Datenschutz auf der Betriebswebsite: Sechs Fehler, die oft vorkommen

Datenschutz klingt nach Papierkram. Auf einer Betriebswebsite ist er vor allem eine Frage der Technik: Welche Verbindungen baut die Seite auf, wenn jemand sie öffnet? Und was steht darüber in der Datenschutzerklärung? Wer das sauber beantworten kann, hat die meisten Risiken schon erledigt.

1. Schriften von Google laden

Viele Seiten binden Schriften wie „Roboto“ oder „Open Sans“ direkt von den Servern von Google ein. Dabei erfährt Google die IP-Adresse jedes Besuchers. Das Landgericht München I hat im Januar 2022 deshalb einem Besucher 100 Euro Schadensersatz zugesprochen (Az. 3 O 17493/20). Der Fall hat damals eine Welle von Abmahnungen ausgelöst.

Die Lösung ist einfach: Schriften auf dem eigenen Server speichern und von dort laden. Dann geht keine Verbindung nach außen.

2. Karten und Videos ohne Einwilligung

Eine eingebettete Google-Karte oder ein YouTube-Video verbindet den Besucher mit dem Anbieter, sobald die Seite lädt. Dafür braucht es in der Regel eine Einwilligung. Wer ehrlich ist, muss sich fragen, ob die Karte nötig ist. Meist reicht ein Link „Route planen“ oder ein Foto der Karte mit einem Knopf, der erst nach Klick lädt (sogenannte Zwei-Klick-Lösung).

3. Eine Datenschutzerklärung, die nicht zur Seite passt

Häufig ist die Erklärung aus einer Vorlage oder von der Seite eines Mitbewerbers kopiert. Sie nennt Dienste, die nicht laufen, oder verschweigt welche, die laufen. Beides ist ein Problem. Die Erklärung beschreibt, was auf eurer Seite passiert: Hosting, Kontaktformular, eingebundene Dienste, Server-Logs.

Ein Generator hilft, wenn ihr ihn mit den richtigen Angaben füttert. Bei jeder Änderung an der Seite gehört die Erklärung mit auf den Prüfstand.

4. Ein Kontaktformular ohne Hinweis

Ein Formular erhebt Daten, also braucht es einen kurzen Hinweis, wozu sie dienen, und den Verweis auf die Datenschutzerklärung. Außerdem sollte die Übertragung verschlüsselt sein (https). Spam-Schutz, der Google reCAPTCHA einbindet, bringt wieder eine Fremdverbindung mit. Ein einfaches verstecktes Feld oder eine Rechenfrage tun es oft auch.

5. Ein Cookie-Banner, der nichts tut, oder keiner, wo er nötig wäre

Ein Banner ist nur nötig, wenn die Seite etwas auf dem Gerät des Besuchers speichert oder ausliest, das nicht unbedingt erforderlich ist. Das sind zum Beispiel Statistik-Tools, Werbe-Pixel oder eingebettete Dienste mit Cookies. Wer nichts davon nutzt, braucht keins. Ein Banner ohne Funktion ist überflüssig und nervt.

Wo ein Banner nötig ist, muss die Ablehnung so einfach sein wie die Zustimmung. „Alles akzeptieren“ als einziger großer Knopf reicht nicht.

6. Ein Impressum mit Lücken

Seit Mai 2024 gilt das Digitale-Dienste-Gesetz (§ 5 DDG), das das Telemediengesetz abgelöst hat. Das Impressum braucht danach unter anderem:

• Name und ladungsfähige Anschrift (kein Postfach), bei Gesellschaften Rechtsform und Vertretungsberechtigte.
• E-Mail-Adresse und ein zweiter schneller Kontaktweg, zum Beispiel die Telefonnummer.
• Handelsregister und Registernummer, wenn vorhanden. Umsatzsteuer-Identifikationsnummer, wenn vorhanden.
• Bei Handwerk und Kammerberufen die zuständige Kammer oder Aufsichtsbehörde und die Berufsbezeichnung.

Das Impressum soll von jeder Seite mit höchstens zwei Klicks erreichbar sein. Der übliche Platz ist der Fußbereich.

Wie ihr das selbst prüft

1. Fragt den, der die Seite gebaut hat: Welche externen Dienste laufen im Hintergrund? Die Antwort sollte kurz sein. Wenn sie lang ist, lohnt sich ein Blick.
2. Öffnet die Seite in einem privaten Fenster und schaut in den Entwicklerwerkzeugen unter „Netzwerk“, ob Anfragen an fremde Adressen gehen, etwa an google, facebook oder doubleclick.
3. Lest die Datenschutzerklärung mit der Seite daneben. Jede Technik, die ihr dort findet, sollte auch laufen, und umgekehrt.

Stand: Oktober 2026. Dieser Artikel ist eine Orientierung, keine Rechtsberatung. Für euren konkreten Fall fragt bitte euren Datenschutzbeauftragten oder eine Kanzlei.