, den Einbettungscode kopiert und auf einer Seite platziert. Die technische Infrastruktur dahinter blieb weitgehend unsichtbar. Es war kostenlos und einfach umzusetzen. Was will man mehr?

Glücklicherweise betrachten Unternehmen diese Entscheidungen kritischer, da viele traditionelle Videoplattformen auf Werbung, Tracking und umfangreiche Datenerfassung ausgerichtet sind. Die Fragen, die wichtig wurden, waren:

• Können Besucher ein Video ansehen, ohne profiliert zu werden?
• Platziert ein Videoplayer Tracking-Cookies vor der Einwilligung?
• Wo werden Anzeigedaten verarbeitet?
• Welche externen Anfragen werden beim Laden einer Seite ausgelöst?

Dies sind Fragen, die sich nicht mehr nur auf Rechts- oder IT-Abteilungen beschränken, und dieser Wandel verändert die Art und Weise, wie Unternehmen im Allgemeinen über digitale Infrastruktur denken. Anstatt mehr Tools zur Bewältigung der Datenschutzkomplexität hinzuzufügen, vereinfachen Unternehmen ihre Einstellungen, um besser zu verstehen, was auf ihren Websites passiert. Denn einfachere Systeme sind im Allgemeinen einfacher zu erklären, zu warten und zu verwalten.

Die Einhaltung des Datenschutzes erfordert fortlaufende Entscheidungen

Einer der Gründe, warum Datenschutzarbeit frustrierend sein kann, liegt darin, dass es selten einen definitiven Endpunkt gibt. Compliance ist nichts, was eine Website nach einer einzigen Prüfung oder Softwareinstallation dauerhaft „erreicht“. Websites entwickeln sich ständig weiter. Neue Tools werden hinzugefügt. Kampagnen ändern sich. Teams experimentieren mit neuen Plattformen. Anbieter aktualisieren ihre Infrastruktur. Vorschriften entwickeln sich im Laufe der Zeit.

Beim Datenschutz kommt es daher mehr darauf an, das Bewusstsein zu wahren und bewusste Entscheidungen zu treffen. Etwas, das wir in allen Organisationen immer häufiger beobachten. Für Kommunikationsteams beginnt das oft mit einem relativ einfachen Perspektivwechsel. Anstatt nur zu fragen, ob ein Tool technisch zulässig ist, fragen Unternehmen zunehmend, ob ein Tool zu der Art der digitalen Umgebung passt, die sie erstellen möchten.

Das beginnt oft damit, zu verstehen, was tatsächlich passiert, wenn eine Seite geladen wird: welche Dienste kontaktiert werden, welche Daten geteilt werden und ob diese Entscheidungen noch mit den eigenen Standards der Organisation übereinstimmen.