Datenschutz auf der Website praktisch umsetzen

Datenschutz beginnt vor der ersten Zeile Code

Datenschutz ist auf einer Website keine nachträgliche Schicht aus Bannern und Texten, sondern eine Architekturfrage. Wer erst nach dem Launch überlegt, welche Daten anfallen, klebt Pflaster auf Entscheidungen, die längst gefallen sind. Die Datenschutz-Grundverordnung nennt dieses Prinzip in Art. 25 ausdrücklich, einmal als Datenschutz durch Technikgestaltung und einmal als datenschutzfreundliche Voreinstellung.

Praktisch heißt das, jede technische Entscheidung danach zu prüfen, ob sie Daten Dritter ins Spiel bringt. Eine eingebettete Karte, ein Video-Embed, ein Schriftdienst, ein Analyse-Skript. Jeder dieser Bausteine kann eine IP-Adresse an einen externen Server senden, oft an Standorte außerhalb der Europäischen Union. Die saubere Reihenfolge lautet, zuerst den Datenfluss verstehen, dann den Baustein wählen.

Die datensparsamste Lösung ist fast immer auch die schnellste und die wartungsärmste.

Die sechs Rechtsgrundlagen aus Art. 6 DSGVO

Jede Verarbeitung personenbezogener Daten braucht eine Rechtsgrundlage. Art. 6 Abs. 1 DSGVO kennt genau sechs, und für eine Website sind vor allem drei davon relevant. Die folgende Übersicht ordnet sie ein.

Der häufigste Fehler liegt in der Verwechslung von lit. a und lit. f. Berechtigtes Interesse klingt bequem, weil es ohne Einwilligung auskommt, trägt aber nur, wenn eine Interessenabwägung zugunsten des Verantwortlichen ausfällt und der Vorgang für die betroffene Person erwartbar bleibt. Reichweitenmessung mit Cookies oder Gerätewiedererkennung fällt nicht darunter, sie verlangt eine aktive Zustimmung.

Einwilligung, die diesen Namen verdient

Eine Einwilligung nach der DSGVO ist an klare Bedingungen geknüpft. Sie muss freiwillig sein, für den konkreten Zweck gelten, auf Information beruhen und unmissverständlich erklärt werden. Vorangekreuzte Kästchen sind unwirksam, das hat der Europäische Gerichtshof im Planet-49-Urteil 2019 bestätigt. Ebenso unzulässig ist ein Banner, das die Ablehnung hinter mehreren Klicks versteckt, während die Zustimmung in einem großen Knopf bereitsteht.

Für die Praxis ergeben sich drei harte Anforderungen.

• Ablehnen muss auf der ersten Ebene genauso leicht sein wie Zustimmen.
• Skripte, die eine Einwilligung verlangen, dürfen erst nach der Zustimmung laden, nicht vorher.
• Der Widerruf muss jederzeit möglich und so einfach sein wie die Erteilung.

Die letzte Bedingung wird oft übersehen. Wenn ein Banner eine Zustimmung in zwei Sekunden einsammelt, der Widerruf aber tief in der Datenschutzerklärung vergraben liegt, ist die Einwilligung angreifbar. Sauberer ist ein dauerhaft erreichbarer Schalter, der den einmal gesetzten Status sichtbar zurücknimmt.

Datensparsamkeit als Standard

Art. 5 Abs. 1 lit. c DSGVO verlangt, dass Daten auf das für den Zweck notwendige Maß beschränkt bleiben. Dieses Prinzip der Datenminimierung ist die wirksamste und zugleich günstigste Datenschutzmaßnahme, denn Daten, die nie erhoben werden, müssen weder gespeichert, noch geschützt, noch gelöscht werden.

Ein Kontaktformular zeigt das gut. Notwendig ist eine Antwortadresse und die Nachricht selbst. Telefonnummer, Anrede, Firmenname oder Postanschrift sind in den meisten Fällen optional und sollten es auch bleiben. Jedes Pflichtfeld, das nicht zwingend gebraucht wird, ist ein Datenschutzrisiko ohne Gegenwert. Dazu gehört auch eine ehrliche Löschfrist. Anfragen, die erledigt sind, gehören nach einer angemessenen Zeit gelöscht, nicht für immer aufbewahrt.

Lokale Fonts statt externer Schriftdienste

Schriften sind der wohl bekannteste Stolperstein. Ein Landgericht in München entschied 2022, dass das dynamische Nachladen von Google Fonts über deren Server ohne Einwilligung gegen die DSGVO verstößt, weil dabei die IP-Adresse der Besucher in die USA übertragen wird. Unabhängig von der Reichweite dieses Einzelurteils bleibt die technische Lehre eindeutig.

