Wo hat Ihre Website
Datenschutzlücken?

Der Check

Zwölf Fragen zu Ihrer Website

Antworten Sie ehrlich — auch „Weiß ich nicht“ ist eine Antwort und landet als eigener Punkt auf der Liste. Ihre Angaben verlassen den Browser nicht.

Zum Mitscrollen

Was passiert, wenn Ihre Seite Google Fonts lädt

Der häufigste Fehler auf kleinen Websites ist unsichtbar — bis man ihn einmal gesehen hat. Vier Schritte, eine Grafik.

Wissen

Was hinter den zwölf Fragen steckt

Jeder Prüfpunkt hat eine Rechtsgrundlage, einen Grund, warum er in der Praxis schiefgeht, und einen Weg, ihn zu beheben. Hier die Kurzfassung — mit Quellen, ohne Panik.

Die zwölf Prüfpunkte im Detail

1. Schriften von fremden Servern

Der Klassiker, siehe oben: Wer Google Fonts, Adobe Fonts oder Icon-Schriften direkt vom Anbieter lädt, übermittelt bei jedem Aufruf die IP-Adresse des Besuchers an einen Dritten. Das LG München I (20.01.2022, 3 O 17493/20) sah darin einen Verstoß gegen Art. 6 Abs. 1 DSGVO und sprach 100 € nach Art. 82 DSGVO zu. Fix: Schriftdateien selbst hosten. Aufwand: eine halbe Stunde.

2. Impressum

§ 5 DDG verlangt von geschäftsmäßigen Anbietern Name, Anschrift, eine E-Mail-Adresse, bei Firmen Rechtsform, Vertretungsberechtigte, Registerangaben und die Umsatzsteuer-ID — „leicht erkennbar, unmittelbar erreichbar und ständig verfügbar“, also von jeder Seite aus verlinkt. Das DDG hat am 14. Mai 2024 das alte Telemediengesetz abgelöst; Verweise auf „§ 5 TMG“ sind veraltet, inhaltlich hat sich aber wenig geändert. Ein fehlendes oder unvollständiges Impressum ist ein Wettbewerbsverstoß und wird abgemahnt. Fix: Angaben vollständig eintragen, Link im Footer. Aufwand: 30 Minuten.

Foto: motleypixel (CC BY 2.0)

3. Datenschutzerklärung

Art. 13 DSGVO schreibt vor, was Besucher erfahren müssen: wer verantwortlich ist, welche Daten zu welchem Zweck auf welcher Rechtsgrundlage verarbeitet werden, wer sie bekommt, wie lange sie gespeichert bleiben und welche Rechte Betroffene haben (Auskunft, Löschung, Beschwerde bei der Aufsichtsbehörde). Das Problem in der Praxis ist selten das Fehlen, sondern der Inhalt: Eine Erklärung, die Google Analytics beschreibt, obwohl gar keines läuft — oder das Kontaktformular verschweigt, das sehr wohl läuft. Fix: Zuerst inventarisieren, was die Seite tut, dann die Erklärung danach schreiben. Aufwand: ein halber Tag.

4. Verschlüsselung (https)

Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen“ — und nennt die Verschlüsselung ausdrücklich. Ein Kontaktformular über unverschlüsseltes http schickt Namen und Nachrichten im Klartext durchs Netz; das ist heute nicht mehr vertretbar. Das BSI empfiehlt TLS 1.2 oder neuer (TR-02102-2). Fix: Zertifikat aktivieren — bei fast allen Hostern ein Klick, Let’s Encrypt ist kostenlos — und http dauerhaft auf https umleiten. Aufwand: 30 Minuten.

5. Kontaktformular

Ein Formular ist Datenverarbeitung: Rechtsgrundlage ist die Anbahnung eines Vertrags (Art. 6 Abs. 1 lit. b) oder das berechtigte Interesse (lit. f), die Datenschutzerklärung muss es beschreiben, und ein kurzer Hinweis am Formular selbst gehört zum guten Ton. Pflichtfelder nur, wo sie einen Zweck haben — eine Telefonnummer braucht niemand, um eine E-Mail zu beantworten. Anfragen, die erledigt sind, werden gelöscht, nicht gesammelt. Fix: Hinweis ergänzen, Pflichtfelder prüfen, Löschroutine festlegen. Aufwand: 30 Minuten.

