Leistung
Datenschutz & DSGVO in der Praxis
Datenschutz ist auf einer Website zu neunzig Prozent eine technische Frage: Welche Daten verlassen den Browser des Besuchers, an wen, und wann hat er dem zugestimmt? Diese Frage lässt sich nachmessen — und genau das tun wir.
Wir setzen technisch um. Für die rechtliche Bewertung arbeiten wir mit Ihrem Anwalt oder Datenschutzbeauftragten zusammen. Das ist keine Bescheidenheit, sondern die Aufgabenteilung, die Ihnen am Ende Sicherheit gibt.
Wir leisten keine Rechtsberatung
Alles auf dieser Seite beschreibt technische Umsetzung, keine juristische Beratung. Wir dürfen und wollen nicht bewerten, ob eine Verarbeitung in Ihrem konkreten Fall zulässig ist — das ist die Aufgabe von Anwältinnen und Anwälten oder Ihres Datenschutzbeauftragten.
In der Praxis funktioniert das gut: Ihre Rechtsberatung gibt vor, was gelten soll. Wir sorgen dafür, dass die Website sich auch wirklich so verhält — und liefern die technische Auskunft, die für die Bewertung nötig ist.
Was auf jede Website gehört
Zwei Seiten sind für geschäftliche Websites in Deutschland Pflicht und von überall mit einem Klick erreichbar: Impressum und Datenschutzerklärung. Das klingt banal, ist aber der häufigste Anlass für Abmahnungen — nicht wegen fehlender Seiten, sondern wegen veralteter.
Eine Erklärung, die einen vor zwei Jahren abgeschalteten Dienst nennt, ist genauso falsch wie eine, die einen aktiven verschweigt. Deshalb gehört sie in den Änderungsprozess: neuer Dienst auf der Website, neuer Absatz in der Erklärung. Unsere eigene sehen Sie unter Datenschutz.
Die typischen Stolpersteine
Schriften über ein fremdes Netz
Werden Google Fonts vom Google-Server geladen, geht bei jedem Aufruf die IP-Adresse des Besuchers mit — vor jeder Einwilligung.
Eingebettete Karten
Eine Google-Karte im Kontaktbereich lädt beim Seitenaufruf mit. Lösung: ein Vorschaubild, das erst auf Klick die echte Karte nachlädt.
Videos von Videoplattformen
Ein eingebettetes Video setzt Marker, bevor jemand auf Abspielen geklickt hat. Mit Klick-zum-Laden oder eigener Auslieferung ist das erledigt.
Reichweitenmessung
Messwerkzeuge mit Wiedererkennung brauchen eine Einwilligung. Alternativen ohne Wiedererkennung laufen ohne Banner.
Formulare ohne Frist
Anfragen, die seit 2019 in der Datenbank liegen, sind kein Archiv, sondern ein fehlendes Löschkonzept.
Skripte, die niemand mehr kennt
Ein nie benutztes Chat-Fenster, ein Werbe-Marker aus einer alten Kampagne: läuft mit, sammelt mit, steht in keiner Erklärung.
Cookies und Einwilligung — wann ein Banner nötig ist
Ein verbreiteter Irrtum lautet: Jede Website braucht ein Cookie-Banner. Richtig ist — ein Banner ist nur dort nötig, wo etwas gespeichert oder ausgelesen wird, das für den Betrieb nicht erforderlich ist. Warenkorb und Spracheinstellung sind erforderlich. Reichweitenmessung mit Wiedererkennung und Werbemarker sind es nicht.
Es geht außerdem nicht nur um Cookies. Auch der lokale Speicher des Browsers zählt dazu und wird in vielen Bannertexten schlicht vergessen. Und die Einwilligung muss echt sein: Ablehnen so einfach wie Zustimmen, keine vorangekreuzten Felder, und vor der Entscheidung lädt nichts, was der Einwilligung bedarf.
Wer die nicht erforderlichen Dienste konsequent ersetzt, braucht am Ende oft gar kein Banner — das ist die angenehmste Lösung und nebenbei die schnellste.
