Die zehn häufigsten Datenschutzfehler auf Websites

Ein Cookie-Banner allein macht eine Website noch nicht datenschutzkonform. Entscheidend ist, was technisch im Hintergrund passiert. Nicht notwendige Cookies und vergleichbare Technologien dürfen grundsätzlich erst eingesetzt werden, wenn der Besucher eingewilligt hat. Das betrifft insbesondere Analyse-, Marketing- und Tracking-Dienste.

Typische Fehler sind:

• Tracking startet bereits vor der Einwilligung.
• Eine Ablehnung ist schwieriger als eine Zustimmung.
• Einzelne Dienste lassen sich nicht sinnvoll auswählen.
• Eine erteilte Einwilligung lässt sich später nicht einfach widerrufen.
• Der Banner zeigt Einstellungen an, die technisch gar nicht korrekt umgesetzt werden.

Wichtig ist deshalb nicht nur die Gestaltung des Banners, sondern vor allem die technische Umsetzung dahinter. Und nein: Cookie-Banner sind nicht einfach abgeschafft worden. Die immer wieder angekündigten Änderungen der europäischen Cookie-Regeln bedeuten nicht, dass Unternehmen ihre Consent-Lösungen heute entfernen können.

Eine Datenschutzerklärung sollte beschreiben, was auf der Website tatsächlich passiert. Genau daran scheitert es häufig. Über die Jahre kommen neue Dienste hinzu: ein Analyse-Tool, ein Newsletter-System, ein eingebettetes Video, ein Terminbuchungstool oder vielleicht ein Chatbot. Die Datenschutzerklärung bleibt dagegen auf dem Stand des letzten Relaunches. Besonders problematisch sind Datenschutzerklärungen, die aus Vorlagen übernommen wurden und Dienste aufführen, die überhaupt nicht eingesetzt werden – während tatsächlich verwendete Anwendungen fehlen. Deshalb sollte die Datenschutzerklärung regelmäßig mit der technischen Realität der Website abgeglichen werden.

Google Analytics, Google Ads, Meta Pixel, LinkedIn Insight Tag und andere Analyse- oder Marketing-Technologien sind auf Unternehmenswebsites weit verbreitet. Problematisch wird es, wenn diese Dienste bereits beim ersten Seitenaufruf aktiv werden – also noch bevor der Besucher eine entsprechende Einwilligung erteilt hat. Das kann auch passieren, obwohl ein Cookie-Banner vorhanden ist. Entscheidend ist nicht, ob ein Banner angezeigt wird, sondern ob die entsprechenden Skripte tatsächlich bis zur Zustimmung blockiert werden. Nach Änderungen am Tracking oder Tag Manager sollte deshalb immer kontrolliert werden, welche Verbindungen eine Website bereits beim ersten Aufruf herstellt.

Nicht nur klassische Tracking-Tools können Daten übertragen. Auch scheinbar harmlose Website-Inhalte können beim Laden eine Verbindung zu externen Anbietern herstellen.

Typische Beispiele sind:

• YouTube- oder Vimeo-Videos
• Google Maps
• externe Schriftarten
• CAPTCHA-Dienste
• Bewertungswidgets
• Buchungs- und Terminlösungen

Je nach Einbindung können dabei beispielsweise IP-Adressen oder weitere technische Informationen an den jeweiligen Anbieter übertragen werden. Eine verbreitete Lösung besteht darin, solche Inhalte zunächst zu blockieren und erst nach Zustimmung des Besuchers zu laden. Bei manchen Diensten gibt es außerdem datenschutzfreundlichere Möglichkeiten der lokalen oder technisch reduzierten Einbindung.

Name, Unternehmen, Telefonnummer, Position, Anschrift, Kundennummer – Kontaktformulare können erstaunlich umfangreich werden. Dabei gilt im Datenschutz der Grundsatz der Datenminimierung: Es sollten nur diejenigen personenbezogenen Daten verpflichtend erhoben werden, die für den jeweiligen Zweck tatsächlich benötigt werden. Wer lediglich eine allgemeine Kontaktanfrage ermöglichen möchte, benötigt beispielsweise nicht zwingend die Telefonnummer des Absenders. Auch die Kennzeichnung von Pflichtfeldern sollte eindeutig sein. Zusätzlich muss nachvollziehbar sein, wie die über das Formular eingegebenen Daten verarbeitet werden. Weniger Pflichtfelder verbessern übrigens häufig nicht nur den Datenschutz, sondern auch die Conversion Rate eines Formulars.

Auch bei Newsletter-Formularen gibt es typische Fehler. Die Anmeldung muss transparent gestaltet sein. Nutzer müssen erkennen können, wofür sie ihre E-Mail-Adresse angeben und welche Kommunikation sie anschließend erhalten. In Deutschland hat sich für den Nachweis einer wirksamen Einwilligung das Double-Opt-in-Verfahren etabliert: Nach der Anmeldung erhält der Nutzer eine E-Mail und bestätigt seine Anmeldung über einen Link. Problematisch sind beispielsweise bereits vorausgewählte Einwilligungen oder Newsletter-Anmeldungen, die mit anderen Vorgängen gekoppelt werden, obwohl dafür keine entsprechende Grundlage besteht. Auch die Abmeldung sollte jederzeit unkompliziert möglich sein.

