In diesem Kapitel
02Die drei Familien: technisch, Analyse, Profiling
Um zu wissen, ob eine Website ein Banner braucht, muss man eine Bestandsaufnahme dessen machen, was sie installiert, und jedes Werkzeug seiner Familie zuordnen. Es gibt drei Familien, und nur eine verlangt immer eine Einwilligung.
Technische Cookies
Das sind die Cookies, die unbedingt erforderlich sind, um den Dienst zu erbringen, den die Person angefordert hat: die Anmeldung im geschützten Bereich aufrechterhalten, den Inhalt des Warenkorbs speichern, die gewählte Sprache merken, ein Formular vor automatischen Einsendungen schützen, den Datenverkehr auf mehrere Server verteilen. Ohne sie funktioniert die Website nicht so, wie die Person es erwartet. Sie erfordern keine Einwilligung: Es genügt, im Datenschutzhinweis zu sagen, dass es sie gibt.
Analyse-Cookies
Sie dienen dazu, Besuche zu zählen und zu verstehen, wie die Website genutzt wird: welche Seiten gelesen werden, woher die Menschen kommen, mit welchen Geräten. Hier machen die Leitlinien des Garante von 2021 eine wichtige Unterscheidung. Analyse-Cookies dürfen wie technische behandelt werden, also ohne Einwilligung, aber nur, wenn alle folgenden Bedingungen zugleich erfüllt sind:
- Sie erlauben keine direkte Identifizierung der Person: Zum Beispiel wird die IP-Adresse maskiert, zumindest in ihrem letzten Teil;
- sie dienen nur zur Erstellung aggregierter Statistiken;
- sie betreffen eine einzige Website (oder eine einzige App), ohne die Person anderswohin zu verfolgen;
- wird der Dienst von Dritten erbracht, verknüpfen diese die Daten nicht mit anderen Informationen und geben sie nicht an andere weiter.
Fehlt auch nur eine dieser Bedingungen, werden Analyse-Cookies zu Werkzeugen, die eine Einwilligung erfordern, genau wie Profiling-Cookies.
Profiling- und Marketing-Cookies
Sie erstellen ein Profil der Person, um ihr gezielte Werbung zu zeigen oder Inhalte nach ihrem Verhalten zu personalisieren, oft über mehrere Websites hinweg. Es gibt sie fast immer, wenn eine Seite Pixel sozialer Netzwerke, Werbeplattformen und viele der eingebetteten Dienste von Drittanbietern enthält. Für sie ist die vorherige Einwilligung immer erforderlich: Nichts wird installiert, bevor die Person Ja gesagt hat.
| Familie | Wozu sie dient | Beispiele | Einwilligung |
|---|---|---|---|
| Technisch | den angeforderten Dienst funktionieren lassen | Anmeldung, Warenkorb, Sprache, Sicherheit der Formulare | nein, der Datenschutzhinweis genügt |
| Analyse, «gleichgestellt» | aggregierte Statistiken einer einzigen Website | Besucherzähler mit maskierter IP | nein, wenn alle Bedingungen erfüllt sind |
| Analyse, «vollständig» | Statistiken mit identifizierbaren oder verknüpften Daten | Werkzeuge Dritter, die die Daten weiterverwenden | ja, vor der Installation |
| Profiling und Marketing | Interessenprofile, gezielte Werbung | Social-Media-Pixel, Werbenetzwerke | ja, immer und vorher |
Die Begriffe des Kapitels
Das Vokabular des Datenschutzes, in acht Karten
Tippen Sie auf eine Karte, um sie umzudrehen.
04Die externen Dienste: Videos, Karten, Pixel und Schriften
Die meisten Websites kleiner Betriebe installieren Profiling-Cookies nicht absichtlich. Sie installieren sie aus Gewohnheit, über Bausteine anderer Dienste, die in die Seite eingefügt werden, weil es bequem ist. Jeder dieser Bausteine tut etwas, das die Besucher nicht sehen: Der Browser kontaktiert einen anderen Server, übermittelt ihm die IP-Adresse und erhält oder liest oft ein Cookie.
Das eingebettete Video
Der Rahmen von YouTube oder einer anderen Plattform, eingefügt mit dem Einbettungscode, lädt die Dateien des Players von den Servern der Plattform, sobald die Seite geöffnet wird, auch wenn niemand auf «Play» drückt. Es gibt den «erweiterten Datenschutzmodus» (die Adresse youtube-nocookie.com), der das Tracking verringert, solange das Video nicht startet, es aber nicht beseitigt. Die sauberste Lösung ist die Zwei-Klick-Lösung: Anstelle des Players steht ein Bild mit einem Hinweis, und das echte Video wird erst geladen, wenn die Person es anfordert.
