DSGVO-Wissen für Website-Betreiber.

Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-weite Verordnung, die einheitliche Regeln für die Verarbeitung personenbezogener Daten festlegt. Sie gilt für alle Unternehmen, Vereine und Selbstständige, die personenbezogene Daten von Personen in der EU verarbeiten — unabhängig davon, ob das Unternehmen selbst seinen Sitz in der EU hat. Für Website-Betreiber bedeutet das: Sobald Sie Namen, E-Mail-Adressen, IP-Adressen, Cookies, Bewerbungsunterlagen oder andere Informationen verarbeiten, die einer Person zugeordnet werden können, fallen Sie in den Anwendungsbereich der DSGVO.

Wann trat die DSGVO in Kraft?

Die DSGVO wurde bereits am 27. April 2016 verabschiedet, ist aber erst nach einer zweijährigen Übergangsfrist am 25. Mai 2018 unmittelbar anwendbar geworden. Sie ersetzt die alte EU-Datenschutzrichtlinie von 1995 und wird in Deutschland durch das BDSG-neu ergänzt.

Die sieben Grundprinzipien (Art. 5 DSGVO)

• Rechtmäßigkeit, Treu & Glauben, Transparenz
• Zweckbindung
• Datenminimierung
• Richtigkeit
• Speicherbegrenzung
• Integrität und Vertraulichkeit
• Rechenschaftspflicht

Welche Strafen drohen?

Art. 83 DSGVO sieht zweistufige Bußgelder vor: bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes bei formalen Verstößen — und bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes bei Verstößen gegen Grundsätze oder Betroffenenrechte. Hinzu kommen Abmahnungen, Schadensersatzansprüche und Reputationsschäden.

Die DSGVO ist fast immer relevant, sobald Ihre Website mehr tut, als nur statische Inhalte auszuliefern. Schon der Seitenaufruf überträgt die IP-Adresse — und IP-Adressen gelten als personenbezogene Daten.

Konkrete Beispiele aus der Praxis

Kontaktformular: Name, E-Mail, Telefonnummer = personenbezogene Daten. Rechtsgrundlage, verlinkte Datenschutzerklärung und Datensparsamkeit sind Pflicht.

Google Analytics, Meta Pixel, Hotjar: Erst nach aktiver Einwilligung via Cookie-Banner. Vorbelegte Häkchen sind unzulässig.

Newsletter: Double-Opt-In, dokumentierte Einwilligung und Abmeldelink in jeder Mail.

Checkliste: Gilt die DSGVO für mich?

• Website von Personen in der EU erreichbar?
• Nicht zwingend technisch erforderliche Cookies?
• Kontakt-, Anfrage- oder Bewerbungsformular?
• Newsletter, Login oder Kundenbereich?
• Google Analytics, Meta Pixel, YouTube, Google Fonts?
• Online-Verkauf oder Bewerber-/Mandantendaten?

Mindestens einer dieser Punkte trifft auf nahezu jede geschäftlich genutzte Website zu.

Nach Art. 4 Nr. 1 DSGVO sind das alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen — direkt oder indirekt über eine Kennung wie Name, Kennnummer, Standortdaten oder Online-Kennung.

Beispiele im Überblick

Besondere Kategorien (Art. 9 DSGVO)

Besonders geschützt sind rassische/ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Gesundheitsdaten sowie Sexualleben. Verarbeitung grundsätzlich verboten — Ausnahmen nur mit ausdrücklicher Einwilligung oder Gesetz.

DSGVO-konform ist kein Zertifikat, sondern ein fortlaufender Prozess. Tools, Gesetze und Rechtsprechung ändern sich — Datenschutz muss regelmäßig überprüft werden.

Praktische Schritte

1. Bestandsaufnahme aller Tools und Dienste auf der Website.
2. Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.
3. Rechtsgrundlagen festlegen (Einwilligung, Vertrag, berechtigtes Interesse).
4. Datenschutzerklärung erstellen und aktuell halten.
5. Cookie-Banner / Consent-Tool einsetzen.
6. AVV mit allen Dienstleistern abschließen.
7. Technische Maßnahmen: SSL, Updates, Backups, Zugriffsschutz.
8. Betroffenenrechte umsetzen (Auskunft, Löschung, Widerspruch).
9. Meldeprozess für Datenpannen (72-Stunden-Frist).

