Czym jest DSGVO i kogo dotyczy?
DSGVO, czyli Datenschutz-Grundverordnung, to Ogólne Rozporządzenie o Ochronie Danych Osobowych, obowiązujące od 25 maja 2018 roku we wszystkich krajach Unii Europejskiej. Jego głównym celem jest ujednolicenie zasad przetwarzania danych osobowych oraz zapewnienie ich skutecznej ochrony.
W praktyce oznacza to, że każda firma – niezależnie od wielkości i branży – która gromadzi dane osób fizycznych w kontekście działalności na terenie UE, musi przestrzegać przepisów DSGVO. Dotyczy to również polskich przedsiębiorców prowadzących działalność w Niemczech i posiadających stronę internetową skierowaną do użytkowników z tego kraju.
Czy moja strona internetowa musi być zgodna z DSGVO?
Tak. Nawet prosta strona wizytówka podlega pod przepisy DSGVO, jeżeli:
- zawiera formularz kontaktowy,
- umożliwia zapis na newsletter,
- korzysta z narzędzi analitycznych (np. Google Analytics),
- osadza zewnętrzne media (np. YouTube, Google Maps),
- używa plików cookies do śledzenia aktywności użytkowników,
- umożliwia zakupy online lub jakąkolwiek formę rejestracji.
Przepisy te nie dotyczą wyłącznie dużych serwisów e-commerce. Każdy kontakt z danymi osobowymi – nawet imieniem, adresem e-mail czy adresem IP – nakłada na administratora obowiązki prawne wynikające z DSGVO.
Jakie obowiązki muszę spełnić jako właściciel strony?
1. Aktualna i kompletna polityka prywatności
Polityka prywatności (Datenschutzerklärung) musi być dostępna na stronie w języku niemieckim, napisana zrozumiałym językiem i regularnie aktualizowana. Powinna zawierać:
- pełne dane administratora danych (nazwa firmy, adres, kontakt),
- podstawy prawne przetwarzania danych zgodnie z art. 6 ust. 1 DSGVO,
- cele przetwarzania danych i ich zakres,
- informacje o odbiorcach danych, np. Google Ireland, Meta Platforms itd.,
- okres przechowywania danych lub kryteria jego ustalania,
- prawa osoby, której dane dotyczą (prawo do informacji, usunięcia, ograniczenia, sprzeciwu, skargi do organu nadzorczego),
- informacje o transferze danych do państw trzecich (np. USA),
- odniesienie do korzystania z plików cookies i narzędzi analitycznych.
Brak polityki prywatności lub jej niekompletność to jedna z najczęstszych przyczyn upomnień (Abmahnungen) w Niemczech.
2. Zgoda na cookies i prawidłowy baner
Zgodnie z orzecznictwem Trybunału Sprawiedliwości UE oraz niemieckiego BGH, pliki cookies mogą być ustawiane dopiero po wyrażeniu zgody przez użytkownika – wyjątek stanowią technicznie niezbędne cookies.
Dlatego każda strona powinna posiadać prawidłowo wdrożony baner cookies, który:
- umożliwia świadomy wybór (akceptacja, odrzucenie, preferencje),
- nie zaznacza zgód domyślnie,
- nie ukrywa treści do momentu kliknięcia „akceptuj”,
- umożliwia późniejszą zmianę decyzji.
Wdrożenie odpowiedniego systemu zarządzania zgodami (tzw. Consent Management Platform, CMP) jest obowiązkowe – i nie wystarczy zwykła informacja typu „Korzystając z tej strony, akceptujesz cookies”.
3. Formularze kontaktowe zgodne z przepisami
Formularze kontaktowe, formularze zapisu na newsletter czy formularze zamówień muszą spełniać konkretne wymogi:
- każde pole przetwarzające dane osobowe powinno być oznaczone jako obowiązkowe lub opcjonalne,
- checkbox zgody na przetwarzanie danych nie może być domyślnie zaznaczony,
- formularz musi zawierać odniesienie do polityki prywatności,
- dane muszą być przesyłane bezpiecznie (HTTPS),
- użytkownik powinien wiedzieć, kto jest administratorem i w jakim celu jego dane są przetwarzane.
Nieprzestrzeganie tych zasad może skutkować zgłoszeniem naruszenia do niemieckiego urzędu ochrony danych osobowych (np. Berliner Beauftragte für Datenschutz).
