Website tại Đức: kiểm tra Impressum, bảo vệ dữ liệu, cookie và khả năng tiếp cận

Website không chỉ cần đẹp mà còn cần được thiết lập cẩn thận

Website doanh nghiệp không chỉ hiển thị giao diện, nội dung và thông tin liên hệ. Website có thể xử lý dữ liệu cá nhân, kết nối với dịch vụ bên ngoài hoặc cho phép người tiêu dùng giao kết hợp đồng online. Trước khi đưa website vào hoạt động, chủ website nên kiểm tra những nghĩa vụ thông tin và kỹ thuật nào áp dụng cho trường hợp cụ thể.

Không có một checklist duy nhất phù hợp tự động với mọi website. Trang giới thiệu đơn giản, form liên hệ, hệ thống đặt lịch và cửa hàng online có thể phát sinh các vấn đề khác nhau. Bài viết này là điểm khởi đầu có cấu trúc, không phải đánh giá pháp lý riêng cho website của bạn.

1. Impressum: công khai đơn vị vận hành và thông tin liên hệ

Nghĩa vụ cung cấp thông tin đơn vị vận hành có thể áp dụng với dịch vụ số mang tính thương mại. § 5 Digitale-Dienste-Gesetz (DDG) là một điều luật quan trọng. Việc điều luật áp dụng hay không và cần công khai thông tin nào phụ thuộc vào đơn vị vận hành và dịch vụ. Một số ngành nghề hoặc hình thức pháp lý có thể chịu thêm quy định khác.

Tùy trường hợp, thông tin có thể bao gồm:

• tên cá nhân hoặc doanh nghiệp và hình thức pháp lý nếu phù hợp;
• địa chỉ có thể dùng để tống đạt văn bản pháp lý;
• thông tin giúp liên hệ điện tử nhanh chóng;
• thông tin đăng ký nếu doanh nghiệp đã đăng ký;
• thông tin cơ quan giám sát hoặc nghề nghiệp nếu áp dụng;
• các thông tin định danh khác theo quy định, nếu liên quan.

Đây không phải danh sách bắt buộc chung cho mọi website. Hãy kiểm tra yêu cầu dành cho loại hình và hoạt động của doanh nghiệp. Những mẫu Impressum cũ viện dẫn TMG cần được xem xét cập nhật.

Gợi ý thực tế: Đặt thông tin đơn vị vận hành ở vị trí dễ tìm và truy cập trực tiếp, chẳng hạn liên kết có nhãn rõ ràng ở footer. Cách trình bày cần đáp ứng yêu cầu áp dụng.

2. Datenschutzerklärung: giải thích việc xử lý dữ liệu thực tế

Theo DSGVO, trong những trường hợp liên quan, bên chịu trách nhiệm phải cung cấp thông tin minh bạch cho người có dữ liệu bị xử lý. Website có thể xử lý dữ liệu qua form liên hệ, đặt lịch, newsletter, log máy chủ hoặc công cụ analytics.

Chính sách bảo mật nên dựa trên các hoạt động xử lý thật. Cần xem xét:

• ai chịu trách nhiệm và cách liên hệ;
• dữ liệu nào được xử lý, vì mục đích gì;
• căn cứ pháp lý cho từng hoạt động liên quan;
• bên nhận hoặc nhà cung cấp dịch vụ có thể nhận dữ liệu;
• thời gian lưu trữ hoặc tiêu chí xác định thời gian;
• quyền của người dùng và cách thực hiện;
• việc chuyển dữ liệu ra ngoài EEA và các biện pháp bảo vệ áp dụng.

Sao chép một mẫu có thể khiến chính sách thiếu hoặc gây hiểu nhầm nếu không khớp với dịch vụ đang sử dụng. Khi thêm công cụ đặt lịch, newsletter, analytics hoặc nội dung nhúng bên ngoài, cần kiểm tra xem chính sách có phải cập nhật không.

3. Cookie và công nghệ tương tự: kiểm tra trước khi quyết định xin consent

§ 25 TDDDG của Đức liên quan đến việc lưu trữ thông tin trên thiết bị người dùng hoặc truy cập thông tin đã lưu. Về nguyên tắc, cần consent cho những hoạt động không thuộc ngoại lệ luật định. Hoạt động xử lý dữ liệu cá nhân liên quan cũng phải tuân thủ DSGVO.

Không phải cookie nào cũng tự động cần consent, và không phải website nào cũng tự động cần cookie banner. Mục đích, tính cần thiết về kỹ thuật, cách triển khai và ngoại lệ liên quan đều quan trọng. Không thể kết luận chỉ dựa trên tên cookie.