Häufige Fehler vermeiden

• Google Fonts direkt von Google laden
• YouTube-Videos ohne Zwei-Klick-Lösung
• Cookie-Banner mit vorausgewählten Häkchen
• Veraltete Datenschutzerklärung aus dem Generator
• Kontaktformulare ohne SSL
• Newsletter ohne Double-Opt-In
• Kein AVV mit Hosting-Anbieter

Ein Cookie-Banner (Consent-Tool) holt die aktive Einwilligung des Besuchers ein, bevor nicht zwingend erforderliche Cookies oder Tracking-Skripte geladen werden. Grundlage ist das TTDSG (§ 25) in Verbindung mit der DSGVO sowie das EuGH-Urteil „Planet49".

Wann ist ein Banner Pflicht?

Sobald Sie Google Analytics, Meta Pixel, Hotjar, YouTube-Embeds, Maps, externe Schriften, Marketing-Pixel oder Re-Targeting einsetzen. Auch ein Chat-Widget, Session-Recording oder ein A/B-Test-Tool fällt darunter.

Anforderungen an einen rechtskonformen Banner

• Gleichwertige Buttons „Akzeptieren" und „Ablehnen" auf erster Ebene
• Keine vorausgewählten Häkchen
• Granular pro Zweck (Statistik, Marketing, Komfort)
• Jederzeit widerrufbar — sichtbarer „Cookie-Einstellungen"-Link
• Vollständige Information über Anbieter, Zwecke, Speicherdauer, Drittlandtransfer

Ein bloßer Cookie-Hinweis im Footer („Diese Seite nutzt Cookies — OK") genügt seit 2020 nicht mehr.

Google Analytics ist nicht per se verboten — aber an strenge Voraussetzungen geknüpft. Mehrere europäische Datenschutzbehörden (Österreich, Frankreich, Italien) haben Universal Analytics für unzulässig erklärt; für GA4 bleiben Restrisiken durch den US-Datentransfer.

Voraussetzungen

• Einwilligung über Cookie-Banner — vor dem ersten Skript-Aufruf
• Auftragsverarbeitungsvertrag mit Google abschließen
• IP-Anonymisierung aktivieren (in GA4 Standard)
• Aufbewahrungsdauer auf 2 oder 14 Monate begrenzen
• Datenfreigabe mit Google in den Einstellungen deaktivieren
• Hinweis auf US-Transfer und das EU-US Data Privacy Framework in der Datenschutzerklärung

Alternativen

Wer auf Nummer sicher gehen will, nutzt EU-Anbieter wie Matomo (On-Premise), Plausible oder etracker — diese funktionieren teils sogar ohne Cookie-Banner.

Die Unterscheidung entscheidet darüber, ob Cookies ohne oder erst nach Einwilligung gesetzt werden dürfen.

Essenzielle (technisch notwendige) Cookies

Diese sind für den Betrieb der Website unverzichtbar — etwa der Warenkorb im Shop, Login-Sessions, Sprach-Einstellungen, CSRF-Schutz oder das Speichern der Cookie-Entscheidung selbst. Sie dürfen ohne Einwilligung gesetzt werden, müssen aber in der Datenschutzerklärung benannt werden.

Nicht-essenzielle Cookies

Alles, was Komfort, Analyse oder Marketing dient: Analytics-Cookies, Tracking-Pixel, Re-Targeting, A/B-Tests, eingebettete YouTube- oder Vimeo-Player, Chat-Widgets, Social-Media-Plugins. Sie dürfen erst nach aktiver Einwilligung geladen werden.

Praxis-Tipp

Im Zweifel als nicht-essenziell behandeln. Aufsichtsbehörden legen den Begriff „technisch notwendig" eng aus — Reichweitenmessung gilt explizit nicht als notwendig.

Die DSGVO nennt keine konkrete Höchstdauer. Maßgeblich ist der Grundsatz der Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO): nur so lange wie für den Zweck erforderlich.

Orientierungswerte aus der Praxis

• Session-Cookies: bis zum Schließen des Browsers
• Komfort-Cookies (Sprache, Login): wenige Tage bis Wochen
• Analyse-Cookies: 12 Monate (Empfehlung BfDI & CNIL)
• Marketing-/Tracking-Cookies: max. 13 Monate
• Consent-Cookie selbst: 6–12 Monate, danach erneute Abfrage

Wichtig

Die Speicherdauer muss pro Cookie in der Datenschutzerklärung dokumentiert werden — inklusive Anbieter, Zweck und Drittlandtransfer.

First-Party-Cookies werden direkt von der besuchten Domain gesetzt. Sie dienen typischerweise dem Betrieb der Seite (Login, Warenkorb, Spracheinstellung) und sind in der Regel unkritisch.

