Datenschutz auf einer Unternehmenswebsite fällt selten als ein großes Problem auf. Er fällt in Einzelteilen auf: ein Formular, das an ein privates Postfach weiterleitet. Eine Karte, die lädt, bevor irgendjemand gefragt wurde. Eine Datenschutzerklärung, die ein Werkzeug beschreibt, das seit zwei Jahren nicht mehr eingebunden ist. Jeder dieser Punkte ist für sich klein und in einer Stunde geklärt — solange man weiß, dass es ihn gibt.
Diese Liste ist deshalb nach der Reihenfolge sortiert, in der die Punkte in Projekten tatsächlich Ärger machen, nicht nach Paragraphen. Sie ersetzt keine Prüfung. Sie sorgt dafür, dass Sie mit einer konkreten Liste in das Gespräch mit Ihrer Rechtsberatung gehen statt mit der Frage ‚passt das so?‘.
Die Datenschutzerklärung und was sie tatsächlich beschreiben muss
Eine Datenschutzerklärung ist kein Textbaustein, den man einmal einsetzt und dann vergisst. Sie ist eine Beschreibung dessen, was auf Ihrer Website wirklich passiert. Der häufigste Mangel ist deshalb auch kein Formulierungsfehler, sondern eine Abweichung: Der Text beschreibt einen Zustand, den es auf der Seite nicht mehr oder noch nie gab.
Das passiert auf zwei Wegen. Entweder stammt der Text aus einem Generator und listet Dienste auf, die nie eingebunden waren. Oder er ist mit der Seite nicht mitgewachsen: Ein Terminbuchungs-Werkzeug kam dazu, ein Newsletter, ein Chat-Fenster — und der Text blieb, wie er war. Beides führt zur selben Situation. Die Erklärung erklärt etwas anderes, als die Website tut.
- Wer verantwortlich ist, mit ladungsfähiger Anschrift — dieselben Angaben wie im Impressum, nicht abweichend
- Welche Daten schon beim bloßen Aufruf der Seite anfallen und was der Server davon protokolliert
- Jedes Werkzeug, das auf der Seite läuft, einzeln benannt: Formular, Statistik, Karten, Videos, Schriften, Terminbuchung, Chat, Newsletter
- Zu welchem Zweck die Daten jeweils verarbeitet werden und auf welcher Rechtsgrundlage
- Wie lange gespeichert wird, oder nach welchem Kriterium gelöscht wird
- Ob Daten an Dritte weitergegeben werden oder in Länder außerhalb der EU gehen
- Die Rechte der Betroffenen und wie man sie bei Ihnen konkret ausübt — eine Adresse, an die man schreiben kann
Der praktische Einstieg ist deshalb nicht der Text, sondern eine Inventarliste. Öffnen Sie Ihre Startseite, eine Unterseite und die Kontaktseite und notieren Sie jedes fremde Skript, das dabei geladen wird. Diese Liste ist das, was Ihre Rechtsberatung braucht. Ohne sie kann auch eine gute Kanzlei nur das aufschreiben, was üblich ist.
Das Kontaktformular: drei Fragen, die selten jemand stellt
Ein Kontaktformular ist der Punkt, an dem eine Website zum ersten Mal aktiv Daten erhebt, die eine bestimmte Person betreffen. Drei Fragen dazu werden selten gestellt und sind selten schwer zu beantworten.
- Was wird erhoben? Jedes Pflichtfeld sollte für die Beantwortung nötig sein. Ein Telefonfeld ist in Ordnung — als Pflichtfeld ist es begründungsbedürftig, wenn Sie ohnehin per E-Mail antworten.
- Wohin geht es? Formulare verschicken die Anfrage per E-Mail, speichern sie zusätzlich in der Website-Datenbank, oder beides. Die Kopie in der Datenbank wird regelmäßig vergessen und läuft jahrelang voll.
- Wie lange bleibt es liegen? Anfragen, aus denen nie ein Auftrag wurde, brauchen kein dauerhaftes Zuhause. Eine Frist, die Sie tatsächlich einhalten, ist wertvoller als eine kurze, die niemand umsetzt.
Zwei technische Punkte gehören dazu, weil sie leicht übersehen werden. Erstens: Wenn das Formular an eine E-Mail-Adresse geht, ist das Postfach Teil derselben Frage — eine geschäftliche Adresse, kein privates Konto, das nebenbei mitgelesen wird. Zweitens: Ein Spam-Schutz, ein Kartenausschnitt neben dem Formular oder ein eingebauter Terminkalender ist jeweils ein weiterer Dienst und gehört in die Inventarliste, auch wenn er im Backend nur nach zwei Zeilen Code aussieht.
