Was DSGVO und KVKK tatsächlich von einer Website verlangen
Kein Cookie-Banner. Die Pflichten sind überwiegend architektonisch, im Bau billiger als im Nachrüsten, und rund die Hälfte entfällt schlicht, wenn Sie die Daten gar nicht erst erheben.
Das Banner ist der kleinste Teil, und meist der falsche
Fast jede Website, die ein Consent-Banner einbaut, baut es falsch ein: Das Banner erscheint, das Analytics-Skript ist längst gelaufen, und die Einwilligung wird nach dem eingeholt, was sie hätte verhindern sollen. Das ist schlechter als gar kein Banner, weil es den Verstoß dokumentiert.
Die Regel ist einfach und betrifft die Reihenfolge, nicht das Design. Nichts, was nicht unbedingt erforderlich ist, darf laufen, bevor die Besucherin zustimmt. Lädt Ihr Tag Manager im Head, macht kein Banner der Welt das rechtmäßig.
Es gibt eine dritte Option, die gern vergessen wird: nichts erheben. Eine Website ohne Analytics, ohne Pixel und ohne Drittanbieter-Skript braucht überhaupt kein Banner, es gibt nichts einzuwilligen.
Was beide Gesetze wirklich fordern
DSGVO und KVKK sind getrennte Gesetze mit unterschiedlichen Aufsichtsbehörden, aber die technische Arbeit, die sie nach sich ziehen, überschneidet sich fast vollständig. Bauen Sie nach dem strengeren der beiden, und Sie erfüllen beide.
- Eine Rechtsgrundlage für jedes personenbezogene Datum, das Sie halten, schriftlich, vor der Erhebung.
- Datenminimierung: Brauchen Sie die Telefonnummer nicht, um die Anfrage zu beantworten, fragen Sie nicht danach.
- Eine Aufbewahrungsfrist je Datenart und etwas, das nach Ablauf tatsächlich löscht.
- Auskunft und Löschung auf Verlangen, binnen eines Monats, kostenfrei.
- Einen Auftragsverarbeitungsvertrag mit jedem Dritten, der die Daten berührt. Hoster, E-Mail-Dienst, CRM.
- Meldung einer Verletzung binnen 72 Stunden: was voraussetzt, dass Sie eine Verletzung überhaupt bemerken können.
Der Teil, der teuer wird, wenn er spät kommt
Aufbewahrung und Löschung sind die beiden, die weh tun. Ein Schema, das Löschung nie vorgesehen hat, verwandelt eine einzeilige Rechtsanfrage in eine Migration: Zeilen, auf die Bestellungen verweisen, Kopien in Backups, abgeleitete Analysetabellen, an deren Bau sich niemand erinnert.
Von Anfang an geplant ist es eine `deleted_at`-Spalte, ein geplanter Job und ein dokumentiertes Backup-Fenster. Nach zwei Jahren Produktivdaten nachgerüstet ist es ein Quartal Arbeit ohne sichtbares Feature.
Das nützlichste Einzelartefakt ist eine Tabelle: welche Daten, wozu, wo sie liegen, wie lange sie bleiben. Sobald sie existiert, ergibt sich der Großteil der Compliance-Arbeit von selbst, und sie ist das Erste, wonach eine Aufsicht fragt.
Wo das aufhört, Technik zu sein
Alles oben ist baubar und testbar, und genau das setzen wir in einem Projekt um. Was nichts davon ersetzt, ist eine Anwältin, die Ihre Branche und Ihre Rechtsordnung kennt: besonders bei Gesundheitsdaten, Finanzdaten oder allem, was Kinder betrifft. Diese liegen in der strengsten Stufe beider Gesetze und tragen Pflichten, die keine noch so gute Architektur erledigt.
Betrachten Sie die technischen Maßnahmen als Untergrenze. Sie sind notwendig, sie sind der Teil, der später teuer wird, und sie sind nicht das Ganze.