Übungsaufgaben zur rechtssicheren Website

Kopiere den Text in ein KI-Sprachmodell Deiner Wahl und passe Kompetenzstufe, Anzahl, Bearbeitungszeit und Szenario bei Bedarf an. Wie die Aufgaben aufgebaut sind, beschreibt der Artikel Wie sind die Aufgaben aufgebaut?. Prüfe die Ergebnisse mit dem Lehrartikel: KI-Sprachmodelle machen Fehler.

Erstelle neue Übungsaufgaben zum Thema „Rechtssichere Website“.

Bauplan: Halte Dich an Aufbau, Kompetenzstufen, Operatoren,
Anforderungsbereiche, Punkte und Zeitschätzung, die im Artikel
https://oer-informatik.de/aufgaben-aufbau beschrieben sind.

Fachliche Grundlage:
- https://oer-informatik.de/website-recht
- https://oer-informatik.de/datenschutz-dsgvo
- https://oer-informatik.de/datenschutz-praxis
- Stilbeispiel: https://oer-informatik.de/website-recht-uebungsaufgaben

Die Aufgaben sollen Inhalte zu diesen Schlagwörtern abdecken:
- Impressum
- Einwilligung
- Cookies
- Cookie-Banner
- Tracking
- Newsletter
- Double-Opt-in
- Onlineshop
- Widerrufsbutton

Kompetenzstufe: Profilkompetenz (alternativ: Basiskompetenz, Kernkompetenz, Expertise)
Anzahl: 1 Aufgabe mit Teilaufgaben
Bearbeitungszeit in Minuten ca.: <5 bis 30 min>
Szenario: eines der Szenarien aus dem Bauplan

Vorgehen:
1. Lies zuerst die verlinkten Artikel. Kannst Du keine Webseiten
   abrufen, sag mir das, statt zu raten.
2. Steht bei einer Angabe noch ein Platzhalter in <…>, frag mich
   zuerst danach. Richte Punkte und Zahl der Teilaufgaben nach der
   Bearbeitungszeit (ca. 0,9 min je Punkt).
3. Gib je Aufgabe Titel mit Kompetenzstufe, Ausgangssituation und
   Teilaufgaben mit Operator und Punktzahl aus, dazu die geschätzte
   Bearbeitungszeit.
4. Gib die Beispiellösungen mit Punkteverteilung erst aus, wenn ich
   danach frage.

Je Anmeldeweg 1 Punkt für das Einholen und 1 Punkt für den Nachweis, zum Beispiel:

• Webformular: Im Formular steht ein eigenes, nicht vorausgewähltes Kontrollkästchen mit kurzem Einwilligungstext und Link auf die Datenschutzhinweise. Die Anmeldung klappt auch ohne Häkchen (Freiwilligkeit). Nachweis: Das Anmeldesystem speichert zur Anmeldung Zeitpunkt, Wortlaut und Version des Einwilligungstextes.

• Check-in: Die Person liest die Einwilligungserklärung (ausgedruckt oder auf dem Tablet) und unterschreibt sie auf Papier oder auf dem Tablet; ohne Unterschrift ist sie trotzdem willkommen. Nachweis: Die unterschriebene Erklärung wird mit Name und Datum aufbewahrt bzw. im Anmeldesystem vermerkt.

Damit das Fototeam weiß, wen es nicht fotografieren darf, bietet sich eine Markierung auf dem QR-Badge an.

Je Schwäche 1 Punkt, zum Beispiel:

• keine aktive, freiwillige Erklärung: Das bloße Betreten ist keine unmissverständliche Handlung, und wer teilnehmen will, hat keine Wahl (Kopplung an die Teilnahme),
• Zweck und Ort fehlen: Unklar bleibt, wo die Aufnahmen erscheinen (Website, Livestream) und wie lange,
• Verantwortlicher fehlt: Name und Kontakt des RRB und der oder des Datenschutzbeauftragten,
• kein Hinweis auf den Widerruf mit Wirkung für die Zukunft und darauf, wie er funktioniert,
• Empfänger fehlen, z. B. die Streaming-Plattform, ggf. mit Übermittlung in Drittländer,
• keine weiteren Rechte und kein Beschwerderecht bei der Aufsichtsbehörde genannt,
• kein Nachweis: Ohne Unterschrift bzw. Protokoll kann die Schule nicht belegen, wer eingewilligt hat.