4. Certyfikat SSL – obowiązkowe szyfrowanie strony
Każda strona internetowa powinna posiadać certyfikat SSL, dzięki któremu dane przesyłane przez użytkowników są szyfrowane. Połączenie HTTPS nie tylko zwiększa bezpieczeństwo, ale również wpływa na ranking w Google.
Brak SSL może zostać uznany za naruszenie zasad bezpieczeństwa danych i stanowi realne ryzyko prawne.
5. Rejestr czynności przetwarzania danych
Zgodnie z art. 30 DSGVO, każdy administrator danych musi prowadzić wewnętrzny rejestr czynności przetwarzania. Nawet jednoosobowa firma posiadająca stronę internetową przetwarzającą dane (np. przez formularz kontaktowy) jest zobowiązana taki rejestr prowadzić.
Rejestr ten powinien zawierać:
- cele przetwarzania,
- kategorie osób i danych,
- odbiorców danych,
- terminy usuwania danych,
- opis środków technicznych i organizacyjnych zabezpieczających dane.
6. Umowy powierzenia przetwarzania (AV-Verträge)
Jeżeli Twoja strona korzysta z zewnętrznych dostawców, którzy mają dostęp do danych osobowych (np. hosting, newsletter, systemy CRM), musisz podpisać z nimi odpowiednią umowę powierzenia przetwarzania danych (niem. Auftragsverarbeitungsvertrag – AVV).
Brak takiej umowy z dostawcą usług jest naruszeniem DSGVO.
Częste błędy, które prowadzą do kar i upomnień
- Brak zgody na cookies lub wadliwy baner.
- Stara polityka prywatności, niespełniająca aktualnych wymogów.
- Formularze kontaktowe bez checkboxów i linku do polityki prywatności.
- Przesyłanie danych formularzy bez szyfrowania (HTTP).
- Brak zawarcia umów AVV z dostawcami.
- Użycie Google Fonts w formie zewnętrznej, bez lokalnego hostingu (problem z IP jako daną osobową).
Jakie są konsekwencje nieprzestrzegania przepisów?
Naruszenie przepisów DSGVO może skutkować:
- pisemnym upomnieniem od kancelarii prawnych (koszt: 300–1500 euro),
- kontrolą ze strony niemieckiego urzędu ochrony danych,
- administracyjną karą pieniężną – w skrajnych przypadkach nawet do 20 milionów euro lub 4% rocznego obrotu firmy,
- utratą wiarygodności w oczach klientów i partnerów biznesowych.
Należy pamiętać, że odpowiedzialność ponosi właściciel firmy, a niewiedza lub brak świadomości nie zwalniają z obowiązku stosowania się do prawa.
Jak zapewnić zgodność strony z DSGVO?
Najlepszym rozwiązaniem jest kompleksowe podejście:
- audyt aktualnej wersji strony i identyfikacja ryzyk,
- wdrożenie aktualnej polityki prywatności zgodnej z niemieckim prawem,
- instalacja certyfikatu SSL i weryfikacja formularzy,
- wdrożenie prawidłowego banera cookies zgodnego z CMP,
- zawarcie niezbędnych umów AVV,
- konsultacja z prawnikiem lub specjalistą ds. ochrony danych.
Przedsiębiorcy, którzy dopiero rozpoczynają działalność, powinni zadbać o te kwestie już na etapie projektowania strony, aby uniknąć późniejszych poprawek i kar.
Podsumowanie
DSGVO na niemieckiej stronie internetowej to temat, którego nie można lekceważyć. Nawet mała strona firmowa podlega obowiązkom wynikającym z rozporządzenia i niespełnienie ich może prowadzić do poważnych konsekwencji finansowych oraz prawnych.
Jeśli prowadzisz firmę w Niemczech i masz wątpliwości, czy Twoja strona spełnia wymagania prawne – warto skonsultować się ze specjalistami.
KB WebStudio oferuje kompleksowe wsparcie przy tworzeniu stron internetowych zgodnych z DSGVO. Wdrażamy odpowiednie zabezpieczenia, przygotowujemy politykę prywatności, konfigurujemy cookies oraz doradzamy w zakresie AV-Umów i rejestru przetwarzania danych. Skontaktuj się z nami, jeśli chcesz mieć pewność, że Twoja strona spełnia wszystkie wymagania.