Die interaktive Karte
Hier gilt dasselbe: Die eingebettete Karte verbindet sich beim Öffnen der Seite mit den Servern des Anbieters. Damit man den Standort findet, genügen oft ein statisches Bild der Karte, auf dem eigenen Server gespeichert, und ein Link «In Maps öffnen», der die Person nur dann zur App führt, wenn sie es möchte.
Social-Media- und Werbepixel
Das Pixel dient per Definition dazu, zu messen, wer was gesehen hat, um diesen Menschen dann Werbung zu zeigen: Das ist Profiling und erfordert immer die vorherige Einwilligung. Es darf nicht mit dem Laden der Seite starten, sondern erst nach dem «Ja». Einfache Links zu den Social-Media-Profilen dagegen sind normale Verweise: Solange niemand darauf klickt, passiert nichts.
Von außen geladene Schriften
Das ist der subtilste Fall. Dienste wie Google Fonts setzen keine Cookies, wenn sie nur die Schriftdateien liefern; der Browser lädt sie jedoch von den Servern des Anbieters herunter und übermittelt ihm damit die IP-Adresse der Besucher. In Deutschland hat das Landgericht München I mit einem Urteil vom 20. Januar 2022 einem Besucher genau für diese Übermittlung ohne Rechtsgrundlage einen Schadenersatz von 100 Euro zugesprochen. Es ist kein italienisches Urteil, und die deutsche Justiz hat die massenhaften Forderungen, die aus diesem Fall entstanden, später zurückgewiesen, aber der Grundsatz ist klar: Auch ein Aufruf an Dritte ohne Cookies muss angegeben werden, und man kann ihn ganz vermeiden, indem man die Schriften auf dem eigenen Server hostet.
Statistiken von Drittanbietern
Im Juni 2022 hat der Garante nach einer mit den anderen europäischen Behörden abgestimmten Prüfung die Nutzung von Google Analytics durch eine italienische Website für unzulässig erklärt, wegen der Übermittlung der Daten in die USA ohne angemessene Garantien. Im Juli 2023 hat die Europäische Kommission dann einen neuen Angemessenheitsbeschluss für Übermittlungen an US-Unternehmen erlassen, die dem «Data Privacy Framework» beigetreten sind, was den Rahmen für Übermittlungen verändert hat. Unverändert geblieben ist die Regel zur Einwilligung: Erfüllt das Werkzeug nicht alle Bedingungen, um technischen Cookies gleichgestellt zu werden, braucht es die Einwilligung, bevor es aktiviert wird.
Jeder externe Baustein belastet neben dem Datenschutz auch die Geschwindigkeit: Skripte, Schriften und Videoplayer gehören zu den häufigsten Ursachen langsamer Seiten. Das erkläre ich im Kapitel über die Core Web Vitals.
05Die Dokumente, die wirklich nötig sind
Das Banner, wenn es eines gibt, ist nur der sichtbare Teil. Dahinter stehen einige Dokumente, die die DSGVO von allen verlangt, die personenbezogene Daten verarbeiten, auch von einem kleinen Betrieb mit einer Website aus wenigen Seiten. Der Ausgangspunkt ist immer derselbe: Welche Daten erhebe ich, warum und wohin gehen sie?
1
Datenschutzhinweise
Wer der Verantwortliche ist und wie man ihn erreicht, welche Daten erhoben werden, zu welchen Zwecken und auf welcher Rechtsgrundlage, wie lange, an wen sie weitergegeben werden, welche Rechte die Person hat (Artikel 12 und 13 DSGVO).
2
Cookie-Richtlinie
Die Liste der installierten Werkzeuge, nach Familien geordnet, mit Laufzeit, dem Anbieter, der sie setzt, und der Möglichkeit, die Auswahl zu ändern. Sie muss dem entsprechen, was die Website tatsächlich tut.
3
Nachweis der Einwilligung
Wenn eine Einwilligung nötig ist, muss der Verantwortliche nachweisen können, dass sie erteilt wurde (Artikel 7). Das Banner-System speichert, was die Person gewählt hat und wann.
4
Verarbeitungsverzeichnis
Ein internes Dokument, das die Datenverarbeitungen des Betriebs auflistet (Artikel 30). Die Ausnahme für Unternehmen mit weniger als 250 Beschäftigten gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, also fast nie.
