Ist meine Website
DSGVO-konform?
Die ehrliche Antwort: Meistens fast. Es hängt fast immer an denselben fünf bis acht Stellen – und die meisten davon sind in ein bis zwei Stunden repariert, ohne die Seite neu zu bauen. Unten die Checkliste zum Selbertesten. Wenn du es lieber jemanden anschauen lässt: Ich prüfe deine Seite kostenlos.
Was wirklich passieren kann – und was nicht.
Im Sommer 2022 bekamen tausende österreichische Unternehmen Schreiben wegen extern geladener Google Fonts, mit Forderungen um die 190 Euro. Das Landesgericht Wien hat systematische Massenabmahnungen 2025 als rechtsmissbräuchlich eingestuft – das zugrunde liegende Datenschutzproblem bleibt aber bestehen.
Realistisch heißt das: Es steht morgen früh niemand mit einem Bescheid in deiner Werkstatt. Die typischen Auslöser sind ein verärgerter Besucher, ein Mitbewerber oder eine Beschwerde bei der Datenschutzbehörde. Selten – aber unangenehm, wenn es passiert.
Deshalb behandle ich das Thema wie ein Pickerl beim Auto: einmal ordentlich durchschauen, reparieren, was ansteht, danach Ruhe haben. Kein Grund für schlaflose Nächte, aber auch kein Grund, es weitere drei Jahre liegen zu lassen.
Die 8 häufigsten Stolpersteine.
Geh die Punkte der Reihe nach durch. Für jeden steht dabei, wie du ihn in ein bis zwei Minuten selbst prüfst – ohne Fachwissen und ohne Werkzeug.
Schriften werden von außen geladen
Der Klassiker. Werden Google Fonts direkt von Google-Servern geholt, wandert die IP-Adresse jedes Besuchers ohne Einwilligung in die USA – Auslöser der Abmahnwelle 2022.
So prüfst du es: Rechtsklick auf deine Seite, „Seitenquelltext anzeigen", mit Suchen nach fonts.googleapis suchen. Treffer = Handlungsbedarf.
Karten, Videos und Widgets
Eine eingebettete Google-Karte, ein YouTube-Video oder ein Bewertungs-Widget baut beim Seitenaufruf eine Verbindung zu einem fremden Server auf – meist in den USA, meist ohne Zustimmung.
So prüfst du es: Geh deine Seiten durch: Karte im Kontaktbereich? Video auf der Startseite? Chat-Fenster? Jedes davon gehört geprüft und in der Datenschutzerklärung genannt.
Datentransfer in die USA im LexikonDer Cookie-Banner, der nichts tut
Sehr verbreitet: Der Banner erscheint, aber Tracking-Skripte sind längst geladen, bevor jemand klickt. Dann ist er Dekoration – die Daten sind schon weg.
So prüfst du es: Hast du überhaupt zustimmungspflichtige Dienste? Wenn nein, kann der Banner weg. Wenn ja, muss er die Skripte wirklich blockieren – und Ablehnen muss so einfach sein wie Zustimmen.
Cookie-Banner im LexikonDatenschutzerklärung passt nicht zur Seite
Aus dem Generator kopiert, danach nie angepasst: Es steht ein Absatz über Google Analytics drin, das du gar nicht nutzt – dafür fehlt das Terminbuchungs-Tool, das seit einem Jahr läuft.
So prüfst du es: Geh sie Absatz für Absatz durch mit der Frage: Passiert das auf meiner Seite wirklich? Streichen, was nicht stimmt. Ergänzen, was fehlt.
Datenschutzerklärung im LexikonImpressum unvollständig oder versteckt
Der Punkt, den ein Mitbewerber in zehn Sekunden prüfen kann – ohne Zugang, ohne Fachwissen. Deshalb ein beliebter Aufhänger für Abmahnungen.
So prüfst du es: Am Handy aufrufen: Findest du das Impressum in zehn Sekunden? Stehen Firmenbuchnummer, UID und Kammerzugehörigkeit drin? Und hat auch dein Facebook- oder Instagram-Profil eine Offenlegung?
Impressum im LexikonFormular ohne Hinweis und ohne Verschlüsselung
Wer über dein Formular Namen und Telefonnummer schickt, muss wissen, wohin die Daten gehen. Und die Verbindung muss verschlüsselt sein, sonst warnt der Browser.
So prüfst du es: Steht unter deinem Formular ein Datenschutzhinweis? Und beginnt die Adresse mit https, ohne Warnmeldung?
SSL-Zertifikat im LexikonKeine Verträge mit den Dienstleistern
Hoster, Newsletter-Tool, Formular-Dienst: Jeder, der in deinem Auftrag Daten deiner Kundschaft verarbeitet, braucht einen Auftragsverarbeitungsvertrag nach Artikel 28.
So prüfst du es: Schreib auf, welche Dienste bei dir Daten sehen – meist drei bis fünf. Zu jedem gibt es beim Anbieter einen fertigen AVV zum Abhaken oder Herunterladen.
AVV im LexikonNewsletter ohne Double-Opt-In
Ohne Bestätigungsmail kann jeder jede fremde Adresse eintragen – und die Beschwerde landet bei dir, nicht bei dem, der sie eingetragen hat.
So prüfst du es: Bekommen neue Empfänger eine Bestätigungsmail, bevor der erste Newsletter rausgeht? Und kannst du nachweisen, wann wer zugestimmt hat?
Double-Opt-In im LexikonDu schickst die Adresse. Ich schau mir das an.
Kein Formular mit zwanzig Feldern, kein automatisch erzeugter PDF-Bericht, den niemand liest. Du bekommst von mir eine ehrliche Rückmeldung in verständlichem Deutsch – und wenn alles passt, steht das genauso drin.
Was geprüft wird
Externe Dienste und Schriften, Cookie-Situation, Datenschutzerklärung gegen die tatsächlich eingebundenen Dienste, Impressum, Formular und Verschlüsselung. Dazu Ladezeit und Handy-Darstellung, weil das ohnehin auffällt.
Was du bekommst
Eine Liste der konkreten Punkte, sortiert nach Dringlichkeit, mit der Einschätzung, was davon selbst erledigt werden kann und was nicht. Ohne Verkaufsdruck – oft lautet die Antwort: „Zwei Kleinigkeiten, den Rest lass wie er ist."
Hinweis: Das ist eine Einschätzung aus der Praxis eines Webdesigners, keine Rechtsberatung. Bei konkreten rechtlichen Fragen oder einem Schreiben, das schon eingelangt ist, gehört deine Rechtsvertretung eingebunden.
Lieber zuerst selbst einlesen?
Die Begriffe rund um Datenschutz und Website erkläre ich im Lexikon – jeweils mit dem Absatz, was das für deinen Betrieb konkret heißen könnte.
Zum Lexikon