Die eigene Website auf Datenschutzfehler prüfen: was man selbst sehen kann

Die Suche nach Datenschutzfehlern auf der eigenen Website beginnt fast immer an derselben Stelle: Impressum, Datenschutzerklärung, Cookie-Banner. Diese drei Dinge sind sichtbar, sie stehen als eigene Punkte in der Fußzeile, und für alle drei gibt es Vorlagen. Entsprechend ordentlich sehen sie in den meisten Fällen aus.

Die Aufsichtsbehörden schauen woanders hin. Als der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI) im Berichtsjahr 2025 tausend zufällig ausgewählte Websites Hamburger Betreiber automatisiert untersuchte, ging es nicht um Texte, sondern um das, was ein Browser beim ersten Aufruf im Hintergrund nachlädt. Bei 185 dieser tausend Angebote wurde bereits vor jeder Einwilligung auf das Endgerät zugegriffen — überwiegend durch Dienste, die jemand einmal eingebaut hat, weil die Seite damit besser aussah oder praktischer wurde.

Wo die Aufsicht die Mängel tatsächlich findet

Die Hamburger Prüfung war anlasslos, also nicht durch eine Beschwerde ausgelöst, und lief in drei Stufen. In der ersten untersuchte das Prüfwerkzeug Website Evidence Collector tausend Seiten automatisiert daraufhin, ob beim erstmaligen Aufruf Drittanbieter Cookies setzten oder Geräteinformationen auslasen, ohne dass eine Einwilligung vorlag.

In der zweiten Stufe informierte die Behörde die betroffenen Betreiber und setzte eine Frist von sechs Monaten, begleitet von Hinweisen und einer Telefonsprechstunde. Die dritte Stufe war die erneute Prüfung nach Fristablauf; ihr Ergebnis fällt in der Formulierung des Berichts „gemischt“ aus — viele hätten sich bemüht, ohne fertig zu werden, einzelne seien untätig geblieben oder hätten die Probleme sogar vergrößert. Die Schlussfolgerung der Behörde ist bemerkenswert: Sie sieht in erster Linie Informations- und Beratungsbedarf, nicht Vorsatz.

Was § 25 TDDDG verlangt — und warum die DSGVO dafür nicht genügt

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis 2024 als TTDSG bekannt, enthält in § 25 eine eigenständige Regel neben der Datenschutz-Grundverordnung. Absatz 1 erlaubt die Speicherung von Informationen in der Endeinrichtung des Endnutzers und den Zugriff auf dort bereits gespeicherte Informationen nur, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat.

Der Unterschied zur DSGVO steckt im Wort „Informationen“. Geschützt ist nicht die personenbezogene Angabe, sondern das Gerät. Die Einwilligungspflicht greift deshalb auch dann, wenn gar keine personenbezogenen Daten verarbeitet werden — der HmbBfDI stellt das in seinem Bericht ausdrücklich klar. Wer argumentiert, ein Zähler sei anonym, hat die DSGVO-Frage beantwortet, die TDDDG-Frage aber nicht berührt.

Ausnahmen gibt es zwei, und beide sind eng. § 25 Abs. 2 Nr. 1 betrifft die reine Nachrichtenübertragung, Nr. 2 den Fall, dass der Zugriff unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst bereitgestellt werden kann. Warenkorb und Anmeldung fallen darunter. Reichweitenmessung, Werbeoptimierung und Komfortfunktionen nicht, weil die Seite auch ohne sie angezeigt wird.

Der Zeitpunkt ist die eigentliche Hürde

Die meisten Beanstandungen entstehen nicht daran, dass eine Einwilligung fehlt, sondern daran, dass sie zu spät kommt. Die Datenschutzkonferenz, das gemeinsame Gremium der deutschen Aufsichtsbehörden, formuliert es in ihrer Orientierungshilfe für Anbieter von digitalen Diensten unmissverständlich: Die Willenserklärung muss bereits erteilt sein, bevor der einwilligungsbedürftige Zugriff erfolgt. Cookies beim ersten Aufruf zu setzen und die Einwilligung anschließend abzufragen, sei nicht zulässig.