6. Statistik und Analyse

Entscheidend ist § 25 TDDDG: Wer Informationen auf dem Endgerät speichert oder ausliest — Cookies, Local Storage, Fingerprinting — braucht dafür eine Einwilligung, es sei denn, es ist „unbedingt erforderlich“ für den gewünschten Dienst (Abs. 2 Nr. 2). Reichweitenmessung ist nie unbedingt erforderlich. Google Analytics setzt Cookies und ist damit einwilligungspflichtig; vor dem Klick darf nichts laden. Selbst gehostete, cookielose Werkzeuge kommen ohne Banner aus, brauchen aber weiterhin eine DSGVO-Rechtsgrundlage und einen Absatz in der Erklärung. Fix: Werkzeug prüfen oder wechseln. Aufwand: ein halber Tag.

Foto: Image Catalog (CC0 1.0)

7. Cookie-Banner — drei Mythen

Mythos 1: „Jede Seite braucht ein Banner.“ Nein — nur, wer einwilligungspflichtige Dinge speichert oder ausliest (§ 25 TDDDG). Mythos 2: „Ein Banner macht Tracking legal.“ Nur, wenn vor der Einwilligung tatsächlich nichts geladen wird und „Ablehnen“ so leicht ist wie „Akzeptieren“ — die Datenschutzkonferenz beschreibt das in ihrer Orientierungshilfe Telemedien. Mythos 3: „Ein Banner schadet nicht.“ Doch: Es kostet Besucher, und ein Banner, das nach Cookies fragt, die es nicht gibt, belegt, dass niemand weiß, was die Seite tut. Fix: Erst Inventur, dann entscheiden. Die Entscheidungstabelle weiter unten hilft.

8. Karten, Videos, Social Media — Zwei-Klick-Lösung

Ein eingebettetes YouTube-Video oder eine Google-Maps-Karte baut beim Laden der Seite Verbindungen zum Anbieter auf und setzt in der Regel Cookies — bevor der Besucher irgendetwas angeklickt hat. Der EuGH hat 2019 im Fall „Fashion ID“ (C-40/17) entschieden, dass der Seitenbetreiber für diese Datenerhebung gemeinsam mit dem Anbieter verantwortlich ist. Fix: Zwei-Klick-Lösung — zuerst ein Platzhalterbild mit Hinweis, erst nach Klick lädt das Original. Für YouTube gibt es zusätzlich den „nocookie“-Einbettungsmodus, für Karten Alternativen wie OpenStreetMap-Auszüge als statisches Bild. Aufwand: halber Tag; bei Baukästen oft ein Schalter.

9. Newsletter

Werbung per E-Mail ohne vorherige ausdrückliche Einwilligung ist nach § 7 Abs. 2 Nr. 2 UWG unzumutbar belästigend — und damit abmahnfähig. Die Einwilligung müssen Sie beweisen können; der BGH hat dafür das Double-Opt-in-Verfahren (Bestätigungsmail mit Link) als Standard beschrieben (Urteil vom 10.02.2011, I ZR 164/09). Jede Mail braucht einen funktionierenden Abmeldelink. Fix: Double-Opt-in aktivieren, Anmeldeprotokoll aufbewahren, Altbestand ohne Nachweis nicht mehr anschreiben. Aufwand: ein halber Tag.

10. Auftragsverarbeitungsvertrag (AVV)

Ihr Hoster, Ihr Newsletter-Dienst, Ihr Formular-Anbieter verarbeiten Daten in Ihrem Auftrag. Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag mit festgelegtem Inhalt; er darf elektronisch geschlossen werden (Abs. 9). Bei praktisch allen seriösen Anbietern liegt er im Kundenkonto zur Annahme bereit. Fehlt er, ist das ein Verstoß, der bei einer Prüfung als Erstes auffällt. Fix: Im Kundenkonto annehmen, Kopie ablegen. Aufwand: 30 Minuten je Dienst.

