weihnachtswunschliste-online.de
DSGVO und browser-lokale Wunschlisten, was Verbraucher wissen sollten
Wenn ein Tool im Browser läuft und keine Daten an einen Server schickt, ist die DSGVO-Lage anders als bei einem Cloud-Dienst. Aber nicht automatisch unproblematisch. Dieser Ratgeber klärt die wichtigsten Begriffe und zeigt was Verbraucher prüfen sollten.
“Browser-lokal” ist als Marketing-Begriff praktisch, er klingt nach maximalem Datenschutz und nach “geht uns nichts an”. Datenschutzrechtlich ist die Lage etwas differenzierter, aber im Kern tatsächlich entspannter als bei einer typischen Cloud-Anwendung. Dieser Ratgeber arbeitet die wichtigsten DSGVO-Begriffe durch und zeigt was Verbraucher bei browser-lokalen Tools wie weihnachtswunschliste-online.de selbst prüfen sollten.
Was DSGVO überhaupt regelt
Die Datenschutz-Grundverordnung (DSGVO, in Kraft seit Mai 2018) regelt die Verarbeitung personenbezogener Daten. Verarbeitung ist sehr breit definiert: erfassen, speichern, verwenden, weitergeben, löschen, anonymisieren, fast alles was man mit Daten tun kann.
Personenbezogene Daten sind alle Informationen die sich auf eine identifizierbare Person beziehen (Art. 4 Nr. 1 DSGVO). Das umfasst nicht nur Namen, sondern auch IP-Adressen, Cookie-IDs, Standort-Daten und viele Verhaltensmuster. Wer eine Wunschliste mit seinem echten Namen anlegt erfasst seine personenbezogenen Daten. Selbst eine Liste ohne Namen, die Rückschlüsse auf die Person zulässt (Adresse im Wunsch, eindeutiger Stil) kann personenbezogen sein.
Wer ist Verantwortlicher
Verantwortlicher ist die Stelle die über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Bei einer browser-lokalen Wunschliste gibt es zwei Akteure:
-
Der Anbieter der Website ist verantwortlich für die Bereitstellung der Software und für Daten die der Hosting-Server erfasst, typischerweise IP-Adresse, Zeitstempel, aufgerufene URL. Das sind technisch notwendige Daten zum Betrieb der Website.
-
Der Nutzer selbst ist faktisch derjenige der die Wunschlisten-Daten erfasst und verarbeitet, im eigenen Browser, für die eigene Nutzung. Hier greift typischerweise die sogenannte Household-Exception nach Art. 2 Abs. 2 lit. c DSGVO: rein persönliche oder familiaere Tätigkeiten fallen nicht unter die DSGVO.
Diese Trennung ist wichtig. Selbst wenn der Anbieter wollte könnte er die Wunschlisten-Daten nicht einsehen, sie verlassen den Browser nie.
Server-Logs sind trotzdem da
Wo der Anbieter sehr wohl Daten verarbeitet, ist der Hosting-Server. Jeder HTTP-Request hinterlässt Spuren: IP-Adresse, Zeitstempel, User-Agent, aufgerufene URL, HTTP-Statuscode. Diese Server-Logs unterliegen der DSGVO und müssen entsprechend behandelt werden, kurze Aufbewahrungsfristen, klare Rechtsgrundlage (typischerweise Art. 6 Abs. 1 lit. f DSGVO, berechtigtes Interesse am Betrieb).
Auf weihnachtswunschliste-online.de übernimmt Netlify das Hosting. Netlify ist nach dem EU-US Data Privacy Framework zertifiziert und stellt einen Auftragsverarbeitungsvertrag (AVV) bereit. Das ist der Standard für professionelle Static-Hosting-Anbieter und datenschutzrechtlich sauber.
<rect class="col server" x="210" y="20" width="180" height="200" rx="8"/>
<text class="head" x="300" y="45">Hosting-Server</text>
<text class="label" x="225" y="75">IP-Adresse</text>
<text class="label" x="225" y="95">Zeitstempel</text>
<text class="label" x="225" y="115">User-Agent</text>
<text class="label" x="225" y="135">URL-Pfad (nicht Hash!)</text>
<text class="label" x="225" y="170" font-weight="600" fill="#9b1629">Standard Server-Logs</text>
<text class="label" x="225" y="190" font-weight="600" fill="#9b1629">DSGVO-konform behandelt</text>
<rect class="col public" x="400" y="20" width="180" height="200" rx="8"/>
<text class="head" x="490" y="45">Share-Link</text>
<text class="label" x="415" y="75">Wunschtitel</text>
<text class="label" x="415" y="95">Notizen</text>
<text class="label" x="415" y="115">Reservierungs-Status</text>
<text class="label" x="415" y="135">Name der Reservierenden</text>
<text class="label" x="415" y="170" font-weight="600" fill="#0284c7">geht in jede Hand</text>
<text class="label" x="415" y="190" font-weight="600" fill="#0284c7">die den Link bekommt</text>Der Share-Link als datenschutzrelevante Aktion
Wenn ein Nutzer einen Share-Link weitergibt, transferiert er den kompletten Wunschlisten-Inhalt an die empfangende Person. Datenschutzrechtlich ist das eine Daten-Weitergabe, analog zu einem geschickten Foto oder einer Whatsapp-Nachricht.
