DSGVO konforme Website: Dienste prüfen, Einwilligung gestalten, Datenflüsse begrenzen

Öffnen Sie Ihre eigene Startseite in einem frischen Browserfenster, ohne irgendeinen Button im Cookie-Banner anzuklicken, und schauen Sie im Netzwerk-Tab der Entwicklerwerkzeuge nach, wohin Anfragen gehen. In vielen Fällen sieht man dort mehr Gegenstellen, als irgendjemand im Unternehmen erwartet. Schriftdateien von einem Fremdserver, ein Kartenkachel-Dienst, ein Videoplayer, ein Skript für Besucherstatistik, ein Chat-Widget. Das ist das typische Ausgangsbild in diesem Szenario.

Angenommen, ein Betrieb mit einer gewachsenen Website kommt so zu uns. Das Banner stammt vom letzten Relaunch und listet drei Kategorien, doch zwei der heute eingebundenen Dienste kamen später dazu, per Plugin oder per Zeile Code, die jemand für ein Kampagnenziel ergänzt hat. Die Datenschutzerklärung wurde dabei nicht angepasst. Weder böser Wille noch Nachlässigkeit sind die Ursache, sondern schlicht fehlende Zuständigkeit.

Eine datenschutzfreundliche Website ist deshalb zuerst eine Frage der Übersicht. Wer nicht weiß, was seine Seite tut, kann es weder korrekt erklären noch sinnvoll begrenzen. Dieser Beitrag beschreibt, wie wir bei einer solchen Bestandsaufnahme vorgehen, was sich technisch ändern lässt und wo die Grenzen einer rein technischen Sicht liegen. Rechtliche Bewertungen im Einzelfall gehören an Ihre Datenschutzbeauftragte oder Ihren Anwalt, nicht in einen Fachartikel.

Dass die Lücke zwischen Banner und Wirklichkeit so häufig auftritt, hat einen einfachen Grund: Websites werden in Etappen gebaut, Verantwortung für das Gesamtbild fehlt. Wer in einem Kleinbetrieb arbeitet, pflegt die Seite nebenbei. Wer sie in einer Agentur betreut, kennt oft nur den eigenen Anteil. Der Abgleich fällt zwischen die Zuständigkeiten, und das ist der Punkt, an dem eine Inventur ansetzt.

Bei Datenschutzfragen auf Websites existieren fast immer drei Beschreibungen derselben Wirklichkeit. Die erste ist das Cookie-Banner, das einzelne Dienste und Kategorien nennt. Die zweite ist die Datenschutzerklärung, die dieselben Dienste in Fließtext erläutert. Die dritte ist das tatsächliche Verhalten der Seite im Browser. Jede dieser Listen wurde zu einem anderen Zeitpunkt von anderen Personen gepflegt, und entsprechend selten stimmen sie überein.

Besonders tückisch sind Dienste, die nicht als Dienst erkennbar sind. Ein Theme lädt Schriften von einem Fremdserver, weil der Entwickler es beim Bau so eingerichtet hat. Ein Einbettungscode für ein Video setzt Cookies, noch bevor jemand auf Abspielen klickt. Ein Formular-Plugin bindet ein Captcha ein, das Daten an einen Dritten schickt. Die Betreiber haben nichts davon bewusst entschieden, und trotzdem verantworten sie es.

Hinzu kommt der Zeitfaktor. Jedes Update eines Plugins, jede neue Seite mit Einbettung, jeder zusätzliche Marketingbaustein kann das Bild verändern. Ein Zustand, der heute stimmt, ist in einem halben Jahr womöglich überholt. Die Herausforderung besteht daher nicht nur in einer einmaligen Prüfung, sondern darin, einen Zustand zu schaffen, der sich mit überschaubarem Aufwand aktuell halten lässt.

