Seit dem Inkrafttreten der DSGVO im Mai 2018 wurden die früheren Meldepflichten bei der CNIL für die große Mehrheit der Datenverarbeitungen im Zusammenhang mit einer Website abgeschafft. Der Compliance-Mechanismus basiert nun auf einem Verantwortungsprinzip: Jede Organisation muss ihre Verarbeitungen selbst dokumentieren und jederzeit in der Lage sein, ihre Konformität nachzuweisen.
Verzeichnis der Verarbeitungen: das zentrale Element, das die CNIL-Erklärung ersetzt
Das alte System unterschied zwischen vereinfachter Erklärung und normaler Erklärung. Eine Website, die E-Mail-Adressen über einen Newsletter oder ein Kontaktformular sammelt, musste einen Empfangsnachweis von der CNIL erhalten, bevor sie diese Daten verarbeiten durfte. Dieses Regime existiert nicht mehr.
Heute erfolgt die Konformität einer Website über das Verzeichnis der Verarbeitungstätigkeiten. Dieses interne Dokument listet jede Operation auf, die personenbezogene Daten betrifft: Zweck, Kategorien der gesammelten Daten, Aufbewahrungsfristen, Sicherheitsmaßnahmen. Es muss im Falle einer Kontrolle vorgelegt werden können.
Für eine Schaufenster-Website mit einem Kontaktformular bleibt das Verzeichnis einfach. Für eine E-Commerce-Website, die Bankdaten und Kaufhistorien speichert, vervielfachen sich die Einträge. Die Granularität des Verzeichnisses spiegelt die tatsächliche Komplexität der Verarbeitungen wider, nicht die Größe des Unternehmens.
Konkreter gesagt, die Durchführung einer vereinfachten CNIL-Meldeverfahren bedeutet, dieses Verzeichnis zu strukturieren und jede Verarbeitung gemäß den Anforderungen der DSGVO zu dokumentieren, ohne auf einen Empfangsnachweis oder eine Registrierungsnummer zu warten.
Einwilligung und Cookies: die Kontrollen, die die CNIL prioritär anvisiert
Das Management der Einwilligung auf einer Website ist zum häufigsten Beschwerdegrund bei der CNIL geworden. Schlecht konfigurierte Cookie-Banner, vorab angekreuzte Kästchen oder das Fehlen eines ebenso einfachen Ablehnungsmechanismus wie der Annahme führen zu regelmäßigen Meldungen.
Die CNIL hat ein vereinfachtes Sanktionsverfahren eingeführt, um häufige Verstöße schnell zu behandeln. Seit Januar 2026 wurden in diesem Rahmen 23 Sanktionen verhängt, die Mehrheit davon aufgrund von Nutzerbeschwerden. Der Mechanismus ermöglicht es, ohne das vollständige beschränkte Verfahren zu sanktionieren, was die Bearbeitungszeiten beschleunigt.
Die Punkte, die bei einer Kontrolle einer Website überprüft werden, decken mehrere konkrete Aspekte ab:
- Das Vorhandensein eines Cookie-Banners, das das Akzeptieren oder Ablehnen von Trackern mit der gleichen Leichtigkeit ermöglicht, ohne irreführendes Design
- Die tatsächliche Ablage von Cookies vor jeglicher Aktion des Nutzers (unwichtige Cookies dürfen nicht vor der ausdrücklichen Einwilligung geladen werden)
- Die Aufbewahrung eines zeitgestempelten Nachweises der Einwilligung, der auf Anfrage der CNIL einsehbar ist
- Das Vorhandensein einer zugänglichen Datenschutzrichtlinie, die die Verarbeitungen, die Aufbewahrungsfristen und die Rechte der Nutzer beschreibt
Eine Website, die diese vier Punkte erfüllt, deckt die Mehrheit der von der CNIL identifizierten Risiken bei gängigen Webverarbeitungen ab.
