Websites sind das öffentlichste Datenschutz-Dokument eines Unternehmens: Jeder Fehler ist von außen sichtbar, automatisiert auffindbar — und damit das Lieblingsziel von Abmahnschreiben und Beschwerden. Das Ärgerliche daran: Es sind seit Jahren dieselben Fehler. Wir scannen Websites in jeder Bestandsaufnahme; hier sind die Klassiker, sortiert nach Häufigkeit.
1. Extern eingebundene Ressourcen, allen voran Google Fonts
Seit dem Münchner Urteil von 2022 ist die dynamische Einbindung von Google Fonts der bekannteste Fall: Beim Seitenaufruf geht die IP-Adresse des Besuchers ungefragt an Google-Server. Die Lösung ist trivial — Schriften lokal hosten — und trotzdem finden wir den Fehler laufend, gern über eingekaufte Themes und Page-Builder eingeschleppt. Dasselbe Muster gilt für CDN-Skripte, extern geladene Icons und YouTube-Embeds ohne Zwei-Klick-Lösung bzw. Privacy-Modus.
2. Tracking feuert vor der Einwilligung
Der Consent-Banner ist da, aber Analytics, Pixel und Tag-Manager laden trotzdem sofort — der häufigste technische Befund überhaupt. Nach § 25 TDDDG braucht das Speichern und Auslesen auf dem Endgerät (Cookies, Fingerprinting, LocalStorage) die vorherige Einwilligung, soweit es nicht technisch zwingend ist. Der Test dauert zwei Minuten: Seite im privaten Fenster öffnen, nichts anklicken, Netzwerk-Tab ansehen. Was da schon an Dritte funkt, ist das Problem.
3. Consent-Banner mit Schlagseite
„Alle akzeptieren” in Leuchtfarbe, „Ablehnen” im Fließtext versteckt oder erst auf Ebene zwei — solche Dark Patterns machen die Einwilligung unwirksam, denn sie muss freiwillig und so einfach zu verweigern wie zu erteilen sein. Die Faustregel ist simpel: Ablehnen muss auf derselben Ebene und gleich bequem sein wie Zustimmen. Alles andere sammelt Einwilligungen, die im Streitfall nichts wert sind.
Der Fünf-Minuten-Selbsttest: ① Privates Fenster, Netzwerk-Tab: Drittanbieter-Requests vor dem Klick? ② Banner: Gibt es „Ablehnen” auf Ebene eins? ③ Quelltext: Schriften von fonts.googleapis.com? ④ Datenschutzerklärung: Stimmen die genannten Tools mit den tatsächlich ladenden überein? ⑤ Impressum/Erklärung von jeder Seite in einem Klick erreichbar? Fünfmal sauber = solide Basis.
4. Die Datenschutzerklärung als Museum
Tools kommen und gehen, die Erklärung bleibt: Da wird ein Analytics beschrieben, das längst abgeschaltet ist, während der neue Chat-Widget-Anbieter fehlt. Die Erklärung muss die tatsächliche Verarbeitung abbilden — deshalb gehört jeder Website-Umbau mit neuen Diensten auch in Verarbeitungsverzeichnis und Erklärung.
Unsere Haltung: Datensparsamkeit ist die beste Verteidigung
Der robusteste Weg ist, Einwilligungsbedarf gar nicht erst entstehen zu lassen: lokal gehostete Schriften, cookielose Reichweitenmessung, keine Tracking-Pixel ohne echten Nutzen. Unsere eigenen Portale fahren genau diese Linie — schnell, ohne Tracking-Wildwuchs, entwickelt von unserer Web-Entwicklung, geprüft vom Datenschutz-Team. Beides aus einer Hand erspart die üblichen Reibungsverluste zwischen Agentur und Datenschutzbeauftragtem.
Fazit
Website-Datenschutz ist kein Hexenwerk, sondern Handwerk: lokale Ressourcen, Consent vor Tracking, ein ehrlicher Banner, eine aktuelle Erklärung. Der Fünf-Minuten-Selbsttest oben zeigt, wo Sie stehen — und wer dabei Befunde sammelt, weiß, was ins nächste Sprint-Backlog gehört.