Die wichtigste Unterscheidung beim Ordnen der Dienste lautet: Was ist für den Betrieb der Seite technisch notwendig, und was dient anderen Zwecken wie Reichweitenmessung, Werbung oder Komfort? Für die erste Gruppe wird in der Regel keine Einwilligung eingeholt, für die zweite gilt häufig das Gegenteil. Diese grobe Linie ist breit bekannt. Wo genau sie im Einzelfall verläuft, ist aber eine rechtliche Bewertung, die wir nicht ersetzen.

Praktisch hilft ein Gedankenexperiment: Würde die Seite für einen Besucher noch funktionieren, wenn dieser Dienst fehlt? Ein Sprachumschalter, ein Warenkorb, eine Sitzung für ein Login gehören zum Betrieb. Eine Besucherstatistik, ein Werbepixel, ein Video von einer Plattform oder eine Karte von einem Drittanbieter gehören eher nicht dazu. Daneben stellt sich die Frage, ob ein Dienst Daten an Dritte übermittelt und ob diese Dritten die Daten für eigene Zwecke nutzen.

Neben der Einwilligung gibt es das berechtigte Interesse als andere Rechtsgrundlage. Für Reichweitenmessung bleibt strittig, wann es trägt. Deshalb halten wir uns an eine pragmatische Regel: Je weniger ein Dienst personenbezogene Daten verarbeitet und je weniger Dritte beteiligt sind, desto eher lässt er sich ohne Abfrage betreiben. Wer sicher gehen will, lässt die Einordnung der heiklen Dienste von einer fachkundigen Stelle schriftlich bestätigen.

Die Konsequenz dieser Einordnung ist weniger juristisch als gestalterisch. Jeder Dienst, den man technisch ersetzen oder entfernen kann, muss nicht mehr abgefragt, erklärt und dokumentiert werden. Die einfachste Maßnahme für eine DSGVO konforme Website ist deshalb oft nicht das bessere Banner, sondern der Verzicht auf einen Baustein, den niemand vermisst.

Aus der Ordnung folgt eine Reihenfolge der Maßnahmen, die wir in drei Stufen denken. Zuerst prüfen wir, ob ein Dienst überhaupt gebraucht wird. Dann, ob er sich lokal oder datensparsam betreiben lässt. Erst für die Dienste, die übrig bleiben und nicht ohne Weiteres ersetzbar sind, gestalten wir die Einwilligung. Die Reihenfolge verhindert, dass ein aufwendiges Banner Dinge verwaltet, die man besser nicht lädt.

Alternativ gäbe es den bequemeren Weg, ein Consent-Management-Tool einzubauen, das möglichst alles abdeckt, und die Seite im Übrigen zu lassen. Das funktioniert technisch, hat aber Nachteile. Das Banner wird komplex, die Bedienung für Besucher mühsam, und jedes weitere Skript erhöht Pflege und Risiko. Ein Tool dokumentiert Entscheidungen, es nimmt sie nicht ab.

Ein dritter Weg wäre, auf alles Externe zu verzichten, ohne Statistik, ohne Karte, ohne Video. Für manche Betriebe ist das stimmig, etwa für einen Handwerksbetrieb mit einer klaren Leistungsübersicht und einem Kontaktformular. Für andere fehlt dann Wissen über die eigene Seite, und eine Anfahrtskarte hat echten Nutzwert. Unsere Empfehlung ist deshalb keine Doktrin, sondern eine Abwägung pro Dienst.

Ein Beispiel für diese Abwägung: Eine Anfahrtskarte wird von Kunden tatsächlich genutzt, ein Social-Media-Feed im Seitenfuß dagegen kaum. Die Karte bleibt dann als Zwei-Klick-Lösung, der Feed wird durch einen einfachen Link ersetzt. Das Ergebnis ist eine Seite, die weniger lädt, weniger erklären muss und für Besucher kaum Funktion verliert. Genau diese Gegenüberstellung von Nutzen und Erklärungsaufwand liefert die Entscheidungsgrundlage.

