Website Kommune Datenschutz: Homepage rechtssicher prüfen

Einordnung

Website Kommune Datenschutz: Worum geht es?

Die Website einer Kommune ist oft der erste Kontaktpunkt für Bürgerinnen und Bürger. Dort finden sich Öffnungszeiten, Formulare, Kontaktmöglichkeiten, Ratsinformationen, Bekanntmachungen, Veranstaltungen, Karrierebereiche und Online-Dienste.

Datenschutzrechtlich verarbeitet die Website regelmäßig personenbezogene Daten. Das beginnt schon bei IP-Adressen in Server-Logs und geht weiter bei Kontaktformularen, Online-Anträgen, Newsletter, Cookie-Bannern, Statistiktools, Kartendiensten oder eingebetteten Videos.

Der häufigste Fehler ist nicht ein einzelner fehlender Satz in der Datenschutzerklärung. Das größere Problem ist, dass technische Wirklichkeit, Datenschutzerklärung und Rechtsgrundlagen oft nicht zusammenpassen.

Eine kommunale Website sollte deshalb nicht nur optisch, sondern auch rechtlich und technisch regelmäßig überprüft werden.

Kommunen ≠ Unternehmen

Falsche Rechtsgrundlagen aus Unternehmens-Mustern

Viele kommunale Datenschutzerklärungen wirken auf den ersten Blick vollständig, verwenden aber Rechtsgrundlagen, die eher für Unternehmen gedacht sind.

Besonders häufig findet man Art. 6 Abs. 1 lit. f DSGVO, also „berechtigte Interessen“. Diese Rechtsgrundlage ist für öffentliche Stellen bei Verarbeitung in Erfüllung ihrer Aufgaben regelmäßig nicht der richtige Ansatz.

Auch Art. 6 Abs. 1 lit. b DSGVO, also „Vertrag“, passt bei kommunalen Websites nur in Ausnahmefällen. Bürgerinnen und Bürger schließen mit der Kommune meist keinen Vertrag, nur weil sie ein Kontaktformular nutzen, eine Auskunft anfragen oder eine öffentliche Aufgabe in Anspruch nehmen.

Für bayerische Kommunen sind regelmäßig andere Grundlagen maßgeblich: Art. 6 Abs. 1 lit. e DSGVO in Verbindung mit Art. 4 BayDSG, Art. 5 BayDSG bei Übermittlungen oder Veröffentlichungen und gegebenenfalls spezielle Fachgesetze.

Pflichtinformationen

Datenschutzerklärung der kommunalen Website

Die Datenschutzerklärung muss verständlich erklären, welche personenbezogenen Daten beim Besuch der Website und bei Nutzung einzelner Funktionen verarbeitet werden.

Sie sollte mindestens Verantwortlichen, behördlichen Datenschutzbeauftragten, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Rechte der betroffenen Personen und Beschwerderecht beim BayLfD nennen.

Wichtig ist: Die Datenschutzerklärung muss zur tatsächlichen Website passen. Wenn Google Maps, YouTube, Statistiktools, Newsletter, Bewerbungsformular oder Online-Terminbuchung eingebunden sind, müssen diese Dienste auch beschrieben und rechtlich eingeordnet werden.

Umgekehrt sollten Dienste nicht pauschal genannt werden, wenn sie gar nicht eingesetzt werden. Das wirkt unsauber und kann Bürgerinnen und Bürger eher verunsichern.

Cookie-Banner

Cookies und Einwilligungsbanner

Nicht jede kommunale Website braucht ein Cookie-Banner. Wenn nur technisch notwendige Cookies eingesetzt werden, kann ein Banner entbehrlich sein.

Werden aber Analyse-, Tracking-, Marketing- oder externe Dienste mit Zugriff auf Endgeräte eingesetzt, ist regelmäßig eine wirksame Einwilligung erforderlich.

Ein gutes Cookie-Banner darf nicht nur schön aussehen. Es muss technisch funktionieren: Nicht erforderliche Dienste dürfen erst nach Einwilligung starten.

Typische Fehler sind vorangekreuzte Kästchen, fehlende Ablehnmöglichkeit, unklare Zwecke, Drittanbieter vor Einwilligung, keine Widerrufsmöglichkeit oder ein Banner, das nur informiert, aber nichts blockiert.

Der einfachste Weg ist oft: so wenig Cookies und Drittanbieter wie möglich. Datenschutzfreundliche Websites brauchen manchmal gar kein komplexes Banner.

Bürgerkontakt

Kontaktformular, Rückrufbitte und allgemeine Anfrage

Kontaktformulare sind für Kommunen praktisch, weil Bürgerinnen und Bürger schnell Fragen stellen können. Gleichzeitig werden dort Namen, Kontaktdaten, Nachrichteninhalte und manchmal sensible Angaben übermittelt.

Die Website sollte klar erklären, welche Daten im Kontaktformular verarbeitet werden, zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange die Anfrage aufbewahrt wird.

