„Wir haben doch ein Cookie-Banner, also sind wir DSGVO-konform“ — dieser Irrglaube begegnet uns bei Website-Prüfungen ständig. Die Realität ist komplexer: Ein Cookie-Banner allein reicht nicht annähernd, und viele lokale Unternehmen tragen unbemerkt reale Abmahnrisiken auf ihrer Website mit sich herum.
Dieser Leitfaden zeigt die häufigsten Stolperfallen — und wie Sie sie systematisch beheben, ohne sich in Paragrafen zu verlieren.
1. Das Kontaktformular: Klassiker unter den Fehlerquellen
Ein Kontaktformular verarbeitet personenbezogene Daten — damit greift automatisch die DSGVO. Viele Formulare erfüllen die Grundanforderungen trotzdem nicht vollständig.
- Ein Hinweis auf die Datenschutzerklärung direkt am Formular, nicht nur im Footer versteckt
- Nur wirklich notwendige Felder als Pflichtfelder markieren (Datensparsamkeit)
- Verschlüsselte Übertragung per HTTPS — ohne Ausnahme
- Klare Angabe, wie lange die Daten gespeichert und wofür sie genutzt werden
2. Cookie-Consent: Vorher laden ist der häufigste Fehler
Ein Cookie-Banner allein reicht nicht — entscheidend ist, was technisch vor der Einwilligung passiert. Wenn Google Analytics, Facebook-Pixel oder eingebettete YouTube-Videos bereits beim Seitenaufruf laden, bevor der Nutzer zugestimmt hat, ist das ein klarer Verstoß, unabhängig davon, wie professionell das Banner aussieht.
- Nicht-essenzielle Skripte dürfen erst nach aktiver Zustimmung laden
- „Ablehnen“ muss genauso einfach erreichbar sein wie „Akzeptieren“
- Einwilligung muss granular möglich sein (nicht nur Alles-oder-nichts)
- Widerruf der Einwilligung muss jederzeit genauso einfach sein wie die Erteilung
3. Externe Einbindungen: Google Fonts, Maps & Co.
Ein Klassiker mit realer Abmahnhistorie: extern eingebundene Google Fonts, die bei jedem Seitenaufruf die IP-Adresse des Besuchers an Google-Server übertragen — ohne Einwilligung ein Datenschutzverstoß. Dasselbe Prinzip gilt für eingebettete Google Maps, YouTube-Videos oder Social-Media-Widgets.
Die pragmatischste Lösung: Schriftarten lokal auf dem eigenen Server hosten statt extern von Google laden, und Karten oder Videos erst nach Zustimmung oder als datenschutzfreundliche Vorschau-Variante einbinden.
4. Datenschutzerklärung: Vollständig und aktuell
Eine Datenschutzerklärung, die vor zwei Jahren erstellt und seither nie angepasst wurde, spiegelt selten noch den tatsächlichen Stand der eingesetzten Tools wider. Jedes neue Analyse-Tool, jeder neue Newsletter-Anbieter, jedes neue Plugin mit Datenverarbeitung gehört dort aufgenommen.
- Alle eingesetzten Tools und Dienstleister vollständig auflisten
- Rechtsgrundlage für jede Datenverarbeitung benennen
- Kontaktdaten für Auskunfts- und Löschungsanfragen aktuell halten
- Bei Änderungen an eingesetzten Tools die Erklärung zeitnah aktualisieren
5. Auftragsverarbeitung: Der oft vergessene Baustein
Wer Hosting-Anbieter, E-Mail-Marketing-Tools oder externe Buchhaltungssoftware nutzt, gibt personenbezogene Daten an Dritte weiter — und braucht dafür einen Auftragsverarbeitungsvertrag (AVV). Ohne AVV mit dem Hoster ist bereits die Grundlage jeder Website-Nutzung formal lückenhaft.
Die meisten seriösen Anbieter stellen AVVs standardisiert zum Download bereit — der Aufwand liegt meist nur darin, sie tatsächlich abzuschließen und zu archivieren.
Fazit: Datenschutz ist ein Prozess, kein einmaliges Projekt
DSGVO-Konformität ist selten eine einzelne große Baustelle, sondern eine Summe kleinerer, gut lösbarer Punkte. Wer sie systematisch durchgeht, senkt reale Abmahnrisiken und schafft nebenbei mehr Vertrauen bei den eigenen Kunden.
Unser kostenloser SEO & KI-Check prüft auch zentrale DSGVO-Kriterien Ihrer Website — von Cookie-Vorabladung bis externen Einbindungen — und liefert Ihnen einen klaren Report mit den wichtigsten Handlungsempfehlungen.