5
Verträge mit Dienstleistern
Wer in Ihrem Auftrag Daten verarbeitet, etwa der Anbieter von Hosting, E-Mail oder Verwaltungssoftware, muss mit einem schriftlichen Vertrag als Auftragsverarbeiter benannt werden (Artikel 28).
Der Datenschutzhinweis: geschrieben, um verstanden zu werden
Artikel 12 DSGVO verlangt, dass die Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form gegeben werden, in einer klaren und einfachen Sprache. Ein von einer anderen Website kopierter Text voller Verarbeitungen, die Ihre Website gar nicht vornimmt, erfüllt diese Regel nicht: Er sagt Falsches, und ein Hinweis, der das Geschehen falsch beschreibt, ist schon an sich ein Problem. Er muss auf Grundlage der tatsächlichen Bestandsaufnahme geschrieben und jedes Mal aktualisiert werden, wenn sich die Website ändert.
Die Rechtsgrundlagen: Nicht alles ist Einwilligung
Ein verbreiteter Fehler ist die Annahme, jede Verarbeitung erfordere eine Einwilligung. Artikel 6 DSGVO sieht sechs verschiedene Rechtsgrundlagen vor, und für eine Website sind drei am häufigsten:
- die Erfüllung eines Vertrags oder von Maßnahmen auf Anfrage der Person: auf eine Angebotsanfrage antworten, eine Buchung verwalten, eine Bestellung liefern;
- die rechtliche Verpflichtung: Rechnungen aufbewahren, steuerliche Pflichten erfüllen;
- die Einwilligung: einen Werbe-Newsletter versenden, Profiling-Werkzeuge installieren.
Eine Einwilligung einzuholen, die nicht nötig ist, zum Beispiel um auf eine Frage aus dem Kontaktformular zu antworten, bringt keinen zusätzlichen Schutz und verwirrt die Person.
Die Formulare der Website
Jedes Formular, das Daten erhebt, braucht neben der Absenden-Schaltfläche einen kurzen Verweis auf den Datenschutzhinweis. Dient das Formular auch Marketingzwecken, muss das Kästchen für die Einwilligung getrennt und anfangs nicht angekreuzt sein: Die Einwilligung wird durch eine aktive Handlung erteilt, nicht durch Abwählen. Für E-Mail-Listen ist die Bestätigung in zwei Schritten gute Praxis, also die E-Mail, die darum bittet, einen Link anzuklicken, um die Anmeldung abzuschließen; sie ist auch der beste Nachweis der Einwilligung. Wie man eine E-Mail-Kommunikation aufbaut, die diese Regeln einhält und wirklich im Posteingang ankommt, erkläre ich im Kapitel über die professionelle geschäftliche E-Mail.
06Datenschutz heißt auch, die Daten zu schützen
Die DSGVO verlangt nicht nur ordentliche Unterlagen: Sie verlangt, dass die erhobenen Daten dem Risiko angemessen geschützt werden (Artikel 32). Für die Website eines kleinen Betriebs bedeutet das einige sehr konkrete Dinge:
- Die Website antwortet nur über HTTPS, damit die Formulardaten verschlüsselt übertragen werden;
- es werden nur die nötigen Daten erhoben: Ein Kontaktformular braucht kein Geburtsdatum;
- die erhobenen Daten liegen nicht verstreut in gemeinsam genutzten Postfächern oder vergessenen Tabellen, sondern an einem Ort mit kontrollierten Zugängen;
- die Zugänge zum Verwaltungsbereich sind durch robuste Passwörter und den zweiten Faktor geschützt, wie ich im Kapitel über Passwörter, Zwei-Faktor-Authentifizierung und Passkeys erkläre;
- es gibt Sicherungskopien und einen Plan für den Fall, dass etwas schiefgeht.
Erfasst ein Portal Buchungen, Kundenzugänge oder Zahlungen, erweitert sich das Thema um Verschlüsselung, Schutz vor Angriffen und Datenbankdesign: Darum geht es im Kapitel über integrierte Portale, Buchungen und PWA.
Wenn etwas schiefgeht: die Datenschutzverletzung
Ein Angriff, gestohlene Zugangsdaten, ein verlorener Computer mit Kundendaten: Die DSGVO nennt solche Ereignisse Verletzung des Schutzes personenbezogener Daten (englisch «Data Breach»). Birgt die Verletzung ein Risiko für die Betroffenen, muss der Verantwortliche sie dem Garante innerhalb von 72 Stunden melden, nachdem er davon Kenntnis erlangt hat (Artikel 33), und bei hohem Risiko auch die betroffenen Personen benachrichtigen (Artikel 34). Alle Verletzungen, auch die nicht gemeldeten, müssen in einem internen Verzeichnis dokumentiert werden. Wie man sich vorher vorbereitet, mit Backup und Wiederherstellungsplan, ist das Thema des Kapitels über Datensicherung im Unternehmen und Ransomware.
