Compliance
DSGVO-Fehler auf Websites: Diese 8 Probleme sind abmahnfähig
Diese 8 DSGVO-Fehler sind auf vielen KMU-Websites zu finden - und können Abmahnungen auslösen. Mit Praxisbeispiel aus einem Handwerksbetrieb.
Mehr als fünf Jahre nach Inkrafttreten der DSGVO sind viele KMU-Websites noch immer nicht korrekt aufgestellt. Das ist kein kleines Problem: Der Verbraucherzentrale Bundesverband hat bei einer Prüfung von 949 Websites jeden zehnten Cookie-Banner als rechtswidrig eingestuft und allein daraus 98 Abmahnungen ausgesprochen. Gleichzeitig wurden europaweit im Jahr 2024 rund 1,2 Milliarden Euro an DSGVO-Bußgeldern verhängt (DLA Piper, 2025).
Für KMU-Inhaber sind es selten dramatische Datenschutzskandale, die zu Problemen führen. Es sind die technischen Alltagsfehler auf der eigenen Website - oft eingebaut bei der ursprünglichen Erstellung und seitdem nicht mehr angefasst.
Dieser Artikel benennt die acht häufigsten davon. Konkret, ohne Fachjargon, mit klarer Einordnung was das Risiko ist und was zu tun ist.
Hinweis: Dieser Artikel beschreibt häufige technische Fehler auf Websites in Bezug auf Datenschutz. Er ersetzt keine rechtliche Beratung. Für die rechtliche Absicherung empfehlen wir einen spezialisierten Fachanwalt für Datenschutzrecht.
Fehler 1: Kein gleichwertiger Ablehnen-Button im Cookie-Banner
Das ist der häufigste Fehler - und seit einem Urteil des Verwaltungsgerichts Hannover aus März 2025 klar beurteilbar: Wenn auf der ersten Ebene eines Cookie-Banners ein "Akzeptieren"-Button zu sehen ist, muss ein gleichwertiger "Ablehnen"-Button auf derselben Ebene erscheinen. Ein verstecktes "Weiter ohne Zustimmung" irgendwo im Kleingedruckten reicht nicht.
Viele Banner sind so gestaltet, dass die Ablehnung bewusst erschwert wird - mehrere Klicks, schwer lesbare Texte, vorausgeklickte Checkboxen. Das sind sogenannte Dark Patterns. Solche Gestaltungen führen regelmäßig zu unwirksamen Einwilligungen und können gegen TDDDG und DSGVO verstoßen.
Was zu tun ist: Cookie-Banner auf gleichwertige Optionen hin prüfen lassen. Wenn "Akzeptieren" prominenter dargestellt ist als "Ablehnen", ist der Banner abmahnfähig.
Fehler 2: Google Fonts werden direkt von Google-Servern geladen
Das ist einer der am meisten unterschätzten Fehler. Viele Websites binden Google Fonts - also Schriftarten - direkt über einen Link zu Googles Servern ein. Bei jedem Seitenaufruf wird dann die IP-Adresse des Besuchers automatisch an Google-Server in den USA übertragen, ohne dass der Nutzer dem zugestimmt hat.
Das Landgericht München hat dazu bereits 2022 geurteilt, dass diese Praxis ohne Einwilligung gegen die DSGVO verstößt. e-recht24 hat das Urteil und seine Folgen ausführlich dokumentiert. Seitdem gibt es mehrere dokumentierte Abmahnwellen gegen Website-Betreiber.
Was zu tun ist: Google Fonts lokal auf dem eigenen Server hosten statt extern einbinden. Das ist technisch unkompliziert - aber der Fehler muss erst erkannt werden.
Fehler 3: Fehlendes oder fehlerhaftes Impressum
Das Impressum ist Pflicht - für gewerbliche Websites ohne Ausnahme. Häufige Probleme: Es fehlen gesetzlich vorgeschriebene Pflichtangaben (zum Beispiel die Umsatzsteuer-ID, soweit vorhanden, oder die zuständige Aufsichtsbehörde bei reglementierten Berufen), die E-Mail-Adresse ist nicht direkt sichtbar, oder das Impressum ist nicht mit maximal zwei Klicks von jeder Unterseite aus erreichbar.
Ein fehlendes oder unvollständiges Impressum ist abmahnfähig nach dem DDG (Digitale-Dienste-Gesetz, §5) und regelmäßig Gegenstand von Abmahnungen durch Wettbewerber.
Was zu tun ist: Impressum mit unserem kostenlosen Impressum-Generator oder einem Fachanwalt prüfen. Besonders auf Vollständigkeit der Pflichtangaben und Erreichbarkeit von jeder Seite achten.