Wo eine Einwilligung nötig ist, entscheidet die Gestaltung darüber, ob sie ernst gemeint ist. Der Grundsatz ist breit bekannt: Die Zustimmung soll freiwillig, informiert und eindeutig sein, und eine Ablehnung soll nicht aufwendiger sein als eine Zustimmung. Praktisch heißt das gleichwertige Buttons, also „Alle akzeptieren“ und „Nur notwendige“ in gleicher Größe, gleicher Auffälligkeit und auf derselben Ebene, nicht ein leuchtender Knopf neben einem versteckten Textlink.

Zur Konzeption gehören außerdem verständliche Zwecke statt Fachjargon. „Wir messen anonymisiert, welche Seiten besucht werden“ ist nur dann ehrlich, wenn es stimmt; sonst muss die Beschreibung anders lauten. Die Auswahl pro Kategorie sollte ohne Umweg erreichbar sein, und eine Widerrufsmöglichkeit gehört als dauerhafter Link ins Fußmenü, damit die einmal getroffene Entscheidung später änderbar bleibt.

Auch das Wie der Darstellung zählt. Auf dem Smartphone darf das Banner nicht den ganzen Bildschirm blockieren, ohne dass sich die Seite dahinter bedienen ließe, und es muss mit der Tastatur sowie mit Screenreadern erreichbar sein. Das berührt die Barrierefreiheit der Seite und zeigt, wie eng die Themen verwoben sind. Ein Banner, das nicht bedienbar ist, kann keine wirksame Entscheidung einholen.

Schließlich die Sprache der Texte: kurz, konkret, ohne Druckformulierungen wie „Helfen Sie uns, besser zu werden“. Solche Sätze verschleiern, wofür eingewilligt wird. Wir schreiben lieber, was geschieht: welcher Dienst, welche Daten, welcher Zweck. Wer so formuliert, kann dieselben Angaben fast unverändert in die Datenschutzerklärung übernehmen, was die Pflege spürbar vereinfacht.

Am Anfang steht die Inventur mit Werkzeugen, die jeder nachvollziehen kann: der Netzwerk-Tab des Browsers bei geleertem Cache und ohne Zustimmung, die Cookie-Ansicht im Speicherbereich der Entwicklerwerkzeuge sowie ein Blick in den Quelltext nach eingebundenen Skripten, iframes und Stylesheets. Das Ergebnis ist eine Tabelle mit Dienst, Zweck, Fundstelle und Anbieter. Sie wird zur Quelle für alles Weitere.

Schriften sind der einfachste Gewinn. Statt sie bei jedem Aufruf von einem Fremdserver zu laden, liegen die Dateien im eigenen Projekt und werden mit der Seite ausgeliefert. Das spart eine Verbindung, kann die Ladezeit verbessern und beseitigt eine Übermittlung an Dritte. Wichtig ist dabei die Prüfung, ob die Lizenz der Schrift die Selbsteinbindung erlaubt, und das saubere Entfernen der alten Einbindung, die sonst unbemerkt weiterläuft.

Karten und Videos lösen wir meist als Zwei-Klick-Lösung. Statt des Einbettungscodes steht zunächst ein Platzhalter mit einem Hinweis, was beim Laden geschieht. Erst der Klick des Besuchers lädt den fremden Inhalt. Für Videos kommen datensparsame Einbettungsvarianten in Frage, und eine Anfahrt lässt sich oft ebenso gut mit Adresse, Link und einem eigenen statischen Bild darstellen, ohne dass überhaupt Daten fließen.

Für Statistik gibt es zwei Wege: einen Dienst mit Einwilligung oder eine datensparsame, selbst betriebene Lösung, die ohne personenbezogene Kennungen auskommt. Ob Letzteres im Einzelfall ohne Abfrage zulässig ist, klären Sie mit fachkundiger Stelle. Technisch gilt in beiden Fällen: Skripte werden erst nach Einwilligung geladen, nicht geladen und dann nur „stillgelegt“. Das Banner steuert die Auslieferung, es ist keine Dekoration über einer Seite, die längst gesendet hat.

