DSGVO für Websites: Was 2026 wirklich zählt

Google Fonts: Die teuerste Schriftart Deutschlands

Seit dem Urteil des LG München I vom 20.01.2022 (Az. 3 O 17493/20) ist klar: Google Fonts über das Google CDN einzubinden ist ein DSGVO-Verstoß, weil die IP-Adresse des Besuchers an Google übertragen wird, ohne Einwilligung. Es gibt Anwälte und Abmahnvereine, die das systematisch abfragen. Ich kenne Unternehmer, die deswegen Post bekommen haben.

Die Lösung ist trivial: Fonts als WOFF2-Dateien herunterladen und lokal hosten. Dauert 15 Minuten, kostet nichts, und das Problem ist erledigt. Bei allen meinen Projekten ist das Standard, ob Astro oder WordPress.

Prüf deine Website: Öffne die Browser-Konsole (F12 → Network), lad die Seite neu und such nach Verbindungen zu fonts.googleapis.com oder fonts.gstatic.com. Falls vorhanden: sofort handeln.

Cookie-Banner: Opt-In, nicht Opt-Out

Ein Cookie-Banner, das beim Schließen alles akzeptiert, ist kein Cookie-Banner. Es ist eine Hübschmachung. Für Deutschland regelt das § 25 TDDDG (seit Mai 2024 der Nachfolger des TTDSG): Vor jedem Zugriff auf Informationen im Endgerät, der nicht technisch zwingend erforderlich ist, muss der Nutzer aktiv zustimmen. Das bedeutet:

• Analytics (Google Analytics, Matomo Cloud) darf erst nach Zustimmung laden
• Marketing-Cookies (Facebook Pixel, Google Ads) ebenfalls
• Der „Ablehnen“-Button muss genauso prominent sein wie „Akzeptieren“
• Vorausgewählte Checkboxen für optionale Kategorien sind nicht erlaubt

Technisch umgesetzt wird das über Google Consent Mode v2: Im Default-Zustand ist alles auf denied. Erst nach explizitem Opt-In wird per consent update der Tracking-Code aktiviert. So mache ich es bei allen WordPress- und Astro-Projekten.

Kontaktformulare: Einfacher als gedacht

Ein DSGVO-konformes Kontaktformular braucht drei Dinge: einen Link zur Datenschutzerklärung neben dem Formular, verschlüsselte Übertragung per HTTPS und eine in der Datenschutzerklärung benannte Speicherdauer. Eine Zustimmungs-Checkbox brauchst du nicht, das ist der häufigste Irrtum. Die Rechtsgrundlage hängt davon ab, worum es in der Anfrage geht: Zielt sie auf einen Vertrag ab, greift Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme), bei allgemeinen Anfragen Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Beantwortung). Eine Einwilligung nach lit. a ist in beiden Fällen nicht die passende Grundlage, und eine erzwungene Checkbox wäre ohnehin keine freiwillige Einwilligung. Beim Newsletter ist es umgekehrt: Dort beruht die Verarbeitung tatsächlich auf einer Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO, und damit ist Double-Opt-In Pflicht. Im Einzelnen:

1. Einen Hinweis auf die Datenschutzerklärung neben dem Formular (Link reicht, keine Checkbox nötig, Rechtsgrundlage ist Art. 6 Abs. 1 lit. b oder lit. f DSGVO, nicht Einwilligung)
2. Verschlüsselte Übertragung (HTTPS/SSL, sollte 2026 selbstverständlich sein)
3. Eine definierte Speicherdauer in der Datenschutzerklärung („Deine Anfrage wird 6 Monate gespeichert und danach gelöscht“)

Impressum und Datenschutzerklärung

Ein unvollständiges Impressum ist ein klassischer Abmahngrund und gleichzeitig der Punkt, der sich am schnellsten beheben lässt. Pflicht sind nach § 5 DDG voller Name, ladungsfähige Anschrift ohne Postfach, E-Mail-Adresse und eine zweite Kontaktmöglichkeit. Was darüber hinaus rein muss, hängt von der Rechtsform ab. Wichtig: Impressum und Datenschutzerklärung müssen von jeder Unterseite aus mit maximal zwei Klicks erreichbar sein, ein Link im Footer erfüllt das.

• Einzelunternehmer: Voller Name, Anschrift (kein Postfach), E-Mail, Telefon
• GmbH/UG: Zusätzlich: Geschäftsführer, Registergericht, HRB-Nummer, USt-IdNr.
• Freiberufler: Berufsbezeichnung, Kammer (wenn kammerpflichtig)

Für die Datenschutzerklärung empfehle ich einen Generator als Ausgangsbasis (z.B. von eRecht24 oder der Datenschutzkonferenz) und dann Prüfung durch einen Anwalt. Template-Texte aus dem Internet sind besser als nichts, aber kein Ersatz für eine individuelle Beratung.

