Die zehn häufigsten Datenschutzfehler auf Websites

Ein Cookie-Banner allein macht eine Website noch nicht datenschutzkonform. Entscheidend ist, was technisch im Hintergrund passiert. Nicht notwendige Cookies und vergleichbare Technologien dürfen grundsätzlich erst eingesetzt werden, wenn der Besucher eingewilligt hat. Das betrifft insbesondere Analyse-, Marketing- und Tracking-Dienste wie Google Analytics, Google Ads, Meta Pixel oder LinkedIn Insight Tag.

Typische Fehler sind:

• Tracking startet bereits vor der Einwilligung.
• Eine Ablehnung ist schwieriger als eine Zustimmung.
• Einzelne Dienste lassen sich nicht sinnvoll auswählen.
• Eine erteilte Einwilligung lässt sich später nicht einfach widerrufen.
• Der Banner zeigt Einstellungen an, die technisch gar nicht korrekt umgesetzt werden.
• Neue Tracking-Dienste werden eingebaut, aber im Consent-Management nicht ergänzt.

Wichtig ist deshalb nicht nur die Gestaltung des Banners, sondern vor allem die technische Umsetzung dahinter. Nach Änderungen am Tracking, Tag Manager oder an Plugins sollte immer kontrolliert werden, welche Verbindungen eine Website bereits beim ersten Aufruf herstellt. Und nein: Cookie-Banner sind nicht einfach abgeschafft worden. Die angekündigten Änderungen der europäischen Cookie-Regeln bedeuten nicht, dass Unternehmen ihre Consent-Lösungen heute entfernen können.

Eine Datenschutzerklärung sollte beschreiben, was auf der Website tatsächlich passiert. Genau daran scheitert es häufig. Über die Jahre kommen neue Dienste hinzu: ein Analyse-Tool, ein Newsletter-System, ein eingebettetes Video, ein Terminbuchungstool oder vielleicht ein Chatbot. Die Datenschutzerklärung bleibt dagegen auf dem Stand des letzten Relaunches. Besonders problematisch sind Datenschutzerklärungen, die aus Vorlagen übernommen wurden und Dienste aufführen, die überhaupt nicht eingesetzt werden – während tatsächlich verwendete Anwendungen fehlen. Deshalb sollte die Datenschutzerklärung regelmäßig mit der technischen Realität der Website abgeglichen werden.

Google Fonts gehören zu den Klassikern unter den Datenschutzfehlern auf Unternehmenswebsites. Werden Schriftarten direkt von Servern von Google geladen, stellt der Browser des Besuchers beim Seitenaufruf eine Verbindung zu Google her. Dabei wird unter anderem die IP-Adresse des Nutzers übertragen. Das lässt sich in vielen Fällen vermeiden, indem die verwendeten Schriftarten lokal auf dem eigenen Webserver eingebunden werden. Gerade bei älteren Websites, Themes oder Baukastensystemen lohnt sich eine Kontrolle. Selbst wenn Google Fonts ursprünglich lokal eingebunden wurden, können einzelne Plugins oder externe Komponenten weiterhin Schriften von Drittservern nachladen. Die datenschutzfreundlichere Lösung ist deshalb in der Regel: benötigte Webfonts lokal hosten und unnötige externe Schriftverbindungen vermeiden.

Nicht nur klassische Tracking-Tools oder Schriften können beim Aufruf einer Website Daten an externe Anbieter übertragen. Das Gleiche gilt für viele Inhalte und Funktionen, die direkt von anderen Plattformen eingebunden werden.

Typische Beispiele sind:

• YouTube- oder Vimeo-Videos
• Google Maps
• CAPTCHA-Dienste
• Bewertungswidgets
• Buchungs- und Terminlösungen
• eingebettete Social-Media-Inhalte

Je nach technischer Einbindung kann bereits beim Laden der Seite eine Verbindung zum jeweiligen Anbieter hergestellt werden. Dabei können beispielsweise die IP-Adresse und weitere technische Informationen des Besuchers übertragen werden – noch bevor dieser den eingebetteten Inhalt überhaupt nutzt. Deshalb sollte bei jeder externen Einbindung geprüft werden, ob eine direkte Verbindung zum Drittanbieter tatsächlich notwendig ist. Eine verbreitete Lösung besteht darin, solche Inhalte zunächst zu blockieren und erst nach einer entsprechenden Einwilligung zu laden. Bei manchen Diensten gibt es außerdem datenschutzfreundlichere Möglichkeiten der lokalen oder technisch reduzierten Einbindung.

Name, Unternehmen, Telefonnummer, Position, Anschrift, Kundennummer – Kontaktformulare können erstaunlich umfangreich werden. Dabei gilt im Datenschutz der Grundsatz der Datenminimierung: Es sollten nur diejenigen personenbezogenen Daten verpflichtend erhoben werden, die für den jeweiligen Zweck tatsächlich benötigt werden. Wer lediglich eine allgemeine Kontaktanfrage ermöglichen möchte, benötigt beispielsweise nicht zwingend die Telefonnummer des Absenders. Auch die Kennzeichnung von Pflichtfeldern sollte eindeutig sein. Zusätzlich muss nachvollziehbar sein, wie die über das Formular eingegebenen Daten verarbeitet werden. Weniger Pflichtfelder verbessern übrigens häufig nicht nur den Datenschutz, sondern auch die Conversion Rate eines Formulars.

