Wer beim Datenschutz an seine Website denkt, denkt an das Fenster, das beim ersten Besuch aufgeht. Das ist verständlich, denn es ist das Einzige, was man sieht. Es ist aber auch der Teil mit der kleinsten Obergrenze und der geringsten Aussagekraft. Ein tadelloses Banner sagt nichts darüber, ob die Dienste dahinter überhaupt beauftragt wurden, wohin die Daten fließen und ob irgendwo aufgeschrieben steht, was da passiert. Genau in diese Reihenfolge schauen die Aufsichtsbehörden 2026. Dieser Beitrag geht die drei Punkte durch, die beim Datenschutz auf der Website tatsächlich zählen, jeweils mit dem Paragrafen, den du selbst nachlesen kannst.
Warum ist der Banner nur der sichtbare Teil?
Weil er eine einzige, eng umrissene Frage beantwortet: Darf auf dem Gerät des Besuchers etwas gespeichert oder gelesen werden? In Deutschland steht das in § 25 Abs. 1 TDDDG, überschrieben mit "Schutz der Privatsphäre bei Endeinrichtungen". Erlaubt ist es nur nach Einwilligung auf Grundlage klarer und umfassender Informationen. Absatz 2 kennt genau zwei Ausnahmen: die reine Übertragung einer Nachricht, und was unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst überhaupt funktioniert. In Österreich steht dieselbe Regel in § 165 Abs. 3 TKG 2021, und die Datenschutzbehörde sagt in ihren FAQ zu Datenschutz und Cookies dasselbe: ohne Einwilligung nur, was für den gewünschten Dienst unbedingt notwendig ist.
Das Wort, an dem alles hängt, ist "unbedingt erforderlich". Der Warenkorb fällt darunter, der Login auch, die Sprachwahl meistens. Reichweitenmessung fällt nicht darunter, Kartendienste nicht, eingebettete Videos nicht, Schriftarten von einem fremden Server nicht. Das ist der Punkt, an dem viele Seiten scheitern, ohne es zu merken: Das Banner ist da, es sieht gut aus, aber die Skripte laufen trotzdem schon vorher. Ob das Banner sauber gebaut ist, entscheidet sich nicht am Aussehen, sondern daran, was passiert, bevor jemand geklickt hat. Das gehört zum Handwerk des Consent-Managements und ist die einzige Frage, die man dabei wirklich prüfen muss.
Wie viele fremde Dienste lädt deine Seite wirklich?
Mehr, als fast jeder Betreiber schätzt. Das HTTP Archive misst das jedes Jahr an einem sehr großen Teil des Webs. Ergebnis für 2025: Zwischen 90 und 92 Prozent aller untersuchten Seiten binden mindestens einen fremden Dienst ein, und der Median liegt bei 83 Anfragen an fremde Hosts auf dem Desktop und 79 auf dem Handy.
Jeder dieser Dienste, der dabei personenbezogene Daten für dich verarbeitet, und die IP-Adresse ist bereits ein personenbezogenes Datum, braucht einen Vertrag. Das ist keine Formalie, sondern Art. 28 DSGVO: Verarbeitung im Auftrag ist nur auf Grundlage eines Vertrags zulässig, der Gegenstand, Dauer, Art und Zweck festlegt. Bei den großen Anbietern liegt so ein Vertrag meist als Klausel in den Nutzungsbedingungen bereit und muss nur aktiv angenommen werden. Genau das passiert häufig nicht, weil niemand danach sucht. Die Auftragsverarbeitung ist der Punkt, der am seltensten geprüft und am leichtesten nachgeholt wird.
Der praktische Weg dorthin ist unspektakulär: Seite im Browser öffnen, Netzwerkanalyse mitlaufen lassen, die Liste der fremden Domains notieren. Was übrig bleibt, ist deine Vertragsliste. Meistens sind es weniger Anbieter als Anfragen, oft zwischen fünf und fünfzehn, und die Hälfte davon hat vor Jahren mal jemand für einen Test eingebaut.
Was passiert, wenn ein Werkzeug in den USA sitzt?
Dann brauchst du zusätzlich eine Grundlage für den Transfer selbst. Seit dem 10. Juli 2023 gibt es dafür wieder einen Angemessenheitsbeschluss der EU-Kommission, das EU-US Data Privacy Framework. Für Anbieter, die dort zertifiziert sind, ist der Transfer damit gedeckt, ohne dass du eigene Zusatzverträge brauchst. Der Beschluss gilt, aber er steht weniger fest, als die Ruhe der letzten Jahre vermuten lässt.