Third-Party-Cookies stammen von Drittanbietern, die auf der Seite eingebunden sind — z. B. Werbenetzwerke, Tracking-Pixel, eingebettete Videos. Sie ermöglichen Cross-Site-Tracking über mehrere Websites hinweg und sind datenschutzrechtlich besonders heikel.

Aktuelle Entwicklung

Browser wie Safari (ITP), Firefox (ETP) und Brave blockieren Third-Party-Cookies standardmäßig. Auch Chrome arbeitet an der Abschaffung. Wer Tracking betreibt, sollte auf server-seitige Lösungen oder First-Party-Konzepte umsteigen — immer mit Einwilligung.

Für die DSGVO gilt: Beide Cookie-Arten können personenbezogene Daten enthalten und benötigen je nach Zweck eine Einwilligung.

Der berühmte Banner „Diese Seite nutzt Cookies — OK" ist seit dem EuGH-Urteil „Planet49" (Oktober 2019) und der TTDSG-Reform 2021 nicht mehr ausreichend. Er verstößt gegen das Einwilligungserfordernis und stellt einen abmahnfähigen Datenschutzverstoß dar.

Was stattdessen nötig ist

• Aktive Einwilligung vor dem Setzen nicht-essenzieller Cookies
• Gleichwertige Buttons „Akzeptieren" und „Ablehnen"
• Granulare Wahl pro Zweck
• Jederzeit widerrufbar

Konsequenzen bei Verstoß

Aufsichtsbehörden haben zahlreiche Bußgelder für mangelhafte Cookie-Banner verhängt — die CNIL etwa 150 Mio. € gegen Google und 60 Mio. € gegen Facebook. Auch in Deutschland werden Cookie-Banner aktiv geprüft.

Ein Kontaktformular verarbeitet personenbezogene Daten — schon ab dem ersten Zeichen, das der Besucher tippt. Damit es DSGVO-konform ist, müssen mehrere Bausteine zusammenpassen.

Pflichtbestandteile

• SSL/HTTPS — sichere Übertragung ist Pflicht
• Datensparsamkeit: nur wirklich nötige Pflichtfelder (oft reichen Name + E-Mail + Nachricht)
• Datenschutzhinweis direkt am Formular mit Link zur vollständigen Erklärung
• Rechtsgrundlage klar benennen: Art. 6 Abs. 1 lit. b (Vertragsanbahnung) oder lit. f (berechtigtes Interesse)
• Speicherdauer dokumentieren — meist 6 Monate nach Erledigung
• Zweckbindung: Daten nur für die angefragte Kommunikation verwenden

Häufige Fehler

Pflichtfeld „Telefonnummer", obwohl gar nicht nötig. Captchas, die Daten an Google senden, ohne Einwilligung. Versand über unverschlüsselte Mail-Server. Speicherung auf unbestimmte Zeit.

Beim Double-Opt-in trägt sich der Interessent ein, bekommt eine Bestätigungsmail mit Link und aktiviert das Abo erst durch Klick auf diesen Link. Erst dann darf der Newsletter verschickt werden.

Warum reicht Single-Opt-in nicht?

Ohne Bestätigung kann jeder beliebige fremde E-Mail-Adressen eintragen. Der Versand an nicht-eingewilligte Empfänger gilt als unerlaubte Werbung (§ 7 UWG) — abmahnfähig mit vierstelligen Kosten pro Fall. Zusätzlich fehlt der DSGVO-rechtlich erforderliche Nachweis der Einwilligung (Art. 7 DSGVO).

Anforderungen an das DOI-Verfahren

• Bestätigungsmail ohne Werbung — nur der Aktivierungslink
• Protokollierung von Zeitpunkt, IP, Bestätigungs-Klick
• Klarer Zweck, Absender und Abmeldelink in jeder Mail
• Datenschutzhinweis mit Link am Anmeldeformular

Im Bewerbungsprozess fallen besonders viele und sensible Daten an: Lebenslauf, Zeugnisse, Fotos, ggf. Gesundheitsangaben. Die Anforderungen sind entsprechend hoch — Grundlage ist § 26 BDSG.

Pflichtangaben am Bewerbungsformular

• Hinweis auf Verantwortlichen und Zweck (Auswahlverfahren)
• Rechtsgrundlage § 26 BDSG bzw. Art. 6 Abs. 1 lit. b DSGVO
• Empfänger (HR, Fachabteilung, ggf. externer Dienstleister)
• Speicherdauer (i. d. R. 6 Monate nach Absage)
• Hinweis auf Betroffenenrechte und Beschwerderecht

Technisch & organisatorisch

SSL-verschlüsselte Übertragung, Upload mit Größen- und Format-Begrenzung, Zugriff nur durch befugte Personen (Need-to-Know), kein Versand per unverschlüsselter E-Mail, sichere Aufbewahrung in einem Bewerbermanagementsystem mit AVV.