11. Logfiles

Jeder Webserver protokolliert Zugriffe samt IP-Adresse. Das ist zur Abwehr von Angriffen zulässig (Art. 6 Abs. 1 lit. f DSGVO), aber der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e) verlangt eine Frist. Eine gesetzliche Zahl gibt es nicht; in der Praxis haben sich sieben bis vierzehn Tage etabliert, danach wird gelöscht oder anonymisiert. Wichtig ist, dass Sie die Frist kennen und in der Datenschutzerklärung nennen. Fix: Beim Hoster nachsehen oder einstellen. Aufwand: 30 Minuten.

12. Backups

Art. 32 Abs. 1 lit. c DSGVO verlangt „die Fähigkeit, die Verfügbarkeit der personenbezogenen Daten … bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen“. Datenschutz ist also nicht nur Vertraulichkeit, sondern auch Verfügbarkeit. Ein Backup, aus dem noch nie zurückgespielt wurde, ist eine Hoffnung, kein Backup. Fix: Automatische Sicherung beim Hoster aktivieren, einmal testweise wiederherstellen, Termin für die nächste Probe eintragen. Aufwand: ein halber Tag. Vertiefung: unser Backup-Planer.

Der Kontrollverlust über die eigenen Daten kann als solcher ein Schaden sein — auch ohne weitere spürbare Folgen.Sinngemäß nach BGH, Urteil vom 18.11.2024, VI ZR 10/24 (Facebook-Scraping), im Anschluss an die Rechtsprechung des EuGH zu Art. 82 DSGVO

Google Fonts: das Urteil des LG München I und die Abmahnwelle

Foto: Visual Content (CC BY 2.0)

Am 20. Januar 2022 verurteilte das Landgericht München I (Az. 3 O 17493/20) einen Websitebetreiber zur Unterlassung und zu 100 € Schadenersatz, weil seine Seite Google Fonts dynamisch von Googles Servern lud und so die IP-Adresse des Klägers ohne Einwilligung übermittelte. Das Gericht stützte sich auf Art. 82 Abs. 1 DSGVO und verwies darauf, dass die Schriften genauso gut lokal eingebunden werden könnten. Das Urteil wurde am 10. März 2022 rechtskräftig.

Im Herbst 2022 folgte, was man kommen sah: Massenhaft verschickte Schreiben forderten von Seitenbetreibern Beträge um 170 € unter Verweis auf das Urteil. Am 21. Dezember 2022 durchsuchte die Staatsanwaltschaft Berlin Räume eines Anwalts und seines Mandanten; der Vorwurf lautete auf versuchten Abmahnbetrug und versuchte Erpressung in mindestens 2.418 Fällen, Vermögen von 346.000 € wurde arrestiert. Zivilgerichte wiesen die Ansprüche zurück — das LG München I stellte am 30. März 2023 (Az. 4 O 13063/22) fest, dass dem Abmahner weder Schmerzensgeld noch Unterlassung zustand, weil die Websites automatisiert und provoziert aufgerufen wurden.

Was daraus folgt: Der Verstoß ist real, das Urteil gilt, und 100 € für einen einzelnen Besucher sind die Größenordnung, die auch der BGH 2024 für einen bloßen Kontrollverlust genannt hat. Gleichzeitig hat die Abmahnindustrie vor Gericht verloren, weil sie keine echten Betroffenen hatte. Für Sie als Betreiber ändert das nichts an der Aufgabe: Schriften selbst hosten — dann gibt es weder Kläger noch Abmahner.

Brauche ich ein Cookie-Banner? Die Entscheidungstabelle

Die Frage ist nicht „Habe ich Cookies?“, sondern „Speichere oder lese ich etwas auf dem Endgerät, das nicht unbedingt erforderlich ist?“ (§ 25 TDDDG). Und getrennt davon: „Habe ich für jede Datenverarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO?“ Beides sind eigene Prüfungen.