Im Familien-Kontext greift wieder die Household-Exception. Wer seine Wunschliste an Mama und Oma schickt, führt eine private oder familiaere Tätigkeit aus und ist nicht DSGVO-pflichtig.
Anders kann das aussehen wenn der Link in geschäftlichen Kontext gerät (eine Firma sammelt Wunschlisten von Mitarbeitenden) oder wenn die reservierende Person mit ihrem Namen klar identifiziert wird und das in der Liste sichtbar bleibt. Hier sollte man pragmatisch sein: einander vertraute Personen erfassen ihren Namen aktiv (“Oma reserviert das Buch”), das ist datenschutzrechtlich unproblematisch weil es eine freiwillige, kontextbewusste Aktion ist.
Was Verbraucher prüfen sollten
Wer ein browser-lokales Tool nutzt, sollte sich vergewissern:
Stimmt die Aussage “browser-lokal”? Im Browser-Entwickler-Tools (F12, Network-Tab) kann man prüfen ob das Tool ausgehende Requests macht während man Wünsche eintippt. Ein echt browser-lokales Tool macht nur den initialen Page-Load-Request und keine weiteren.
Gibt es eine Datenschutzerklärung? Auch ein browser-lokales Tool muss eine Datenschutzerklärung haben, für die Server-Logs, für optionale Analytics, für den Hosting-Anbieter. Wenn keine vorhanden ist, fehlt der formale DSGVO-Rahmen.
Welche Analytics werden eingesetzt? Google Analytics ist DSGVO-rechtlich fragwürdig (Datenübermittlung in die USA), Plausible oder Umami sind cookiefreie Alternativen die unkritisch sind.
Wo liegen die Server-Logs? EU-Hosting (z.B. Hetzner, IONOS) ist datenschutzrechtlich am unkompliziertesten. US-Hosting (z.B. Netlify, Vercel) ist nur unter dem EU-US Data Privacy Framework sauber.
Werden Werbe-Cookies gesetzt? Wenn ein Tool Google AdSense, Facebook-Pixel oder ähnliche Werbe-Technik einbindet, ist es nicht mehr “browser-lokal” im strengen Sinne. Werbe-Skripte übertragen Daten an Dritte und brauchen eine ausdrückliche Einwilligung des Nutzers nach Art. 6 Abs. 1 lit. a DSGVO.
Worauf es wirklich ankommt
Browser-lokale Tools sind datenschutzrechtlich strukturell weniger heikel als Cloud-Lösungen, weil der Anbieter die Nutzer-Eingaben nicht sieht und nicht verarbeitet. Trotzdem bleibt eine DSGVO-Grundlage für Server-Logs, Hosting-Verarbeitung und ggf. Analytics notwendig. Die Household-Exception schützt private Nutzung zusätzlich. Wer das Konzept verstanden hat, kann auch andere browser-lokale Tools sachlich einordnen statt sich auf Werbe-Behauptungen zu verlassen.
Häufige Fragen
Was bedeutet 'browser-lokal' datenschutzrechtlich?
Die Eingaben des Nutzers verlassen seinen Browser nicht. Es findet keine Uebermittlung an Server des Anbieters statt. Damit verarbeitet der Anbieter die eingegebenen Wünschen-Daten nicht im Sinne des Art. 4 DSGVO. Server-Logs des Hosting-Anbieters (IP-Adresse, Browser-Version) fallen aber sehr wohl an und unterliegen der DSGVO.
Wer ist Verantwortlicher im Sinne der DSGVO?
Verantwortlicher ist die natürliche oder juristische Person die über Zwecke und Mittel der Verarbeitung entscheidet (Art. 4 Nr. 7 DSGVO). Bei einer browser-lokalen Wunschliste ist der Anbieter der Website Verantwortlicher für die Server-Logs des Hostings und die Bereitstellung der Software, nicht aber für die im Browser eingegebenen Wunschlisten-Inhalte.
Brauche ich als Nutzer eine eigene Einwilligung?
Nein. Wer im eigenen Browser eine Wunschliste anlegt, verarbeitet seine eigenen Daten, für die eigene private Nutzung gilt die DSGVO im Regelfall nicht (Art. 2 Abs. 2 lit. c DSGVO, sogenannter Household-Exception). Wer die Liste mit anderen teilt, kann theoretisch Verantwortlicher für die Daten Dritter werden, wenn er deren Daten erfasst hat, was beim Reservierungs-Pattern relevant werden kann.
Sind die im Share-Link enthaltenen Daten 'öffentlich'?
Wer den Link hat kann die Daten sehen. Wer den Link nicht hat, kann sie nicht raten, der Link enthält einen zufälligen ID-Hash. Datenschutzrechtlich entspricht das in etwa einer geschützten URL, vergleichbar mit ungüssable share links bei Cloud-Diensten. Anwaltlich gilt: wer den Link weitergibt sollte sich bewusst sein dass er den kompletten Listen-Inhalt freigibt.
Was ist mit Reservierungen, sind das personenbezogene Daten?
Ja, wenn die reservierende Person ihren Namen einträgt. Der Name ist ein personenbezogenes Datum. In der Praxis ist das unkritisch, weil die Daten freiwillig im Familien-Kontext erfasst werden und nur in dem Link leben. Anbieter und Hosting-Provider sehen die Reservierungs-Information nicht.