Die Speicherdauer richtet sich nach dem Grundsatz der Erforderlichkeit. In der Praxis haben sich drei Stufen etabliert:

Standardfristen

• Während des Verfahrens: bis zur Entscheidung
• Nach Absage: in der Regel 6 Monate — Pufferzeit für mögliche Klagen nach AGG (§ 15 Abs. 4 AGG: 2-Monats-Frist + Reaktionszeit)
• Talent-Pool / längere Aufbewahrung: nur mit ausdrücklicher, dokumentierter Einwilligung der Bewerber, jederzeit widerrufbar

Bei Einstellung

Unterlagen wandern in die Personalakte und unterliegen dann den arbeits- und steuerrechtlichen Aufbewahrungspflichten (bis zu 10 Jahre für lohnsteuerrelevante Dokumente).

Praxis-Tipp

Automatisierte Löschroutine im Bewerbermanagement-Tool einrichten und Löschungen protokollieren — das ist Teil der Rechenschaftspflicht.

Vor dem Absenden eines Formulars muss der Besucher die wesentlichen Informationen nach Art. 13 DSGVO erhalten — sonst ist die Verarbeitung unrechtmäßig.

Praktische Umsetzung

Es gibt zwei gängige Varianten:

• Kurzer Hinweis direkt am Formular mit Verlinkung zur vollständigen Datenschutzerklärung — z. B. „Mit dem Absenden willigen Sie ein, dass Ihre Angaben zur Bearbeitung Ihrer Anfrage verwendet werden. Weitere Infos in unserer Datenschutzerklärung."
• Checkbox mit Bestätigung der Kenntnisnahme — nur bei sensiblen Daten zwingend, sonst kann es als „Klick-Wirtschaft" wirken.

Was muss im verlinkten Text stehen?

Verantwortlicher, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer, Betroffenenrechte, Beschwerderecht. Bei Drittlandübermittlung zusätzlich die Garantien (z. B. Standardvertragsklauseln).

Das Impressum ist gesetzlich vorgeschrieben für alle geschäftsmäßigen Online-Angebote (§ 5 TMG, § 18 MStV). Es muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein — typischerweise per Link im Footer mit der Bezeichnung „Impressum".

Pflichtangaben

• Name und ladungsfähige Anschrift (kein Postfach)
• Bei juristischen Personen: Rechtsform und Vertretungsberechtigte
• Schnelle elektronische Kontaktaufnahme: E-Mail-Adresse (und meist Telefon)
• Handelsregister, Vereinsregister oder Partnerschaftsregister inkl. Nummer
• Umsatzsteuer-Identifikationsnummer nach § 27a UStG (falls vorhanden)
• Bei reglementierten Berufen: Kammer, gesetzliche Berufsbezeichnung, Staat der Verleihung, berufsrechtliche Regelungen
• Bei journalistisch-redaktionellen Inhalten: Verantwortlicher i. S. d. § 18 Abs. 2 MStV
• OS-Plattform-Link der EU bei Online-Händlern

Fehler oder fehlende Angaben sind wettbewerbsrechtlich abmahnfähig.

Die Pflicht ergibt sich aus Art. 13 und 14 DSGVO. Sobald personenbezogene Daten verarbeitet werden, müssen Betroffene transparent informiert werden — und das geschieht in der Datenschutzerklärung.

Wer ist betroffen?

• Jede Website, die Kontaktformulare, Newsletter, Logins, Shop-Funktionen oder Tracking nutzt
• Jede Website mit Cookies, Analytics, Schriften-CDN, Maps, Video-Embeds
• Bereits eine reine Visitenkarten-Seite, weil schon der Hosting-Server IP-Adressen verarbeitet
• Auch Vereine, Selbstständige, Bloggende mit Kommentarfunktion

Wo platzieren?

Verlinkt im Footer, mit klarem Wort „Datenschutzerklärung", von jeder Seite aus erreichbar — auch von Kontakt- und Bestellseiten. Empfehlenswert: separate Unterseite, nicht als PDF.

Art. 13 DSGVO listet die Pflichtinhalte. Sie muss in klarer, einfacher Sprache verfasst sein — keine Schachtelsätze, keine reine Copy-Paste-Juristerei.

