Was "DSGVO-sicher" wirklich bedeutet
"DSGVO-sicher" ist kein Zertifikat und kein Siegel, das man kauft. Es gibt kein offizielles Prüfsiegel, das eine Website konform macht. Der Begriff beschreibt einen Zustand: Ihre Seite geht mit personenbezogenen Daten so um, wie es das Gesetz erwartet.
Im Kern beruht dieser Zustand auf einigen Grundsätzen:
- Rechtsgrundlage - für jede Verarbeitung personenbezogener Daten gibt es einen gültigen Grund (Einwilligung, Vertrag oder berechtigtes Interesse).
- Datenminimierung - Sie erheben nur, was Sie wirklich brauchen, und speichern es nur, solange Sie es brauchen.
- Transparenz - Menschen können sehen, was Sie erheben und warum, in einer Datenschutzerklärung, die widerspiegelt, was die Seite tatsächlich tut.
- Kontrolle - Besucher können optionales Tracking ablehnen und diese Entscheidung später ändern oder widerrufen.
- Sicherheit - Daten werden sicher übertragen und gespeichert (HTTPS, EU-Hosting, Zugriff nur für die, die ihn brauchen).
Beachten Sie: personenbezogene Daten sind mehr, als die meisten annehmen. Eine IP-Adresse zählt dazu. Ebenso eine E-Mail in einem Kontaktformular, ein Name in einer Buchung oder eine Cookie-ID, die jemandem folgt.
Was es nicht bedeutet
Die meisten Probleme entstehen, wenn ein Baustein für das Ganze gehalten wird. "DSGVO-sicher" bedeutet nicht:
- "Wir haben ein Cookie-Banner" - ein Banner mit nur "Akzeptieren" ist oft das Problem, nicht die Lösung.
- "Wir hosten in Deutschland" - EU-Hosting hilft, aber ein einziger US-Tracker im Hintergrund macht es zunichte.
- "Wir haben eine Datenschutzerklärung" - ein generisches Template, das nicht zu Ihren Formularen und Tools passt, kann schlimmer sein als keines.
- "Wir haben das beim Launch einmal gemacht" - es ist ein laufender Zustand. Neue Plugins, Einbettungen und Tools verändern Ihr Risiko leise.
Warum Fehler riskant sind
In Deutschland ist das praktische Risiko selten ein riesiges Bußgabe der Behörde für einen kleinen Betrieb. Es ist die Abmahnung: ein förmliches Schreiben, meist von einem Anwalt oder Wettbewerber, das die Beseitigung verlangt, eine strafbewehrte Unterlassungserklärung fordert und die Anwaltskosten in Rechnung stellt. Sie lassen sich massenhaft und günstig versenden und treffen ganz normale lokale Betriebe. Dazu kommen individuelle Schadensersatzansprüche und - bei größeren oder wiederholten Fällen - Bußgelder der Aufsichtsbehörde. Das sind die Fälle, die wirklich Leute erwischen.
Google Fonts von Googles Servern geladen
Ein Münchner Gericht entschied 2022, dass das Einbinden von Google Fonts auf die Standardweise - die die IP-Adresse jedes Besuchers an Google in die USA sendet - die Rechte des Besuchers verletzt, und sprach Schadensersatz zu. Es löste eine Welle automatisierter Abmahnschreiben an Tausende deutsche Seiten aus. Die Lösung kostet nichts: Fonts selbst hosten, damit keine IP Ihren Server verlässt.
Google Analytics, das vor der Einwilligung lädt
Österreichische und französische Behörden haben den Standardeinsatz von Google Analytics für unzulässig erklärt, weil er Daten in die USA überträgt. Wenn Ihr Analytics-Skript in dem Moment lädt, in dem die Seite öffnet - bevor jemand "Akzeptieren" klickt - verarbeiten Sie Daten ohne Rechtsgrundlage. Analytics muss aus bleiben, bis der Besucher zustimmt.
Einbettungen, die vor der Abfrage laden
Ein YouTube-Video, eine Google-Karte, ein Meta- oder LinkedIn-Pixel, ein Chat-Widget - jedes davon kontaktiert einen fremden Server und kann in dem Moment Cookies setzen, in dem die Seite öffnet. Das ist Tracking ohne Einwilligung. Einbettungen brauchen einen "Zum Laden klicken"-Platzhalter oder ein Einwilligungs-Gate davor.