Hãy kiểm tra website có sử dụng, chẳng hạn:

• công nghệ thống kê hoặc marketing;
• pixel quảng cáo hay retargeting;
• bản đồ, video hoặc nội dung nhúng kết nối với dịch vụ bên ngoài khi tải trang;
• tính năng lưu trữ hoặc truy cập thông tin trên thiết bị.

Nếu công nghệ cần consent, website không nên kích hoạt nó trước khi có sự đồng ý hợp lệ. Chỉ hiển thị banner là chưa đủ nếu công nghệ đã chạy từ trước.

Ngoài ra, cần xem lựa chọn có dễ hiểu không, việc từ chối có bị gây khó khăn không cần thiết không, và người dùng có thể thay đổi hoặc rút lại lựa chọn khi cần không. Cần kiểm tra giao diện và cách triển khai thực tế theo quy định hiện hành.

4. Dịch vụ bên thứ ba: kiểm tra font, bản đồ, video và tracking

Dịch vụ bên thứ ba có thể kết nối tới máy chủ bên ngoài khi trang tải và truyền dữ liệu. Việc đó có hợp pháp hay không và cần biện pháp nào phụ thuộc vào dịch vụ, cấu hình và hoạt động xử lý cụ thể.

Font bên ngoài

Khi tải font từ nhà cung cấp bên ngoài, trình duyệt có thể gửi thông tin — chẳng hạn địa chỉ IP — đến nhà cung cấp. Lưu file font phù hợp ngay trên máy chủ có thể tránh yêu cầu kết nối bên ngoài. Tuy nhiên, điều đó không tự chứng minh toàn bộ website tuân thủ quyền riêng tư: các thành phần khác và điều kiện giấy phép vẫn cần kiểm tra.

Maps, video và nội dung nhúng

Bản đồ hoặc video nhúng có thể kết nối tới nhà cung cấp ngay khi trang tải. Tùy dịch vụ và cấu hình, có thể phù hợp hoặc cần thiết để chỉ tải nội dung sau thao tác của người dùng hoặc sau consent. Hãy đánh giá cách tích hợp cụ thể, không chỉ dựa vào quảng cáo của plugin.

Câu hỏi kiểm tra kỹ thuật

• Khi tải trang lần đầu, website kết nối đến dịch vụ bên ngoài nào?
• Script analytics hoặc quảng cáo có chạy trước consent cần thiết không?
• Nội dung nhúng có tự động tải không?
• Chính sách bảo mật và cấu hình consent có phản ánh đúng dịch vụ đang hoạt động không?

Quét kỹ thuật có thể phát hiện dấu hiệu cần chú ý, nhưng không thay thế việc đánh giá pháp lý từng kết nối.

5. Khả năng tiếp cận: kiểm tra BFSG có áp dụng không

Luật Barrierefreiheitsstärkungsgesetz (BFSG) có hiệu lực từ ngày 28/06/2025 đối với một số sản phẩm và dịch vụ. Luật bao gồm một số dịch vụ thương mại điện tử. Một website cụ thể có thuộc phạm vi hay không phụ thuộc chức năng và định nghĩa trong luật.

Trang thông tin hoặc quảng bá đơn thuần không tự động giống với cửa hàng online hay quy trình đặt lịch cho phép người tiêu dùng giao kết hợp đồng thuộc phạm vi điều chỉnh. Cần đánh giá dịch vụ thực tế.

BFSG có ngoại lệ cho doanh nghiệp siêu nhỏ cung cấp dịch vụ. Định nghĩa pháp lý dựa trên các yếu tố như số nhân viên và ngưỡng tài chính. Cần kiểm tra điều kiện trong từng trường hợp; chỉ gọi doanh nghiệp là “nhỏ” thì chưa đủ.

Ngay cả khi không có nghĩa vụ pháp lý cụ thể, thiết kế dễ tiếp cận vẫn có thể cải thiện trải nghiệm:

• độ tương phản màu đủ và chữ dễ đọc;
• thao tác được bằng bàn phím;
• nhãn rõ ràng cho form và nút;
• văn bản thay thế hữu ích cho ảnh mang thông tin;
• thông báo lỗi dễ thấy, dễ hiểu;
• cấu trúc tiêu đề hợp lý.

Đây là nền tảng hữu ích, nhưng không thay thế một cuộc đánh giá đầy đủ về BFSG.