Einwilligung vor dem Laden, nicht danach
Der Begriff Cookie-Banner ist irreführend, weil er das Sichtbare beschreibt und nicht das Entscheidende. Entscheidend ist, was im Hintergrund passiert, während der Hinweis noch auf dem Bildschirm steht. Ein Hinweis, der nur informiert — etwa „Diese Seite verwendet Cookies. OK“ — ist eine Mitteilung und keine Einwilligung. Und ein Auswahlfenster, das erscheint, nachdem die Statistik bereits gestartet ist, ändert an der Verarbeitung nichts mehr.
Die Reihenfolge ist der ganze Punkt:
- Die Seite lädt vollständig, ohne dass ein nicht notwendiges Skript startet.
- Der Hinweis erscheint und benennt in verständlicher Sprache, wofür eingewilligt werden soll — nicht „für ein besseres Erlebnis“.
- Ablehnen ist genauso einfach wie Zustimmen: gleiche Ebene, gleich sichtbar, ein Klick gegen einen Klick. Nicht ein farbiger Knopf gegen einen grauen Link in einem Untermenü.
- Die Zustimmung erfolgt aktiv. Keine vorangekreuzten Kästchen, kein „Wer weitersurft, stimmt zu“.
- Erst nach der Zustimmung wird das jeweilige Skript geladen — und nur das, wofür zugestimmt wurde.
- Die Entscheidung wird dokumentiert: was, wann und in welcher Fassung des Hinweises.
- Der Widerruf ist jederzeit möglich und genauso leicht wie die Zustimmung — dauerhaft erreichbar, nicht nur beim ersten Besuch.
- Wer ablehnt, kann die Seite normal benutzen. Inhalte hinter einer Zustimmung zu verstecken, ist eine eigene Rechtsfrage.
Der wirksamste Test dauert eine Minute. Öffnen Sie Ihre Seite in einem frischen Browserfenster, öffnen Sie die Entwicklerwerkzeuge und sehen Sie sich an, welche fremden Adressen kontaktiert werden, bevor Sie irgendetwas angeklickt haben. Was dort erscheint, läuft ohne Einwilligung. Diese Liste sollte kurz sein und im Wesentlichen Ihren eigenen Server enthalten.
Statistik-Werkzeuge: erst die Frage, dann das Werkzeug
Bei Statistik-Werkzeugen lohnt sich eine Frage vor der Technik: Welche Entscheidung treffen Sie mit dieser Zahl? Viele kleine Websites messen Besucherzahlen, ohne dass daraus jemals etwas folgt. Ein Werkzeug, dessen Ergebnisse niemand liest, ist der einfachste Punkt auf jeder Liste — es wird entfernt, und die halbe Diskussion entfällt mit ihm.
Wenn gemessen werden soll, verändert die Einwilligung den Charakter der Zahlen, und das sollte man vorher wissen. Sobald ein Teil der Besucher ablehnt, sind die Zahlen unvollständig. Sie taugen dann für Verläufe und Vergleiche über die Zeit, nicht mehr als Zählung aller Besucher. Wer das nicht einkalkuliert, wundert sich über einen Einbruch, der in Wahrheit nur eine geänderte Messgrundlage ist. Es gibt außerdem Werkzeuge, die anders arbeiten und weniger Daten über einzelne Personen sammeln — ob eines davon in Ihrem Fall ohne Einwilligung eingesetzt werden darf, ist wieder eine Rechtsfrage und keine technische.
Eingebettete Inhalte: Karten, Videos, Schriften
Fremde Inhalte im eigenen Layout sind der Punkt, an dem die meisten sonst sorgfältigen Seiten auffallen. Der Grund ist bauartbedingt: Eine Einbettung ist ein Verbindungsaufbau zu einem fremden Server, und dieser Aufbau passiert beim Laden der Seite — also bevor der Besucher irgendetwas entschieden hat.
- Kartendienste auf der Kontaktseite
- Videoeinbettungen von Videoplattformen
- Schriften, die von einem fremden Server nachgeladen werden statt vom eigenen
- Bewertungs-Widgets, Terminbuchungen, Chat-Fenster, Social-Media-Feeds
- Zählpixel aus Werbekonten, die einmal für eine Kampagne eingebaut und nie wieder entfernt wurden
Für die meisten dieser Fälle gibt es eine technische Antwort, die die Rechtsfrage entschärft, statt sie beantworten zu müssen. Schriften lassen sich mitliefern statt nachladen, was ohnehin schneller ist. Eine Karte kann durch ein Bild mit Adresse und einen Link ersetzt werden; wer wirklich navigieren will, klickt und landet beim Kartendienst, bei dem er ohnehin gelandet wäre. Videos lassen sich mit einer Vorschau versehen, die erst auf Klick lädt. Beim Relaunch unserer eigenen Website im August 2026 haben wir genau so gearbeitet: Schriften liegen auf dem eigenen Server, und was niemand braucht, ist gar nicht erst eingebaut.