Pflichtinhalte

• Name und Kontaktdaten des Verantwortlichen (und ggf. Datenschutzbeauftragten)
• Zwecke und Rechtsgrundlagen aller Verarbeitungen (Hosting, Formulare, Cookies, Tracking, Newsletter …)
• Empfänger der Daten (Hosting, Mail, Analytics, Zahlungsanbieter)
• Drittlandtransfers (z. B. USA) inkl. Garantien
• Speicherdauer oder Kriterien für die Festlegung
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch
• Recht auf Beschwerde bei der Aufsichtsbehörde
• Hinweis auf Widerruf von Einwilligungen
• Ggf. automatisierte Entscheidungsfindung / Profiling

Eine starre Frist gibt es nicht. Die DSGVO verlangt jedoch, dass die Informationen zu jedem Zeitpunkt aktuell und korrekt sind (Art. 13 DSGVO). Veraltete Datenschutzerklärungen sind ein häufiger Abmahnauslöser.

Anlässe für ein Update

• Neue Tools eingebunden (z. B. Chatbot, neues Analytics)
• Wechsel des Hostings, Newsletter- oder Zahlungsanbieters
• Neue Funktionen (Shop, Login, Community)
• Änderungen in der Rechtsprechung (z. B. EuGH-Urteile zum Datentransfer USA)
• Neue Aufsichts­behördenleitlinien
• Reorganisation im Unternehmen, neue Verantwortliche

Empfehlung

Mindestens einmal jährlich komplett durchsehen, jedes neue Tool sofort ergänzen. Versionsdatum am Ende der Erklärung pflegen — das schafft Transparenz und ist Teil der Rechenschaftspflicht.

Generatoren von Anwaltskanzleien (z. B. eRecht24, Dr. Schwenke, activeMind) sind ein praktischer Startpunkt. Sie liefern juristisch geprüfte Textbausteine — aber nur für die Tools, die Sie auswählen.

Worauf achten?

• Generator vollständig ausfüllen — jedes eingesetzte Tool ankreuzen
• Verantwortlichen, Anschrift, Kontakt korrekt eintragen
• Nach jeder Änderung an der Website neu generieren oder ergänzen
• Auf Lizenzbedingungen achten — viele Generatoren erlauben nur eine Domain
• Keine Texte unverändert übernehmen, wenn Sie zusätzliche Tools nutzen, die im Generator fehlen

Risiko ungepflegter Generator-Texte

Wenn die Datenschutzerklärung Tools auflistet, die Sie nicht nutzen — oder umgekehrt eingesetzte Tools verschweigt — ist sie unzutreffend und damit angreifbar. Generatoren ersetzen keine Pflege.

Das LG München I (3. Januar 2022, Az. 3 O 17493/20) hat entschieden: Der Aufruf von Google Fonts direkt von Google-Servern überträgt die IP-Adresse des Besuchers in die USA und verstößt ohne Einwilligung gegen die DSGVO. Es drohen Unterlassungs- und Schadensersatzansprüche (im Urteilsfall 100 €).

Lösung: Lokales Hosting

1. Schriften bei google-webfonts-helper herunterladen
2. WOFF/WOFF2-Dateien auf den eigenen Server legen
3. In der CSS per @font-face einbinden — ohne externen Aufruf
4. Alle Verweise auf fonts.googleapis.com und fonts.gstatic.com entfernen

Pflicht in der Datenschutzerklärung

Wer Schriften lokal hostet, kann den Hinweis auf Google entfernen. Wer weiterhin extern lädt, braucht eine aktive Einwilligung über den Cookie-Banner und einen vollständigen Hinweis zur US-Übermittlung.

Ein eingebettetes YouTube-Video setzt sofort Cookies und überträgt Daten an Google in den USA — auch wenn der Besucher das Video gar nicht abspielt. Ohne Einwilligung ist das unzulässig.

Drei Lösungsansätze

• Erweiterter Datenschutzmodus: Domain auf youtube-nocookie.com umstellen. Cookies werden erst beim Klick auf Play gesetzt — reduziert das Risiko, ersetzt aber nicht in jedem Fall die Einwilligung.
• Zwei-Klick-Lösung: Statt des Players wird ein Vorschaubild angezeigt. Erst nach Klick auf „Video laden" wird das Video eingebettet — DSGVO-konform, weil Einwilligung aktiv erfolgt.
• Consent-Tool: YouTube-Embed nur nach allgemeiner Einwilligung im Cookie-Banner laden.

Pflichthinweis in der Datenschutzerklärung

Verantwortlicher (Google Ireland), Zweck, Drittlandtransfer USA, Garantien (EU-US Data Privacy Framework) und Speicherdauer angeben.

