Was eine DSGVO-konforme Website technisch braucht: Google Fonts, Cookie-Banner, Analytics, Formulare und eingebettete Inhalte, mit Checkliste.
Datenschutz auf Websites wird in Deutschland ernst genommen, von Aufsichtsbehörden, von Gerichten und leider auch von Abmahnern. Viele Risiken entstehen dabei nicht im Rechtstext, sondern im Code: durch eine Schrift, die von einem fremden Server geladen wird, ein eingebettetes Video oder ein Tracking-Skript, das vor der Einwilligung startet.
Hier ist die technische Checkliste, nach der wir Websites bauen.
Dieser Beitrag ist ein technischer Überblick, keine Rechtsberatung. Datenschutzerklärung und Impressum sollten Sie rechtlich prüfen lassen.
1. Schriften selbst hosten
Werden Webfonts direkt von Google Fonts geladen, überträgt der Browser beim Aufruf die IP-Adresse der Besucher an Google. Das Landgericht München I hat 2022 einem Besucher deshalb Schadensersatz zugesprochen (Urteil vom 20.01.2022, Az. 3 O 17493/20), danach folgte eine Welle von Abmahnungen.
Die Lösung ist einfach und macht die Website sogar schneller: Schriften als Dateien auf dem eigenen Server ausliefern. Das gilt für jede externe Schriftquelle, nicht nur für Google.
2. Cookies und Tracking nur mit Einwilligung
Nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, früher TTDSG) dürfen Informationen auf dem Gerät der Besucher nur mit Einwilligung gespeichert oder ausgelesen werden, es sei denn, sie sind für den Dienst unbedingt erforderlich. Für Marketing-Pixel und viele Analyse-Tools heißt das: erst nach Zustimmung.
Worauf es beim Banner ankommt:
- Ablehnen so einfach wie Zustimmen, auf derselben Ebene, ohne versteckten Link.
- Nichts lädt vorher. Skripte starten erst nach der Einwilligung, nicht beim Seitenaufruf.
- Keine vorausgewählten Kästchen.
- Die Einwilligung lässt sich widerrufen, etwa über einen Link im Footer.
Die beste Lösung ist oft, gar keinen Banner zu brauchen: Wer nur notwendige Cookies und eine datensparsame Analyse ohne Cookies einsetzt, erspart den Besuchern die Abfrage.
3. Analyse sparsam wählen
Überlegen Sie, welche Fragen Sie wirklich beantworten wollen. Für die meisten Unternehmenswebsites sind es wenige: Woher kommen Besucher, welche Seiten führen zu Anfragen, wie viele Formulare werden abgeschickt. Dafür reichen datensparsame Werkzeuge, die weniger Daten erheben und oft ohne Cookies auskommen. Werbe-Tracking mit Profilbildung braucht eine Einwilligung und sollte eine bewusste Entscheidung sein.
4. Eingebettete Inhalte erst nach Klick laden
YouTube-Videos, Google Maps, Social-Media-Beiträge und Buchungs-Widgets von Drittanbietern laden beim Seitenaufruf Inhalte von fremden Servern und übertragen dabei Daten. Besser: Ein Vorschaubild mit Hinweis, und der eigentliche Inhalt lädt erst, wenn der Besucher klickt. Für eine Anfahrt reicht oft ein statisches Kartenbild mit Link.
5. Formulare datensparsam bauen
- Nur die Felder, die Sie wirklich brauchen. Jedes zusätzliche Pflichtfeld ist ein Datenschutzrisiko und kostet Anfragen.
- Übertragung ausschließlich über HTTPS.
- Klar geregelt, wohin die Daten gehen und wie lange sie gespeichert werden.
- Spam-Schutz, der keine Daten an Dritte schickt, statt eines Captchas, das Besucher verfolgt.
6. Dienstleister und Hosting
Jeder Dienstleister, der personenbezogene Daten für Sie verarbeitet, etwa Hosting, E-Mail-Versand oder CRM, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Wo es möglich ist, wählen Sie Rechenzentren in der EU. Und die Konten sollten auf Ihr Unternehmen laufen, nicht auf die Agentur, damit Sie jederzeit die Kontrolle haben (DSGVO, EU-Kommission).
7. Pflichtseiten
Eine Datenschutzerklärung nach Art. 13 DSGVO, die zu dem passt, was die Website tatsächlich tut, und ein Impressum nach § 5 Digitale-Dienste-Gesetz (DDG, früher TMG), beide von jeder Seite mit einem Klick erreichbar. Der häufigste Fehler ist eine Datenschutzerklärung aus einem Generator, die Tools nennt, die gar nicht eingesetzt werden, und die fehlt, die es werden (§ 5 DDG).
Datenschutz als Bauentscheidung
Die meisten dieser Punkte kosten nichts, wenn sie beim Bau mitgedacht werden, und viel, wenn man sie nachträglich in ein Baukasten- oder Plug-in-System einbauen muss. Ein Grund mehr, warum viele Unternehmen von WordPress wechseln: Jedes Plug-in ist ein möglicher Datenabfluss, den man kennen muss. Mehr dazu im Beitrag über die versteckten Kosten von WordPress.
Unsere Websites werden mit selbst gehosteten Schriften, Tracking erst nach Einwilligung und ohne unnötige Drittanbieter gebaut. So erstellen wir Websites. Und wenn Sie wissen wollen, was Ihre heutige Website an Dritte überträgt, zeigt es das Website-Audit.
Häufige Fragen
Darf ich Google Fonts auf meiner Website verwenden?
Ja, wenn die Schriften selbst gehostet werden. Werden sie direkt von Google-Servern geladen, wird die IP-Adresse der Besucher an Google übertragen. Das Landgericht München I hat dafür 2022 Schadensersatz zugesprochen (Az. 3 O 17493/20).
Brauche ich einen Cookie-Banner?
Nur, wenn Sie Cookies oder ähnliche Technologien einsetzen, die nicht unbedingt erforderlich sind, etwa für Marketing oder bestimmte Analyse-Tools. Nach § 25 TDDDG brauchen diese eine Einwilligung. Eine Website ohne solche Technologien braucht keinen Banner.
Ist Google Analytics DSGVO-konform?
Google Analytics setzt in der Regel eine Einwilligung voraus. Viele Unternehmenswebsites kommen mit einer datensparsamen, cookielosen Analyse aus, die weniger Daten erhebt. Welche Lösung für Sie zulässig ist, klären Sie mit Ihrer Datenschutzberatung.
Was muss ein Kontaktformular datenschutzrechtlich beachten?
Nur die Daten abfragen, die Sie wirklich brauchen, verschlüsselt übertragen (HTTPS), in der Datenschutzerklärung über Zweck und Speicherdauer informieren und mit Dienstleistern, die die Daten verarbeiten, einen Auftragsverarbeitungsvertrag schließen.
