Eine Kundin aus Mönchengladbach schickt mir neulich eine Nachricht: „Manuel, ich habe gerade gelesen, dass Google Fonts auf meiner Website illegal sein soll. Stimmt das? Und was ist eigentlich mit dem Cookie-Banner – brauche ich den überhaupt?" Hinter ihr liegen 20 Minuten in einem Forum, nach denen sie mehr verwirrt ist als vorher.
Ihre Fragen sind berechtigt. Und sie ist damit nicht allein. Die meisten Websites kleiner Betriebe in der Region verstoßen gegen mindestens einen DSGVO-Punkt – nicht aus Böswilligkeit, sondern weil das Thema von vielen Seiten erklärt wird, oft widersprüchlich und fast immer zu kompliziert.
Ich versuche das hier klar und ohne Juristendeutsch zu sortieren.
Wenn deine Website Daten verarbeitet – und das tut jede –, brauchst du eine Datenschutzerklärung. Das ist keine Empfehlung, das ist Gesetz (Art. 13 DSGVO). Sie muss erklären, welche Daten du erhebst, wozu, wie lange du sie speicherst und an wen du sie weitergibst.
Wichtig: Eine veraltete Erklärung ist fast so schlimm wie keine. Wer 2019 eine generierte Datenschutzerklärung eingefügt und seitdem Google Analytics, ein Kontaktformular oder einen Chat ergänzt hat, ohne die Erklärung anzupassen, steht auf unsicherem Grund.
Wenn dein Formular Daten überträgt, muss das verschlüsselt geschehen (HTTPS ist Pflicht), und du musst in der Datenschutzerklärung erklären, was mit den eingegebenen Daten passiert. Außerdem brauchst du mit dem Dienstleister, der das Formular bereitstellt, einen Auftragsverarbeitungsvertrag (AVV) – also auch mit dem Webhoster oder dem Formular-Tool.
Kein Datenschutzthema im engeren Sinne, aber eng verknüpft: Das Impressum muss vollständig, korrekt und leicht auffindbar sein. Fehlende oder falsche Angaben sind eine der häufigsten Abmahnquellen überhaupt.
Hier herrscht die meiste Verwirrung. Die kurze Antwort: Ein Cookie-Banner ist nur dann Pflicht, wenn du Cookies setzt, die nicht technisch notwendig sind – also etwa Tracking-Cookies für Google Analytics, Facebook Pixel oder ähnliches.
Wer auf seiner Website ausschließlich technisch notwendige Cookies verwendet (z. B. für das Kontaktformular oder den Login-Bereich) und kein externes Tracking einsetzt, braucht keinen Cookie-Banner. Ein einfacher Hinweis in der Datenschutzerklärung reicht dann.
Der Fehler vieler Betriebe: Sie installieren einen Cookie-Banner, weil sie glauben, das sei generell Pflicht – und verlassen sich dabei auf günstige oder kostenlose Tools, die dann selbst wieder nicht DSGVO-konform konfiguriert sind. Banner allein schützen nicht, wenn sie falsch eingebunden sind.
Das Münchner Landgericht hat 2022 einem Kläger Recht gegeben, der gegen den Einsatz von Google Fonts auf einer Website geklagt hatte. Der Grund: Google Fonts lädt Schriftarten von Google-Servern und überträgt dabei automatisch die IP-Adresse des Besuchers an Google – ohne dessen Einwilligung.
Die Lösung ist technisch simpel: Fonts lokal auf dem eigenen Server hosten statt sie von Google einzubinden. Das ist ein einmaliger Handgriff, der das Problem vollständig löst. Wer das noch nicht gemacht hat, sollte das nachholen. Wenn du dabei Unterstützung brauchst, hilft 4che bei der technischen Umsetzung einer DSGVO-konformen Website.
Ein eingebettetes YouTube-Video sieht harmlos aus – überträgt aber schon beim Laden der Seite Daten an Google, ohne dass der Besucher auf Play gedrückt hat. Das ist ohne Einwilligung des Besuchers nicht erlaubt.
Die Lösung heißt „Zwei-Klick-Lösung" oder „erweiterter Datenschutzmodus": Das Video wird erst geladen, wenn der Nutzer aktiv zustimmt oder zumindest auf einen Vorschau-Button klickt. Die meisten modernen Website-Systeme unterstützen das mit entsprechenden Plugins oder Einstellungen.
Google Analytics ohne Einwilligung. Klassisches Google Analytics ohne ordentliche Consent-Lösung ist seit Jahren ein Problem. Wer tracken will, braucht entweder eine korrekte Einwilligungslösung oder wechselt auf ein datenschutzfreundlicheres Tool wie Matomo, das auf dem eigenen Server betrieben wird.
Kontaktformulare über US-Anbieter ohne AVV. Viele Baukastensysteme bieten einfache Kontaktformulare an – aber wenn der Anbieter in den USA sitzt und keinen EU-Standardvertrag anbietet, ist die Übertragung der Formulardaten rechtlich heikel.
Kundendaten im Klartext per Standard-E-Mail. Eine Anfrage, in der jemand Gesundheitsdaten oder Bankdaten mitschickt, über normale E-Mail zu verarbeiten, ist problematisch. Für Branchen mit sensiblen Daten – Ärzte, Pflegedienste, Anwälte – gibt es bessere Wege.
Wenn du nach diesem Artikel deine Website einmal mit anderen Augen anschaust und dir nicht sicher bist, ob alles passt: Das kostenlose Erstgespräch bei TemQ ist genau dafür da. Wir schauen gemeinsam, was auf deiner Website geregelt ist – und was nicht.
Unsicher ob deine Website DSGVO-konform ist? 30 Minuten Erstgespräch – danach weißt du wo du stehst. 📞 02161 / 5674528 · 📧 kontakt@temq.de · → Kostenloses Erstgespräch
Manuel Forche · temq.de · Externer Datenschutzbeauftragter aus Viersen Für KMU in Viersen, Mönchengladbach, Krefeld und Erkelenz.
Generierte Texte sind ein guter Startpunkt, aber kein Selbstläufer. Sie müssen zu deiner Website und deinen konkreten Tools passen. Wer seit der Erstellung neue Dienste eingebunden hat, braucht eine angepasste Erklärung.
Nicht zwingend. Entscheidend ist, ob du Cookies setzt, die über den technisch notwendigen Betrieb der Website hinausgehen. Wer kein Tracking, keine eingebetteten Social-Media-Buttons und keine Werbedienste einsetzt, kommt oft ohne Banner aus.
Im Kern dasselbe, nur der Begriff variiert je nach Kontext. Im Bewerbungsprozess spricht man oft von Datenschutzhinweisen für Bewerber, auf der Website von der Datenschutzerklärung. Beides regelt die Informationspflichten nach Art. 13 und 14 DSGVO.
Ja. HTTPS ist eine technisch-organisatorische Maßnahme (TOM) nach Art. 32 DSGVO und gleichzeitig ein Rankingfaktor bei Google. Wer noch auf HTTP läuft, hat zwei Probleme auf einmal.
Abmahnungen wegen Datenschutzverstößen – vor allem wegen Google Fonts oder fehlender Datenschutzerklärung – kommen vor. Die Kosten beginnen oft bei einigen Hundert Euro und können je nach Konstellation deutlich höher gehen. Ein benannter Datenschutzbeauftragter kann helfen, die häufigsten Angriffsflächen vorher zu schließen.
30 Minuten Erstgespräch – kostenlos, unverbindlich und ohne Verkaufsdruck.