Was wir technisch umsetzen
- Schriften lokal ausliefern statt über ein fremdes Netz — messbar am Netzwerkprotokoll
- Karten, Videos und Chats auf Klick-zum-Laden umstellen
- Einwilligungsdialog so einrichten, dass vorher wirklich nichts lädt
- Formulardaten verschlüsselt übertragen und nur dorthin, wo sie hingehören
- Speicher- und Löschfristen für Anfragen technisch hinterlegen
- Zugriffsprotokolle des Servers auf eine kurze Aufbewahrung stellen
- Eine Liste aller eingebundenen Fremddienste erstellen — Grundlage für Ihre Erklärung
- Prüfung, ob eine Verarbeitung rechtlich zulässig ist
- Formulierung von Datenschutzerklärung und Impressum als Rechtstext
- Vertretung gegenüber Aufsichtsbehörden
So läuft eine Prüfung ab
- 1
Messen, was tatsächlich lädt1–2 Stunden
Wir rufen die Seite mit offenem Netzwerkprotokoll auf und notieren jede Verbindung nach außen — vor und nach einer Einwilligung. Darüber lässt sich nicht streiten.
- 2
Gegenüberstellen1 Stunde
Die gemessene Liste kommt neben Ihre Datenschutzerklärung. Was lädt, aber nicht genannt ist — und was genannt ist, aber nicht mehr lädt — ist eine Abweichung.
- 3
Entscheiden lassenIhr Termin
Für jeden Fremddienst gibt es drei Wege: ersetzen, hinter eine Einwilligung legen oder abschalten. Was gilt, entscheiden Sie — bei Zweifeln mit Ihrer Rechtsberatung.
- 4
Umsetzen1–3 Tage
Lokale Schriften, Klick-zum-Laden, Einwilligungsdialog, Löschfristen. Danach wird erneut gemessen — sonst wissen wir nicht, ob es geholfen hat.
- 5
Dokumentieren0,5 Tage
Eine Liste aller verbliebenen Dienste, ihrer Zwecke und Empfänger — genau das braucht Ihre Rechtsberatung für Erklärung und Verzeichnis.
Verträge, Fristen und Auskunftsanfragen
Sobald ein Dienstleister Daten in Ihrem Auftrag verarbeitet — Hoster, Newsletter-Versand, auch wir — braucht es einen Auftragsverarbeitungsvertrag. Die großen Anbieter stellen ihn im Kundenkonto bereit, oft mit zwei Klicks. Der Aufwand ist gering, das Fehlen fällt bei jeder Prüfung sofort auf.
Beim Löschkonzept geht es um eine begründete Frist je Datenart: Kontaktanfragen ohne Auftrag etwa nach sechs Monaten, Rechnungsdaten nach den steuerlichen Vorgaben. Wichtig ist, dass die Frist technisch greift und nicht nur in einer Datei steht.
Bei einer Auskunftsanfrage zählt Vorbereitung: Wer weiß, in welchen Systemen Daten liegen, antwortet in einer Stunde statt in einer Woche. Unsere ausführliche DSGVO-Checkliste für Websites geht die Punkte einzeln durch — und der DSGVO-Schnellcheck zeigt in zwei Minuten die gröbsten Lücken.
FAQ
Häufig gestellte Fragen
Nur, wenn Ihre Website etwas speichert oder ausliest, das über das technisch Erforderliche hinausgeht. Viele kleine Unternehmensseiten kommen ohne aus, sobald Wiedererkennung und externe Einbettungen ersetzt sind. Wir messen zuerst und sagen dann, ob ein Banner nötig ist — statt vorsorglich eines einzubauen.
Beim Laden der Schrift überträgt der Browser die IP-Adresse des Besuchers an einen Server außerhalb der EU — ohne Zustimmung und ohne dass es jemand merkt. Die Lösung ist unspektakulär: Die Schriftdateien werden einmal heruntergeladen und vom eigenen Server ausgeliefert. Sauber und obendrein schneller.
Als Grundlage oft ja — aber ein Generator kennt Ihre Website nicht, er trägt ein, was Sie ankreuzen. Hat niemand geprüft, welche Dienste tatsächlich laden, stimmt der Text nur zufällig. Wir liefern die gemessene Liste; ob der Text darauf passt, prüft Ihre Rechtsberatung.
Ja. Es gibt Auswertungen, die ohne Wiedererkennung einzelner Besucher arbeiten und die Daten in der EU verarbeiten. Sie liefern Seitenaufrufe, Herkunft und Verweildauer — alles, was für Entscheidungen zählt. Nicht liefern sie geräteübergreifende Profile. Für die meisten Unternehmen ist das kein Verlust.
Passt dazu
Erst messen, dann diskutieren
Wir sagen Ihnen in einem halben Tag, welche Daten Ihre Website tatsächlich nach außen gibt. Damit hat Ihre Rechtsberatung eine Grundlage — und Sie eine Entscheidung weniger im Bauchgefühl.
Messung anfragen