ca) 2 Punkte für eine begründete Stellungnahme: Die Aussage greift zu kurz. Für die Impressumspflicht nach § 5 DDG muss nichts verkauft werden; ein wirtschaftlicher Hintergrund wie Sponsoren genügt. Unabhängig davon verlangt § 18 Abs. 1 Medienstaatsvertrag für jedes Angebot, das nicht ausschließlich persönlichen oder familiären Zwecken dient, Name und Anschrift, bei juristischen Personen auch die vertretungsberechtigte Person. Die Barcamp-Website ist ein öffentlicher Auftritt einer Schule mit Anmeldung und Berichten; für die redaktionellen Inhalte ist zusätzlich eine verantwortliche Person nach § 18 Abs. 2 Medienstaatsvertrag zu nennen.

cb) 4 Punkte für eine vollständige Zusammenstellung, 1 Punkt Abzug je fehlender Pflichtangabe, zum Beispiel:

• Anbieter: Ratz und Rübe Berufskolleg (bzw. der Schulträger, die Stadt),
• vertretungsberechtigte Person: Schulleiterin Petra Schulze-Albers,
• ladungsfähige Anschrift mit Straße und Hausnummer, kein Postfach (erfragen),
• E-Mail-Adresse und Telefonnummer der Schule (erfragen),
• zuständige Aufsichtsbehörde, die Schulaufsicht, z. B. die Bezirksregierung (erfragen),
• verantwortlich für redaktionelle Inhalte nach § 18 Abs. 2 Medienstaatsvertrag, z. B. Dimitrios Papadopoulos als Gesamtleitung.

Registerangaben und USt-IdNr. entfallen, wenn die Schule keine hat.

2 Punkte für die Stellungnahme, 3 Punkte für drei beschriebene Pflichten, zum Beispiel:

Stellungnahme: Bloße Statistik wäre eine Reichweitenanalyse, die nur zusammengefasste Werte über alle Besuchenden erhebt (Zahl der Aufrufe je Seite, Browser, Verweildauer). Das geplante Werkzeug erkennt aber einzelne Personen wieder und wertet ihr individuelles Verhalten aus. Das ist Tracking, und dafür reicht „bloß Statistik“ als Begründung nicht.

Pflichten beim Einsatz:

• Einwilligung einholen, bevor das Werkzeug Cookies setzt bzw. Daten erhebt (Cookie-Banner nach § 25 TDDDG), und den Widerruf jederzeit ermöglichen,
• informieren: In der jederzeit erreichbaren Datenschutzerklärung steht, zu welchem Zweck und auf welche Weise getrackt wird und welcher Anbieter beteiligt ist,
• mit dem Anbieter einen Auftragsverarbeitungsvertrag schließen und eine Übermittlung in Drittländer prüfen,
• Datenminimierung: IP-Adressen kürzen, Speicherdauer begrenzen.

Ohne Einwilligung käme nur eine datensparsame Reichweitenmessung ohne Wiedererkennung in Frage, z. B. auf dem eigenen Server.

Je Cookie 1 Punkt:

• (1) Anmelde-Cookie: keine Einwilligung nötig, weil er unbedingt erforderlich ist, damit der ausdrücklich gewünschte Dienst (angemeldet bleiben) funktioniert; er muss aber in der Datenschutzerklärung genannt werden.
• (2) Werbe-Cookie eines Dritten: Einwilligung nötig (§ 25 TDDDG), denn er ist für den Dienst nicht erforderlich und dient der Wiedererkennung über Websites hinweg. Für eine Schulveranstaltung ist er ohnehin fragwürdig und sollte weggelassen werden.

aa) 3 Punkte für eine begründete Beurteilung, zum Beispiel: Der Ablauf ist nicht rechtssicher. Jede Person kann eine fremde Adresse eintragen, und CSB-Rad weiß nicht, ob die Inhaberin der Adresse zugestimmt hat. Die Willkommens-Mail mit Gutschein und Angeboten ist bereits Werbung, die ohne nachgewiesene vorherige Einwilligung als unzumutbare Belästigung gilt (§ 7 Abs. 2 UWG). Weil nichts protokolliert wird, kann CSB-Rad die Einwilligung nicht nachweisen (Art. 7 Abs. 1 DSGVO) und riskiert Abmahnungen. Die spätere Abmeldemöglichkeit heilt das nicht.

ab) 4 Punkte für einen vollständigen Ablauf (Double-Opt-in), zum Beispiel:

1. Nach dem Absenden landet die Adresse zunächst unbestätigt in einer Warteliste, nicht im Verteiler.

2. Das System schickt an genau diese Adresse eine Bestätigungs-E-Mail ohne Werbung und ohne Gutschein, nur mit einem persönlichen Bestätigungslink.