Setzen Sie Google-Dienste mit Einwilligung ein, kommt der Consent-Mode ins Spiel. Er übermittelt den Einwilligungsstatus als Signale, etwa für Speicherung zu Werbe- und Analysezwecken, an die Google-Skripte, die ihr Verhalten daran ausrichten. Wichtig ist die korrekte Reihenfolge: Standardwerte „verweigert“ werden vor dem Laden der Skripte gesetzt, erst die Auswahl des Besuchers ändert sie. Wer diesen Ablauf falsch einrichtet, erzeugt ein Banner, das nur so aussieht, als steuere es etwas.

Neben den offensichtlichen Bausteinen gibt es Sonderfälle, die erfahrungsgemäß vergessen werden. Ein Kontaktformular verarbeitet Namen und Nachrichten, und der Weg dieser Daten endet nicht bei der Absende-Schaltfläche: Landen sie in einem Postfach, in einem CRM, in einem Ticketsystem? Jede Station ist ein Empfänger, und die Datenschutzerklärung sollte den tatsächlichen Weg beschreiben, nicht den gedachten.

Chat-Widgets und KI-Assistenten verdienen besondere Aufmerksamkeit, weil Besucher dort freie Texte eingeben und dabei mehr preisgeben als in einem Formularfeld. Hier stellt sich die Frage, wo die Daten verarbeitet werden, wie lange sie gespeichert bleiben und ob der Dienstleister sie für eigene Zwecke nutzt. Ein Hinweis auf die Verarbeitung vor der ersten Eingabe ist eine sinnvolle Gestaltungsmaßnahme, ersetzt aber keine vertragliche Klärung.

Mit dieser vertraglichen Seite meint man die Auftragsverarbeitung: Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, gehört dazu in aller Regel ein schriftlicher Vertrag. Das betrifft Hoster, Newsletter-Anbieter, Chat-Dienste und manche Statistik-Werkzeuge. Zur Pflege gehört, diese Verträge zu sammeln und den Dienstleistern in der Dienste-Liste zuzuordnen, damit bei einer Anfrage nichts gesucht werden muss.

Ein weiterer Randfall sind Dienste mit Sitz oder Serverstandort außerhalb der EU. Die Frage der Übermittlung in Drittländer ist rechtlich beweglich und ändert sich über die Zeit. Wir bewerten das nicht, sondern markieren solche Dienste in der Liste und empfehlen, sie dort gesondert prüfen zu lassen. Auch hier gilt: Wenn eine europäische oder lokale Alternative denselben Zweck erfüllt, ist sie oft der einfachere Weg.

Eine Datenschutz-Überarbeitung liefert keine Zertifizierung und keinen Freibrief. Ob eine Website im Streitfall besteht, entscheiden Behörden und Gerichte nach dem jeweiligen Einzelfall, und Rechtslage und Auslegung bleiben in Bewegung. Ein ehrliches Ziel lautet daher: Das tatsächliche Verhalten der Seite ist bekannt, begrenzt, dokumentiert und stimmt mit dem überein, was Besucher im Banner und in der Erklärung lesen.

Dieser Zustand lässt sich prüfen. Sie sehen im Netzwerk-Tab, dass vor der Zustimmung keine nicht notwendigen Anfragen an Dritte gehen. Die Zahl der Fremdserver, die beim ersten Aufruf kontaktiert werden, ist kleiner als zuvor. Die Dienste-Liste, die Datenschutzerklärung und das Banner nennen dieselben Dienste. Zusätzlich lässt sich eine Stichprobe mit einem frischen Browserprofil nach jeder größeren Änderung wiederholen.

Auch die Leistung der Seite kann profitieren, wenn Fremdressourcen entfallen. Weniger externe Verbindungen bedeuten tendenziell kürzere Ladezeiten, messbar mit Lighthouse oder PageSpeed Insights. Das ist ein Nebeneffekt, kein Versprechen, denn die Wirkung hängt davon ab, was genau entfernt wurde. Auf der Gegenseite steht eine Einschränkung: Wer Statistik nur mit Einwilligung betreibt, sieht nur noch einen Teil der Besuche und sollte Zahlen entsprechend vorsichtig lesen.