Verträge mit Dienstleistern und die Übertragung selbst
Sobald ein Dienstleister Daten für Sie verarbeitet — der Hoster, ein Newsletter-Anbieter, ein Terminwerkzeug, eine Backup-Lösung — steht in aller Regel ein Auftragsverarbeitungsvertrag dahinter. Bei den meisten Anbietern ist er im Konto abrufbar oder Teil der Bedingungen und muss nur einmal aktiv abgeschlossen und dann abgelegt werden. Das ist ein Verwaltungsvorgang von zwanzig Minuten, der fast ausschließlich deshalb offen bleibt, weil ihn niemand auf seiner Liste hat.
Führen Sie diese Verträge an einer Stelle zusammen: ein Ordner, eine Liste, ein Datum. Dieselbe Übersicht beantwortet später die Frage, welche Dienste überhaupt laufen, und ist damit auch die Grundlage für die Datenschutzerklärung. Zur Übertragung selbst: Eine Website ohne Verschlüsselung ist heute nicht mehr üblich. Ein Zertifikat gehört bei praktisch jedem Hoster zum Paket, wird automatisch erneuert und ist der einzige Punkt dieser Liste, der sich vollständig technisch erledigen lässt. Prüfen Sie zusätzlich, dass die unverschlüsselte Adresse auf die verschlüsselte Fassung umgeleitet wird und dass keine einzelne Datei — ein Bild, ein Skript — daneben unverschlüsselt nachgeladen wird.
Wer worüber entscheidet
| Bereich | Was zu prüfen ist | Wer entscheidet |
|---|---|---|
| Datenschutzerklärung | Beschreibt sie die Werkzeuge, die heute tatsächlich laufen — vollständig und ohne Reste aus früheren Fassungen | Rechtsberatung oder Datenschutzbeauftragter formuliert und bewertet. Sie liefern die Liste der Werkzeuge |
| Kontaktformular | Pflichtfelder, Empfänger, zusätzlicher Speicherort in der Datenbank, Löschfrist | Sie entscheiden, welche Angaben Sie fachlich brauchen. Rechtsgrundlage und Frist gehören in die rechtliche Prüfung |
| Einwilligung | Lädt vor der Zustimmung nichts, was zustimmungspflichtig ist, und wirkt eine Ablehnung technisch | Ob eine Einwilligung nötig ist: Rechtsberatung. Dass sie technisch funktioniert: Webdesigner |
| Statistik-Werkzeuge | Wird die Zahl je für eine Entscheidung benutzt, und wie ist das Werkzeug konfiguriert | Sie entscheiden über den Einsatz. Konfiguration und Vertrag gehören in die rechtliche Prüfung |
| Eingebettete Inhalte | Welche fremden Server werden beim Laden kontaktiert, bevor jemand etwas angeklickt hat | Webdesigner erhebt die Liste und baut um. Die Bewertung der einzelnen Einbindung ist rechtlich |
| Verträge mit Dienstleistern | Liegt für jeden eingesetzten Dienst ein abgeschlossener Auftragsverarbeitungsvertrag vor | Sie schließen ihn ab. Ob er inhaltlich genügt, ist eine rechtliche Frage |
| Übertragung | Gültiges Zertifikat, Umleitung auf die verschlüsselte Fassung, keine unverschlüsselten Nachladungen | Webdesigner und Hoster — der einzige Bereich, der sich technisch abschließend lösen lässt |
Die dritte Spalte ist der eigentliche Inhalt dieser Tabelle. Fast jede Zeile hat einen technischen und einen rechtlichen Anteil, und die häufigste Ursache für einen jahrelang offenen Punkt ist nicht Nachlässigkeit, sondern eine Annahme: Beide Seiten gehen davon aus, die andere kümmere sich darum.