3. Erst nach dem Klick auf den Link kommt die Adresse in den Verteiler; danach darf die Willkommens-Mail mit Gutschein folgen. Unbestätigte Adressen werden nach kurzer Zeit gelöscht.

4. Zeitpunkt von Anmeldung und Bestätigung sowie der Wortlaut des Einwilligungstextes werden protokolliert; damit ist die Einwilligung nachweisbar.

Je Mangel 1 Punkt, je Korrektur 1 Punkt, zum Beispiel:

ca) 2 Punkte für den Mechanismus, 2 Punkte für den Nutzen: HTTP ist zustandslos, jede Anfrage steht für sich. Mit dem Header Set-Cookie schickt der Server kleine Datensätze aus Name und Wert an den Browser, der sie auf dem Gerät speichert. Bei jeder weiteren Anfrage an dieselbe Domain sendet der Browser sie im Header Cookie automatisch mit; an den Werten erkennt der Server den Browser wieder. csb_korb hat kein Ablaufdatum und gilt als Sitzungs-Cookie nur, bis der Browser geschlossen wird; csb_merken bleibt mit Max-Age=2592000 (2.592.000 s = 30 Tage) dauerhaft gespeichert. Nutzen: Der Warenkorb bleibt beim Weiterklicken erhalten, und Natalia bleibt 30 Tage angemeldet, ohne sich bei jedem Besuch neu einzuloggen.

cb) Je Cookie 1 Punkt:

• csb_korb: ohne Einwilligung zulässig, weil er unbedingt erforderlich ist, damit der gewünschte Dienst (Warenkorb) funktioniert (§ 25 Abs. 2 TDDDG),
• csb_merken: ohne Einwilligung zulässig, weil Natalia „Angemeldet bleiben“ ausdrücklich gewählt hat und der Cookie genau dafür nötig ist,
• _trk_id: nur mit Einwilligung, die vor dem Setzen eingeholt wird (§ 25 Abs. 1 TDDDG), weil er für den Einkauf nicht nötig ist und der Analyse des Verhaltens durch einen Drittanbieter dient; Zweck, Anbieter und die Laufzeit von zwei Jahren müssen im Banner und in der Datenschutzerklärung genannt werden.

4 Punkte für eine begründete Stellungnahme mit mindestens drei Mängeln, zum Beispiel:

Der Entwurf ist nicht rechtssicher:

• Das Analysewerkzeug startet schon beim Laden der Seite, also vor der Einwilligung (§ 25 TDDDG verlangt sie vorher).
• Es gibt keine gleichwertige Möglichkeit, abzulehnen: „Einstellungen“ ist ein kleiner grauer Link, „Alles klar!“ ein großer Button. Ablehnen muss so einfach sein wie Zustimmen.
• Die Information fehlt: welche Cookies, welcher Zweck, welcher Anbieter, wie lange; kein Link auf die Datenschutzerklärung.
• „Das beste Erlebnis“ verschleiert den eigentlichen Zweck (Analyse des Kaufverhaltens).

Besser: Werkzeug erst nach Zustimmung laden; Buttons „Alle akzeptieren“ und „Alle ablehnen“ gleich groß und gleich gestaltet, daneben „Einstellungen“ mit einzeln wählbaren Zwecken; kurzer Text zu Zweck und Anbieter mit Link auf die Datenschutzerklärung; Link „Cookie-Einstellungen“ in der Fußzeile für den Widerruf.

