Neues Datenschutzgesetz in Bosnien und Herzegowina: was Ihre Website braucht

Das neue Gesetz über den Schutz personenbezogener Daten wurde im Amtsblatt von Bosnien und Herzegowina Nr. 12/25 veröffentlicht und gleicht die Regeln an die EU-Datenschutz-Grundverordnung (DSGVO) an. Es wird seit dem 4. Oktober 2025 angewendet. Die Aufsicht führt die Agentur für den Schutz personenbezogener Daten in Bosnien und Herzegowina, und das Gesetz sieht hohe Bußgelder für das Unternehmen und die verantwortliche Person vor. Das betrifft auch Firmen aus der EU und der Diaspora, die Kunden in Bosnien ansprechen.

Für eine Website ist das kein abstraktes Thema. Jedes Kontaktformular, jeder Newsletter, Google Analytics, eine eingebettete Karte oder ein Video erhebt personenbezogene Daten — und sei es nur die IP-Adresse. Dieser Ratgeber zeigt, was Sie prüfen sollten und wie Sie es technisch lösen.

Was auf einer Website als personenbezogene Daten gilt

Personenbezogen ist jede Information, über die eine Person direkt oder indirekt identifiziert werden kann. Auf Websites sind das meist:

• Name, E-Mail und Telefon aus Kontaktformular, Bestellung oder Newsletter-Anmeldung;
• IP-Adressen und Kennungen in Cookies von Analyse- und Werbe-Tools;
• Verhaltensdaten (welche Seiten jemand ansieht, woher er kommt), wenn sie mit einer Person oder einem Gerät verknüpft werden;
• Daten aus Bewerbungen, Terminbuchungen oder Benutzerkonten.

Datenschutzerklärung: was sie enthalten muss

Das Gesetz verlangt, Personen bei der Erhebung klar und verständlich zu informieren. Eine Datenschutzerklärung sollte mindestens enthalten:

1. wer Sie sind (Firmenname, Adresse, Kontakt) und ggf. den Kontakt des Datenschutzbeauftragten;
2. welche Daten Sie zu welchen Zwecken erheben;
3. die Rechtsgrundlage je Zweck — z. B. Beantwortung einer Anfrage, Vertragserfüllung, gesetzliche Pflicht oder Einwilligung;
4. wer die Daten erhält (Hosting, E-Mail-Dienst, Kurier, Buchhaltung) und ob sie außerhalb Bosniens übermittelt werden;
5. wie lange die Daten gespeichert werden;
6. die Rechte der Personen: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Übertragbarkeit und Widerruf der Einwilligung;
7. das Recht auf Beschwerde bei der Datenschutzagentur.

Anfragen von Personen sind innerhalb von 30 Tagen zu beantworten. Die Erklärung darf nicht von anderen kopiert sein — sie muss beschreiben, was Ihre Website tatsächlich tut.

Kontaktformulare und Newsletter

• Nur abfragen, was Sie brauchen. Für eine Anfrage reichen meist Name, E-Mail und Nachricht. Telefon optional.
• Ein kurzer Hinweis am Formular mit Zweck und Link zur Datenschutzerklärung.
• Einwilligung nur dort, wo sie die Rechtsgrundlage ist. Um eine Anfrage zu beantworten, brauchen Sie kein Häkchen „Ich stimme zu“. Ein Newsletter braucht eine eigene, nicht vorausgewählte Einwilligung, die leicht widerrufen werden kann.
• Einwilligung nachweisen können — speichern, wann und wie sie erteilt wurde, und beim Newsletter Double-Opt-in nutzen.

Cookies, Analyse und eingebettete Inhalte

Cookies und ähnliche Kennungen, mit denen Besucher verfolgt werden, sind eine Verarbeitung personenbezogener Daten. In der Praxis:

Ein Cookie-Banner muss das Ablehnen so einfach machen wie das Zustimmen. Ein Banner, das nur „wir verwenden Cookies“ sagt, während die Analyse bereits lädt, löst nichts. Schriften hosten Sie am besten auf dem eigenen Server — die Website wird dadurch auch schneller, wie im Ratgeber warum ist meine Website langsam erklärt.

Dienstleister, die Daten für Sie verarbeiten

Hoster, E-Mail-Dienst, Newsletter-Tool, CRM oder Buchungssystem verarbeiten Daten in Ihrem Auftrag. Dafür braucht es einen Vertrag oder Bedingungen zur Auftragsverarbeitung, und Sie sollten wissen, in welchem Land die Daten gespeichert werden. Das Gesetz regelt Übermittlungen außerhalb Bosniens gesondert; bevorzugen Sie Dienste, die klar angeben, wo und wie sie Daten speichern.

Sicherheit und Datenpannen

• HTTPS auf der gesamten Website und regelmäßige Backups.
• Aktuelles System und aktuelle Plugins — die meisten Einbrüche bei kleinen Websites kommen über veraltete Plugins.
• Admin-Zugang nur für Personen, die ihn brauchen, mit Zwei-Faktor-Anmeldung.
• Ein Notfallplan: Eine Datenpanne ist der Agentur innerhalb von 72 Stunden nach Bekanntwerden zu melden, sofern sie ein Risiko für die Rechte der Betroffenen darstellt.

Checkliste für Ihre Website

1. Eine aktuelle Datenschutzerklärung, im Footer jeder Seite verlinkt.
2. Formulare fragen nur notwendige Daten ab und haben einen Hinweis mit Link zur Erklärung.
3. Analyse- und Marketing-Tools laden nicht vor der Einwilligung.
4. Videos und Karten laden erst auf Klick, oder lokal gehostete Ressourcen werden genutzt.
5. Die Website läuft ausschließlich über HTTPS.
6. Sie wissen, wo Formulareingänge gespeichert werden und wie lange.
7. Sie — nicht nur Ihr Dienstleister — haben Zugriff auf alle Daten und Kopien davon.

Öffentliche Stellen, Gesundheitseinrichtungen und Firmen mit sensiblen Daten haben zusätzliche Pflichten, etwa die Benennung eines Datenschutzbeauftragten. Wenn Sie mit Patienten arbeiten, lesen Sie auch den Ratgeber Online-Terminbuchung.

Engimotive · Veröffentlicht 28. Oktober 2026