Was sind die häufigsten DSGVO-Fehler auf Unternehmenswebsites?

Warum diese Fehler entstehen

Datenschutzkonformität scheitert selten an Böswilligkeit, sondern an drei strukturellen Problemen: Agenturen ohne rechtlichen Hintergrund orientieren sich an dem, was bisher üblich war. Datenschutzerklärungen werden von fremden Websites übernommen, ohne sie auf das eigene Unternehmen anzupassen. Und wenn sich der Tool-Stack ändert — neues Analytics-System, neues Kontaktformular —, wird die Datenschutzerklärung oft nicht mehr aktualisiert. Das Ergebnis ist eine Website, die nach außen seriös wirkt, bei näherer Betrachtung aber mehrere Verstöße aufweist.

Die fünf Fehler im Detail

• Schriftarten direkt von Google geladen: Werden Google Fonts über den Google-Server eingebunden, überträgt der Browser beim Seitenaufruf automatisch die IP-Adresse des Besuchers — ohne Einwilligung. Ein Gericht hat das bereits als Verstoß bewertet, seither läuft eine anhaltende Abmahnwelle. Die Lösung: Schriftarten herunterladen und über den eigenen Server ausliefern, meist eine Sache von weniger als einer Stunde.
• Analytics ohne Cookie-Consent aktiv: Analytics-Skripte, die bereits vor der Zustimmung des Besuchers laden, sind ein weiterer klassischer Fehler. Korrekt eingebunden startet ein Tracking-Tool erst nach aktiver Einwilligung; Consent-Management-Plattformen ermöglichen das technisch korrekte, bedingte Laden.
• Datenschutzerklärung veraltet oder unvollständig: Eine Erklärung, die vor Jahren erstellt und seither nicht an neue Tools angepasst wurde, spiegelt nicht mehr den tatsächlichen Stand wider — genau das prüfen Aufsichtsbehörden und Abmahner gezielt. Regel: nach jedem Tool-Wechsel und mindestens einmal jährlich aktualisieren.
• Cookie-Banner ohne echte Ablehnoption: Ist Ablehnen schwieriger als Zustimmen — versteckt, klein gedruckt, über mehrere Klicks erreichbar —, gilt das nach Auslegung der Aufsichtsbehörden als unzulässiges Dark Pattern. Eine wirksame Einwilligung setzt voraus, dass Ablehnen genauso einfach ist wie Zustimmen.
• Kontaktformular ohne Datenschutzhinweis und ohne Auftragsverarbeitungsvertrag: Jedes Kontaktformular verarbeitet personenbezogene Daten. Direkt am Formular sollte ein kurzer Hinweis stehen, welche Daten zu welchem Zweck gespeichert werden. Wird ein externer Formular-Anbieter genutzt, entsteht zusätzlich ein Auftragsverarbeitungsverhältnis, das einen entsprechenden Vertrag erfordert.

Der systematische Check

• Schriftarten herunterladen und lokal über den eigenen Server ausliefern.
• Google Analytics und alle Tracking-Skripte nur nach aktiver Einwilligung laden lassen.
• Datenschutzerklärung mit einem Generator erstellen und konsequent an das eigene Tool-Set anpassen.
• Cookie-Banner prüfen: Ablehnen muss mit einem Klick möglich sein, gleich prominent wie Akzeptieren.
• Alle Kontaktformulare mit einem Datenschutzhinweis direkt am Formular versehen.
• Auftragsverarbeitungsverträge mit allen Auftragsverarbeitern abschließen: Formular-Anbieter, Hosting, Newsletter-Tool, CRM.
• SSL-Zertifikat aktiv prüfen — HTTPS auf allen Seiten.
• Externe Ressourcen im Browser-Netzwerk-Tab prüfen: Welche Domains werden aufgerufen?

Eine Prüfung beginnt am besten im Netzwerk-Tab des Browsers: Welche externen Domains werden beim Laden der Seite aufgerufen? Jede davon ist ein potenzieller Datentransfer. Danach der Test des Cookie-Banners — welche Cookies werden gesetzt, bevor überhaupt geklickt wurde? Zuletzt der Abgleich der Datenschutzerklärung mit dem tatsächlichen Tool-Set. Dieser Abgleich dauert meist dreißig bis sechzig Minuten und deckt in der Regel mehrere Lücken auf.