3 Punkte für eine begründete Beurteilung, zum Beispiel:

Grundsätzlich braucht Werbung per E-Mail eine vorherige ausdrückliche Einwilligung (§ 7 Abs. 2 UWG). Die Bestandskundenausnahme (§ 7 Abs. 3 UWG) erlaubt Werbung ohne Einwilligung nur, wenn CSB-Rad die Adresse beim Verkauf erhalten hat, nur für eigene ähnliche Waren wirbt, die Person nicht widersprochen hat und bei der Erhebung und in jeder Mail klar auf das Widerspruchsrecht hingewiesen wurde bzw. wird. Ein allgemeiner Newsletter mit allen Aktionen erfüllt das kaum, und ob beim Bestellen auf das Widerspruchsrecht hingewiesen wurde, ist fraglich. Sicherer: die Kundschaft einmalig per Hinweis im Kundenkonto oder in der nächsten Bestellbestätigung zur Anmeldung mit Double-Opt-in einladen, nicht pauschal anschreiben.

Je Mangel 1 Punkt, je richtige Angabe 1 Punkt, zum Beispiel:

4 Punkte, je Anforderung 1 Punkt, zum Beispiel:

• gut sichtbare, leicht lesbare Schaltfläche, beschriftet mit „Vertrag widerrufen“ oder gleichwertig, während der gesamten Widerrufsfrist erreichbar,
• zweistufig: Nach dem Klick gibt die Person nur Name, Angaben zum Vertrag und den Weg für die Bestätigung an und schickt den Widerruf über eine zweite Schaltfläche („Widerruf bestätigen“) ab; ein Grund darf nicht abgefragt werden,
• ohne Registrierung oder Login erreichbar,
• der Shop schickt unverzüglich eine Eingangsbestätigung mit Inhalt, Datum und Uhrzeit auf einem dauerhaften Datenträger (z. B. E-Mail),
• barrierefrei bedienbar.

Grundlage ist § 356a BGB (seit 19.06.2026). Fehlt die Funktion, verlängert sich die Widerrufsfrist, und es drohen Abmahnungen.

1 Punkt für die Erläuterung, 1 Punkt für die Beschriftung:

Nach § 312j Abs. 3 BGB muss der Button, mit dem Verbraucher*innen die Bestellung abschicken, eindeutig auf die Zahlungspflicht hinweisen. „Weiter“ lässt nicht erkennen, dass damit ein kostenpflichtiger Vertrag geschlossen wird; ohne eindeutige Beschriftung kommt kein wirksamer Vertrag zustande. Zulässig ist z. B. „zahlungspflichtig bestellen“ (oder eine gleich eindeutige Formulierung wie „jetzt kaufen“).

1 Punkt für den Hinweis, 1 Punkt für den Bruttopreis, 1 Punkt für den Gesamtbetrag:

Gegenüber Verbraucher*innen ist der Gesamtpreis einschließlich Umsatzsteuer anzugeben (PAngV); Versandkosten kommen hinzu und müssen genannt werden.

Geg.: Nettopreis = 580,00 €; Umsatzsteuer 19 %; Versand = 6,90 €

Ges.: Bruttopreis

\text{Bruttopreis} = \text{Nettopreis} \cdot 1{,}19 = 580{,}00\ € \cdot 1{,}19 = \underline{\underline{690{,}20\ €}}

Ges.: Gesamtbetrag

\text{Gesamtbetrag} = 690{,}20\ € + 6{,}90\ € = \underline{\underline{697{,}10\ €}}

2 Punkte für eine begründete Stellungnahme, zum Beispiel:

Die Aussage stimmt nicht: AGB sind gesetzlich nicht vorgeschrieben; ohne sie gelten die gesetzlichen Regeln (BGB). Sinnvoll sind sie trotzdem, z. B. um Lieferung, Zahlung, Eigentumsvorbehalt und Gewährleistung einheitlich zu regeln. Pflicht sind dagegen Impressum, Datenschutzerklärung, Widerrufsbelehrung, Widerrufsbutton und Preisangaben.

2 Punkte:

Weil Lutterkolk mehr als zehn Beschäftigte hat und eine Website mit Verbraucherverträgen betreibt, muss der Shop nach § 36 VSBG angeben, ob das Unternehmen bereit oder verpflichtet ist, an Streitbeilegungsverfahren vor einer Verbraucherschlichtungsstelle teilzunehmen, und wenn ja, welche Stelle zuständig ist (z. B. in den AGB und auf der Website). Der frühere Link auf die EU-OS-Plattform entfällt.