Was ein Webdesigner hier leisten kann und was nicht
Es gehört zur Ehrlichkeit dieses Themas, die Grenze klar zu ziehen, gerade weil sie in Angeboten regelmäßig verwischt wird. Was wir übernehmen, ist die technische Seite:
- Wir bauen die Einwilligungsabfrage so ein, dass sie tatsächlich vorgeschaltet ist und eine Ablehnung technisch wirkt
- Wir liefern die vollständige Liste der Dienste, die auf Ihrer Seite laufen — das ist die Grundlage jeder Prüfung
- Wir liefern Schriften vom eigenen Server aus, ersetzen Einbettungen durch Varianten, die erst auf Klick laden, und entfernen, was niemand mehr braucht
- Wir richten Formulare so ein, dass nachvollziehbar ist, wohin eine Anfrage geht und was zusätzlich gespeichert wird
- Wir sorgen für Verschlüsselung und eine saubere Umleitung auf die verschlüsselte Adresse
Was wir nicht tun: rechtliche Texte schreiben oder bewerten. Wir sagen Ihnen nicht, ob Ihre Datenschutzerklärung ausreicht, ob ein bestimmter Dienst bei Ihnen einwilligungspflichtig ist oder welche Löschfrist für Ihre Anfragen die richtige ist. Das ist keine Bescheidenheit, sondern eine Zuständigkeitsfrage. Diese Bewertung hängt an Ihrem Geschäft, Ihren Daten und Ihrem Fall, und sie muss jemand verantworten, der dafür ausgebildet und versichert ist.
Kein Beitrag, kein Werkzeug und kein Dienstleister kann Ihnen zusagen, dass Ihre Website in Ordnung ist — und wer das zusagt, sollte Sie stutzig machen. Was Sie realistisch erreichen können, ist ein sauberer, dokumentierter Stand: Sie wissen, was auf Ihrer Seite läuft, Sie haben es aufgeschrieben, und Sie haben es einmal von jemandem prüfen lassen, der das beurteilen darf. Der Rest ist Pflege, und die besteht aus zwei Fragen bei jeder neuen Einbindung: Was lädt das, und steht es in der Erklärung?
Häufige Fragen zum Datenschutz auf der Website
Die Frage ist nicht, ob ein Banner da ist, sondern ob die Seite etwas lädt, wofür eine Einwilligung nötig ist. Eine Website ohne Statistik, ohne Werbepixel und ohne fremde Einbettungen kommt in vielen Fällen ohne Abfrage aus. Ob das für Ihre Seite zutrifft, hängt daran, was tatsächlich läuft, und ist rechtlich zu klären.
Ein Generator liefert eine brauchbare Grundstruktur, aber er kennt Ihre Website nicht. Er kann nur die Dienste beschreiben, die Sie ihm nennen, und ergänzt im Zweifel welche, die Sie gar nicht einsetzen. Ob das Ergebnis für Ihren Fall genügt, beurteilt eine Rechtsberatung oder Ihr Datenschutzbeauftragter, nicht das Werkzeug.
Dafür gibt es keine Zahl, die für alle stimmt: Es hängt davon ab, wozu Sie die Anfrage noch brauchen und ob geschäftliche Aufbewahrungspflichten daran hängen. Praktisch hilfreich ist zunächst, den Ist-Zustand zu kennen — viele Formulare legen zusätzlich eine Kopie in der Website-Datenbank ab, von der niemand weiß. Die Frist selbst legen Sie mit rechtlicher Beratung fest.
Das hängt an Ihrem Betrieb, nicht an Ihrer Website — unter anderem daran, wie viele Personen bei Ihnen regelmäßig mit personenbezogenen Daten arbeiten und was genau verarbeitet wird. Kleine Betriebe müssen häufig keinen benennen, dürfen sich aber beraten lassen. Klären Sie das mit einer Rechtsberatung; es ist keine Frage der Website-Technik.
Technisch ist die Ausgangslage immer dieselbe: Die Einbettung baut beim Laden der Seite eine Verbindung zu einem fremden Server auf, bevor der Besucher etwas entschieden hat. Ob das in Ihrem Fall zulässig ist oder eine Einwilligung braucht, ist eine Rechtsfrage. Häufig lässt sie sich umgehen — ein Bild mit der Adresse und ein Link, der erst auf Klick zum Kartendienst führt.
Nach dem Grundprinzip der Verordnung ist verantwortlich, wer über Zwecke und Mittel der Verarbeitung entscheidet; bei einer Unternehmenswebsite ist das in aller Regel der Betreiber. Der Dienstleister schuldet die vereinbarte Umsetzung, ersetzt damit aber keine rechtliche Prüfung. Wie es in Ihrem Vertragsverhältnis konkret aussieht, klärt eine Rechtsberatung — und genau deshalb ist die Aufgabenteilung aus der Tabelle oben mehr als Bürokratie.
Kostenloses Beratungsgespräch
Wir schauen uns Ihre Website vorab an und zeigen Ihnen die größten Hebel für mehr Anfragen.
