DSGVO-Check für die Website: Die Punkte, die fast immer fehlen

Datenschutz auf Websites scheitert selten am Willen und fast immer an Bequemlichkeit. Eine Schriftart vom fremden Netzwerk, eine eingebettete Karte, ein Analyse-Skript, das startet, bevor jemand den Einwilligungsknopf gesehen hat: drei Zeilen Code, die niemand bewusst bestellt hat und die Daten Ihrer Besucher weitergeben, bevor gefragt wurde. Das ist kein Skandal, das ist eine Voreinstellung - und deshalb lässt sie sich auch abstellen.

Warum das fast nie Absicht ist

Kaum jemand entscheidet, Besucherdaten weiterzugeben. Was passiert, ist unspektakulärer: Ein Theme bringt eine Schrifteinbindung mit. Ein Plugin lädt seine Bibliothek von einem fremden Netzwerk nach. Ein Redakteur fügt eine Karte ein, weil sie die Anfahrt zeigt. Jede dieser Entscheidungen war für sich sinnvoll, keine wurde als Datenschutzfrage gestellt.

Deshalb ist der produktivste Einstieg keine juristische Recherche, sondern eine Bestandsaufnahme: Welche fremden Server kontaktiert Ihre Seite, wann, und mit welchen Daten? Alles Weitere folgt daraus. Ohne diese Liste diskutieren Sie über eine Website, die Sie nicht kennen.

Schriften, Karten und Videos: der Abfluss vor der Einwilligung

Die drei Klassiker sind schnell erklärt, weil sie dasselbe Muster teilen. Sobald der Browser eine Datei von einem fremden Server holt, übermittelt er dabei die IP-Adresse des Besuchers - unabhängig davon, ob die Datei eine Schrift, ein Kartenausschnitt oder ein Videoplayer ist.

Bei Schriften ist die Rechtslage in Bewegung: Das Landgericht München I hat 2022 in einem viel zitierten Urteil einem Kläger 100 € Schadensersatz zugesprochen, weil eine Schrift dynamisch von einem fremden Server eingebunden war. Der Bundesgerichtshof hat 2025 zentrale Fragen dem Gerichtshof der Europäischen Union zur Klärung vorgelegt, ein abschließendes Wort steht also noch aus. Für Ihre Entscheidung ändert das wenig, denn die technische Lösung ist unverändert simpel und kostet nichts: Schriften auf dem eigenen Server ausliefern.

Karten und Videos lösen Sie mit derselben Logik in zwei Stufen. Zuerst zeigen Sie ein statisches Vorschaubild mit einem Hinweis, was beim Klick passiert. Erst der Klick lädt den eigentlichen Dienst. Nebenbei ist das die schnellere Variante: Ein eingebetteter Videoplayer im Sichtbereich kostet mehr Ladezeit als fast alles andere auf einer Seite, wie der Artikel zu den Core Web Vitals zeigt. Datenschutz und Geschwindigkeit ziehen hier ausnahmsweise in dieselbe Richtung.

Das Banner, das keine echte Wahl lässt - und was davor schon lädt

Ein Einwilligungsbanner erfüllt seinen Zweck, wenn die Ablehnung genauso einfach ist wie die Zustimmung. Die Aufsichtsbehörden vertreten diese Linie seit Jahren, und ein Verwaltungsgericht hat 2025 bestätigt, dass ein Ablehnen-Knopf auf die erste Ebene gehört und optisch gleichwertig sein muss. Ein Banner mit „Alle akzeptieren“ in Farbe und „Einstellungen“ als grauem Text daneben ist damit nicht vereinbar.

Der zweite, häufigere Fehler liegt hinter dem Banner. Sehr viele Seiten zeigen das Banner korrekt an und haben das Analyse-Skript trotzdem schon geladen, bevor der Besucher etwas anklicken konnte. Das ist keine Gestaltungsfrage mehr, sondern ein Umsetzungsfehler - und es ist der Punkt, an dem eine technisch saubere Einbindung tatsächlich Arbeit ist. Wer messen will, ohne Einwilligung einzuholen, kann auf serverseitige Auswertung ohne Endgerätezugriff ausweichen; ob das im Einzelfall trägt, gehört wieder auf den Tisch Ihrer Rechtsberatung.

Was für die Website gilt, gilt analog für alles, was daran hängt: Ein Newsletter braucht eine dokumentierte Anmeldung, ein Chat-Assistent verarbeitet Eingaben Ihrer Besucher. Zum ersten Punkt haben wir DSGVO im E-Mail-Marketing geschrieben, zum zweiten den Überblick über KI-Chatbots.

