DSGVO & Website: 9 Stolperfallen im Check.

Google Fonts über externe Server

Das Problem: Viele Websites laden Google Fonts direkt von Google-Servern (fonts.googleapis.com). Dabei geht die IP-Adresse jedes Besuchers ohne Einwilligung an Google. Das Landgericht München I hat das mit Urteil vom 20.01.2022 (Az. 3 O 17493/20) als Datenschutzverstoß gewertet, den Websitebetreiber zur Unterlassung verurteilt und dem Kläger Schadensersatz zugesprochen. Es folgte eine Abmahnwelle.

So machen Sie es richtig: Schriften lokal einbinden, also auf Ihrem eigenen Server speichern und von dort laden. Optisch ändert sich nichts. Prüfen Sie auch Themes und Plugins (Designvorlagen und Erweiterungen), die Google Fonts von selbst nachladen.

Cookie-Banner fehlt oder ist falsch konfiguriert

Das Problem: § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz; seit 01.12.2021 in Kraft, bis Mai 2024 TTDSG genannt) verlangt eine Einwilligung, bevor Ihre Website etwas auf dem Gerät der Besucher speichert oder ausliest: Cookies, Local Storage (Speicher im Browser), Tracking-Pixel (unsichtbare Zählbilder). Ausgenommen ist nur, was für den gewünschten Dienst unbedingt nötig ist. Ein vorausgewähltes „Alle akzeptieren“ ist keine wirksame Einwilligung.

Was hilft: Ein Consent-Management-Tool (es fragt Einwilligungen ab und speichert sie) wie Cookiebot, Usercentrics oder Borlabs Cookie, das Tracking erst nach Zustimmung startet. „Ablehnen“ muss schon auf der ersten Ebene so einfach sein wie „Akzeptieren“ – so die Datenschutzkonferenz der Aufsichtsbehörden, bestätigt von mehreren Gerichten.

Ohne Banner geht es, wenn Ihre Website nur technisch notwendige Cookies oder Speicher nutzt (etwa für Sprache, Login oder Warenkorb) und keine Tracking- oder Marketing-Tools einsetzt.

Fehlende oder veraltete Datenschutzerklärung

Das Problem: Die DSGVO verlangt eine vollständige Datenschutzerklärung, die alle Verarbeitungsvorgänge beschreibt: Kontaktformular, Cookies, Analyse-Tools, Hosting-Anbieter, Newsletter, Bestellsysteme. Wer das nicht hat oder eine veraltete Version von 2018 verwendet, verstößt gegen die DSGVO.

Besser: Eine aktuelle, vollständige Datenschutzerklärung – von einem Datenschutzanwalt geprüft oder mit einem seriösen Generator wie activeMind Legal oder Dr. Schwenke erstellt. Bei jedem neuen Tool oder Formular anpassen.

Google Analytics ohne korrekte Einbindung

Das Problem: Universal Analytics hat Google 2023 abgeschaltet, heute gibt es ausschließlich GA4 (Google Analytics 4). Auch GA4 setzt Cookies und darf erst nach Einwilligung laden. Die Übermittlung in die USA ist seit 2023 über das Data Privacy Framework abgedeckt (siehe Stolperfalle 08); an der Einwilligungspflicht ändert das nichts.

Zwei saubere Wege: GA4 über das Consent-Management erst nach Zustimmung starten – oder auf ein datenschutzfreundliches Statistik-Tool ohne Tracking-Cookies auf EU-Servern umsteigen, das je nach Einrichtung ohne Einwilligung auskommt. Vielen kleinen Betrieben reichen einfache Besucherzahlen, um zu sehen, ob ihre Sichtbarkeit bei Google wächst.

Kein Auftragsverarbeitungsvertrag (AVV) mit dem Hoster

Das Problem: Wer eine Website bei einem Hosting-Anbieter betreibt, lässt Daten (Besucher-IPs, Log-Dateien) im Auftrag verarbeiten. Dafür schreibt die DSGVO einen AVV vor – einen Vertrag darüber, wie der Anbieter mit den Daten umgehen darf. Viele Unternehmen haben nie einen abgeschlossen.

Was zu tun ist: AVV mit Ihrem Hosting-Anbieter abschließen. Seriöse deutsche Anbieter (IONOS, Hetzner, Strato u. a.) bieten ihn an, oft online in wenigen Klicks.

Kontaktformular ohne DSGVO-Hinweis

Das Problem: Wer personenbezogene Daten über ein Formular erhebt (Name, E-Mail, Telefon), muss darüber informieren, wie diese verarbeitet werden. Ein Formular ohne Datenschutz-Hinweis ist nicht rechtskonform.

So geht es: Unter jedes Formular gehören ein Link zur Datenschutzerklärung und ein kurzer Hinweis, wofür Sie die Daten nutzen. Eine Checkbox brauchen Sie vor allem, wenn Sie die Daten darüber hinaus verwenden, etwa für einen Newsletter. Übertragung verschlüsselt (https), Daten nur so lange wie nötig speichern.

Eingebettete YouTube-Videos ohne Einwilligung

Das Problem: Standard-YouTube-Embeds verbinden sich schon beim Laden der Seite mit Google und setzen Cookies – auch wenn niemand auf Play drückt. Ohne Einwilligung ist das unzulässig.

Sicherer: Videos erst nach Klick laden (Click-to-Play), vorher zeigt die Seite nur ein lokal gespeichertes Vorschaubild. Der „erweiterte Datenschutzmodus“ (youtube-nocookie.com) überträgt trotzdem Daten an Google und reicht allein nicht. Alternativ: Videos selbst hosten.

Hosting auf US-Servern ohne Schutzmechanismen

Das Problem: Viele US-Hoster und CDNs (Netzwerke, die Inhalte weltweit ausliefern) verarbeiten Daten in den USA. Das frühere Privacy Shield hat der EuGH 2020 gekippt (Schrems II). Seit dem 10.07.2023 gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF): Übermittlungen an DPF-zertifizierte US-Anbieter sind wieder zulässig. Ob der Beschluss dauerhaft hält, ist offen – er wurde bereits vor Gericht angegriffen.

Was ich empfehle: Prüfen Sie, ob Ihr US-Anbieter auf der offiziellen DPF-Liste steht, und schließen Sie einen AVV ab. Ohne Zertifizierung brauchen Sie Standardvertragsklauseln (EU-Musterverträge). Unkomplizierter ist ein deutscher oder europäischer Hoster mit AVV (z. B. IONOS, Hetzner, netcup, Strato).

Fehlendes oder fehlerhaftes Impressum

Das Problem: Nicht DSGVO, aber fast genauso wichtig: das Impressum. Pflicht sind vollständiger Name/Firma, Adresse, Telefon, E-Mail, ggf. Handelsregisternummer, Umsatzsteuer-ID und verantwortliche Person. Geregelt ist das seit dem 14.05.2024 in § 5 DDG (Digitale-Dienste-Gesetz) statt im Telemediengesetz. Verstöße können abgemahnt werden.

Konkret: Impressum vollständig ausfüllen, von jeder Seite mit höchstens zwei Klicks erreichbar. „§ 5 TMG“ im Text durch „§ 5 DDG“ ersetzen. Nach Umzug oder Wechsel der Rechtsform aktualisieren.