Die robuste Lösung ist, Schriften lokal einzubinden. Die Dateien liegen auf dem eigenen Server und werden von dort ausgeliefert, ohne dass eine fremde Domain ins Spiel kommt. Das löst nicht nur die rechtliche Frage, sondern verbessert auch die Ladezeit, weil eine zusätzliche Verbindung zu einem Drittserver entfällt. Moderne Frameworks bringen dafür eigene Mechanismen mit, die Schriftdateien beim Bauen der Seite einbetten und mit ausliefern.

Dasselbe Muster gilt für Karten, Videos und eingebettete Inhalte. Wo ein Embed unvermeidbar ist, hilft eine Zwei-Klick-Lösung, bei der der externe Inhalt erst nach aktiver Zustimmung geladen wird. Bis dahin sieht die betroffene Person nur einen lokalen Platzhalter, und es fließen keine Daten.

Auftragsverarbeitung sauber regeln

Sobald ein externer Dienstleister personenbezogene Daten im Auftrag verarbeitet, greift Art. 28 DSGVO. Das betrifft fast jede Website, denn schon der Hoster speichert in seinen Server-Logs IP-Adressen der Besucher. Auch Newsletter-Tools, externe Formular-Anbieter, Fehler-Monitoring oder ein Content-Delivery-Netzwerk fallen darunter.

Für jeden dieser Dienste braucht es einen Auftragsverarbeitungsvertrag. Er legt fest, was der Dienstleister mit den Daten tun darf und welche technischen und organisatorischen Maßnahmen er einhält. Liegt der Anbieter außerhalb der EU oder des Europäischen Wirtschaftsraums, kommt eine zweite Prüfung hinzu, nämlich die nach einer zulässigen Grundlage für den Drittlandtransfer, etwa Standardvertragsklauseln oder ein Angemessenheitsbeschluss. Die nüchterne Konsequenz lautet, die Zahl der eingebundenen Dienste klein zu halten. Jeder Dienstleister weniger ist ein Vertrag weniger, ein Risiko weniger und ein Datenfluss weniger.

Sichere Kontaktformulare

Ein Formular sammelt personenbezogene Daten und ist damit ein sensibler Punkt. Technisch und organisatorisch lässt es sich mit überschaubarem Aufwand absichern.

Verschlüsselung per HTTPS ist die Grundlage, damit Eingaben auf dem Weg zum Server nicht mitgelesen werden können. Ein Hinweis auf die Datenschutzerklärung direkt am Formular schafft die nötige Transparenz nach Art. 13 DSGVO, ohne dass eine erzwungene Zustimmungspflicht zur Hürde wird. Gegen automatisierten Missbrauch hilft ein datensparsamer Spam-Schutz. Ein serverseitiges Honeypot-Feld oder eine einfache Rechenaufgabe kommen ohne externes Skript und ohne Profilbildung aus, anders als manche verbreitete Captcha-Dienste, die selbst Daten an Dritte senden.

Genauso wichtig ist der Umgang mit der Nachricht nach dem Absenden. Eine verschlüsselte Übertragung an das Postfach, ein klar benannter Empfängerkreis und eine definierte Aufbewahrungsdauer schließen den Kreis. Wer hier sauber arbeitet, schützt nicht nur die Daten der Absender, sondern auch sich selbst.

Vom Pflichtprogramm zur Haltung

Datenschutz lässt sich als Last lesen oder als Qualitätsmerkmal. Eine Website, die mit wenigen externen Diensten auskommt, lokal ausgeliefert wird und nur erhebt, was sie wirklich braucht, ist nicht nur rechtlich ruhiger. Sie lädt schneller, ist leichter zu warten und signalisiert einen sorgsamen Umgang mit Vertrauen.

Genau hier setzt unsere Methodik an, weiter denken, weiter planen, weiter umsetzen und weiter gehen. Datenschutz gehört in die Phase des Planens, lange bevor die erste Komponente steht, und er trägt nur, wenn die Umsetzung ihm folgt. Mehr zu dieser Haltung steht auf der Seite Mission. Wer einen bestehenden Auftritt prüfen lassen oder von Anfang an datensparsam bauen möchte, findet über die Seite Kontakt den direkten Weg.

---

Datenschutz sauber von Anfang an mitdenken statt nachträglich reparieren. Wir schauen uns den Ist-Zustand an und zeigen die konkreten Hebel.