Ihre Website ist bereits ein Rechtsdokument

Die meisten Websites, die ich prüfe, sind nicht deshalb rechtswidrig, weil ihren Betreibern der Datenschutz egal wäre. Sie sind es, weil das Recht als Letztes kam. Das Design wurde abgenommen, der Entwickler hat gebaut, die Seite ging online — und dann fiel jemandem das Cookie-Banner ein, und es wurde obendrauf gesetzt.

Genau diese Reihenfolge ist das Problem. Wenn das Banner kommt, laden die Schriften längst von einem Server in einem anderen Land, die Karte setzt längst Cookies, das Analyse-Skript feuert, bevor irgendjemand etwas angeklickt hat. Das Banner wird zur Dekoration über Entscheidungen, die ohne es getroffen wurden.

Eine Website ist keine Broschüre mit angehängter Datenschutzerklärung. Jedes Element darauf ist eine Entscheidung über die Daten anderer Menschen.

Jedes Element ist eine rechtliche Entscheidung

Wer eine Website baut, entscheidet nicht nur, wie sie aussieht. Er entscheidet, welche Unternehmen die Daten der Besucher erhalten, wann und auf welcher Rechtsgrundlage. Einige ganz gewöhnliche Beispiele:

• Webfonts. Werden Schriften direkt vom Server eines Drittanbieters geladen, geht die IP-Adresse jedes Besuchers an diesen Anbieter. 2022 sprach das LG München I einem Besucher genau dafür Schadensersatz zu. Die Schriften selbst zu hosten kostet nichts und löst das Problem.
• Eingebettete Videos und Karten. Ein YouTube-Video oder eine Google-Karte kann beim Laden der Seite sofort Cookies setzen und externe Server kontaktieren. Ein einfacher „Zum Laden klicken“-Platzhalter löst das.
• Webanalyse. Tracking-Tools, die Kennungen auf dem Gerät speichern, brauchen in der Regel vorher eine Einwilligung. Datenschutzfreundliche, cookielose Lösungen oft nicht — das ist eine Designentscheidung, keine juristische Spitzfindigkeit.
• Kontaktformulare. Jedes Formular sammelt personenbezogene Daten. Wer erhält die Anfragen, wo werden sie gespeichert, wie lange?
• Chat-Widgets, Newsletter-Tools, Buchungssysteme. Jedes davon ist meist ein Auftragsverarbeiter, der einen Vertrag (Art. 28 DSGVO) und eine Zeile in Ihrer Datenschutzerklärung braucht.

Nichts davon ist exotisch. Es ist die ganz normale Anatomie einer Unternehmenswebsite. Genau deshalb gehört rechtliches Wissen ins Briefing — neben die Farbpalette und die Sitemap.

Was das Recht tatsächlich verlangt

Ohne Fachjargon lassen sich die Regeln für eine typische Unternehmenswebsite auf wenige Grundsätze zurückführen:

• Einwilligung vor nicht notwendigen Cookies. Nach den ePrivacy-Regeln (Art. 5 Abs. 3 ePrivacy-Richtlinie, in Deutschland umgesetzt durch § 25 TDDDG) braucht das Speichern oder Auslesen von Informationen auf dem Gerät eine Einwilligung, sofern es nicht unbedingt erforderlich ist für den Dienst, den der Besucher angefordert hat.
• Echte Einwilligung, kein Trick. Der Gerichtshof der EU hat in Planet49 (2019) entschieden, dass vorangekreuzte Kästchen keine wirksame Einwilligung sind. Europäische Aufsichtsbehörden erwarten, dass „Ablehnen“ so einfach ist wie „Akzeptieren“.
• Eine Rechtsgrundlage für jede Verarbeitung. Art. 6 DSGVO: Einwilligung, Vertrag, rechtliche Pflicht, berechtigtes Interesse — Sie brauchen eine, und Sie müssen wissen, welche.
• Transparenz. Art. 13 DSGVO: Sagen Sie in klarer Sprache, was Sie erheben, warum, wer es erhält und wie lange Sie es speichern.
• Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen. Art. 25 DSGVO verlangt wörtlich, dass Datenschutz von Anfang an in das System eingebaut wird. Das Gesetz selbst sagt: erst gestalten, nicht später flicken.
• Vorsicht bei Übermittlungen außerhalb der EU. Viele Tools senden Daten in die USA. Das EU-US Data Privacy Framework (seit Juli 2023) erfasst zertifizierte Unternehmen — trotzdem müssen Sie wissen, welche Tools Sie nutzen und auf welcher Grundlage.