Das Impressum gehört zwar streng genommen nicht zum Datenschutz, ist aber Teil der rechtlichen Pflichtausstattung vieler Unternehmenswebsites – und wird bei Website-Checks regelmäßig gemeinsam mit den Datenschutzthemen geprüft. Typische Probleme sind veraltete Unternehmensangaben, fehlende Pflichtinformationen oder ein Impressum, das nur umständlich erreichbar ist. Gerade nach Umfirmierungen, Umzügen, Änderungen der Geschäftsführung oder einem Relaunch lohnt sich deshalb ein kurzer Kontrollblick. Datenschutzerklärung und Impressum sollten von jeder relevanten Seite aus leicht erreichbar sein. Auch der häufig noch verwendete Hinweis auf § 5 TMG ist inzwischen veraltet. Seit Mai 2024 richten sich die allgemeinen Informationspflichten nach § 5 DDG. Entscheidend ist jedoch vor allem, dass die gesetzlich vorgeschriebenen Angaben vollständig und aktuell sind.

KI ist inzwischen auch auf Unternehmenswebsites angekommen. Chatbots beantworten Fragen, Systeme erstellen oder bearbeiten Inhalte und KI-generierte Bilder werden für Marketing und Kommunikation eingesetzt. Seit dem 2. August 2026 sind zudem wesentliche Transparenzpflichten aus Artikel 50 des EU AI Act anwendbar. Das bedeutet allerdings nicht, dass plötzlich jeder mit KI unterstützte Website- oder Marketingtext pauschal als KI-Inhalt gekennzeichnet werden muss. Relevant sind unter anderem bestimmte KI-Systeme, die unmittelbar mit Menschen interagieren, sowie bestimmte synthetisch erzeugte oder manipulierte Inhalte. Bei redaktionellen Texten bestehen zudem wichtige Differenzierungen, wenn eine menschliche redaktionelle Prüfung stattfindet und eine Person oder Organisation die redaktionelle Verantwortung übernimmt. Unternehmen sollten deshalb nicht einfach pauschal "KI-generiert" an alle Inhalte schreiben, sondern prüfen, welche konkrete Anwendung sie einsetzen und welche Transparenzpflicht dafür tatsächlich gilt.

HTTPS ist heute selbstverständlich – sollte man meinen. Trotzdem treten gerade bei älteren Websites oder nach technischen Änderungen sogenannte Mixed-Content-Probleme auf. Die eigentliche Website wird verschlüsselt über HTTPS geladen, einzelne Ressourcen werden jedoch weiterhin über eine unsichere HTTP-Verbindung eingebunden. Besonders kritisch ist eine fehlende oder fehlerhafte Verschlüsselung dort, wo Besucher personenbezogene Daten eingeben – beispielsweise in Kontakt-, Bewerbungs- oder Bestellformularen. Auch abgelaufene oder falsch konfigurierte Zertifikate sollten nicht ignoriert werden. Moderne Browser warnen Besucher in solchen Fällen teilweise deutlich.

Ein Instagram-Feed auf der Startseite, ein eingebetteter LinkedIn-Beitrag oder ein Facebook-Plugin ist schnell integriert. Datenschutzrechtlich kann die direkte Einbindung allerdings problematisch sein. Je nach technischer Umsetzung kann bereits beim Aufruf der Seite eine Verbindung zur jeweiligen Plattform hergestellt werden – unabhängig davon, ob der Besucher mit dem eingebetteten Inhalt interagiert. Deshalb sollte geprüft werden, ob Social-Media-Inhalte wirklich direkt eingebettet werden müssen. Eine einfache Alternative sind normale Links zu den eigenen Social-Media-Profilen. Soll ein externer Inhalt direkt auf der Website angezeigt werden, kann eine Einwilligungslösung vorgeschaltet werden, sodass die Verbindung zum jeweiligen Anbieter erst nach Zustimmung aufgebaut wird.

Viele Datenschutzprobleme entstehen nicht beim ursprünglichen Aufbau einer Website, sondern später. Ein neues Marketing-Tool wird integriert. Ein Plugin kommt hinzu. Google Analytics wird umgestellt. Der Newsletter-Anbieter wechselt. Ein Chatbot wird eingebaut. Nach und nach verändert sich die Technik der Website – während Cookie-Einstellungen und Datenschutzerklärung unverändert bleiben. Deshalb sollte Datenschutz nicht nur beim Relaunch auf der Checkliste stehen. Ein regelmäßiger technischer Website-Check hilft dabei, ungewollte Datenübertragungen, falsch eingebundene Dienste und veraltete Informationen frühzeitig zu erkennen. Und ganz nebenbei ist eine sauber konfigurierte Website nicht nur eine rechtliche Frage. Transparenter Umgang mit Daten schafft Vertrauen – und das ist gerade für Unternehmenswebsites mindestens genauso wichtig.