Auf deutschen Unternehmenswebsites z\u00e4hlen fehlende oder fehlerhafte Cookie-Einwilligungen, unvollst\u00e4ndige Datenschutzerkl\u00e4rungen und der unkontrollierte Einsatz von Drittanbieter-Tools zu den h\u00e4ufigsten DSGVO-Schwachstellen. Diese M\u00e4ngel entstehen in vielen F\u00e4llen nicht aus Absicht, sondern weil technische Ver\u00e4nderungen an der Website unbemerkt bleiben oder Anforderungen falsch eingesch\u00e4tzt werden. Der folgende Artikel beantwortet die wichtigsten Fragen rund um typische Datenschutzverst\u00f6\u00dfe auf Websites und zeigt, wie Sie diese systematisch erkennen und angehen k\u00f6nnen.<\/p>\n
Die h\u00e4ufigsten DSGVO-Fehler auf Websites betreffen drei Kernbereiche: das Consent-Management (fehlende oder manipulative Cookie-Einwilligung), die Datenschutzerkl\u00e4rung (unvollst\u00e4ndig oder veraltet) sowie den Einsatz externer Dienste ohne ausreichende Rechtsgrundlage. Diese Schwachstellen treten branchen\u00fcbergreifend auf, von kleinen Unternehmenswebsites bis hin zu gr\u00f6\u00dferen Online-Plattformen.<\/p>\n
In der Praxis zeigt sich, dass viele Websites Tracking-Skripte und Cookies laden, bevor der Nutzer \u00fcberhaupt eine Einwilligung erteilt hat. Auch fehlt h\u00e4ufig eine valide M\u00f6glichkeit, die Einwilligung gleichwertig zu verweigern, was die Anforderungen der DSGVO an eine freiwillige Zustimmung verletzt. Dar\u00fcber hinaus werden externe Dienste wie Analysetools, Schriftarten oder Werbepixel eingebunden, ohne dass dies in der Datenschutzerkl\u00e4rung transparent gemacht wird.<\/p>\n
Weitere verbreitete Datenschutzverst\u00f6\u00dfe auf Websites umfassen:<\/p>\n
Cookie-Banner sind h\u00e4ufig fehlerhaft, weil ihre Gestaltung oft darauf ausgelegt ist, Nutzer zur Einwilligung zu dr\u00e4ngen, anstatt eine echte Wahlm\u00f6glichkeit zu bieten. Dark Patterns wie vorangehakte Checkboxen, fehlende Ablehn-Buttons auf der ersten Ebene oder irref\u00fchrende Formulierungen versto\u00dfen gegen die DSGVO-Anforderungen an eine informierte und freiwillige Einwilligung.<\/p>\n
Hinzu kommt ein technisches Problem: Viele Consent-Management-Tools sind zwar vorhanden, aber falsch konfiguriert. Cookies und Tracker werden geladen, bevor der Nutzer interagiert hat, oder sie werden auch dann gesetzt, wenn der Nutzer abgelehnt hat. Dieses Auseinanderfallen von angezeigtem Banner und tats\u00e4chlichem technischem Verhalten der Website ist eine der h\u00e4ufigsten DSGVO-Schwachstellen, die bei Website-Audits auff\u00e4llt.<\/p>\n
Typische Fehler bei Cookie-Bannern im \u00dcberblick:<\/p>\n
Aufsichtsbeh\u00f6rden im DACH-Raum haben in den vergangenen Jahren deutlich gemacht, dass sie die Ausgestaltung von Einwilligungsl\u00f6sungen genau pr\u00fcfen. Ein Cookie-Banner allein reicht nicht aus, wenn die dahinterliegende Technik nicht korrekt funktioniert.<\/p>\n
Auf deutschen Websites l\u00f6sen vor allem weit verbreitete Analyse-, Marketing- und Infrastrukturtools regelm\u00e4\u00dfig DSGVO-Probleme aus. Dazu z\u00e4hlen Google Analytics, Google Fonts, Meta Pixel, YouTube-Einbettungen sowie Google Maps. Der gemeinsame Nenner: Diese Dienste \u00fcbertragen personenbezogene Daten, insbesondere IP-Adressen, in die USA oder andere Drittstaaten, ohne dass immer eine ausreichende Rechtsgrundlage vorliegt.<\/p>\n
Google Fonts ist ein besonders h\u00e4ufig \u00fcbersehenes Beispiel. Viele Websites laden Schriftarten direkt von den Google-Servern, ohne dass Nutzer davon wissen oder eingewilligt haben. Auch eingebettete YouTube-Videos aktivieren bereits beim Laden Tracking-Mechanismen, selbst wenn der Nutzer das Video nicht abspielt.<\/p>\n
Weitere Drittanbieter-Tools, die auf deutschen Websites h\u00e4ufig Datenschutzprobleme verursachen:<\/p>\n
Problematisch ist, dass viele dieser Dienste \u00fcber CMS-Plugins, Theme-Funktionen oder eingebettete Inhalte auf die Website gelangen, ohne dass dies bewusst entschieden wurde. Ein DSGVO-Website-Check<\/a> kann helfen, solche versteckten Dienste systematisch aufzudecken.<\/p>\n Die h\u00e4ufigsten M\u00e4ngel in deutschen Datenschutzerkl\u00e4rungen sind fehlende oder veraltete Angaben zu eingesetzten Diensten, unklare Beschreibungen der Rechtsgrundlagen sowie das Fehlen von Informationen zu Drittlandtransfers. Viele Datenschutzerkl\u00e4rungen werden einmalig erstellt und danach nicht mehr aktualisiert, obwohl sich die eingesetzten Tools auf der Website laufend \u00e4ndern.<\/p>\n Ein besonders h\u00e4ufiges Problem ist die Diskrepanz zwischen der Datenschutzerkl\u00e4rung und der tats\u00e4chlichen technischen Realit\u00e4t der Website. Dienste, die aktiv genutzt werden, fehlen im Text, w\u00e4hrend andere Dienste beschrieben werden, die l\u00e4ngst nicht mehr im Einsatz sind. Diese Inkonsistenz ist nicht nur ein formaler Fehler, sondern kann als irref\u00fchrend bewertet werden.<\/p>\n Typische M\u00e4ngel in Datenschutzerkl\u00e4rungen:<\/p>\nWas sind die h\u00e4ufigsten M\u00e4ngel in deutschen Datenschutzerkl\u00e4rungen?<\/h2>\n
\n