DSGVO-Checkliste für Firmen-Websites: Fonts, Cookies, Einwilligung

Datenschutz auf der Website ist kein Thema, das man „später" macht: Verstöße sind von außen sichtbar — jede Person kann mit Bordmitteln des Browsers prüfen, welche Dienste Ihre Seite lädt. Die gute Nachricht: Die häufigsten Schwachstellen sind bekannt und behebbar. Hier ist die Checkliste, mit der wir jede Website prüfen.

1. Schriften: lokal statt von Google-Servern

Bindet Ihre Seite Google Fonts direkt von Google-Servern ein, wird bei jedem Besuch die IP-Adresse der Besucher:innen an Google übertragen. Das hat das Landgericht München I bereits 2022 in einem vielbeachteten Urteil als Datenschutzverstoß gewertet. Die Lösung ist einfach: Schriften auf dem eigenen Server hosten. Das ist technisch unkompliziert und macht die Seite nebenbei oft schneller.

2. Cookies und Tracking: erst fragen, dann laden

Für technisch nicht notwendige Cookies und vergleichbare Technologien — Analyse-Tools, Marketing-Pixel — braucht es in Österreich nach Telekommunikationsgesetz und DSGVO grundsätzlich eine vorherige, aktive Einwilligung. In der Praxis heißt das:

• Der Cookie-Banner muss echte Wahlfreiheit bieten: Ablehnen so einfach wie Zustimmen, keine vorangekreuzten Kästchen.
• Analyse- und Marketing-Skripte dürfen erst laden, nachdem zugestimmt wurde — viele Banner blenden nur einen Hinweis ein, während das Tracking längst läuft. Genau das lässt sich von außen nachweisen.
• Die Einwilligung muss so einfach widerrufbar sein, wie sie erteilt wurde (z. B. über einen ständig erreichbaren „Cookie-Einstellungen"-Link).

3. Externe Inhalte: Zwei-Klick statt Direkteinbindung

Eingebettete YouTube-Videos und Karten übertragen schon beim Seitenaufruf Daten an die Anbieter — bevor jemand auf Play drückt. Stand der Technik ist die Zwei-Klick-Lösung: Die Seite zeigt zunächst nur ein Vorschaubild; erst wenn Besucher:innen aktiv klicken, wird der externe Inhalt geladen. Bei Videoplattformen gibt es teils auch datenschutzfreundlichere Einbindungsvarianten — die Zwei-Klick-Lösung bleibt der sauberste Weg.

4. Formulare: nur erheben, was Sie brauchen

Kontaktformulare sollten nur die Felder enthalten, die für die Anfrage nötig sind (Datenminimierung), über eine verschlüsselte Verbindung (HTTPS) laufen und in der Datenschutzerklärung beschrieben sein. Besondere Vorsicht gilt bei Gesundheitsdaten: Schon die Nachricht „Ich hätte gern einen Termin wegen …" kann sensible Informationen enthalten. Für Praxen gehört deshalb auch der E-Mail- und Formularweg durchdacht.

5. Rechtstexte: vollständig und aktuell

• Impressum mit den Pflichtangaben nach E-Commerce-Gesetz und Mediengesetz, von jeder Seite erreichbar.
• Datenschutzerklärung, die alle tatsächlich eingesetzten Dienste nennt — nicht die Vorlage von vor vier Jahren, in der Dienste stehen, die es auf der Seite gar nicht (mehr) gibt, während neue fehlen.
• Auftragsverarbeitungsverträge mit Dienstleistern wie Hosting-Anbietern, soweit diese personenbezogene Daten für Sie verarbeiten.

Der Fünf-Minuten-Selbsttest

Öffnen Sie Ihre Website in einem privaten Browserfenster und beobachten Sie: Lädt die Seite Verbindungen zu Google, Meta und Co., bevor Sie irgendetwas angeklickt haben? Zeigt der Cookie-Banner eine gleichwertige Ablehnen-Option? Führt der Datenschutz-Link zu einem Text, der Ihre tatsächlichen Dienste beschreibt? Diese drei Fragen decken einen Großteil der Praxisprobleme auf.

Unser Fazit

Website-Datenschutz ist zu einem guten Teil Handwerk: lokale Schriften, sauberes Consent-Management, Zwei-Klick-Embeds, gepflegte Rechtstexte. Wer neu baut, sollte das von Anfang an mitdenken — nachrüsten ist immer teurer als richtig bauen.