Genau diese Reihenfolge war in Hamburg das Problem. Der Bericht hält fest, dass zum Zeitpunkt des Zugriffs die Nutzer „auch bei einem eventuell eingebundenen Cookie-Banner noch keine Auswahl treffen“ konnten. Ein sichtbares Banner beweist also nichts. Es beweist nur, dass jemand ein Banner eingebaut hat — nicht, dass die Skripte darauf warten.

Warum eine eingebettete Karte nicht wie Datenverarbeitung aussieht

Hier liegt der Kern des Problems, und er ist weniger juristisch als psychologisch. Wer eine Karte auf die Kontaktseite setzt, ein Video auf die Über-uns-Seite oder eine Schriftfamilie in die Kopfzeile, trifft eine Gestaltungsentscheidung. Es fühlt sich an wie die Wahl einer Farbe. Dass der Browser des Besuchers dafür einen fremden Server kontaktiert und mindestens seine IP-Adresse überträgt, bleibt unsichtbar — die Seite sieht danach einfach besser aus.

Die Aufzählung der Aufsichtsbehörden liest sich wie eine Liste von Gestaltungsmitteln, nicht wie eine Liste von Datenverarbeitungen. Das erklärt, warum diese Fundstellen so beharrlich überleben: Sie werden von Menschen eingebaut, die keine Verarbeitungsverzeichnisse führen, und tauchen in keinem Dokument auf, weil niemand sie je als Verarbeitung eingeordnet hat. Ein Tracking-Skript wird bewusst installiert und deshalb auch dokumentiert. Eine Schriftart wird ausgewählt.

Die häufigsten Fundstellen im Überblick

Die Hamburger Auswertung nennt fünf Dienste, die besonders häufig ohne Einwilligung geladen wurden. Die Summe der Einzelnennungen liegt über 185, weil auf einer Website mehrere Befunde zusammenkommen können. Die letzte Spalte beschreibt jeweils den Weg, der den Zugriff vermeidet, statt ihn nachträglich einzuholen.

Google Fonts: ein Urteil, eine Abmahnwelle, eine offene Rechnung

Schriftarten stehen in der Hamburger Auswertung nicht in der Spitzengruppe, haben aber die bekannteste Rechtsprechung produziert. Das Landgericht München I verurteilte am 20. Januar 2022 unter dem Aktenzeichen 3 O 17493/20 den Betreiber einer Website zu Unterlassung und 100 Euro Schadensersatz, weil er Google Fonts dynamisch eingebunden und dadurch die IP-Adresse eines Besuchers an Google übermittelt hatte.

Was daraus folgte, war weniger ein Rechtsprechungswandel als ein Geschäftsmodell. Der Hessische Beauftragte für Datenschutz und Informationsfreiheit verzeichnete stark zunehmende Beratungsanfragen zu Forderungsschreiben, die sich auf dieses Urteil beriefen. Er weist darauf hin, dass ein Auskunftsverlangen mit verordnungsfremden Zielen am Einwand der Rechtsmissbräuchlichkeit nach Art. 12 Abs. 5 DSGVO scheitern kann — und zugleich darauf, dass die Aufsichtsbehörden unabhängig von zivilrechtlichen Abmahnungen tätig werden können.

Technisch ist der Fall der einfachste auf der ganzen Liste. Wer die Schriftdateien herunterlädt und vom eigenen Server ausliefert, hat keinen Drittzugriff mehr und braucht keine Einwilligung. Der Aufwand liegt bei Minuten, sofern jemand weiß, dass die Schrift überhaupt von außen kommt.

Der Selbsttest in sechs Schritten

Für eine erste Einschätzung braucht es keine Software, nur einen Browser mit Entwicklerwerkzeugen. Der Ablauf ist bei allen gängigen Browsern gleich; die Werkzeuge öffnen sich meist über die Taste F12.

