Die rechtlichen Hinweise beziehen sich auf alle Informationen, die eine Website zwingend angeben muss, um ihre Verantwortlichen zu identifizieren. Diese Verpflichtung, die durch das Gesetz für Vertrauen in die digitale Wirtschaft (LCEN) vom 21. Juni 2004 festgelegt wurde, betrifft alle Webseiten, unabhängig davon, ob sie professionell, gemeinnützig oder privat mit kommerzieller Absicht sind. Der Schutz der Privatsphäre online beruht auf einem zweiten regulatorischen Pfeiler, der DSGVO, die die Erhebung und Verarbeitung personenbezogener Daten der Besucher regelt.
Tracker und ePrivacy-Richtlinie: Was das Cookie-Banner nicht abdeckt
Die meisten Websites zeigen ein Cookie-Zustimmungsbanner an. Diese Schnittstelle spiegelt nur einen Teil der Verpflichtungen im Zusammenhang mit Trackern wider.
Die Leitlinien des Europäischen Datenschutzausschusses zu Artikel 5(3) der ePrivacy-Richtlinie umfassen weit mehr als nur klassische Cookies. Die Tracking-Pixel, eindeutigen Identifikatoren und Link-Tracking-Mechanismen fallen ebenfalls in den Geltungsbereich. Ein Compliance-Audit, das sich nur auf das Cookie-Banner beschränkt, lässt daher blinde Flecken.
Die Kontrolle betrifft auch das konkrete Gleichgewicht zwischen der Annahme und der Ablehnung von Trackern. Die CNIL verhängte am 1. September 2025 eine Geldstrafe von 325 Millionen Euro gegen Google in einem Fall, in dem das Verfahren zur Ablehnung von Cookies als restriktiver angesehen wurde als die Annahme. Diese Art von Sanktion zeigt, dass Compliance nicht nur darin besteht, ein Banner anzuzeigen, sondern eine echte Symmetrie zwischen den dem Benutzer angebotenen Optionen erfordert.
Für weitere Informationen über Secrets d’Hommes und deren Transparenzpolitik gibt die Seite mit den rechtlichen Hinweisen detaillierte Informationen zu den verwendeten Trackern und den damit verbundenen Zwecken.
Obligatorische rechtliche Hinweise: Inhalt je nach Status des Herausgebers
Der Inhalt der rechtlichen Hinweise variiert je nachdem, ob der Herausgeber der Website eine natürliche oder juristische Person ist und je nach Art seiner Tätigkeit.
Für ein Unternehmen oder einen Verein müssen die Hinweise Folgendes enthalten:
- Die Firma, die Adresse des Hauptsitzes, die Telefonnummer und die E-Mail-Adresse für den Kontakt
- Die Handelsregisternummer (RCS) oder die Handwerkskammernummer sowie gegebenenfalls die Umsatzsteuer-Identifikationsnummer
- Den Namen des Herausgebers und die Kontaktdaten des Hosting-Anbieters (Firma, Adresse, Telefon)
Regulierte Berufe (Anwälte, Ärzte, Steuerberater) müssen den Verweis auf die geltenden Berufsregeln und die Behörde, die die Erlaubnis zur Ausübung erteilt hat, hinzufügen. Handelswebsites ergänzen diese Informationen durch ihre allgemeinen Verkaufsbedingungen.
Das Fehlen von rechtlichen Hinweisen oder deren unvollständiger Charakter setzt den Herausgeber strafrechtlichen Sanktionen aus, die durch die LCEN vorgesehen sind.
DSGVO und personenbezogene Daten: Informationspflichten gegenüber den Besuchern
Die Datenschutz-Grundverordnung verpflichtet jede Website, die personenbezogene Daten erhebt (Kontaktformular, Anmeldung zu einem Newsletter, Kontoerstellung), die betroffenen Personen klar zu informieren.
Diese Information muss die Zwecke der Verarbeitung, die verwendete Rechtsgrundlage (Einwilligung, berechtigtes Interesse, Vertragserfüllung), die Empfänger der Daten und die Dauer der Speicherung präzisieren. Der Besucher muss auch über seine Rechte informiert werden: Zugang, Berichtigung, Löschung, Datenübertragbarkeit und Widerspruch.
Ein oft vernachlässigter Punkt: Eine Datenlöschung und das Entfernen aus einer Suchmaschine sind zwei verschiedene Vorgänge. Das Recht auf Löschung, das in Artikel 17 der DSGVO vorgesehen ist, verpflichtet den Verantwortlichen zur Löschung der Daten. Die De-Indexierung bei einer Suchmaschine ist eine separate Anfrage, die direkt an den Betreiber der Suchmaschine gerichtet werden muss. Die beiden Verfahren führen nicht zum gleichen Ergebnis und müssen manchmal parallel durchgeführt werden.
Generative KI und Privatsphäre: Die aktuellen Empfehlungen der CNIL
Der Aufstieg generativer KI-Systeme wirft neue Fragen zum Schutz der Privatsphäre online auf. Im Februar 2025 veröffentlichte die CNIL Empfehlungen zur Anwendung der DSGVO auf KI-Systeme.
Wenn ein KI-Modell mit personenbezogenen Daten trainiert wird, die möglicherweise gespeichert werden, müssen die betroffenen Personen grundsätzlich über diese Nutzung informiert werden. Die CNIL empfiehlt auch, den Datenschutz bereits bei der Gestaltung des Systems zu integrieren, gemäß dem Prinzip des “Privacy by Design”, das bereits in der DSGVO verankert ist.
Diese Dimension fehlt in den meisten aktuellen rechtlichen Hinweisen. Eine Website, die einen Chatbot oder ein KI-Tool verwendet, das Daten von Besuchern verarbeitet, sollte jedoch diese Verarbeitung in ihrer Datenschutzrichtlinie erwähnen und die Zwecke sowie die getroffenen Garantien präzisieren.
Zustimmung im Web: Was eine echte Compliance von einer bloßen Anzeige unterscheidet
Das Anzeigen eines Formulars zur Einholung der Zustimmung reicht nicht aus, um die DSGVO einzuhalten. Die Zustimmung muss frei, spezifisch, informiert und eindeutig sein. Konkret bedeutet dies, dass vorab angekreuzte Kästchen verboten sind und die Ablehnung ebenso einfach sein muss wie die Annahme.
Drei Kriterien ermöglichen die Bewertung der tatsächlichen Compliance eines Zustimmungsmechanismus:
- Der Ablehnungsbutton ist auf derselben Ebene wie der Annahmebutton sichtbar, ohne abgeschwächte Farbe oder mehrdeutige Formulierung
- Jeder Zweck der Verarbeitung kann einzeln akzeptiert oder abgelehnt werden, nicht nur im Paket
- Der Widerruf der Zustimmung ist jederzeit von einer klar identifizierten Seite der Website zugänglich
Die CNIL hat die Kontrollen zu diesen Punkten verstärkt. Die bestraften Unternehmen wurden oft nicht wegen des völligen Fehlens eines Banners bestraft, sondern wegen ungleichgewichtiger Zustimmungssysteme, die die Ablehnung schwieriger machten als die Annahme.
Die Compliance einer Website basiert auf der Verknüpfung zwischen vollständigen rechtlichen Hinweisen, detaillierter Datenschutzrichtlinie und ausgewogenem Zustimmungssystem. Diese drei Ebenen funktionieren nicht isoliert: Eine Website, deren rechtliche Hinweise einwandfrei sind, aber deren Cookie-Banner auf die Annahme ausgerichtet ist, bleibt einer Sanktion ausgesetzt.