WhatsApp Business ist beliebt — datenschutzrechtlich aber nicht unproblematisch. Die größten Hürden sind die Adressbuch-Synchronisation (Daten Dritter werden ungefragt an Meta in den USA übermittelt) und das fehlende AVV-Modell für viele Anwendungsfälle.

Was geht — was nicht?

• WhatsApp Business API mit professionellem Provider (z. B. MessageBird, 360dialog): AVV möglich, dediziertes Geschäftskonto, kein Adressbuch-Upload — datenschutzrechtlich am ehesten vertretbar.
• WhatsApp Business App auf privatem Smartphone: meist nicht DSGVO-konform, weil das Adressbuch synchronisiert wird.
• Adressbuch-Sync deaktivieren und Einwilligung der Kontakte einholen
• In der Datenschutzerklärung Verarbeitung, Empfänger, Drittlandtransfer und Rechtsgrundlage transparent darstellen

Empfehlung

Für sensible Branchen (Gesundheit, Recht, Beratung) lieber DSGVO-freundliche Alternativen wie Threema Work oder Signal nutzen.

Beide Dienste sind in Unternehmen weit verbreitet — und beide sind US-Anbieter. Mit der richtigen Konfiguration und Verträgen ist eine Nutzung möglich, aber nicht trivial.

Mindestmaßnahmen

• AVV abschließen (Zoom Data Processing Addendum / Microsoft Online Services DPA)
• Datenresidenz EU wählen, wenn der Anbieter dies anbietet (Zoom: „EU/UK Hosting", Microsoft: „EU Data Boundary")
• Aufzeichnung und Transkription standardmäßig deaktivieren — nur mit ausdrücklicher Einwilligung aller Teilnehmer einschalten
• Telemetrie/Diagnose-Daten reduzieren
• Wartemraum aktivieren, Beitritt mit Passwort
• In der Datenschutzerklärung und Einladung über US-Anbieter, Zweck und Rechtsgrundlage informieren

Bei besonders sensiblen Gesprächen

(Gesundheit, Recht, HR) ggf. auf europäische Anbieter wie Jitsi, BigBlueButton oder Wire ausweichen.

Klassische Marketing-Tools wie Mailchimp, HubSpot oder ActiveCampaign sind US-Anbieter. Nach dem Schrems-II-Urteil und auch im EU-US Data Privacy Framework bleibt der Datentransfer in die USA ein Risikofaktor.

Wenn Sie US-Tools nutzen

• AVV mit Anbieter abschließen
• Standardvertragsklauseln bzw. DPF-Zertifizierung prüfen
• Double-Opt-in aktivieren
• Tracking-Funktionen (Open- & Click-Tracking) nur mit Einwilligung nutzen
• In der Datenschutzerklärung Anbieter, Drittlandtransfer und Garantien benennen
• Risikoabwägung dokumentieren (TIA — Transfer Impact Assessment)

EU-Alternativen

CleverReach, rapidmail, Brevo (vormals Sendinblue), Mailjet, Inxmail — alle mit Servern in der EU und deutschsprachigem Support.

Art. 83 DSGVO regelt die Bußgelder zweistufig:

Stufe 1: bis 10 Mio. € oder 2 % des Jahresumsatzes

Bei Verstößen gegen formale Pflichten — z. B. fehlendes Verzeichnis von Verarbeitungstätigkeiten, fehlende Datenschutzfolgenabschätzung, mangelhafte technische Maßnahmen, verspätete Meldung von Datenpannen.

Stufe 2: bis 20 Mio. € oder 4 % des Jahresumsatzes

Bei Verstößen gegen die Grundsätze der Verarbeitung, gegen Betroffenenrechte oder gegen die Bedingungen für Einwilligungen.

Es gilt jeweils der höhere Betrag.

Weitere Folgen

• Schadensersatz nach Art. 82 DSGVO — auch bei immateriellen Schäden
• Abmahnungen durch Mitbewerber oder Verbraucherverbände
• Anordnungen der Aufsichtsbehörde (Verarbeitung einstellen)
• Reputationsschaden bei Veröffentlichung

Auch in Deutschland werden empfindliche Bußgelder verhängt. Die bekanntesten Fälle:

Top-Bußgelder

• H&M Hennes & Mauritz — 35,3 Mio. € (2020, Hamburg): umfassende Profilbildung von Beschäftigten
• Vodafone — 15 Mio. € (2023, BfDI): unzureichende Sicherheitsmaßnahmen bei Auftragsverarbeitern
• Notebooksbilliger.de — 10,4 Mio. € (2021, Niedersachsen): unzulässige Videoüberwachung von Mitarbeitern
• Deutsche Wohnen — 14,5 Mio. € (2019, Berlin; später formal aufgehoben): Aufbewahrung von Mieterdaten ohne Löschkonzept
• 1&1 Telecom — 9,55 Mio. €, später reduziert auf 900.000 €
• AOK Baden-Württemberg — 1,24 Mio. €: Datenverwendung für Werbezwecke

Auch kleinere Unternehmen werden geahndet — Bußgelder im fünfstelligen Bereich sind keine Seltenheit.