1. Im privaten Fenster starten und nichts anklicken. Dort liegt keine gespeicherte Einwilligung. Die Entwicklerwerkzeuge gehören auf, bevor die Adresse eingegeben wird, sonst fehlen die ersten Anfragen im Protokoll.
2. Den Netzwerk-Reiter nach Domain sortieren. Interessant ist jede Zeile, deren Server nicht zur eigenen Domain gehört — Kartendienste, Video-Plattformen, Schrift- und Skript-Auslieferungsnetze, Werbenetzwerke.
3. Cookies und lokalen Speicher ansehen. Unter „Anwendung“ beziehungsweise „Speicher“ steht, was bereits abgelegt wurde. Alles, was vor einer Entscheidung dort liegt und nicht zu Anmeldung oder Warenkorb gehört, kommt auf die Mängelliste.
4. Zweiter Durchgang mit „Ablehnen“. Bleiben danach fremde Aufrufe stehen, wirkt das Einwilligungswerkzeug nicht auf die eingebundenen Dienste — ein häufiger und leicht übersehener Fehler.
5. Nicht bei der Startseite aufhören. Karten sitzen auf der Kontaktseite, Videos auf Produkt- und Referenzseiten, fremde Formularskripte auf der Bewerbungsseite. Jede Seitenart wird einmal einzeln geprüft.
6. Befunde mit Datum festhalten. Art. 5 Abs. 2 DSGVO verlangt den Nachweis, dass die Verarbeitung rechtmäßig erfolgt. Ein datierter Screenshot der Netzwerkanalyse ist dafür mehr wert als die Erinnerung, es sei einmal geprüft worden.

Was der Selbsttest zeigt — und was er nicht sieht

Der Browser zeigt zuverlässig, was im Browser passiert. Alles, was auf Servern geschieht, bleibt unsichtbar — und dort liegen die Fragen, die eine Aufsichtsbehörde im Zweifel zusätzlich stellt.

Der letzte Punkt wiegt am schwersten, weil er den Befund verfallen lässt: Die Datenschutzkonferenz hält fest, dass jede Änderung der eingesetzten Cookies und der eingebundenen Drittdienste die Prüfung erneut auslöst. Wer eine Website regelmäßig auf Datenschutz prüfen will, ohne jedes Mal von Hand durch die Entwicklerwerkzeuge zu gehen, kann den ersten Durchgang automatisieren und beim Hamburger Anbieter frag.hugo die eigene Website automatisch prüfen lassen — 31 Prüfpunkte von Cookies vor Einwilligung über SSL bis Barrierefreiheit, in der kostenlosen Stufe ohne Anmeldung und nur für die Startseite. Ein solcher Bericht ersetzt keine Rechtsberatung, verkürzt aber die Suche nach der Fundstelle.

Cookie-Banner: woran sie nach Auffassung der Aufsicht scheitern

Maßgeblich ist die Orientierungshilfe für Anbieter von digitalen Diensten, die die Datenschutzkonferenz im November 2024 in der Version 1.2 veröffentlicht hat; sie löst die frühere Telemedien-Orientierungshilfe ab. Als typisches Defizit benennt sie intransparent gestaltete Banner, bei denen weder die Zwecke des Zugriffs noch die beteiligten Akteure erkennbar sind und unklar bleibt, welche Schaltfläche welchen Effekt auslöst.

Informiertheit setzt danach mindestens voraus, dass Nutzende erfahren, wer auf das Gerät zugreift, in welcher Form, zu welchem Zweck, wie lange die Cookies wirken und ob Dritte Zugriff erhalten. Ein gestuftes Informationskonzept ist zulässig, die Grundinformationen müssen aber dort stehen, wo eingewilligt wird — nicht erst in der verlinkten Datenschutzerklärung.

Bemerkenswert ist ein Hinweis zu den Einwilligungswerkzeugen selbst: Deren Anbieter vertreiben oft auch Marketingdienste, und das gesetzte Cookie enthält häufig eine eindeutige Benutzerkennung, obwohl die für die Speicherung des Einwilligungsstatus nicht nötig wäre. Als gesetzliche Alternative gilt seit dem 1. April 2025 die Einwilligungsverwaltungsverordnung mit anerkannten Diensten nach § 26 TDDDG; die Anerkennung erteilt die Bundesbeauftragte für den Datenschutz auf Antrag.

Barrierefreiheit: seit dem 28. Juni 2025 ein zweiter Maßstab

Beim Prüfen fällt ein Thema mit an, das mit Datenschutz nichts zu tun hat, aber an derselben Seite hängt. Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025 und verpflichtet unter anderem Erbringer von Dienstleistungen im elektronischen Geschäftsverkehr, ihr Angebot barrierefrei zu gestalten. Zuständig ist nicht die Datenschutzaufsicht, sondern die Marktüberwachungsstelle der Länder.

