Kurz gesagt: Die meisten DSGVO-Probleme auf Unternehmensseiten sind keine juristischen Grenzfälle, sondern immer dieselben fünf technischen Nachlässigkeiten: Google Fonts oder andere Dienste, die beim Aufruf Daten in die USA schicken; ein Cookie-Banner, das keine echte Ablehnung zulässt; Analytics- oder Pixel-Code, der schon vor der Einwilligung lädt; ein Kontaktformular ohne saubere Verschlüsselung und Zweckangabe; und eine Datenschutzerklärung, die Dienste auflistet, die es gar nicht mehr gibt. Alle fünf lassen sich an einem Nachmittag prüfen und meist ohne Entwickler abstellen. Dieser Beitrag ist eine praktische Einordnung, keine Rechtsberatung.

Fehler 1: Externe Dienste, die ungefragt Daten abziehen

Der Klassiker sind Google Fonts, die direkt von Google geladen werden. Beim Seitenaufruf geht die IP-Adresse des Besuchers an einen Server in den USA – bevor irgendjemand irgendwo zugestimmt hat. Ein Landgerichtsurteil aus München hat das 2022 als Verstoß gewertet, und in der Folge sind massenhaft Abmahnschreiben verschickt worden. Die rechtliche Lage hat sich seitdem entspannt, technisch sauber ist es trotzdem nicht.

Das Muster gilt für mehr als Schriftarten. Eingebettete Google Maps, YouTube-Videos, ein Bewertungs-Widget, ein Chat-Tool, Font Awesome, ein CDN für Skripte – jedes davon baut eine Verbindung auf, sobald die Seite lädt. Bei WordPress kommen solche Einbindungen oft über Themes und Plugins mit, ohne dass jemand sie bewusst aktiviert hat.

Die Lösung ist fast immer dieselbe: lokal einbinden statt extern laden. Schriften werden auf den eigenen Server kopiert, Karten und Videos bekommen eine Vorschau, die erst nach einem Klick den echten Dienst nachlädt. Prüfen kannst du das ohne Werkzeug: Seite im Browser öffnen, Entwicklertools mit F12, Reiter „Netzwerk“, neu laden – jede fremde Domain in der Liste ist ein Kandidat.

Fehler 2: Ein Cookie-Banner, das keine Wahl lässt

Banner mit einem großen grünen „Alle akzeptieren“ und einem grauen „Einstellungen“ im Kleingedruckten sind der zweithäufigste Fund. Die Anforderung ist eindeutig: Ablehnen muss genauso einfach sein wie Zustimmen – also eine gleichwertige Schaltfläche auf derselben Ebene, nicht zwei Klicks tiefer. Vorangekreuzte Kästchen sind ebenfalls unzulässig.

Genauso häufig: Das Banner ist da, aber es tut nichts. Die Skripte laden trotzdem, weil sie fest im Theme oder im Header stehen und der Consent-Dienst sie gar nicht kennt. Das ist der schlechteste Zustand von allen – die Nachteile eines Banners ohne den Nutzen. Ein kurzer Test: Banner ablehnen, Entwicklertools öffnen, Seite neu laden und schauen, ob trotzdem Anfragen an Analytics- oder Werbedomains rausgehen.

Und ein Punkt, der oft überrascht: Nicht jede Seite braucht überhaupt ein Banner. Wer keine Statistik-, Marketing- oder externen Medien-Dienste einsetzt, sondern nur technisch notwendige Cookies, kommt ohne aus. Für viele kleine Betriebsseiten ist das Aufräumen der Dienste die einfachere Lösung als das perfekte Banner.

Fehler 3: Tracking, das vor der Einwilligung startet

Google Analytics, der Meta-Pixel und ähnliche Werkzeuge dürfen erst nach aktiver Zustimmung laden. In der Praxis stehen sie oft direkt im Theme-Header oder werden über den Google Tag Manager ausgelöst, der selbst schon vor dem Consent feuert. Der Tag Manager ist dabei ein besonders verbreiteter blinder Fleck: Man denkt, das Banner regelt alles, tatsächlich lädt der Container unabhängig davon.

Aus Marketing-Sicht hat das einen unangenehmen Nebeneffekt. Ein korrekt eingerichtetes Banner bedeutet, dass ein erheblicher Teil der Besucher gar nicht mehr gemessen wird – je nach Branche 20 bis 50 Prozent. Wer Entscheidungen an diesen Zahlen aufhängt, muss wissen, dass sie unvollständig sind.

Deshalb lohnt sich für viele Betriebe der Wechsel zu einer datensparsamen Alternative wie Plausible oder Matomo mit anonymisierter Erfassung. Solche Werkzeuge kommen ohne personenbezogene Cookies aus, brauchen in der üblichen Konfiguration keine Einwilligung und messen damit wieder alle Besucher. Man verliert ein paar Detailauswertungen und gewinnt vollständige Zahlen plus ein Problem weniger.