US-Dienste: der Stand der Datentransfers, nüchtern

Die Lage ist stabiler, als der Ton mancher Beiträge vermuten lässt, und weniger endgültig, als andere behaupten. Die Europäische Kommission hat 2023 einen Angemessenheitsbeschluss für das EU-US Data Privacy Framework erlassen. Das Gericht der Europäischen Union hat eine Klage gegen diesen Beschluss im September 2025 abgewiesen; ein Rechtsmittel dagegen war zuletzt beim Gerichtshof anhängig. Parallel wird in der Fachdiskussion darauf hingewiesen, dass einzelne der US-Aufsichtsinstitutionen, auf die sich der Beschluss stützt, aktuell nicht voll arbeitsfähig sind.

Für Sie folgt daraus eine sachliche Konsequenz, keine Panik: Prüfen Sie, ob der konkrete Anbieter unter dem Rahmen zertifiziert ist, dokumentieren Sie die Entscheidung, und bevorzugen Sie dort, wo es keinen Unterschied macht, den europäischen Anbieter. Wo Ihre Website selbst liegt und was zum Hosting vertraglich dazugehört, behandelt der Artikel Website-Hosting für Unternehmen.

Die prüfbare Liste

• Schriften liegen auf dem eigenen Server, es wird keine Schrift von einem fremden Netzwerk nachgeladen
• Karten, Videos und Social-Einbettungen laden erst nach einem bewussten Klick, davor steht ein Vorschaubild
• Vor der Einwilligung baut die Seite keine Verbindung zu Analyse-, Werbe- oder Chat-Diensten auf
• Das Banner bietet Ablehnen auf derselben Ebene, in gleicher Größe und Gestaltung wie Zustimmen
• Eine erteilte Einwilligung lässt sich genauso leicht widerrufen, wie sie erteilt wurde
• Formulare übertragen verschlüsselt, fragen nur ab, was gebraucht wird, und nennen den Zweck
• Für jeden eingebundenen Dienst existiert ein Auftragsverarbeitungsvertrag und ein Eintrag im Verarbeitungsverzeichnis
• Die Datenschutzerklärung nennt jeden dieser Dienste namentlich und stimmt mit dem überein, was die Seite tatsächlich tut

Den größten Teil dieser Liste prüfen Sie selbst. Öffnen Sie Ihre Seite in einem frischen Browserfenster, öffnen Sie die Entwicklerwerkzeuge, laden Sie neu und sehen Sie sich an, welche fremden Adressen kontaktiert werden, bevor Sie irgendetwas angeklickt haben. Was dort steht, ist Ihre eigentliche Ausgangslage - nicht das, was in der Datenschutzerklärung steht.

Konkrete Maßnahmen für die nächsten 90 Tage

• Tag 1-30: Bestandsaufnahme im Browser machen und alle fremden Verbindungen vor der Einwilligung notieren
• Tag 1-30: Schriften lokal ausliefern lassen, das ist der schnellste Punkt der Liste
• Tag 31-60: Karten und Videos auf eine Vorschau mit Klick umstellen
• Tag 31-60: das Banner prüfen: Ablehnen auf der ersten Ebene, gleichwertig gestaltet, Widerruf jederzeit möglich
• Tag 61-90: Auftragsverarbeitungsverträge einsammeln und das Verarbeitungsverzeichnis auf den Stand der Liste bringen
• Tag 61-90: die überarbeitete Datenschutzerklärung anwaltlich prüfen lassen, mit der Diensteliste als Anlage

Fazit

Der Unterschied zwischen einer sauberen und einer unsauberen Website ist meistens keine große Entscheidung, sondern eine Handvoll Voreinstellungen, die nie hinterfragt wurden. Genau deshalb ist der Aufwand überschaubar: lokale Schriften, Einbettungen erst nach Klick, kein Skript vor der Einwilligung, eine vollständige Diensteliste. Das sind vier Punkte, keine Grundsatzdebatte.

Und die Grenze bleibt, wo sie hingehört: Wir liefern die technische Umsetzung, wie wir sie auf der Seite zu DSGVO und Datenschutz beschreiben. Die rechtliche Bewertung Ihres konkreten Falls gehört zu einer Anwältin oder einem Anwalt - und die arbeitet deutlich schneller, wenn sie eine Liste prüfen kann statt zu raten.