Faustregel: Wenn in der Spalte „Einwilligung nötig“ nirgends ein „ja“ steht, brauchen Sie kein Banner — ein Link zur Datenschutzerklärung reicht.

Abmahnung, Bußgeld, Schadenersatz — was realistisch droht

Bußgelder verhängen die Aufsichtsbehörden nach Art. 83 DSGVO, theoretisch bis 20 Mio. € oder 4 % des weltweiten Umsatzes. Die Rekordsummen im CMS Enforcement Tracker (Meta: 1,2 Mrd. €, Mai 2023) betreffen Konzerne. Gegen kleine Betriebe sind Bußgelder selten und dann klein; die LDI NRW etwa bewegte sich 2025 bei allen verhängten Geldbußen gegen Unternehmen zusammen „nahe an der Marke von einer halben Million Euro“. Realistischer ist die Verwarnung mit Anordnung — und die Beschwerde eines verärgerten Besuchers, die sie auslöst: 12.592 Beschwerden zählte allein NRW im Jahr 2025, die BfDI bundesweit 11.824 Beschwerden und Anfragen.

Abmahnungen durch Mitbewerber sind seit dem EuGH-Urteil „Lindenapotheke“ (04.10.2024, C-21/23) grundsätzlich zulässig — aber teuer werden sie für kleine Unternehmen kaum: § 13 Abs. 4 Nr. 2 UWG schließt seit dem 2. Dezember 2020 den Ersatz der Abmahnkosten aus, wenn ein Mitbewerber Verstöße gegen DSGVO oder BDSG durch Unternehmen mit weniger als 250 Mitarbeitern abmahnt. Gleiches gilt nach Nr. 1 für Verstöße gegen Informations- und Kennzeichnungspflichten im elektronischen Geschäftsverkehr — also etwa das Impressum. Das schützt nicht vor der Unterlassungspflicht selbst, und Verbände (§ 8 Abs. 3 Nr. 2 bis 4 UWG) sind vom Ausschluss nicht erfasst. Bei einer Abmahnung deshalb: Fristen notieren, den Mangel sofort beheben, anwaltlich prüfen lassen, nichts vorschnell unterschreiben.

Schadenersatz nach Art. 82 DSGVO kann jeder Betroffene verlangen. Der EuGH hat klargestellt, dass es keine Bagatellgrenze gibt, ein Schaden aber nachgewiesen werden muss (04.05.2023, C-300/21). Der BGH hat 2024 den bloßen, kurzzeitigen Kontrollverlust über Daten als Schaden anerkannt und für den Facebook-Scraping-Fall 100 € als angemessen bezeichnet (18.11.2024, VI ZR 10/24). Das ist die Größenordnung: dreistellig pro Betroffenem, nicht fünfstellig — solange keine wirklich sensiblen Daten betroffen sind.

In fünf Schritten sauber

Was der Check nicht sieht

Der Check wertet nur Ihre Antworten aus. Er kann nicht erkennen, was ein Plugin im Hintergrund nachlädt, ob ein Tracking-Pixel in der Fußzeile steckt oder ob Ihr Newsletter-Dienst Daten in ein Drittland überträgt. Er behandelt auch nicht, was neben der Website noch zur DSGVO gehört: das Verzeichnis der Verarbeitungstätigkeiten (Art. 30), die Meldung einer Datenpanne binnen 72 Stunden (Art. 33), Auskunftsersuchen (Art. 15), Beschäftigtendaten, Kundenlisten in Excel und die Frage, wer im Betrieb überhaupt Zugriff auf was hat. Wenn Sie bei einer Frage „Weiß ich nicht“ angekreuzt haben, ist das die wichtigste Erkenntnis des Tages: Dann weiß niemand im Haus, was die Website tut — und das ist der erste Punkt auf der Liste.

FAQ

Häufige Fragen

Weitere Werkzeuge von machichdigital