Was auf dem Spiel steht
Artikel 83 DSGVO legt die Obergrenzen der Geldbußen fest: bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes bei bestimmten Verstößen, bis zu 20 Millionen oder 4 % bei den schwersten, etwa einer Verarbeitung ohne Rechtsgrundlage oder einer Verletzung der Rechte der Betroffenen. Das sind Höchstgrenzen, und der Garante bemisst die Geldbuße nach Schwere, Dauer, Kooperation und Größe des Verantwortlichen. Für einen kleinen Betrieb ist das konkreteste Risiko jedoch oft ein anderes: die Beschwerde eines Kunden, die Verwarnung mit der Anordnung, die Vorgaben einzuhalten, und verlorenes Vertrauen.
Quiz
Vier Fragen an den Betreiber der Website
Wählen Sie bei jeder Frage eine Antwort: Die Erklärung erscheint sofort.
Ein Kunde entdeckt, dass die Daten aus dem Kontaktformular durch einen Fehler online gelandet sind. Bis wann muss der Garante benachrichtigt werden, wenn ein Risiko für die Betroffenen besteht?
Artikel 33 DSGVO legt 72 Stunden fest, ab dem Zeitpunkt, zu dem der Verantwortliche von der Verletzung Kenntnis erlangt.
Auf welcher Grundlage antworten Sie jemandem, der über das Formular der Website ein Angebot anfragt?
Auf eine Anfrage der Person zu antworten, fällt unter die Durchführung vorvertraglicher Maßnahmen (Artikel 6): Eine Einwilligung ist hier nicht nötig.
Wann dürfen Besucherstatistiken wie technische Cookies behandelt werden?
Die Bedingungen des Garante gelten alle zusammen: maskierte IP, aggregierte Statistiken, eine einzige Website, keine Verknüpfung der Daten durch den Anbieter.
Im Formular gibt es das Kästchen für den Newsletter. Wie muss es sein?
Die Einwilligung zum Marketing wird durch eine aktive Handlung erteilt und darf keine Bedingung dafür sein, eine Antwort zu erhalten.
Eine rechtskonforme Website ist nicht die mit dem größten Banner. Es ist die, die nur erhebt, was nötig ist, es in klaren Worten sagt und es gut verwahrt.Der Grundsatz der Datenminimierung, in der Praxis
07Der Check Ihrer Website in sieben Schritten
Einen ersten Check können Sie selbst machen, mit dem Browser und einer halben Stunde Zeit. Er ersetzt keine professionelle Prüfung, zeigt Ihnen aber sofort, ob es offensichtliche Probleme gibt.
- Öffnen Sie die Website in einem privaten Fenster, damit keine gespeicherten Entscheidungen früherer Besuche vorhanden sind.
- Bevor Sie irgendetwas anklicken, öffnen Sie die Entwicklertools (F12), Registerkarte Anwendung, Eintrag Cookies: Gibt es dort bereits Drittanbieter- oder Profiling-Cookies, funktioniert die vorherige Sperre nicht.
- Laden Sie in der Registerkarte Netzwerk die Seite neu und sehen Sie sich die kontaktierten Domains an: Jede Domain, die nicht Ihre ist, ist ein externer Dienst, den Sie erfassen müssen.
- Gibt es ein Banner, schließen Sie es mit dem X und prüfen Sie erneut: Es darf nichts Neues erscheinen.
- Versuchen Sie abzulehnen: Das muss Sie einen Klick kosten, wie das Annehmen.
- Lesen Sie den Datenschutzhinweis und die Cookie-Richtlinie: Beschreiben sie wirklich, was Sie in der Registerkarte Netzwerk gesehen haben?
- Prüfen Sie die Formulare: Gibt es den Verweis auf den Datenschutzhinweis, und sind die Marketing-Kästchen anfangs leer?