Fehler 4: Formulare ohne Verschlüsselung, Zweck und Löschkonzept

Über das Kontaktformular kommen die sensibelsten Daten der ganzen Seite – bei Praxen mitunter Gesundheitsangaben, bei Bewerbungen ganze Lebensläufe. Drei Dinge fehlen regelmäßig.

Erstens die Transportverschlüsselung: Die Seite muss durchgängig über HTTPS laufen, auch die Formularseite selbst, ohne unverschlüsselt nachgeladene Inhalte. Zweitens die Zweckangabe direkt am Formular – ein Satz plus Link zur Datenschutzerklärung genügt, wofür die Daten verwendet werden und wie lange sie bleiben. Drittens die Datensparsamkeit: Pflichtfelder nur für das, was für die Antwort wirklich nötig ist. Die Telefonnummer als Pflichtfeld bei einer reinen E-Mail-Anfrage ist nicht nur rechtlich fragwürdig, sie kostet auch echte Anfragen.

Der übersehene Teil ist das, was nach dem Absenden passiert. Viele Formular-Plugins speichern jede Einsendung zusätzlich in der Datenbank – oft jahrelang, ohne dass es jemand weiß. Entweder du schaltest die Speicherung ab, oder du legst eine Löschfrist fest und hältst sie ein. Wenn du bei der Gelegenheit ohnehin an den Anfrageweg gehst: Eine automatische Eingangsbestätigung mit realistischer Antwortzeit und eine Weiterleitung an die Person, die tatsächlich zurückruft, verhindern verlorene Kontakte – wie sich so etwas ohne Bastellösung einrichten lässt, steht unter KI & Automatisierung.

Fehler 5: Eine Datenschutzerklärung, die nicht zur Seite passt

Fast jede Seite hat eine Datenschutzerklärung. Die meisten stammen aus einem Generator, sind zwei bis fünf Jahre alt und beschreiben einen Zustand, den es so nicht mehr gibt: Dienste, die längst entfernt wurden, stehen noch drin, neu hinzugekommene fehlen. Genau diese Lücke fällt bei einer Beschwerde als Erstes auf, weil sie ohne Fachwissen prüfbar ist.

Sinnvoll ist deshalb eine simple Routine: einmal im Jahr die Liste der eingebundenen Dienste aus den Entwicklertools mit der Datenschutzerklärung abgleichen, und immer dann, wenn ein neues Plugin, ein Buchungstool oder ein Chat dazukommt. Dazu gehören außerdem ein vollständiges Impressum, die Erreichbarkeit beider Seiten aus dem Footer jeder Unterseite und – falls du Newsletter versendest – ein dokumentiertes Double-Opt-in.

Wenn du wissen willst, welche externen Dienste deine Seite tatsächlich lädt, ohne selbst in den Entwicklertools zu graben: Der kostenlose Sichtbarkeits-Check schaut sich technische Auffälligkeiten mit an – Ladeverhalten, eingebundene Fremdressourcen, Struktur. Was ich darüber hinaus an Website, Sichtbarkeit und Technik zusammen betreue, steht unter Leistungen.

Häufige Fragen

Brauche ich für meine kleine Firmenwebsite überhaupt ein Cookie-Banner?

Nur, wenn du Dienste einsetzt, die nicht technisch notwendig sind – also Statistik, Werbung, externe Videos oder Karten. Eine Seite mit lokal eingebundenen Schriften, ohne Tracking und mit Klick-Vorschau für Maps und YouTube braucht kein Banner. Für viele kleine Betriebe ist das der bessere Weg: weniger Dienste statt eines aufwendigen Consent-Werkzeugs. Das spart Ladezeit, Wartung und eine dauerhafte Fehlerquelle.

Wie hoch ist das Risiko wirklich, wenn ich nichts mache?

Die Abmahnwelle rund um Google Fonts ist weitgehend abgeebbt, und Bußgelder gegen kleine Betriebe wegen Website-Themen sind selten. Realistischer sind zwei andere Fälle: eine Beschwerde bei der Landesdatenschutzbehörde, meist von einem Wettbewerber oder einem verärgerten Kunden, und die Prüfung durch einen Geschäftspartner, der Auftragsverarbeitung sauber dokumentiert haben will. Beides ist unangenehm und beides lässt sich mit ein paar Stunden Arbeit vermeiden.

Kann ich das selbst prüfen oder brauche ich einen Anwalt?

Die technische Seite kannst du selbst prüfen: Entwicklertools öffnen, Netzwerk-Reiter, Seite laden, fremde Domains notieren – und das Ganze einmal mit abgelehntem Banner wiederholen. Das deckt die vier häufigsten Fehler auf. Juristische Bewertung wird dort nötig, wo es um Sonderfälle geht: besondere Datenkategorien wie Gesundheitsdaten, Bewerberportale, Auftragsverarbeitungsverträge oder Datenübermittlung in Drittländer. Bei Praxen und allem mit Patientenbezug ist der Blick eines Fachanwalts das Geld wert.