Fehler 4: Kein SSL-Zertifikat oder inkonsistente HTTPS-Nutzung
Websites, die Kontaktformulare, Login-Bereiche oder andere Dateneingaben ohne SSL-Verschlüsselung betreiben, übertragen diese Daten unverschlüsselt - und verstoßen damit gegen die DSGVO-Anforderung an technische Schutzmaßnahmen (Art. 32 DSGVO).
Auch wenn SSL-Zertifikate heute kostengünstig oder kostenlos erhältlich sind (zum Beispiel über Let's Encrypt), gibt es noch immer Websites, die auf HTTP statt HTTPS laufen oder bei denen einzelne Unterseiten ohne HTTPS ausgeliefert werden.
Was zu tun ist: Prüfen, ob die gesamte Website durchgehend über HTTPS erreichbar ist. Browser-Adressleiste zeigt Schloss-Symbol = verschlüsselt. Kein Schloss oder Warnung = Handlungsbedarf.
Fehler 5: Veraltete Datenschutzerklärung
Die Datenschutzerklärung muss alle Dienste, Tools und Drittanbieter aufführen, die auf der Website eingesetzt werden. Bei den meisten KMU-Websites wurde diese einmal erstellt - und seitdem nicht mehr aktualisiert, obwohl Plugins ergänzt, Analytics-Tools gewechselt oder Kontaktformulare verändert wurden.
Eine veraltete Datenschutzerklärung, die nicht den tatsächlichen Datenverarbeitungsvorgängen auf der Website entspricht, ist ein klarer DSGVO-Verstoß.
Was zu tun ist: Datenschutzerklärung gegen alle aktiv eingesetzten Dienste abgleichen. Typische Lücken: Google Analytics, Kontaktformular-Plugins, eingebettete YouTube-Videos, WhatsApp-Widgets, Newsletter-Tools.
Fehler 6: Kontaktformulare ohne Datenschutzhinweis
Wer ein Kontaktformular auf seiner Website betreibt, erhebt personenbezogene Daten. Der Nutzer muss vor dem Absenden darüber informiert werden, was mit seinen Daten passiert - und wer dafür verantwortlich ist.
Ein einfacher Hinweis wie "Ihre Daten werden gemäß unserer Datenschutzerklärung verarbeitet" mit Verlinkung zur Erklärung ist das Minimum. Eine vorausgeklickte Checkbox oder das völlige Fehlen jedes Hinweises ist nicht ausreichend.
Was zu tun ist: Bei jedem Formular prüfen: Gibt es einen Datenschutzhinweis, der direkt beim Formular erscheint und auf die Datenschutzerklärung verlinkt?
Fehler 7: Tracking startet vor der Einwilligung
Google Analytics 4 und ähnliche Tracking-Tools dürfen erst nach ausdrücklicher Einwilligung des Nutzers aktiv werden. Das ist rechtlich seit Jahren klar und durch den Google Consent Mode v2 auch technisch umsetzbar.
Trotzdem ist es einer der häufigsten Fehler: Das Tracking läuft von der ersten Sekunde an, bevor der Benutzer auf "Akzeptieren" geklickt hat - oft weil das Consent Management nicht korrekt konfiguriert wurde oder der Tag Manager ohne Consent-Bedingung implementiert ist.
Das Verwaltungsgericht Hannover hat zudem 2025 bestätigt, dass der Google Tag Manager selbst einwilligungspflichtig ist, wenn er Cookies oder Tracker auslöst.
Was zu tun ist: Technisch prüfen lassen, ob Tracking-Tools tatsächlich erst nach Einwilligung feuern. Das erfordert eine korrekte Implementierung des Consent Modes und eine saubere Tag-Manager-Konfiguration.
Fehler 8: Social Media Plugins übertragen Daten beim ersten Seitenaufruf
Ein eingebetteter Instagram-Feed oder ein Facebook-Like-Button auf der Website sieht harmlos aus. Technisch sendet er beim Aufruf der Seite sofort Daten an Meta - unabhängig davon, ob der Nutzer auf das Element klickt oder nicht.
Das ist ohne vorherige Einwilligung nicht zulässig. Die saubere Lösung ist die sogenannte Zwei-Klick-Lösung oder das Einbinden über einen datenschutzkonformen Dienst, der erst nach Einwilligung lädt.
Was zu tun ist: Social Media Embeds entweder entfernen, durch statische Screenshots ersetzen oder über eine Zwei-Klick-Lösung einbinden, die erst nach aktiver Bestätigung Verbindungen zu Drittservern aufbaut.
