dsgvo 2026: was auf deiner website wirklich pflicht ist.
Datenschutz ist das Thema, bei dem viele Betriebe zwischen zwei Extremen pendeln: Entweder wird es komplett ignoriert, oder es entsteht Panik, weil jemand von einer Abmahnwelle gehört hat. Beides hilft nicht. Tatsächlich sind es ein paar wenige, immer gleiche Punkte, die Websites in Schwierigkeiten bringen – und die lassen sich an einem Nachmittag abarbeiten. In diesem Artikel gehen wir die vier häufigsten Abmahngründe durch, erklären, was beim Cookie-Banner tatsächlich verlangt wird, was mit Google Fonts los ist und was ein Kontaktformular braucht. Am Ende steht eine Checkliste zum Abhaken. Wichtig vorweg: Das hier ist die Sicht einer Agentur aus der Praxis, keine Rechtsberatung – im Zweifel gehört ein Fachanwalt dazu.
die vier abmahn-klassiker
Fast alles, was in der Praxis abgemahnt wird, fällt in vier Kategorien. Sie haben eines gemeinsam: Man kann sie automatisiert prüfen. Genau deshalb treffen sie auch kleine Betriebe.
- fehlendes oder unvollständiges impressum. Die Pflichtangaben stehen in § 5 DDG (dem Nachfolger des TMG). Häufigste Fehler: keine Umsatzsteuer-ID, keine Aufsichtsbehörde bei zulassungspflichtigen Berufen, keine ladungsfähige Anschrift.
- cookie-banner, das keine echte wahl lässt. Dazu unten mehr – der häufigste Fall ist ein Banner, bei dem "Ablehnen" versteckt oder gar nicht vorhanden ist.
- externe dienste ohne einwilligung. Google Fonts, Maps, YouTube-Einbettungen, Schriftarten von CDNs – alles, was beim Laden der Seite ungefragt Daten an Dritte schickt.
- formulare ohne verschlüsselung oder hinweis. Kontaktformular ohne HTTPS oder ohne Verweis auf die Datenschutzerklärung.
Dazu eine Regel, die oft übersehen wird: Impressum und Datenschutzerklärung müssen von jeder Unterseite in maximal zwei Klicks erreichbar sein. Ein Link nur auf der Startseite reicht nicht.
cookie-banner: ablehnen muss so einfach sein wie akzeptieren
Die rechtliche Grundlage für Cookies und ähnliche Techniken ist in Deutschland § 25 TDDDG. Kurz gefasst: Alles, was technisch nicht notwendig ist, darf erst nach aktiver Einwilligung geladen werden. Analyse, Marketing-Pixel, eingebettete Videos, externe Schriften – alles wartet, bis geklickt wurde.
Ein Banner ist dann in Ordnung, wenn:
- auf der ersten Ebene ein gleichwertiger "Ablehnen"-Button steht – gleiche Größe, gleiche Sichtbarkeit, nicht als grauer Text am Rand;
- nichts vorausgewählt ist. Vorangekreuzte Kästchen sind keine Einwilligung;
- vor der Entscheidung nichts geladen wird. Ein Banner, hinter dem das Tracking längst läuft, ist Dekoration;
- die Einwilligung widerrufbar ist – über einen dauerhaft erreichbaren Link oder ein kleines Symbol;
- dokumentiert wird, wer wann in was eingewilligt hat.
Und der ehrlichste Rat: Je weniger Dienste du einbindest, desto einfacher wird das Ganze. Jedes Tool, das du nicht auswertest, kannst du löschen – und sparst dir gleich mehrere Probleme.
der einfachste weg zu einem sauberen cookie-banner ist, weniger dienste einzubinden
google fonts und andere externe dienste
Der Klassiker seit der Abmahnwelle rund um das Landgericht München: Werden Google Fonts direkt von Google-Servern geladen, wandert die IP-Adresse des Besuchers ungefragt in die USA. Die rechtliche Bewertung ist inzwischen differenzierter – der Bundesgerichtshof hat die Frage 2025 dem Europäischen Gerichtshof vorgelegt, eine abschließende Entscheidung steht aus.
Für die Praxis ändert das wenig: Die saubere Lösung ist seit Jahren dieselbe und kostet fast nichts – Schriften lokal einbinden. Dann gibt es keine Übertragung, keine Einwilligung, keine Diskussion. Dasselbe Prinzip gilt für alles andere:
- Google Maps: erst nach Klick laden ("Karte laden"), nicht automatisch als iframe.
- YouTube und Vimeo: Zwei-Klick-Lösung oder Vorschaubild statt eingebettetem Player.
- Analyse-Tools: nur nach Einwilligung, IP-Anonymisierung aktiv, Auftragsverarbeitungsvertrag abgeschlossen.
- Social-Media-Buttons: als einfache Links statt als Plugins der Plattformen.
die checkliste in sieben schritten
- Impressum prüfen: vollständige Anschrift, Vertretungsberechtigte, Kontakt, Handelsregister, Umsatzsteuer-ID, bei Bedarf Aufsichtsbehörde und Kammer.
- Datenschutzerklärung auf den echten Stand deiner Website bringen – jedes tatsächlich eingesetzte Tool muss darin vorkommen, keins darf erfunden sein.
- Beide Seiten aus dem Footer verlinken, damit sie von jeder Unterseite erreichbar sind.
- HTTPS auf allen Seiten erzwingen und prüfen, ob wirklich alles umgeleitet wird.
- Im Browser mit den Entwicklerwerkzeugen nachsehen, welche externen Anfragen vor der Einwilligung rausgehen. Was dort auftaucht, gehört hinter das Banner oder lokal eingebunden.
- Cookie-Banner testen: Gibt es "Ablehnen" auf erster Ebene? Bleibt danach wirklich alles aus? Kann man widerrufen?
- Kontaktformular prüfen: Hinweis auf die Datenschutzerklärung, nur Pflichtfelder, die du brauchst, und ein Postfach, das jemand liest.
Wenn du unsicher bist, ob deine Konstellation sauber ist – etwa bei Bewerberdaten, Newsletter oder Shop –, lass einmal einen Fachanwalt drüberschauen. Das ist deutlich günstiger als eine Abmahnung.
fazit
Die Datenschutzpflichten einer normalen Unternehmens-Website sind überschaubar: vollständiges Impressum, ehrliche Datenschutzerklärung, ein Consent-Banner mit echter Wahl, keine externen Dienste vor der Einwilligung, Verschlüsselung überall. Wer das einmal sauber aufsetzt, hat danach Ruhe.
Wir setzen das bei unseren Website-Projekten von Anfang an so um – lokale Schriften, Consent-gesteuerte Einbindungen, saubere Formulare. Und wenn deine Seite ohnehin in die Jahre gekommen ist, lies vorher die sieben Anzeichen für einen Relaunch.