Für dich heißt das nicht, dass du US-Werkzeuge meiden musst. Es heißt, dass du wissen solltest, welche du einsetzt und wie schnell du sie ersetzen könntest. Zwei Fragen reichen dafür: Welcher Dienst hält gerade welche Daten, und wie lange dauert der Umzug, wenn die Grundlage wegfällt. Wer das für seine drei wichtigsten Werkzeuge beantworten kann, hat den Drittlandtransfer im Griff, ohne juristische Beratung eingekauft zu haben.
Warum schauen die Behörden 2026 in die Datenschutzerklärung?
Weil sie sich genau darauf verständigt haben. Der Europäische Datenschutzausschuss wählt jedes Jahr ein Thema, das die nationalen Aufsichtsbehörden gemeinsam prüfen. 2023 waren es Cloud-Dienste im öffentlichen Sektor, 2024 die Stellung der Datenschutzbeauftragten, 2025 das Auskunftsrecht. Am 19. März 2026 ist die Aktion für dieses Jahr gestartet: Transparenz und Informationspflichten nach Art. 12 bis 14 DSGVO, mit 25 teilnehmenden Aufsichtsbehörden.
Art. 12 bis 14 sind der unscheinbarste Teil der Verordnung und der, den man am schnellsten selbst reparieren kann. Sie verlangen, dass in klarer, einfacher Sprache dasteht, wer verarbeitet, wozu, auf welcher Rechtsgrundlage, wie lange, an wen weitergegeben wird und welche Rechte man hat. Die typische Datenschutzerklärung erfüllt das formal und scheitert an der Aktualität: Sie nennt Dienste, die längst raus sind, und schweigt über die, die letztes Jahr dazukamen. Wenn 2026 jemand fragt, ist genau dieser Abgleich die Prüfung. Das ist der billigste der drei Punkte, weil er nichts kostet außer einer Stunde Ehrlichkeit.
Was kostet ein Fehler an welcher Stelle?
Unterschiedlich viel, und zwar in einer Richtung, die den meisten verkehrt herum vorkommt. Das Banner hängt in Deutschland am TDDDG, und dort steht in § 28 TDDDG ein Bußgeldrahmen bis 300.000 Euro. Die Verarbeitung dahinter hängt an der DSGVO, und deren Art. 83 Abs. 5 reicht bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem was höher ist.
Diese Zahlen sind Höchstbeträge und keine Prognose für einen Handwerksbetrieb mit acht Leuten. Sie zeigen aber die Rangfolge, in der der Gesetzgeber die Dinge sortiert hat, und die ist genau umgekehrt zu der Aufmerksamkeit, die sie üblicherweise bekommen. Das Fenster im Vordergrund hat die kleinere Zahl. Was dahinter läuft, hat die größere. Und im Alltag kommt der Ärger ohnehin selten von der Behörde, sondern von einem Kunden, einem Wettbewerber oder einem Bewerber, der die Erklärung liest und eine Frage stellt.
Was machst du damit?
Drei Schritte, in dieser Reihenfolge, und keiner davon braucht eine Kanzlei.
Erstens: die Liste ziehen. Seite öffnen, Netzwerkanalyse mitlaufen lassen, jede fremde Domain notieren. Das dauert zwanzig Minuten und ist die Grundlage für alles andere. Ohne diese Liste rät man.
Zweitens: die Liste halbieren. Für jeden Eintrag eine Frage: Wofür ist der da? Was Kunden nicht sehen und niemand auswertet, fliegt raus. Jeder gelöschte Dienst spart eine Einwilligung, einen Vertrag, eine Zeile in der Erklärung und ein bisschen Ladezeit. Das ist der einzige Schritt, der die Seite gleichzeitig schneller und rechtssicherer macht.
Drittens: aufschreiben, was übrig ist. Rest in die Datenschutzerklärung, Verträge dort annehmen, wo sie bereitliegen, im Banner einstellen, dass wirklich nichts vor der Zustimmung lädt. Danach einmal im Jahr die Liste neu ziehen und gegen die Erklärung halten.
Datenschutz auf der Website ist kein juristisches Projekt, sondern eine Inventur mit drei Spalten: was lädt, wer darf, wo steht es. Wer die Inventur einmal gemacht hat, hält sie in einer Stunde im Jahr aktuell. Wenn du magst, gehen wir eure Seite gemeinsam durch und du bekommst die Liste als Datei zurück, samt der Zeilen, die du selbst streichen kannst 🙂