Mein Kontaktformular hat monatelang die IP-Adresse jeder Person gespeichert, die mir schrieb – ohne Checkbox, ohne Hinweis, ohne dass ich es bemerkt habe. Das ist die unschöne Wahrheit hinter meiner hübschen neuen Landingpage. Als freiberufliche Texterin dachte ich, eine Website sei vor allem eine Frage von Text und Design. Die DSGVO hat mir in den letzten Monaten etwas anderes beigebracht, und dieses Tagebuch ist meine ehrliche Checkliste für alle, die genau wie ich als Solopreneurin gerade erst anfangen und sich im Paragrafendschungel verlaufen.
Anfang Februar: Wie ein fehlendes Häkchen monatelang unbemerkt blieb
Seit dem Sommer davor lief mein allererstes Kontaktformular ganz unauffällig im Netz – freundlich, funktional, und ohne eine einzige Datenschutz-Checkbox. Erst bei einer Bestandsaufnahme Anfang Februar fiel mir auf, dass ich die IP-Adresse jeder schreibenden Person seit Monaten kommentarlos gespeichert hatte. Kein Warnhinweis, keine Einwilligung, einfach nur ein Textfeld und ein Absenden-Button, der viel zu unschuldig aussah für das, was im Hintergrund passierte.
Das Gefühl glich dem Moment, in dem man beim Ausfüllen der Steuererklärung merkt, dass eine ganze Zeile aus dem letzten Jahr fehlt – nur dass hier gleich mehrere Monate an Kontaktanfragen betroffen waren.
Am Schreibtisch vor dem hohen Altbaufenster, mit dem Wandregal voller beschrifteter Ordner für Behördenpost und Verträge direkt daneben, habe ich den Formular-Code Zeile für Zeile durchsucht, bis der Heizkörper hinter mir im Takt des Winters zu knacken anfing.
Was ich vorher nicht wusste: Ein fehlendes Häkchen macht die Datenerhebung nicht automatisch illegal, aber es nimmt dem Formular die Rechtsgrundlage – ein Unterschied, der mir bis dahin herzlich egal gewesen wäre.
Innerhalb weniger Stunden hatte ich die Checkbox samt Verlinkung zur Datenschutzerklärung eingebaut. Reparieren war schneller erledigt, als ich vorher aus Angst gezögert hatte, überhaupt damit anzufangen.
Die Grundlagen der DSGVO für eine Ein-Frau-Website
Drei Grundideen fassen zusammen, was die Datenschutz-Grundverordnung von einer kleinen Website wie meiner eigentlich verlangt: Besucherinnen und Besucher müssen wissen, welche Daten anfallen, sie müssen zustimmen können, bevor irgendetwas gespeichert wird, und sie dürfen jederzeit nachfragen oder widersprechen. Keine Paragrafenliste, keine Bußgeldtabelle – nur die schlichte Idee, dass niemand heimlich mitschreibt, wenn jemand eine E-Mail schickt oder ein Formular ausfüllt.
Diese drei Grundideen als Solopreneurin wirklich zu verinnerlichen hat länger gedauert, als ich zugeben möchte, weil ich sie erst in konkrete Handlungen übersetzen musste – eine Checkbox hier, ein Satz in der Datenschutzerklärung dort – bevor sie überhaupt etwas mit meiner Website zu tun hatten.
In der fünften Woche nach dem Fund kam die erste ernstgemeinte Kundenanfrage über das reparierte Formular herein, und der Moment blieb einfach unspektakulär: kein Fehlerhinweis, keine Rückfrage, keine Sorge im Hinterkopf – nur eine E-Mail-Benachrichtigung und ein ganz gewöhnlicher Kunde, der ein Angebot wollte.
Wozu brauche ich als Solo-Texterin überhaupt einen AV-Vertrag?
Auftragsverarbeitung klang für mich zunächst nach einem Thema für Agenturen mit zehn Mitarbeitenden, bis mir klar wurde, dass jeder Hoster und jedes Analysetool, das meine Daten im Hintergrund verarbeitet, einen solchen Vertrag braucht – warum ich als Solopreneur für jedes Tool einen AV Vertrag brauche, habe ich an anderer Stelle ausführlicher aufgeschrieben.
In der Freelancer-Community, in der auch der Chemnitzer Illustrator Miroslav Hájek aktiv ist, kam in derselben Woche eine ganz andere Frage auf: ob eingebettete Bildlizenzen auf der eigenen Portfolioseite ähnlich heikel sein können. Eine gute Frage, die ich selbst noch nicht zu Ende recherchiert habe – ein Thema für einen ruhigeren Monat.