Bei sensiblen Anliegen sollte ein allgemeines Kontaktformular nicht zu viel versprechen. Nicht jede Nachricht eignet sich für einfache Webformulare oder unverschlüsselte E-Mail-Kommunikation.

Technisch wichtig sind Transportverschlüsselung, Spam-Schutz ohne unnötige Drittanbieter, klare Empfänger in der Verwaltung und geregelte Löschung oder Aktenübernahme.

Technischer Betrieb

Server-Logs und IP-Adressen

Beim Besuch einer Website fallen regelmäßig technische Daten an, etwa IP-Adresse, Zeitpunkt des Zugriffs, aufgerufene Seite, Browserinformationen und Fehlermeldungen.

Diese Daten können für Betrieb, Sicherheit, Fehleranalyse und Angriffserkennung erforderlich sein. Sie dürfen aber nicht unbegrenzt gespeichert oder für beliebige Auswertungen genutzt werden.

Die Kommune sollte wissen, welche Logs beim Hostinganbieter anfallen, wie lange sie gespeichert werden, wer Zugriff hat und ob eine Anonymisierung oder kurze Speicherfrist möglich ist.

In der Datenschutzerklärung sollte der technische Betrieb transparent beschrieben werden.

Analyse

Statistik und Tracking

Kommunen wollen häufig wissen, wie ihre Website genutzt wird. Das ist nachvollziehbar. Nicht jedes Statistiktool ist aber für öffentliche Stellen geeignet.

Besonders kritisch sind Tools, die Nutzer über Websites hinweg verfolgen, Daten an große Plattformanbieter übertragen oder ohne wirksame Einwilligung starten.

Datenschutzfreundlicher sind lokale oder behördlich abgestimmte Lösungen, bei denen IP-Adressen gekürzt, Cookies vermieden oder datensparsame Einstellungen gewählt werden.

Wichtig ist auch hier: Die gewählte Statistiklösung muss technisch zur Datenschutzerklärung und zum Cookie-Banner passen.

Externe Dienste

Google Maps, YouTube, Vimeo und andere Einbindungen

Externe Dienste können die Website nutzerfreundlicher machen, sind aber datenschutzrechtlich häufig problematisch.

Kartendienste, Videos, Wetter-Widgets, Buchungstools, Chatbots oder Social-Media-Plugins können bereits beim Laden der Seite Daten an Dritte übertragen.

Kommunen sollten deshalb prüfen, ob eine datenschutzfreundliche Alternative möglich ist. Bei Karten kann etwa ein statischer Kartenausschnitt, ein Link oder ein Zwei-Klick-Modell sinnvoll sein.

Videos sollten nicht ungeprüft eingebettet werden. Eine Einbindung sollte erst nach Zustimmung oder über eine datenschutzfreundliche Lösung erfolgen.

Webfonts

Schriftarten und externe Ressourcen

Auch Schriftarten können Datenschutzfragen auslösen, wenn sie beim Seitenaufruf von externen Servern geladen werden.

Werden externe Fonts eingebunden, kann die IP-Adresse der Nutzerin oder des Nutzers an den Anbieter übertragen werden. Das ist gerade bei Drittstaatenbezug kritisch.

Für kommunale Websites ist regelmäßig die lokale Einbindung von Schriftarten die bessere Lösung. Dann werden keine externen Font-Server beim Besuch der Seite kontaktiert.

Die Kommune sollte deshalb prüfen, ob alle Schriftarten, Skripte, Icons und Design-Bibliotheken lokal oder datenschutzfreundlich eingebunden sind.

Plattformen

Social Media und kommunale Fanpages

Viele Kommunen verlinken auf Facebook, Instagram, YouTube oder andere Plattformen. Schon einfache Links sind meist weniger problematisch als eingebettete Plugins, die beim Seitenaufruf automatisch Daten übertragen.

Bei Social-Media-Auftritten ist außerdem zu prüfen, wer datenschutzrechtlich verantwortlich ist, welche Daten verarbeitet werden und wie Bürgerinnen und Bürger informiert werden.

Der BayLfD weist schon seit Jahren darauf hin, dass bayerische öffentliche Stellen die Zulässigkeit von Datenerhebungen über Fanpages selbst prüfen müssen.

Für die kommunale Website heißt das: Social Media sollte nicht unbedacht technisch eingebunden werden. Links, Zwei-Klick-Lösungen und klare Datenschutzhinweise sind regelmäßig sicherer.

Digitalisierung

Online-Formulare und Verwaltungsleistungen

Online-Formulare können einfache Kontaktaufnahme ermöglichen oder echte Verwaltungsleistungen abbilden. Datenschutzrechtlich macht das einen großen Unterschied.

Bei einfachen Formularen geht es häufig um Kommunikation. Bei Verwaltungsleistungen können besondere Fachgesetze, Aktenführung, Identitätsprüfung, Nachweise, Fristen und Zuständigkeiten hinzukommen.