Warum Nachrüsten teurer ist

Das Schlagzeilen-Risiko ist das DSGVO-Bußgeld: bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes. Für ein kleines Unternehmen ist das selten die realistische Gefahr. Die realistischen Gefahren sind kleiner und häufiger:

• Abmahnungen von Wettbewerbern oder Verbänden — in Deutschland und Österreich verbreitet;
• Ansprüche von Besuchern auf immateriellen Schadensersatz nach Art. 82 DSGVO;
• Beschwerden bei der Datenschutzbehörde, die dann Fragen stellt, die Sie beantworten müssen;
• und die stillen Kosten: Teile einer Website neu zu bauen, die man gleich richtig hätte bauen können.

Eine eingebettete Karte ersetzen, Schriften lokal einbinden, die Analyse neu verdrahten und die Datenschutzerklärung nach dem Launch neu schreiben dauert länger, als es während des Baus zu erledigen. Rechtliches Wissen, früh angewendet, ist schlicht günstiger.

Was sich ändert — und was nicht

Im November 2025 hat die Europäische Kommission einen „Digital Omnibus“ vorgeschlagen, der unter anderem die Cookie-Regeln in die DSGVO verschieben und einige Ausnahmen einführen würde, etwa für bestimmte Reichweitenmessung. Stand Oktober 2026 ist dieser Teil noch ein Entwurf: Der Rat hat sich nicht auf seine Verhandlungsposition geeinigt, beschlossen ist nichts.

Die praktische Regel ist einfach: Bauen Sie für das geltende Recht, nicht für einen Vorschlag. Die aktuellen Einwilligungsregeln gelten heute. Ändern sich die Regeln, ist eine Website mit sauberer Einwilligungslogik auch am leichtesten anzupassen.

Eine kurze Checkliste für Ihre nächste Website

• Listen Sie jeden Drittanbieter-Dienst auf, den die Website laden wird — bevor das Design abgenommen wird.
• Hosten Sie Schriften und wesentliche Skripte selbst, wo es möglich ist.
• Setzen Sie Videos, Karten und Social-Media-Einbettungen hinter einen Klick-Platzhalter.
• Blockieren Sie nicht notwendige Cookies bis zur Einwilligung; machen Sie „Ablehnen“ so sichtbar wie „Akzeptieren“.
• Schließen Sie Auftragsverarbeitungsverträge mit Formular-, Hosting-, Newsletter- und Chat-Anbietern.
• Schreiben Sie die Datenschutzerklärung nach dem tatsächlichen Setup — nicht nach einer Vorlage.

Worauf es ankommt

Recht ist nicht der Feind guten Designs. Schlanke, schnelle Websites, die nur laden, was sie brauchen, sind meist zugleich rechtskonformer und angenehmer zu benutzen. Der beste Zeitpunkt, über die DSGVO nachzudenken, ist, solange Sie noch entscheiden, was die Website sein soll. Danach gestalten Sie nicht mehr — Sie reparieren.

Sie möchten wissen, wo Ihre aktuelle Website steht? Unser kostenloser DSGVO- & Cookie-Check zeigt, was lädt, was Cookies setzt und was korrigiert werden muss — und für 99 € beheben wir es für Sie.

Goran Kolouh

Gründer & Geschäftsführer · Lexora Digital

Jurist von der Ausbildung, Webdesigner aus Überzeugung. Goran schreibt über EU-Digitalrecht — DSGVO, DSA und KI-Verordnung — und darüber, was es für alle bedeutet, die Websites bauen und betreiben.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung. Er gibt die Rechtslage zum Zeitpunkt der Veröffentlichung wieder.