Auf die Rechte der Nutzer reagieren: die am meisten unterschätzte Pflicht
Viele Website-Manager konzentrieren ihre Bemühungen auf das Cookie-Banner und die Datenschutzrichtlinie, vernachlässigen jedoch das Management von Anfragen zur Ausübung von Rechten. Die DSGVO gewährt den betroffenen Personen ein Recht auf Zugang, Berichtigung, Löschung und Übertragbarkeit ihrer Daten.
Ein Nutzer kann jederzeit anfragen, welche Daten eine Website über ihn speichert, oder deren Löschung verlangen. Der Verantwortliche für die Verarbeitung hat einen Monat Zeit, um zu antworten. Das Fehlen einer Antwort oder eine verspätete Antwort stellt einen sanktionierbaren Verstoß dar.
Ein Verfahren zur Bearbeitung von Anfragen einrichten
Für eine kleine Website genügt ein spezielles Formular oder eine spezifische E-Mail-Adresse (z.B. [email protected]). Ziel ist es, jede eingegangene Anfrage, das Empfangsdatum und die gegebene Antwort zu protokollieren.
Diese Nachverfolgbarkeit speist direkt das Verzeichnis der Verarbeitungen. Im Falle einer Kontrolle prüft die CNIL nicht nur das Vorhandensein eines Kontaktkanals, sondern auch die tatsächliche Fähigkeit, die Daten einer identifizierten Person in den Datenbanken der Website zu finden und zu löschen.
DSFA und besondere Fälle: wenn die grundlegende Konformität nicht mehr ausreicht
Die Datenschutz-Folgenabschätzung (DSFA) ist nicht für alle Websites erforderlich. Sie wird obligatorisch, wenn eine Verarbeitung ein hohes Risiko für die Rechte und Freiheiten der Personen darstellt: systematische Profilierung, Erhebung sensibler Daten (Gesundheit, politische Meinungen), großflächige Überwachung.
Eine klassische E-Commerce-Website fällt in der Regel nicht in diesen Rahmen. Eine Online-Gesundheitsplattform, die Telekonsultationen anbietet, oder eine Website, die biometrische Daten zur Authentifizierung sammelt, muss jedoch vor der Inbetriebnahme der Verarbeitung eine DSFA durchführen.
Datenübertragungen außerhalb der Europäischen Union
Die Nutzung von Analyse- oder Hosting-Tools außerhalb der EU (z.B. amerikanische Cloud-Dienste) erfordert zusätzliche Garantien. Der Verantwortliche für die Verarbeitung muss sicherstellen, dass der Anbieter ein angemessenes Schutzniveau bietet, entweder durch Standardvertragsklauseln oder durch einen Angemessenheitsbeschluss der Europäischen Kommission.
Die Dokumentation der Wahl jedes Unterauftragnehmers im Verzeichnis ermöglicht es, diese Überprüfung nachzuweisen. Die CNIL hat mehrere Websites sanktioniert, weil sie Daten ohne ausreichende vertragliche Regelung auf amerikanische Server übertragen haben.
DSGVO-Konformität einer Website: was bei einer Kontrolle zählt
Die aktuelle Logik der CNIL basiert auf der Fähigkeit, die eigene Konformität nachzuweisen, nicht auf einem vorherigen administrativen Stempel. Eine Kontrolle bezieht sich auf greifbare Beweise: das aktuelle Verzeichnis, die Nachweise der Einwilligung, die Antworten auf Anfragen zu Rechten, die Dokumentation der Unterauftragnehmer.
- Das Verzeichnis der Verarbeitungstätigkeiten, selbst in Form einer Tabelle, muss vollständig und aktuell sein
- Die Nachweise für die Einwilligung der Nutzer müssen zeitgestempelt und während der gesamten Dauer der Verarbeitung aufbewahrt werden
- Die Verträge mit den Unterauftragnehmern (Hosting-Anbieter, E-Mail-Tool, Zahlungslösung) müssen DSGVO-Klauseln enthalten
Die Konformität einer Website beschränkt sich nicht mehr auf eine einmalige Erklärung. Sie wird über die Zeit aufgebaut, durch die sorgfältige Führung dieser Dokumente und durch die regelmäßige Aktualisierung der Praktiken bei jeder Änderung der Website oder ihrer Tools.