Kommunen sollten vermeiden, sehr sensible Angaben über allgemeine Websiteformulare abzufragen, wenn dafür kein sicherer Prozess besteht.

Wichtig sind klare Zwecke, richtige Rechtsgrundlagen, sichere Übertragung, begrenzte Empfänger, Löschfristen und eine saubere Einbindung in Fachverfahren oder Akten.

Hosting und Wartung

Hosting, Agentur und technische Dienstleister

Kommunale Websites werden oft durch Agenturen, Hostinganbieter, IT-Dienstleister oder Fachverfahrensanbieter betrieben.

Wenn Dienstleister personenbezogene Daten im Auftrag der Kommune verarbeiten, ist regelmäßig ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich.

Die Kommune sollte wissen, wo die Website gehostet wird, welche Unterauftragnehmer eingesetzt werden, ob Drittlandübermittlungen stattfinden und wer Zugriff auf Formulardaten, Logdaten oder Administrationsbereiche hat.

Auch bei kleinen Gemeindeseiten ist das wichtig. Eine Website ist kein rein technisches Projekt, sondern Teil der kommunalen Datenverarbeitung.

Langzeitwirkung

Webarchive und alte Inhalte

Kommunale Websites können durch Webarchive dauerhaft gespeichert werden. Dadurch können auch alte Inhalte auffindbar bleiben, etwa frühere Mitarbeiterdaten, alte Ansprechpartner, veraltete Bekanntmachungen oder personenbezogene PDF-Dateien.

Der BayLfD weist darauf hin, dass archivierte Webseiten datenschutzrechtlich relevant werden können, wenn sie personenbezogene Daten enthalten.

Kommunen sollten deshalb aktiv steuern, welche Inhalte veröffentlicht werden, wie lange sie online bleiben und wie mit Archivierung umgegangen wird.

Besonders wichtig ist das bei Mitarbeiterlisten, Wahldokumenten, Sitzungsunterlagen, Amtsblättern, Bauleitplanung, PDF-Downloads und alten Pressebeiträgen.

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD behandelt kommunale Websites vor allem über die Themen Telemedien, Cookies, Datenschutzerklärungen, Drittdienste und Webarchive.

In der Aktuellen Kurz-Information 36 erklärt der BayLfD Cookies und Einwilligungsbanner auf Webseiten bayerischer öffentlicher Stellen. Er stellt klar, dass notwendige und nicht notwendige Cookies zu unterscheiden sind und dass Statistik- oder Analyse-Cookies nicht automatisch erforderlich sind.

Besonders wichtig für Kommunen: Der BayLfD weist darauf hin, dass öffentliche Webseitenanbieter bei der Datenverarbeitung zur Aufgabenerfüllung nicht auf Art. 6 Abs. 1 lit. f DSGVO zurückgreifen können. Unternehmensmuster mit „berechtigtem Interesse“ passen daher häufig nicht.

Mit der Orientierungshilfe „Bayerische öffentliche Stellen und Telemedien“ stellt der BayLfD klar, dass bayerische öffentliche Stellen ihre Internetpräsenzen kritisch prüfen sollten, insbesondere Drittdienste, Datenschutzhinweise und Einwilligungsbanner.

Im 31. Tätigkeitsbericht weist der BayLfD außerdem darauf hin, dass Internetauftritte öffentlicher Stellen eine Datenschutzerklärung mit den Informationen nach Art. 13 DSGVO brauchen und empfiehlt, sich inhaltlich an abgestimmten Mustern für bayerische öffentliche Stellen zu orientieren.

In AKI 62 macht der BayLfD deutlich, dass auch Webarchive ein Datenschutzthema sein können, wenn personenbezogene Daten aus kommunalen Webangeboten dauerhaft archiviert werden.

Praxisfehler

Typische Fehler auf kommunalen Websites

Orientierung

Orientierungsfragen für Kommunen

Diese Fragen dienen der ersten Einordnung. Sie ersetzen keine vollständige technische und rechtliche Websiteprüfung.

Häufige Fragen

FAQ zu Website Kommune Datenschutz

Ergebnis

Fazit

Website-Datenschutz bei Kommunen ist mehr als ein Textbaustein. Die Datenschutzerklärung muss zur tatsächlichen Technik, zu den eingesetzten Diensten und zu den richtigen Rechtsgrundlagen passen.

Besonders wichtig ist, keine Unternehmensmuster ungeprüft zu übernehmen. Kommunen verarbeiten Daten regelmäßig zur öffentlichen Aufgabenerfüllung und benötigen daher andere Rechtsgrundlagen als private Unternehmen.

Wer Cookies, Kontaktformulare, Statistik, Karten, Videos, Social Media, Online-Formulare, Dienstleister und Webarchive sauber prüft, reduziert sichtbare Risiken und stärkt das Vertrauen in die digitale Verwaltung.

Weiterlesen

Passende interne Verlinkung

Nachweise

Quellen