Mit den Browser-Entwicklertools nach versteckten Verbindungen suchen
Acht Plugins habe ich Anfang April durch die Entwicklertools meines Browsers gejagt – SEO-Helfer, Kontaktformulare, kleine Design-Spielereien – und bei jeder neuen Verbindung zu einer fremden .com-Domain im Network-Tab schlug mein Puls einen Takt schneller.
Der Rand meines zweiten Monitors trägt inzwischen deutlich sichtbare Fingerabdrücke, weil ich beim Entziffern von Domain-Namen im Kleingedruckten jedes Mal näher heranrücke, als der Bildschirm eigentlich verträgt.
Die Kommentarfunktion unter meinen Blogposts war der hartnäckigste Fall, weil WordPress in der Standardeinstellung munter IP-Adressen speichert und Avatare von amerikanischen Servern nachlädt – wie ich Blog Kommentare DSGVO konform ohne Abmahngefahr in WordPress nutze, ist eine eigene Geschichte, aber die Kurzfassung lautet: viel Geduld und ein gutes Plugin.
Google Fonts lokal statt vom Google-Server einzubinden habe ich in derselben Phase erledigt, auch das eine kleinere Baustelle mit eigener Geschichte, die ich an anderer Stelle ausführlicher erzähle.
Meine 12-Punkte-Checkliste für jeden Monat danach
Aus alledem ist inzwischen eine feste Routine geworden, die ich einmal im Monat durchgehe, aufgeteilt in drei Bereiche. Technisch prüfe ich, ob Plugins neue Datenverbindungen aufgebaut haben, ob das SSL-Zertifikat noch gültig ist, ob Google Fonts weiterhin lokal liegen und ob ein Update die IP-Anonymisierung in meinem Analysetool nicht versehentlich zurückgesetzt hat. Textlich gehe ich das Impressum auf Aktualität durch, gleiche die Datenschutzerklärung mit neu hinzugekommenen Tools ab, teste die Checkbox in jedem Formular und kontrolliere, ob der Cookie-Banner wirklich blockiert, bevor jemand zustimmt. Organisatorisch lege ich neue AV-Verträge ab, ergänze mein Verzeichnis der Verarbeitungstätigkeiten, lösche abgelaufene Kundendaten und halte kurz schriftlich fest, was sich seit dem letzten Monat geändert hat – dazu gehört inzwischen auch ein Blick auf meine AGB, eine Kontrolle, ob der Newsletter noch sauber per Double-Opt-in bestätigt wird, und die Frage, ob eingebettete YouTube-Videos wirklich ohne Tracking-Vorabverbindung laufen.
Meine Nachbarin Christel Marquardt, die im Treppenhaus nebenan wohnt und in Leipzig-Gohlis Yogastunden unterrichtet, wollte genau diese Liste neulich als eine einzige Seite ohne Paragrafenverweise haben – keine Fußnoten, nur Klartext zum Abhaken. Genau dieser Wunsch hat mir gezeigt, wie viel Fachjargon sich in meine eigene Checkliste eingeschlichen hatte, ohne dass ich es bemerkt hatte.
Die wichtigste Lektion der letzten Monate kam mir allerdings nicht am Schreibtisch, sondern beim Beobachten der Marktstände auf dem Marktplatz in der Leipziger Innenstadt: Die Jagd nach hundertprozentiger DSGVO-Perfektion kann einem Business mehr schaden als nutzen, wenn man vor lauter Klauseln keine Texte mehr für die eigenen Kunden schreibt.
Ich verlasse mich deshalb mittlerweile auf feste Routinen statt auf Panik, und wenn ein neues Tool dazukommt, schaue ich zuerst nach, wie ich mit dem DSGVO Schritt für Schritt Generator meine Website absichere, bevor ich mir stundenlang Sorgen mache.
Die eine Erkenntnis, die ich aus dieser ganzen Checkliste am ehesten weitergeben würde: lieber einmal im Monat zwanzig konzentrierte Minuten investieren, als das Thema monatelang zu verdrängen und dann in einer einzigen Panik-Nacht alles auf einmal reparieren zu wollen. Das Häkchen im Formular, die AV-Verträge, der Cookie-Banner – jedes einzelne Detail ist klein, aber zusammen ergeben sie das Fundament, auf dem ich meine eigentliche Arbeit als Texterin überhaupt sicher aufbauen kann. Für rechtlich verbindliche Antworten frage ich weiterhin bei einer Fachperson nach, aber für den Alltag reicht diese Routine, um wieder an die Arbeit zu gehen, die mir eigentlich Spaß macht.
Rechtlicher Hinweis: Die Inhalte dieser Webseite dienen ausschließlich der allgemeinen Information und stellen keine individuelle medizinische, finanzielle oder rechtliche Beratung dar. Eine fachkundige Beurteilung Ihres Einzelfalls kann nur durch eine qualifizierte Fachperson erfolgen -- bitte konsultieren Sie diese vor wesentlichen Entscheidungen.