Baukasten und DSGVO — der Anbieter nimmt dir nicht alles ab.

Wer verantwortlich ist.

Für die Datenverarbeitung auf deiner Website bist du verantwortlich — nicht der Baukasten-Anbieter. Der Anbieter verarbeitet Daten in deinem Auftrag. Das heißt: Du musst wissen, was passiert, es dokumentieren und die Besucher informieren.

Ich bin kein Rechtsanwalt. Die folgenden Punkte sind meine Erfahrung aus der technischen Prüfung; für die rechtliche Bewertung im Einzelfall gehört eine Rechtsberatung dazu.

Auftragsverarbeitung.

Mit dem Baukasten-Anbieter brauchst du einen Vertrag zur Auftragsverarbeitung. Die großen Anbieter stellen ihn bereit — oft im Kundenkonto zum Abschluss oder als Teil der Bedingungen. Prüf, ob er abgeschlossen ist, und leg ihn ab.

Serverstandort.

Manche Anbieter haben ihren Sitz in der EU, andere in den USA oder anderswo. Bei einer Verarbeitung außerhalb der EU braucht es eine Grundlage — etwa eine Zertifizierung des Anbieters unter dem Datenschutzrahmen zwischen EU und USA oder Standardvertragsklauseln. Das gehört in die Datenschutzerklärung (DSGVO-Checkliste).

Cookie-Banner.

Die meisten Baukästen bieten ein eingebautes Cookie-Banner. Entscheidend ist, ob es auch technisch funktioniert: Werden Statistik, Marketing und eingebettete Dienste wirklich erst nach Zustimmung geladen?

Das lässt sich prüfen: Website in einem privaten Fenster öffnen, Banner nicht anklicken, und in den Entwicklerwerkzeugen nachsehen, welche Verbindungen aufgebaut und welche Cookies gesetzt werden. Werden schon vor der Zustimmung Daten an Google oder andere gesendet, stimmt etwas nicht (Cookie-Banner).

Eingebettete Dienste.

Videos, Karten, Social-Media-Beiträge, Bewertungsanzeigen — jeder eingebettete Dienst kann beim Laden Daten an seinen Anbieter senden. Ohne Zustimmung sollte er deshalb nicht geladen werden.

Die saubere Lösung: ein Vorschaubild mit Hinweis, das den Dienst erst nach Klick lädt. Das ist auch für die Ladezeit besser (Videos und Karten).

Ein Sonderfall sind Schriften: Wenn der Baukasten Schriften von fremden Servern lädt, werden dabei Daten übertragen. Viele Baukästen liefern Schriften inzwischen selbst aus — prüf es für deinen (Schriften lokal).

Formulare.

Kontaktformulare verarbeiten personenbezogene Daten. Zu klären: Wo werden Einsendungen gespeichert, und wie lange? Werden sie per Mail weitergeleitet? Ist ein Hinweis zum Datenschutz am Formular? Werden nur Daten abgefragt, die wirklich nötig sind?

Viele Baukästen speichern Einsendungen zusätzlich im Kundenkonto. Diese sollten regelmäßig gelöscht werden.

Statistik.

Viele Baukästen haben eine eingebaute Statistik. Ob sie Cookies setzt oder Daten an Dritte gibt, unterscheidet sich. Wer zusätzlich Google Analytics einbindet, braucht dafür eine Zustimmung und einen Eintrag in der Datenschutzerklärung (Tracking, Ohne Cookies).

Erweiterungen.

Erweiterungen aus dem App-Markt stammen oft von Drittanbietern. Jede kann eigene Daten verarbeiten — Chat, Terminbuchung, Bewertungen, Newsletter. Für jede gilt: Was passiert mit den Daten, braucht es eine Zustimmung, steht sie in der Datenschutzerklärung?

Erweiterungen, die nicht gebraucht werden, sind auch datenschutzrechtlich eine Last. Weniger ist hier mehr.

Datenschutzerklärung.

Die Datenschutzerklärung muss beschreiben, was die Website tatsächlich tut — nicht, was ein Generator allgemein vorschlägt. Das heißt: Baukasten-Anbieter, Statistik, eingebettete Dienste, Formulare, Erweiterungen, jeweils mit Zweck und Grundlage.

Ein häufiger Fehler: Die Erklärung wurde beim Start erstellt und nie angepasst, obwohl inzwischen neue Dienste dazugekommen sind.

Selbst prüfen.

1. Auftragsverarbeitungsvertrag mit dem Anbieter abgeschlossen?
2. Privates Fenster, Banner ignorieren: Welche Verbindungen und Cookies gibt es?
3. Nach Ablehnung: Bleibt es dabei?
4. Videos, Karten, Beiträge: Laden sie erst nach Zustimmung?
5. Erweiterungen durchgehen.
6. Datenschutzerklärung mit dem Ist-Zustand abgleichen.

Wenn du nicht weiterkommst.

Wenn du wissen willst, ob deine Baukasten-Website datenschutzrechtlich sauber aufgestellt ist. Ich sehe mir deine Website an, sage dir ehrlich, ob sich ein Wechsel lohnt, und setze ihn sauber um. Die Übersicht findest du unter Baukasten-Hilfe, den allgemeinen Ablauf unter Vom Baukasten zu WordPress.

Orientierungswerte, keine Fixpreise — nach einem kurzen Gespräch bekommst du ein Festpreisangebot.

Wer hilft.

Ich bin Manuel Killert, Webentwickler aus Quakenbrück. Content-Management-Systeme und Website-Plattformen sind mein Fachgebiet — ich arbeite seit Jahren mit WordPress und kenne die verbreiteten Baukästen aus vielen Umzügen. Als Dozent erkläre ich regelmäßig, wo Baukästen stark sind und wo sie an Grenzen stoßen.

Ich habe kein Interesse daran, jeden Baukasten schlechtzureden. Für viele kleine Websites sind sie die richtige Wahl. Wenn eine Website aber gewachsen ist und der Baukasten bremst, zeige ich ehrlich, was ein Wechsel kostet und bringt — und setze ihn so um, dass keine Inhalte und keine Rankings verloren gehen.

Was du bekommst: eine Einschätzung ohne Verkaufsdruck, einen sauberen Umzug mit allen Weiterleitungen und eine Website, die dir gehört — auch wenn die Antwort lautet, dass du beim Baukasten bleiben solltest.