Die Reichweite wird häufig überschätzt. Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens zwei Millionen Euro Jahresumsatz sind ausgenommen, soweit sie Dienstleistungen anbieten — nicht aber, wenn sie Produkte im Sinne des Gesetzes in Verkehr bringen. Eine reine Informationsseite ohne Verkaufsfunktion fällt in der Regel nicht darunter.

Wer haftet, und was praktisch passiert

Verantwortlich ist der Betreiber der Website, nicht die Agentur, die sie gebaut hat. Deshalb trägt „das hat damals jemand anderes eingebaut“ als Auskunft nicht: Die Rechenschaftspflicht aus Art. 5 Abs. 2 DSGVO verlangt, vorab zu prüfen und zu dokumentieren, worauf sich eine Verarbeitung stützt.

Der Druck steigt derzeit weniger über Bußgelder als über die Zahl der Beschwerden. Hamburg verzeichnete für 2025 über 4.200 datenschutzrechtliche Beschwerden, gut sechzig Prozent mehr als im Vorjahr und den höchsten Wert seit Bestehen der Behörde; in Baden-Württemberg waren es im selben Jahr 7.673 gegenüber 4.034 im Vorjahr.

Der Umgang mit Fundstellen bleibt bislang gestuft: erst Hinweis, dann Frist, dann erneute Prüfung, erst danach aufsichtsbehördliche Maßnahmen. Wer in der ersten Runde nachbessert, kommt nach den Hamburger Erfahrungen ohne Sanktion davon. Wer nichts tut, bleibt in der Akte.

Häufige Fragen

Reicht ein Cookie-Banner, um § 25 TDDDG zu erfüllen?

Nein. Entscheidend ist nicht, ob ein Banner vorhanden ist, sondern ob die einwilligungsbedürftigen Zugriffe tatsächlich erst nach der Zustimmung stattfinden. Nach der Orientierungshilfe der Datenschutzkonferenz muss die Einwilligung vorliegen, bevor auf das Endgerät zugegriffen wird; Cookies beim ersten Aufruf zu setzen und danach zu fragen, ist unzulässig. Genau diese Reihenfolge war bei der Hamburger Prüfung von 2025 der häufigste Mangel.

Gilt die Einwilligungspflicht auch ohne personenbezogene Daten?

Ja. § 25 Abs. 1 TDDDG schützt die Endeinrichtung, nicht die personenbezogene Angabe. Die Pflicht zur Einwilligung besteht deshalb unabhängig davon, ob personenbezogene Daten verarbeitet werden. Häufig kommt ein Personenbezug allerdings hinzu — etwa durch individuelle Kennungen oder gespeicherte Präferenzen —, sodass zusätzlich eine Rechtsgrundlage nach der DSGVO erforderlich ist.

Sind Google Fonts verboten?

Verboten ist keine Schriftart, unzulässig ist der Zugriff ohne Rechtsgrundlage. Das Landgericht München I sprach am 20. Januar 2022 (Az. 3 O 17493/20) 100 Euro Schadensersatz zu, weil die Schriften dynamisch von einem fremden Server geladen und dabei die IP-Adresse übermittelt wurde. Werden dieselben Schriftdateien vom eigenen Server ausgeliefert, entsteht kein Drittzugriff und die Frage stellt sich nicht mehr.

Wie oft sollte eine Website geprüft werden?

Ein fester Turnus ist weniger sinnvoll als ein Auslöser. Nach Auffassung der Aufsichtsbehörden macht jede Änderung der eingesetzten Cookies und der eingebundenen Drittdienste eine erneute Betrachtung nötig. Praktisch heißt das: nach jedem Wechsel von Theme, Plugin, Kampagne oder Einwilligungswerkzeug — und zusätzlich einmal jährlich, weil sich Dienste auch ohne eigenes Zutun ändern.

Fällt jede Website unter das Barrierefreiheitsstärkungsgesetz?

Nein. Das Gesetz gilt seit dem 28. Juni 2025 für bestimmte Produkte und Dienstleistungen, darunter den elektronischen Geschäftsverkehr. Kleinstunternehmen mit weniger als zehn Beschäftigten und höchstens zwei Millionen Euro Jahresumsatz sind bei Dienstleistungen ausgenommen; bei Produkten gilt die Ausnahme nicht. Eine reine Informationsseite ohne Verkaufs- oder Buchungsfunktion ist in der Regel nicht erfasst.