Die Website, die «nur zum Schein» konform ist
- ein Banner erscheint, aber die Cookies starten vorher
- nur die Schaltfläche «Akzeptieren», die Ablehnung ist versteckt
- Datenschutzhinweis von einer anderen Website kopiert
- Videos und Karten ohne Hinweis eingebettet
- Marketing-Kästchen bereits angekreuzt
Die wirklich konforme Website
- Bestandsaufnahme der Werkzeuge gemacht und aktuell
- kein optionales Werkzeug vor der Einwilligung
- Akzeptieren und Ablehnen mit gleichem Gewicht, das X lehnt ab
- Datenschutzhinweis zu dem, was die Website tatsächlich tut
- externe Bausteine ersetzt oder erst auf Anfrage geladen
Ein Teil dieser Arbeit hängt vom Code der Website ab: die vorherige Sperre, das Laden von Videos auf Anfrage, selbst gehostete Schriften. Wer einen Dienstleister für die eigene Website wählt, sollte schon beim Angebot fragen, wie diese Punkte gelöst werden und auf wen Daten und Werkzeuge eingetragen bleiben: Darüber schreibe ich im Kapitel darüber, wem Ihre Website wirklich gehört.
Machen Sie den Test
Hält Ihre Website die Regeln zu Datenschutz und Cookies ein?
Häufige Fragen
Ist das Cookie-Banner für alle Websites Pflicht?
Nein. Es ist nur nötig, wenn die Website nicht unbedingt erforderliche Werkzeuge installiert oder ausliest, etwa Profiling-Werkzeuge oder Drittanbieter-Werkzeuge, die technischen nicht gleichgestellt sind. Eine Website, die nur technische Cookies verwendet, braucht trotzdem einen Datenschutzhinweis, aber kein Banner.
Darf ich es als Einwilligung werten, wenn die Person weitersurft?
Nein. Die Leitlinien des Garante von 2021 schließen aus, dass bloßes Scrollen als Einwilligung gilt: Es braucht eine aktive und nachweisbare Handlung, etwa den Klick auf eine Schaltfläche.
Erfordern Besucherstatistiken eine Einwilligung?
Das hängt von der Konfiguration ab. Ist die IP maskiert, dienen die Daten nur aggregierten Statistiken einer einzigen Website, und verknüpft der Anbieter sie nicht und gibt sie nicht weiter, sind sie technischen Cookies gleichgestellt. Andernfalls braucht es die vorherige Einwilligung.
Erfordert ein eingebettetes YouTube-Video eine Einwilligung?
Der eingebettete Player kontaktiert beim Öffnen der Seite die Server der Plattform und kann Drittanbieter-Werkzeuge installieren. Die sicherste Lösung ist, ihn erst nach einem Klick der Person zu laden und vorher ein Bild mit einem Hinweis zu zeigen.
Wie oft darf ich das Banner jemandem zeigen, der abgelehnt hat?
Laut Garante nur, wenn sich die Bedingungen der Verarbeitung wesentlich ändern, wenn nicht feststellbar ist, dass die Wahl bereits getroffen wurde, oder wenn seit der letzten Anzeige mindestens sechs Monate vergangen sind.
Muss ein kleiner Betrieb ein Verarbeitungsverzeichnis führen?
Fast immer ja. Die Ausnahme in Artikel 30 für Unternehmen mit weniger als 250 Beschäftigten gilt nicht, wenn die Verarbeitung nicht nur gelegentlich erfolgt, und die Verwaltung von Kunden, Rechnungen oder Buchungen ist nicht gelegentlich.
Quellen
- Garante per la protezione dei dati personali, «Linee guida cookie e altri strumenti di tracciamento», 10. Juni 2021 (auf Italienisch): Scrollen, X-Schaltfläche, technischen gleichgestellte Analyse-Cookies, Cookie Wall, sechs Monate.
- Garante per la protezione dei dati personali, Themenseite «Cookie» (auf Italienisch): die Regeln im Überblick und die zugehörigen Dokumente.
- Verordnung (EU) 2016/679 (DSGVO), amtlicher Text auf EUR-Lex: Artikel 6, 7, 12, 13, 28, 30, 32, 33, 34 und 83.
- Garante per la protezione dei dati personali, Mitteilung vom 23. Juni 2022 zu Google Analytics (auf Italienisch): die Übermittlung der Daten in die USA.
- Europäische Kommission, Angemessenheitsbeschluss zum Datenschutzrahmen EU-USA, 10. Juli 2023.
- IHK, Merkblatt zum Urteil des Landgerichts München I vom 20. Januar 2022 (3 O 17493/20) zu Google Fonts.
Stand des Kapitels: Oktober 2026. Dies ist ein allgemeinverständlicher Ratgeber, geschrieben von jemandem, der Websites und Software baut, keine Rechtsberatung: Für besondere Fälle und für die Erstellung von Datenschutzhinweisen und Verarbeitungsverzeichnis Ihres Betriebs empfiehlt es sich, eine Fachperson für Datenschutz hinzuzuziehen. Die zitierten Regeln stammen aus den oben genannten amtlichen Texten.