Auch bei Newsletter-Formularen gibt es typische Fehler. Die Anmeldung muss transparent gestaltet sein. Nutzer müssen erkennen können, wofür sie ihre E-Mail-Adresse angeben und welche Kommunikation sie anschließend erhalten. In Deutschland hat sich für den Nachweis einer wirksamen Einwilligung das Double-Opt-in-Verfahren etabliert: Nach der Anmeldung erhält der Nutzer eine E-Mail und bestätigt seine Anmeldung über einen Link. Problematisch sind beispielsweise bereits vorausgewählte Einwilligungen oder Newsletter-Anmeldungen, die mit anderen Vorgängen gekoppelt werden, obwohl dafür keine entsprechende Grundlage besteht. Auch die Abmeldung sollte jederzeit unkompliziert möglich sein.

Das Impressum gehört zwar streng genommen nicht zum Datenschutz, ist aber Teil der rechtlichen Pflichtausstattung vieler Unternehmenswebsites – und wird bei Website-Checks regelmäßig gemeinsam mit den Datenschutzthemen geprüft. Typische Probleme sind veraltete Unternehmensangaben, fehlende Pflichtinformationen oder ein Impressum, das nur umständlich erreichbar ist. Gerade nach Umfirmierungen, Umzügen, Änderungen der Geschäftsführung oder einem Relaunch lohnt sich deshalb ein kurzer Kontrollblick. Datenschutzerklärung und Impressum sollten von jeder relevanten Seite aus leicht erreichbar sein. Auch der häufig noch verwendete Hinweis auf § 5 TMG ist inzwischen veraltet. Seit Mai 2024 richten sich die allgemeinen Informationspflichten nach § 5 DDG. Entscheidend ist jedoch vor allem, dass die gesetzlich vorgeschriebenen Angaben vollständig und aktuell sind.

KI ist inzwischen auch auf Unternehmenswebsites angekommen. Chatbots beantworten Fragen, Systeme erstellen oder bearbeiten Inhalte und KI-generierte Bilder werden für Marketing und Kommunikation eingesetzt. Seit dem 2. August 2026 sind zudem wesentliche Transparenzpflichten aus Artikel 50 des EU AI Act anwendbar. Das bedeutet allerdings nicht, dass plötzlich jeder mit KI unterstützte Website- oder Marketingtext pauschal als KI-Inhalt gekennzeichnet werden muss. Relevant sind unter anderem bestimmte KI-Systeme, die unmittelbar mit Menschen interagieren, sowie bestimmte synthetisch erzeugte oder manipulierte Inhalte. Bei redaktionellen Texten bestehen zudem wichtige Differenzierungen, wenn eine menschliche redaktionelle Prüfung stattfindet und eine Person oder Organisation die redaktionelle Verantwortung übernimmt. Unternehmen sollten deshalb nicht einfach pauschal "KI-generiert" an alle Inhalte schreiben, sondern prüfen, welche konkrete Anwendung sie einsetzen und welche Transparenzpflicht dafür tatsächlich gilt.

HTTPS ist heute selbstverständlich – sollte man meinen. Trotzdem treten gerade bei älteren Websites oder nach technischen Änderungen sogenannte Mixed-Content-Probleme auf. Die eigentliche Website wird verschlüsselt über HTTPS geladen, einzelne Ressourcen werden jedoch weiterhin über eine unsichere HTTP-Verbindung eingebunden. Besonders kritisch ist eine fehlende oder fehlerhafte Verschlüsselung dort, wo Besucher personenbezogene Daten eingeben – beispielsweise in Kontakt-, Bewerbungs- oder Bestellformularen. Auch abgelaufene oder falsch konfigurierte Zertifikate sollten nicht ignoriert werden. Moderne Browser warnen Besucher in solchen Fällen teilweise deutlich.

Ein Instagram-Feed auf der Startseite, ein eingebetteter LinkedIn-Beitrag oder ein Facebook-Plugin ist schnell integriert. Datenschutzrechtlich kann die direkte Einbindung allerdings problematisch sein. Je nach technischer Umsetzung kann bereits beim Aufruf der Seite eine Verbindung zur jeweiligen Plattform hergestellt werden – unabhängig davon, ob der Besucher mit dem eingebetteten Inhalt interagiert. Deshalb sollte geprüft werden, ob Social-Media-Inhalte wirklich direkt eingebettet werden müssen. Eine einfache Alternative sind normale Links zu den eigenen Social-Media-Profilen. Soll ein externer Inhalt direkt auf der Website angezeigt werden, kann eine Einwilligungslösung vorgeschaltet werden, sodass die Verbindung zum jeweiligen Anbieter erst nach Zustimmung aufgebaut wird.

Viele Datenschutzprobleme entstehen nicht beim ursprünglichen Aufbau einer Website, sondern später. Ein neues Marketing-Tool wird integriert. Ein Plugin kommt hinzu. Google Analytics wird umgestellt. Der Newsletter-Anbieter wechselt. Ein Chatbot wird eingebaut. Nach und nach verändert sich die Technik der Website – während Cookie-Einstellungen und Datenschutzerklärung unverändert bleiben. Deshalb sollte Datenschutz nicht nur beim Relaunch auf der Checkliste stehen. Ein regelmäßiger technischer Website-Check hilft dabei, ungewollte Datenübertragungen, falsch eingebundene Dienste und veraltete Informationen frühzeitig zu erkennen. Und ganz nebenbei ist eine sauber konfigurierte Website nicht nur eine rechtliche Frage. Transparenter Umgang mit Daten schafft Vertrauen – und das ist gerade für Unternehmenswebsites mindestens genauso wichtig.

Die bereitgestellten Inhalte dienen nur zu Informationszwecken und ersetzen keine Rechtsberatung.