Zuerst: das ist keine Rechtsberatung
Ich bin Webentwickler, kein Anwalt. Was hier steht, ist die Liste, die ich bei jedem Projekt abarbeite, damit die üblichen Fehler gar nicht erst entstehen. Die fertige Fassung deiner Rechtstexte gehört einmal von jemandem geprüft, der dafür haftet — die Wirtschaftskammer bietet Mitgliedern dazu ein kostenloses Service an.
1. Impressum
Pflicht nach § 5 ECG und § 25 Mediengesetz, und in Österreich verwaltungsstrafbewehrt. Hinein gehören:
- Name beziehungsweise Firmenwortlaut und Rechtsform
- Vollständige Anschrift — ein Postfach genügt nicht
- Telefonnummer und E-Mail-Adresse
- Firmenbuchnummer und Firmenbuchgericht, sofern eingetragen
- UID-Nummer, sofern vorhanden
- Gewerbeberechtigung, GISA-Zahl und zuständige Gewerbebehörde
- Kammerzugehörigkeit und anwendbare Rechtsvorschriften
- Bei redaktionellen Inhalten: Blattlinie
Das Impressum muss von jeder Seite aus in zwei Klicks erreichbar sein und darf nicht als Bild vorliegen. Unvollständige Angaben sind schlimmer als späte: Eine erfundene Platzhalterzahl im Impressum ist ein eigener Verstoß.
2. Datenschutzerklärung
Nach Art. 13 DSGVO musst du informieren, bevor Daten verarbeitet werden. Der häufigste Fehler ist nicht eine fehlende Erklärung, sondern eine, die nicht zur Seite passt — weil sie aus einem Generator stammt und Dienste beschreibt, die gar nicht eingebunden sind, oder umgekehrt welche verschweigt, die es sehr wohl gibt.
Geh die Seite einmal mit offenen Entwicklerwerkzeugen durch, Reiter Netzwerk, und sieh nach, welche fremden Adressen aufgerufen werden. Jede davon gehört in die Erklärung oder muss raus.
3. Der Cookie-Banner — nötig oder nicht?
Ein Banner ist nur nötig, wenn die Seite etwas lädt, das technisch nicht notwendig ist. Notwendig sind zum Beispiel ein Warenkorb oder ein Login. Nicht notwendig sind Analytics, Werbepixel, eingebettete Videos, Kartendienste und extern geladene Schriften.
Daraus folgt die angenehmere Variante: Wer diese Dinge gar nicht erst einbaut, braucht keinen Banner. Weniger Reibung für Besucher, weniger Rechtsrisiko, schnellere Seite. Wenn ein Banner sein muss, gilt: Ablehnen muss genauso einfach sein wie Zustimmen, und vor der Zustimmung darf nichts geladen werden.
4. Schriften
Werden Schriften von einem fremden Server geladen — der Klassiker ist Google Fonts —, wird dabei die IP-Adresse des Besuchers übertragen. Seit der Münchner Entscheidung von 2022 ist das ein bekanntes Abmahnthema im deutschsprachigen Raum.
Die Lösung ist unspektakulär: Schriftdateien herunterladen, auf den eigenen Server legen, per
@font-face einbinden. Danach findet beim Seitenaufruf keine Verbindung zu einem
Dritten statt. Nebeneffekt: Die Seite lädt schneller, weil zwei Verbindungsaufbauten wegfallen.
Diese Website hier macht es so.
5. Formulare
- Nur abfragen, was du wirklich brauchst — jedes Pflichtfeld muss begründbar sein.
- Eine Einwilligung mit Verweis auf die Datenschutzerklärung, als aktives Häkchen, nicht vorausgewählt.
- Übertragung verschlüsselt, also über HTTPS.
- Wenn ein externer Dienst den Versand übernimmt: Auftragsverarbeitungsvertrag nach Art. 28 und Nennung in der Erklärung.
- Spamschutz ohne fremde Dienste ist möglich — ein verstecktes Feld reicht in den meisten Fällen.
6. Statistik
Es gibt Auswertung ohne Einwilligung: Lösungen, die ohne Cookies arbeiten, IP-Adressen nicht speichern und in der EU gehostet sind. Man erfährt damit weniger über einzelne Besucher und genug über das, was tatsächlich zählt — welche Seiten gelesen werden und woher die Leute kommen.
7. Karten, Videos, Schaltflächen
Eine eingebettete Karte oder ein eingebettetes Video baut sofort beim Laden eine Verbindung zum Anbieter auf, auch wenn niemand darauf klickt. Zwei saubere Wege: entweder erst nach einem ausdrücklichen Klick laden, oder durch ein Standbild mit Link ersetzen. Für Social-Media-Profile reicht ein normaler Link — es muss keine Schaltfläche des Anbieters sein.
8. Verarbeitungsverzeichnis
Auch kleine Betriebe führen in vielen Fällen ein Verzeichnis der Verarbeitungstätigkeiten. Für eine Website ist das übersichtlich: Kontaktformular, Server-Logfiles, gegebenenfalls Statistik und Newsletter. Eine Tabelle mit Zweck, Rechtsgrundlage, Speicherdauer und Empfängern genügt.
Die Kurzfassung
Die datenschutzfreundlichste Website ist fast immer auch die schnellste: keine fremden Skripte, Schriften lokal, Karten erst auf Klick, cookiefreie Statistik. Man spart sich den Banner, die Abmahnsorge und eine halbe Sekunde Ladezeit gleichzeitig. Das ist kein Kompromiss, sondern einfach die bessere Bauweise.