Datenschutzverstöße können nicht nur von Aufsichtsbehörden, sondern auch von Mitbewerbern (UWG) und Verbraucherverbänden (UKlaG) abgemahnt werden.

Häufige Abmahngründe

• Google Fonts extern eingebunden ohne Einwilligung (LG München I, 2022)
• Cookie-Banner ohne gleichwertigen „Ablehnen"-Button
• Google Analytics / Meta Pixel ohne aktive Einwilligung
• Fehlende oder unvollständige Datenschutzerklärung
• Fehlendes Impressum oder fehlerhafte Angaben
• Newsletter ohne Double-Opt-in oder ohne Abmeldelink
• Eingebettete YouTube-Videos ohne Einwilligung
• Kontaktformulare ohne SSL oder Datenschutzhinweis

Kosten

Abmahnkosten liegen je nach Streitwert meist zwischen 500 € und 2.500 €. Hinzu kommen Vertragsstrafen bei Wiederholung — schnell vierstellig pro Fall.

Wenn die Aufsichtsbehörde eine Beschwerde prüft, erhalten Sie ein Anhörungsschreiben. Wichtig: Frist (meist 2–4 Wochen) unbedingt einhalten, sonst wird nach Aktenlage entschieden.

Vorgehensweise

1. Sachverhalt intern klären — was wurde genau verarbeitet, auf welcher Grundlage?
2. Verzeichnis der Verarbeitungstätigkeiten, AVV, Einwilligungen und Logs zusammentragen
3. Datenschutzbeauftragten einbinden, ggf. spezialisierten Anwalt
4. Sachlich und kooperativ antworten — Mauern verschärft das Verfahren
5. Falls ein Verstoß tatsächlich vorliegt: Abhilfemaßnahmen sofort umsetzen und dokumentieren
6. Im Zweifel Datenpanne nach Art. 33 DSGVO innerhalb von 72 Stunden melden

Mögliche Ergebnisse

Verwarnung, Anordnung zur Anpassung, Bußgeld oder — bei einfacher Sachlage und nachgewiesenem Abhilfewillen — Einstellung des Verfahrens.

Ein Restrisiko bleibt immer — aber mit konsequenter Hygiene reduzieren Sie die Angriffsfläche drastisch.

Konkrete Schutzmaßnahmen

• Cookie-Banner mit „Ablehnen"-Button gleichwertig zu „Akzeptieren"
• Google Fonts, Maps, YouTube lokal hosten oder nur mit Einwilligung laden
• Aktuelle Datenschutzerklärung für alle eingesetzten Tools
• Vollständiges Impressum nach § 5 TMG
• SSL/HTTPS auf der gesamten Website
• Double-Opt-in für jeden Newsletter
• AVV mit Hosting, Mail, Analytics, Zahlungsanbietern
• Regelmäßige Audits mit einem Browser-Scanner (z. B. webbkoll, PrivacyScore)
• Datenschutz sichtbar machen — Vertrauenssignale am Formular und im Footer

Ergänzend lohnt sich eine DSGVO-Score-Auswertung, um Schwachstellen strukturiert zu erfassen.

Sobald personenbezogene Daten verarbeitet werden — und das ist beim Betrieb einer Website fast immer der Fall — ist eine verständliche Datenschutzerklärung erforderlich (Art. 13 DSGVO). Selbst eine reine Visitenkartenseite verarbeitet IP-Adressen über den Hosting-Server. Eine vollständige Datenschutzerklärung listet Verantwortlichen, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauern und Betroffenenrechte auf. Sie muss von jeder Unterseite per Footer-Link erreichbar sein, in klarer Sprache verfasst sein und bei jeder Änderung der eingesetzten Tools aktualisiert werden. Wer das versäumt, riskiert Abmahnungen und Aufsichtsverfahren.

Ein Cookie-Banner ist Pflicht, sobald nicht-essenzielle Cookies oder Tracking-Technologien eingesetzt werden — also bei Google Analytics, Meta Pixel, YouTube-Embeds, Maps, externen Schriften, Chat-Widgets und vielen anderen Diensten. Der Banner muss aktive Einwilligung einholen (keine vorausgewählten Häkchen), gleichwertige „Akzeptieren"- und „Ablehnen"-Buttons bieten, granular pro Zweck wählen lassen und jederzeit widerrufbar sein.