Ein Cookie-Banner, das zu "Akzeptieren" drängt
Ablehnen muss so einfach sein wie Zustimmen. Banner mit einem grellen "Alle akzeptieren" und einem versteckten oder ausgegrauten "Ablehnen", vorangekreuzte Kästchen oder "Weiterscrollen heißt Zustimmen" erzeugen keine gültige Einwilligung - und sind selbst eine dokumentierte Quelle von Beschwerden und Abmahnungen.
Formulare und Verträge hinter den Kulissen
Ein Kontakt- oder Buchungsformular über einfaches HTTP, unverschlüsselt weitergeleitete Formulardaten, ein Newsletter ohne Double-Opt-in oder ein Hosting- und Tool-Stack ohne Auftragsverarbeitungsvertrag (AVV) - all das sind häufige Befunde. Für Besucher unsichtbar, aber für einen Prüfer oder einen verärgerten Ex-Kunden leicht zu erkennen.
Was Fehler kosten können
Eine einzelne Abmahnung bündelt typischerweise Anwaltskosten im Bereich von einigen Hundert bis in den unteren vierstelligen Euro-Bereich, dazu eine Unterlassungserklärung, die jede Wiederholung deutlich teurer macht. Individuelle Schadensersatzansprüche wie im Google-Fonts-Fall lagen jeweils im niedrigen dreistelligen Bereich - allein unbedeutend, ernst, wenn ein Schreiben an Hunderte Seiten geht. Und die Zeit und der Stress der Reaktion sind ein eigener Preis. Es geht bei DSGVO-Sicherheit nicht um die Angst vor einem Schlagzeilen-Bußgeld, sondern darum, die günstigen, bekannten Lücken zu schließen, die Sie zu einem leichten Ziel machen.
So minimieren Sie Ihr Risiko
Mathematische Sicherheit erreichen Sie nicht, und wer das verspricht, will Ihnen etwas verkaufen. Aber das meiste reale Risiko stammt aus einer kurzen Liste bekannter Punkte, und fast alle sind günstig zu beheben. Arbeiten Sie diese durch.
Hosting und Assets
- Die Seite in der EU hosten.
- Fonts, Icons und Skripte selbst hosten, statt sie von US-Servern zu laden.
- Alles über HTTPS ausliefern.
Einwilligung und Tracking
- Standardmäßig nur notwendige Cookies; Analyse- und Marketing-Tools bleiben bis zum Opt-in aus.
- Das Banner lässt Ablehnen so einfach wie Akzeptieren, ohne vorangekreuzte Kästchen.
- Die Entscheidung wird gespeichert und kann später geändert oder widerrufen werden.
- Ein "Zum Laden klicken"-Gate vor YouTube, Karten, Pixeln und Chat-Widgets.
Formulare und Daten
- Nur die Felder erheben, die Sie zur Beantwortung der Anfrage brauchen.
- Formulardaten verschlüsselt übertragen und speichern.
- Double-Opt-in für jeden Newsletter.
- Daten löschen, für die es keinen Grund zur Aufbewahrung mehr gibt.
Dokumente und Rechtsseiten
- Ein korrektes Impressum und eine Datenschutzerklärung, die zu dem passt, was die Seite wirklich tut.
- Ein Auftragsverarbeitungsvertrag (AVV) mit jedem Anbieter, der Daten für Sie verarbeitet - Hosting, E-Mail, Buchung, Analyse.
- Eine kurze interne Notiz, was Sie erheben, wo es liegt und warum.
Aktuell halten
- Erneut prüfen, sobald Sie ein Plugin, eine Einbettung, ein Formular oder ein neues Tool hinzufügen - dann kehrt das Risiko leise zurück.
- Die endgültige Formulierung von Ihrem eigenen Berater bestätigen lassen. Ein Template ist ein Ausgangspunkt, keine Rechtsberatung.
Nichts davon ist exotisch. Es ist eine Bau-Disziplin: datenschutzfreundliche Standardeinstellungen, einmal entschieden und beibehalten. Machen Sie das, und die üblichen Abmahn-Auslöser sind auf Ihrer Seite schlicht nicht vorhanden.