DSGVO-konforme Website: Die neun Punkte, die tatsächlich geprüft werden

Datenschutz auf Websites hat in Deutschland eine unangenehme Eigenschaft: Die Fehler sind von außen sichtbar. Jeder kann mit den Entwicklerwerkzeugen seines Browsers prüfen, welche Server eine Seite kontaktiert.

Genau das tun spezialisierte Kanzleien und Verbände. Die folgenden neun Punkte decken den weit überwiegenden Teil der beanstandeten Fälle ab.

1. Schriften selbst ausliefern#

Das Landgericht München I hat am 20. Januar 2022 (Az. 3 O 17493/20) entschieden, dass die Einbindung von Google Fonts über Google-Server gegen die DSGVO verstößt. Beim Seitenaufruf wird die IP‑Adresse des Besuchers an Google in die USA übertragen – ohne Rechtsgrundlage.

Dem Kläger wurden 100 € Schadenersatz zugesprochen. In der Folge kam es zu einer Welle massenhafter Abmahnschreiben.

Lösung: Schriften herunterladen und vom eigenen Server ausliefern. Bei Next.js übernimmt das next/font automatisch – die Schriftdateien werden beim Bauen heruntergeladen und mit ausgeliefert.

Prüfen: Entwicklerwerkzeuge öffnen, Reiter „Netzwerk“, Seite neu laden. Taucht fonts.gstatic.com auf, haben Sie das Problem.

2. Auftragsverarbeitungsvertrag mit dem Hoster#

Ihr Hoster verarbeitet personenbezogene Daten in Ihrem Auftrag – mindestens IP‑Adressen in den Server-Protokollen. Dafür braucht es einen Vertrag nach Art. 28 DSGVO.

Seriöse Anbieter stellen ihn im Kundenkonto bereit. Bei Hetzner, IONOS und Mittwald finden Sie ihn in wenigen Klicks.

Häufiger Irrtum: „Der Anbieter sitzt in Deutschland, also brauche ich keinen Vertrag.“ Der Sitz ändert nichts an der Vertragspflicht.

3. Impressum nach § 5 DDG#

Seit Mai 2024 heißt die Rechtsgrundlage § 5 Digitale-Dienste-Gesetz. Wer noch „§ 5 TMG“ zitiert, verweist auf eine aufgehobene Norm.

Pflichtangaben: Name und Anschrift, Vertretungsberechtigte bei Gesellschaften, Kontaktdaten einschließlich E‑Mail, Registergericht und Registernummer, Umsatzsteuer-Identifikationsnummer sofern vorhanden.

Wichtig: Das Impressum muss von jeder Seite aus mit maximal zwei Klicks erreichbar sein. Ein Link im Fußbereich erfüllt das.

Häufiger Fehler: Das Führen eines Rechtsformzusatzes wie „GmbH“ vor der Eintragung ins Handelsregister. Das ist nach § 5 UWG eine irreführende Angabe und abmahnfähig.

4. Datenschutzerklärung, die zur Website passt#

Sie muss nach Art. 13 DSGVO informieren über: Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und Betroffenenrechte.

Der praktisch wichtigste Punkt: Sie muss beschreiben, was Ihre Website tut. Eine Erklärung, die Google Analytics nennt, obwohl es nicht eingesetzt wird, ist genauso fehlerhaft wie eine, die ein eingesetztes Werkzeug verschweigt.

5. Kein reCAPTCHA ohne Einwilligung#

Google reCAPTCHA überträgt Daten in die USA und ist damit nicht technisch notwendig im Sinne des § 25 Abs. 2 TDDDG.

Bessere Lösung: Ein Honeypot – ein Formularfeld, das für Menschen unsichtbar ist. Bots füllen es aus, Menschen nicht. Kommt eine Einsendung mit gefülltem Feld an, wird sie verworfen.

Dieses Verfahren fängt nach unserer Erfahrung über 95 Prozent des automatisierten Spams ab, überträgt keine Daten an Dritte, ist barrierefrei und kostet nichts. Wir setzen es in jedem Projekt ein – auch auf dieser Website.

6. Cookie-Banner nur, wenn nötig#

Die verbreitetste Fehlvorstellung lautet, jede Website brauche ein Banner. Richtig ist: Ein Banner ist erforderlich, sobald Cookies oder vergleichbare Technologien eingesetzt werden, die nicht technisch notwendig sind.

Eine Website ohne Analyse-, Marketing- und Einbettungsdienste braucht kein Banner.

Wenn ein Banner nötig ist, muss es: vor dem Setzen der Cookies erscheinen, eine Ablehnung genauso einfach machen wie eine Zustimmung, und ohne Vorauswahl arbeiten.

Hinweis zu Alternativen: Cookiefreie Reichweitenmessung wie Plausible oder ein selbst gehostetes Matomo mit anonymisierter IP arbeitet ohne Einwilligung. Für die Frage „Welche Seiten werden gelesen, woher kommen Besucher?“ reicht das in aller Regel.

7. Formulardaten verschlüsselt übertragen und begrenzt speichern#

TLS ist heute selbstverständlich. Weniger selbstverständlich ist der Umgang mit dem, was ankommt.

Nach dem Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) erheben Sie nur, was Sie brauchen. Das Geburtsdatum im Kontaktformular gehört nicht dazu.

Eine Praxis, die wir empfehlen: IP‑Adressen nicht im Klartext speichern, sondern nur als Prüfsumme. Damit lässt sich massenhafter Missbrauch erkennen, ohne die Person identifizierbar zu machen.

8. Löschfristen festlegen und einhalten#

Daten dürfen nur so lange gespeichert werden, wie sie gebraucht werden. Für Kontaktanfragen bedeutet das: Löschung nach abschließender Bearbeitung.

Kommt ein Vertrag zustande, greifen die handels- und steuerrechtlichen Aufbewahrungsfristen von sechs beziehungsweise zehn Jahren (§ 257 HGB, § 147 AO).

Praktisch: Legen Sie die Fristen schriftlich fest und richten Sie eine automatische Löschung ein. Eine Frist, die niemand umsetzt, ist schlechter als keine – weil sie dokumentiert, dass Sie es besser wussten.

9. Verarbeitungsverzeichnis führen#

Nach Art. 30 DSGVO müssen Unternehmen ein Verzeichnis der Verarbeitungstätigkeiten führen. Die Ausnahme für Unternehmen unter 250 Beschäftigten greift praktisch nie, weil sie nicht gilt, sobald regelmäßig verarbeitet wird – und ein Kontaktformular ist regelmäßig.

Das Verzeichnis ist kein öffentliches Dokument. Es muss vorgelegt werden können, wenn die Aufsichtsbehörde fragt. Eine Tabelle genügt.

Die Kurzprüfung in fünf Minuten#

1. Entwicklerwerkzeuge öffnen, Reiter „Netzwerk“, Seite neu laden. Welche fremden Server werden kontaktiert?
2. Reiter „Anwendung“, Cookies prüfen. Werden welche gesetzt, bevor Sie irgendwo zugestimmt haben?
3. Impressum: Steht dort noch „§ 5 TMG“?
4. Datenschutzerklärung: Nennt sie Dienste, die Sie gar nicht einsetzen?
5. Kontaktformular: Läuft es über reCAPTCHA?

Jeder Punkt, den Sie mit Ja beantworten, ist ein konkreter Handlungsbedarf.

Dieser Beitrag ist sorgfältig recherchiert, ersetzt aber keine Rechtsberatung im Einzelfall.