Kontaktformulare verarbeiten personenbezogene Daten und müssen daher datensparsam aufgebaut sein — nur wirklich notwendige Pflichtfelder. Die Übertragung erfolgt verschlüsselt (SSL/HTTPS), ein Datenschutzhinweis verlinkt die vollständige Datenschutzerklärung. Rechtsgrundlage ist meist Art. 6 Abs. 1 lit. b (Vertragsanbahnung) oder lit. f (berechtigtes Interesse). Speicherdauer dokumentieren — typischerweise 6 Monate nach Erledigung der Anfrage.

Newsletter erfordern in Deutschland ein Double-Opt-in: Anmeldung → Bestätigungsmail → Aktivierung per Klick. Erst dann darf der Newsletter verschickt werden. Die Einwilligung muss protokolliert werden (Zeitstempel, IP, Bestätigungsklick). Jede Mail enthält Absender, Zweck und einen funktionierenden Abmeldelink. Ohne Double-Opt-in drohen UWG-Abmahnungen.

Bewerberdaten sind besonders sensibel. Grundlage ist § 26 BDSG. Wichtig: verschlüsselte Übertragung, Upload mit Größen- und Format-Begrenzung, Zugriff nur durch befugte Personen, sichere Aufbewahrung in einem Bewerbermanagementsystem mit AVV. Nach Absage werden Unterlagen in der Regel nach 6 Monaten gelöscht — Pufferzeit für mögliche AGG-Klagen.

Pflichtangaben nach § 5 TMG: ladungsfähige Anschrift (kein Postfach), Vertretungsberechtigte, E-Mail (und meist Telefon), Handelsregister-Nummer, USt-IdNr., bei reglementierten Berufen Kammer und Berufsbezeichnung, OS-Plattform-Link bei Online-Händlern. Das Impressum muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein — typischerweise per Footer-Link „Impressum".

Datenschutz ist heute auch ein Marketingfaktor: Studien zeigen, dass sichtbare Datenschutzsignale Conversion-Raten bei Formularen und Checkouts spürbar verbessern können. Wer transparent kommuniziert, wie mit Daten umgegangen wird, signalisiert Professionalität und Respekt — und reduziert Hemmschwellen, gerade in sensiblen Branchen.

Gerade bei Formularen, Checkout-Prozessen oder Bewerbungen entscheiden Sekunden über Abbruch oder Absenden. Sichtbare Vertrauenssignale — Datenschutz-Badge, Hinweis auf SSL, Verweis auf die Datenschutzerklärung — wirken wie ein Gütesiegel. Sie liefern den emotionalen Beleg dafür, dass die Eingabe sicher ist.

Datenschutzverstöße können nach UWG (Mitbewerber), UKlaG (Verbraucherverbände) und über Schadensersatzansprüche (Art. 82 DSGVO) verfolgt werden. Klassiker sind Google Fonts ohne Einwilligung, mangelhafte Cookie-Banner und fehlende Datenschutzerklärungen. Kosten meist 500–2.500 € pro Abmahnung — plus Vertragsstrafen bei Wiederholung.

Die Aufsichtsbehörde kann verwarnen, anordnen oder Bußgelder verhängen — gestaffelt bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Hinzu kommen mögliche Schadensersatzansprüche Betroffener und Reputationsschäden. Website-Betreiber sollten Datenschutz daher nicht nur technisch, sondern auch sichtbar ernst nehmen.

Das DSGVO-Trust Badge ist ein sichtbares Signal auf Ihrer Website, das anzeigt, dass Sie unseren strukturierten Datenschutz-Prüfprozess durchlaufen haben. Es kommuniziert Besuchern auf einen Blick, dass Datenschutz aktiv mitgedacht und überprüft wurde.

Das DSGVO-Trust Badge ist ein privates Qualitätsmerkmal auf Basis Ihrer Angaben und keine Zertifizierung nach Art. 42 DSGVO.

Ihre Antworten werden gewichtet und in einen Wert von 0–100 übersetzt. Der Score ist ein interner Indikator zur Einordnung — das sichtbare Signal nach außen ist das Badge.

An Stellen, an denen Besucher Daten eingeben oder Entscheidungen treffen: Footer, Kontaktformular, Checkout, Bewerbungsformular. So entfalten Vertrauenssignale ihre größte Wirkung — genau im Moment der Unsicherheit.

Hell, dunkel und kompakt — passend zu Ihrem Website-Design.