Praxisbeispiel: Was wir bei einem Handwerksbetrieb gefunden haben
Bei einem Kunden aus dem Handwerk - einem Elektrounternehmen mit einer seit Jahren bestehenden Website - haben wir im Rahmen eines technischen DSGVO-Audits genau diese Fehler gefunden: Google Fonts extern eingebunden, Cookie-Banner ohne Ablehnen-Option auf erster Ebene, Tracking ohne Consent-Konfiguration, Datenschutzerklärung ohne Erwähnung des eingesetzten Kontaktformular-Plugins.
Jeder einzelne dieser Punkte war behebbar. Keiner war beabsichtigt. Sie entstanden schlicht, weil die Website einmal erstellt und danach nicht mehr systematisch geprüft wurde.
Neben den DSGVO-Korrekturen haben wir die gesamte SEO-Grundstruktur neu aufgebaut. Das Ergebnis nach zehn Monaten: von 8 auf 87 organische Klicks pro Monat, von 400 auf über 3.100 Impressionen.
Was Sie jetzt tun sollten
Die gute Nachricht: Alle acht Fehler sind behebbar. Die schlechte: Sie werden nicht von selbst besser, und eine Abmahnung kommt selten mit Vorwarnung.
Ein sauberer Website-Check deckt technische DSGVO-Probleme auf, bevor jemand anderes sie entdeckt. Wenn Sie wissen möchten, wie Ihre Website in diesen Punkten aufgestellt ist, schauen wir das gemeinsam durch.
Datenschutz ist zudem nicht die einzige neue Pflicht: Seit Juni 2025 stellt auch das BFSG Anforderungen an die Barrierefreiheit vieler Unternehmenswebsites. Wer betroffen ist und wer nicht, steht im Beitrag BFSG und Website-Pflicht 2026.
Hinweis: Für die rechtliche Absicherung empfehlen wir zusätzlich einen Fachanwalt für Datenschutzrecht. Wir übernehmen die technische Seite - die rechtliche Prüfung liegt bei qualifizierten Juristen.
Ja, die DSGVO gilt für alle Unternehmen, die personenbezogene Daten von EU-Bürgern verarbeiten - unabhängig von Größe oder Branche. Sobald Sie auf Ihrer Website ein Kontaktformular, Google Analytics oder ein Cookie-Banner einsetzen, verarbeiten Sie personenbezogene Daten und unterliegen der DSGVO.
Das variiert stark. Abmahnungen durch Mitbewerber oder Verbände umfassen typischerweise Abmahnkosten von 500 bis über 2.000 Euro, zuzüglich Unterlassungserklärung. Behördliche Bußgelder können nach DSGVO bis zu 20 Millionen Euro oder 4 % des globalen Jahresumsatzes betragen - in der Praxis sind KMU-Bußgelder meist im vier- bis fünfstelligen Bereich.
Ein Cookie-Banner ist notwendig, aber bei weitem nicht hinreichend. Konformität erfordert zusätzlich: eine aktuelle Datenschutzerklärung, ein vollständiges Impressum, kein Tracking vor Einwilligung, lokale Einbindung externer Ressourcen wie Schriften, und Datenschutzhinweise bei Formularen. Der Banner ist der sichtbarste Punkt - aber nicht der einzige.
Ein erster Anhaltspunkt ist der Browser-Entwicklermodus (F12, Tab Netzwerk): Lädt die Seite beim ersten Aufruf bereits externe Ressourcen wie Google-Domains, Facebook oder YouTube, ohne dass Sie etwas akzeptiert haben, ist das ein klares Signal. Für eine vollständige Prüfung empfehlen wir einen strukturierten technischen Check - das ist auch einer der Dienste, den seosath im Rahmen eines Website-Audits anbietet.
Quellen:
- vzbv.de: Prüfung von 949 Websites, jeden zehnten Banner als rechtswidrig eingestuft, 98 Abmahnungen ausgesprochen (2021)
- DLA Piper: 1,2 Milliarden Euro DSGVO-Bußgelder europaweit 2024 (Januar 2025)
- VG Hannover, März 2025: gleichwertiger Ablehnen-Button auf erster Ebene Pflicht
- VG Hannover, 2025: Google Tag Manager selbst einwilligungspflichtig
- e-recht24.de: LG München 2022, Google Fonts ohne Einwilligung DSGVO-Verstoß
- DDG §5 (Impressumspflicht); TDDDG §25 (Einwilligungspflicht für Cookies und Tracker)
- Bußgeldrahmen: TDDDG bis zu 300.000 €; DSGVO bis zu 20 Mio. € oder 4 % des globalen Jahresumsatzes
Kurzer Draht
Schreiben Sie uns eine kurze Nachricht.
Zwei Sätze reichen, echte Antwort innerhalb eines Werktages. Oder nutzen Sie das ausführliche Formular auf der Kontaktseite.