6. Những thiếu sót thường gặp ở website doanh nghiệp nhỏ

1. Thông tin đơn vị vận hành lỗi thời: dùng lại mẫu cũ mà không cập nhật căn cứ pháp lý hoặc thông tin.
2. Chính sách bảo mật không khớp thực tế: thêm dịch vụ mới nhưng không sửa nội dung.
3. Consent chỉ tồn tại trên giao diện: banner xuất hiện trong khi công nghệ cần consent đã chạy.
4. Không lập danh sách dịch vụ bên thứ ba: nhúng Maps, video, font và công cụ marketing mà chưa kiểm tra.
5. Xem đặt lịch và thanh toán như chức năng riêng lẻ: chúng có thể phát sinh xử lý dữ liệu bổ sung và, tùy dịch vụ, yêu cầu khác.
6. Không rà soát sau khi thay đổi: plugin, tracking hoặc công cụ đặt lịch thay đổi mà không đánh giá lại.

7. Checklist thực tế trước khi ra mắt

• Thông tin đơn vị vận hành chính xác, dễ truy cập và phù hợp với doanh nghiệp?
• Chính sách bảo mật phản ánh đúng chức năng và dịch vụ đang dùng?
• Form liên hệ, đặt lịch, newsletter và luồng dữ liệu khác đã được ghi nhận, rà soát?
• Đã xác định cookie/công nghệ tương tự và đánh giá có cần consent không?
• Công nghệ cần consent chỉ được kích hoạt sau khi có consent?
• Người dùng có thể quản lý hoặc rút lại consent khi cần?
• Đã kiểm tra font, bản đồ, video và dịch vụ tracking bên ngoài?
• Đã đánh giá BFSG hoặc ngoại lệ có liên quan cho dịch vụ cụ thể?
• Có quy trình rà soát lại khi website thay đổi?

Nên kiểm tra theo thứ tự nào

Bắt đầu từ banner cookie là đi sai hướng. Một thứ tự hợp lý:

1. Liệt kê: Website tải những dịch vụ nào từ bên ngoài (phông chữ, bản đồ, video, công cụ đặt lịch, thống kê)? Công cụ dành cho nhà phát triển của trình duyệt hiển thị chúng ở thẻ “Network”.
2. Trang bắt buộc: Impressum và chính sách bảo mật có truy cập được bằng một cú bấm từ chân trang mọi trang, và còn cập nhật không?
3. Đối chiếu văn bản bảo mật: Chính sách có nêu đúng các dịch vụ ở bước 1, không thừa không thiếu không?
4. Quyết định về đồng ý: Chỉ công nghệ cần sự đồng ý mới cần hỏi. Nếu được, hãy bỏ dịch vụ đó hoặc lưu phông chữ ngay trên máy chủ của mình.
5. Kiểm tra khả năng truy cập: Độ tương phản, văn bản thay thế cho ảnh, thao tác bằng bàn phím và biểu mẫu dễ hiểu.
6. Ghi lại: Ghi rõ đã kiểm tra gì vào lúc nào. Kiểm tra lại sau mỗi thay đổi lớn.

Kết luận: xem việc rà soát website là kiểm tra chất lượng thường xuyên

Trước khi ra mắt, doanh nghiệp nên kiểm tra không chỉ thiết kế, giao diện mobile và SEO. Cần lập bản đồ xử lý dữ liệu cá nhân, xác định dịch vụ bên thứ ba, thử nghiệm consent và xem các yêu cầu cụ thể — chẳng hạn quy định về khả năng tiếp cận — có áp dụng cho dịch vụ online của mình không.

Bước đầu hữu ích là liệt kê tất cả chức năng website. Sau đó rà soát thông tin đơn vị vận hành và chính sách bảo mật, kiểm tra consent về mặt kỹ thuật và đánh giá BFSG. Nếu còn câu hỏi pháp lý, hãy tìm tư vấn chuyên môn.

Lưu ý: Bài viết cung cấp thông tin tổng quát, không phải tư vấn pháp lý. Bài không chứng nhận website cụ thể đã tuân thủ pháp luật hoặc đáp ứng BFSG.

Nguồn chính thức để tham khảo thêm

• Digitale-Dienste-Gesetz (DDG), § 5
• TDDDG, § 25
• Quy định bảo vệ dữ liệu chung (DSGVO/GDPR)
• Barrierefreiheitsstärkungsgesetz (BFSG)
• Bundesfachstelle Barrierefreiheit – thông tin về BFSG