5 DSGVO-Fehler, die fast jede
Firmenwebsite hat

Die meisten Datenschutzprobleme auf Firmenwebsites sind keine Absicht. Sie kommen mit dem Theme, mit einem Plugin oder mit einem Baukasten-Baustein, den irgendwann jemand angeklickt hat. Sichtbar sind sie trotzdem: für Abmahnkanzleien genauso wie für Kunden, die im Browser "Nicht sicher" lesen. Hier sind die fünf Fehler, die mir bei fast jeder Seite begegnen, die ich mir vor einem Erstgespräch ansehe. Und wie du sie selbst findest.

1. Google Fonts werden von Google-Servern geladen

Der Klassiker. Fast jedes WordPress-Theme und jeder Baukasten bindet Schriften direkt von fonts.googleapis.com ein. Bei jedem Seitenaufruf holt der Browser deiner Besucher die Schrift bei Google ab und übermittelt dabei ihre IP-Adresse. Ohne dass jemand gefragt wurde.

Das Landgericht München hat dafür im Januar 2022 Schadenersatz zugesprochen (Az. 3 O 17493/20). Danach kam eine Abmahnwelle, und das Thema ist bis heute nicht vom Tisch.

Die Lösung: Schriften herunterladen, auf den eigenen Server legen und per @font-face einbinden. Dauert eine Stunde, danach verlässt keine IP-Adresse mehr deine Domain. Nebeneffekt: Die Seite lädt schneller, weil eine fremde Verbindung wegfällt.

Tückisch: Viele Seiten haben die Schriften angeblich lokal, aber ein Plugin lädt sie über einen Umweg trotzdem nach. Deshalb reicht ein Blick ins Theme nicht. Prüfen muss man die fertige Seite, so wie der Browser sie sieht.

2. Google Maps und YouTube laden ohne Klick-Schutz

Die Anfahrtskarte im Kontaktbereich, das Imagevideo auf der Startseite: Beides wird meist als iframe eingebettet, und ein iframe lädt sofort. Google bekommt die IP-Adresse jedes Besuchers, YouTube setzt oft zusätzlich Cookies, bevor überhaupt jemand auf Play gedrückt hat.

Die Lösung: ein Platzhalter mit Vorschaubild und einem Button "Karte laden" oder "Video abspielen". Erst nach dem Klick wird der Inhalt geladen. Das nennt sich Zwei-Klick-Lösung, ist in jedem gängigen System umsetzbar und kostet den Besucher genau einen Klick.

Für die Karte gibt es noch eine einfachere Variante: ein statisches Bild der Umgebung mit einem Link zu Google Maps. Kein Fremdinhalt auf der Seite, und wer die Route will, klickt.

3. Tracking läuft, bevor jemand zugestimmt hat

Google Analytics, der Tag Manager, der Meta-Pixel: Diese Skripte brauchen eine Einwilligung, bevor sie laufen. So steht es im TDDDG, dem früheren TTDSG, und in der DSGVO. In der Praxis sehe ich zwei Varianten des Fehlers.

• Gar kein Banner: Das Skript steht im Quelltext und läuft bei jedem Aufruf. Klarer Fall.
• Banner ohne Wirkung: Es gibt ein Cookie-Banner, aber das Tracking-Skript steht davor im Quelltext und läuft trotzdem. Das Banner ist dann Dekoration. Dieser Fall ist häufiger, als man denkt, weil das Banner-Plugin und das Analytics-Plugin nichts voneinander wissen.

Die Lösung: Erst ehrlich fragen, ob du die Daten überhaupt brauchst. Für die meisten kleinen Betriebe reicht eine cookielose Zählung, die keine Einwilligung braucht. Wenn es Analytics sein muss, dann über ein Consent-Tool, das die Skripte wirklich zurückhält. Und das prüft man im Browser, nicht im Plugin-Menü.

4. Skripte und Icons kommen von fremden CDNs

jQuery von code.jquery.com, Font Awesome von einem Kit-Server, Bootstrap von jsdelivr: Solche Einbindungen sind bequem, weil man nichts hochladen muss. Der Preis ist derselbe wie bei Google Fonts. Jeder Aufruf überträgt die IP-Adresse an einen fremden Anbieter, meistens in die USA.

Weniger bekannt als der Google-Fonts-Fall, aber technisch dasselbe Muster. Der Website-Check macht es sichtbar: Er zählt, wie viele fremde Server beim Laden deiner Startseite kontaktiert werden. Bei einer sauberen Seite steht da eine Null.

Die Lösung: die Dateien herunterladen und selbst ausliefern. Eine Viertelstunde Arbeit pro Bibliothek.

5. Impressum und Datenschutzerklärung fehlen oder führen ins Leere

Klingt banal, kommt aber vor: Der Link im Footer zeigt auf eine Seite, die es seit dem letzten Relaunch nicht mehr gibt. Oder die Datenschutzerklärung stammt von 2018 und erwähnt Dienste, die längst nicht mehr im Einsatz sind. Oder umgekehrt: Sie schweigt über das Tracking, das tatsächlich läuft.

Das Impressum ist für geschäftliche Websites in Deutschland Pflicht nach § 5 DDG, die Datenschutzerklärung nach Art. 13 DSGVO. Beides muss von jeder Seite aus mit einem Klick erreichbar sein.

Die Lösung: Beide Links einmal im Jahr anklicken und lesen. Klingt nach wenig, macht aber kaum jemand.

Was du jetzt tun solltest

Prüf deine Seite. Nicht das Theme, nicht die Plugin-Einstellungen, sondern das, was wirklich im Browser ankommt. Der Website-Check zeigt dir alle fünf Punkte in drei Stufen, mit Begründung, und sagt dazu, was er nicht prüfen kann.

Was du dort siehst, ist ein technischer Befund und kein Rechtsrat. Was daraus rechtlich folgt, klärt ein Anwalt. Was du technisch dagegen tun kannst, kläre ich gern. Meistens ist es weniger Arbeit, als der rote Punkt vermuten lässt.