Nicht erwarten dürfen Sie, dass sich alle Risiken beseitigen lassen. Auch eine sorgfältig bereinigte Seite kann kritisiert werden, etwa wegen eines Dienstleisters, dessen Einstufung sich ändert. Verlässlich ist nur die Fähigkeit, auf solche Änderungen zu reagieren: Wer die Übersicht hat, tauscht einen Dienst in einem Nachmittag aus, statt in wochenlanger Suche anzufangen.

Der wichtigste Lernpunkt ist unspektakulär: Die meisten Probleme entstehen durch Hinzufügen ohne Freigabe. Eine feste Regel, dass jede neue Einbindung zuerst in die Dienste-Liste eingetragen wird, verhindert mehr als jedes nachträgliche Audit. Die Regel braucht keine Software, sondern einen Verantwortlichen und eine Gewohnheit, die bei jedem Plugin und jedem Marketingbaustein greift.

Zweitens lohnt es sich, Banner und Datenschutzerklärung aus derselben Quelle zu pflegen. Wenn beide getrennt entstehen, laufen sie auseinander. Wenn sie aus einer Liste mit Dienst, Zweck, Anbieter und Speicherdauer entstehen, lässt sich der Abgleich in Minuten erledigen. Das gilt auch für das Impressum und andere Pflichtangaben, die gern bei Umzügen oder Rechtsformwechseln vergessen werden.

Drittens zeigt sich, dass Fairness im Banner kein Konflikt mit dem Geschäft ist. Ein gleichwertiges Ablehnen kostet erfahrungsgemäß etwas Reichweite in der Statistik, schafft aber ein Bild von der Website, auf dem sich Besucher nicht bevormundet fühlen. Für einen Betrieb, der von Vertrauen lebt, kann das mehr wiegen als eine geringfügig vollständigere Auswertung.

Eine DSGVO konforme Website entsteht nicht durch ein einzelnes Banner, sondern durch eine Reihenfolge: Dienste kennen, überflüssige entfernen, Ressourcen lokal halten, den Rest fair abfragen und alles in Banner und Erklärung konsistent abbilden. Jeder dieser Schritte ist für sich überschaubar. Zusammen ergeben sie eine Seite, deren Verhalten Sie erklären können, ohne nachzuschlagen.

Der nächste Schritt ist klein. Öffnen Sie Ihre Startseite in einem privaten Fenster, rufen Sie den Netzwerk-Tab auf und zählen Sie die Domains, die vor jeder Zustimmung kontaktiert werden. Vergleichen Sie sie mit Ihrem Banner und Ihrer Datenschutzerklärung. Wenn die Zahlen nicht zusammenpassen, ist eine Inventur sinnvoll, und wir führen sie gern mit Ihnen durch.

Zur Einordnung gehört die Grenze unseres Beitrags: Wir gestalten und bauen die technische Seite und bereiten die Angaben vor. Die verbindliche rechtliche Bewertung Ihres Einzelfalls, die Einordnung heikler Dienste und die Formulierung der endgültigen Texte gehören in die Hand von Fachleuten für Datenschutzrecht. Mit einer sauberen Inventur wird deren Arbeit schneller und günstiger.

Noch ein Hinweis zur Erwartung: Datenschutz ist kein Projekt mit Enddatum. Neue Browser-Regeln, geänderte Dienste und Anpassungen der Auslegung sorgen dafür, dass auch eine gut aufgestellte Seite regelmäßig einen Blick braucht. Planen Sie dafür einen festen, kleinen Termin im Jahr ein. Der Aufwand ist gering, wenn die Dienste-Liste gepflegt ist, und er wächst, wenn man ihn aufschiebt.