Analytics: Brauchst du Google Analytics überhaupt?

Ehrliche Frage. Die meisten kleinen und mittleren Unternehmen, die ich betreue, schauen einmal im Quartal in Analytics, wenn überhaupt. Die Google Search Console (kostenlos, kein Cookie-Consent nötig) zeigt dir, welche Suchbegriffe Traffic bringen und welche Seiten Probleme haben. Für viele reicht das völlig aus.

Wenn du Analytics nutzt, dann mit Google Consent Mode v2. Die früher separat zu aktivierende IP-Anonymisierung gibt es in GA4 nicht mehr als Schalter, sie ist dort fest eingebaut. Den Consent-Banner ersetzt das nicht. Oder: Matomo selbst gehostet. Dann liegen die Daten auf deinem eigenen Server und das Consent-Thema ist deutlich entspannter (je nach Konfiguration sogar ohne Banner möglich).

Externe Dienste: Die übersehenen Datenlecks

Nicht nur Analytics und Schriftarten übertragen Daten an Dritte. Die vier häufigsten übersehenen Datenlecks sind eingebettete YouTube- oder Vimeo-Videos, Google Maps, originale Social-Media-Buttons und extern geladene Bibliotheken von einem CDN. Alle vier übertragen die IP-Adresse des Besuchers an einen Dritten, bevor irgendjemand zugestimmt hat. Die Lösung ist in drei von vier Fällen dieselbe: lokal hosten oder hinter eine Consent-Fassade legen, die erst nach Klick lädt. Im Detail:

• YouTube/Vimeo-Embeds: Laden beim Seitenaufruf Daten von Google/Vimeo. Lösung: 2-Klick-Lösung oder Consent-Facade (Vorschaubild, erst nach Klick laden)
• Google Maps: Überträgt IP an Google. Lösung: Statisches Kartenbild mit Link zu Maps, oder Consent-Facade
• Social Media Buttons: Die originalen Facebook/Twitter-Buttons tracken sofort. Lösung: Shariff oder einfache Links ohne Tracking
• CDNs: jQuery von cdnjs.cloudflare.com, Bootstrap von StackPath. Jedes externe CDN erhält die IP. Lösung: Lokal hosten

Der Netzwerk-Reiter, mit dem du oben nach Google Fonts gesucht hast, zeigt dir das alles auf einmal: Alles außer deiner eigenen Domain sollte entweder hinter der Einwilligung liegen oder lokal ausgeliefert werden.

Was passiert, wenn deine Website gehackt wird?

Ein oft übersehener DSGVO-Aspekt: Wenn personenbezogene Daten durch einen Hack betroffen sein könnten, besteht eine Meldepflicht innerhalb von 72 Stunden an die zuständige Datenschutzaufsichtsbehörde (Art. 33 DSGVO). Bei hohem Risiko müssen auch die betroffenen Personen informiert werden (Art. 34).

Das heißt konkret: Wenn dein WordPress-Kontaktformular gehackt und die Anfragen ausgelesen wurden, musst du das melden. Was genau in die Meldung gehört, welche Konsequenzen bei Nicht-Meldung drohen und wie du den Prozess korrekt abwickelst, erkläre ich in meinem ausführlichen Artikel zur DSGVO-Meldepflicht nach einem WordPress-Hack. Für die technischen Sofortmaßnahmen hilft mein Erste-Hilfe-Guide für gehackte Websites.

Meine Checkliste

1. Google Fonts lokal gehostet? (→ Network Tab prüfen)
2. Cookie-Banner mit echtem Opt-In? (nicht nur „OK“-Button)
3. Google Consent Mode v2 konfiguriert?
4. Impressum vollständig und von jeder Seite erreichbar?
5. Datenschutzerklärung aktuell und alle Dienste aufgeführt?
6. HTTPS aktiv, kein Mixed Content?
7. Kontaktformular mit Datenschutz-Hinweis?
8. Externe Embeds (YouTube, Maps) hinter Consent-Facade?
9. Keine externen CDNs für JS/CSS/Fonts?
10. Notfallplan für Datenpanne vorhanden?

---

Quellen

• § 5 DDG: Allgemeine Informationspflichten (Impressum)
• § 25 TDDDG: Schutz der Endeinrichtungen (Cookie-Einwilligung)
• Art. 6 DSGVO: Rechtmäßigkeit der Verarbeitung
• LG München I, Urteil vom 20.01.2022, Az. 3 O 17493/20 (Google Fonts)
• Google: IP-Adressen in Google Analytics 4