Was beim ersten Aufruf passiert
Ein einfaches Beispiel zum Ausprobieren: Öffnen Sie Ihre eigene Website in einem privaten Browserfenster, drücken Sie F12 und schauen Sie im Reiter „Netzwerk“, welche Adressen geladen werden. Typischerweise können dort neben der eigenen Domain auftauchen: Schriften von Google, eine Karte von Google Maps, ein Video von YouTube, ein Chat-Widget, ein Statistikdienst, manchmal Social-Media-Buttons.
Jeder dieser Dienste erhält beim Seitenaufruf mindestens die IP-Adresse der Besucher. Einige speichern zusätzlich Informationen im Browser. Für Besucher ist das unsichtbar – bis das Cookie-Banner erscheint, das genau diese Dienste aufzählt.
Die meisten dieser Verbindungen sind nicht nötig. Wer sie entfernt oder ersetzt, braucht oft gar kein Banner mehr.
Die Grundregeln
Zwei Regelwerke bestimmen, was auf Ihrer Website erlaubt ist:
| Regel | Was sie sagt (vereinfacht) |
|---|---|
| § 25 TDDDG (externer Link) | Das Speichern von Informationen auf dem Gerät der Besucher und der Zugriff darauf brauchen grundsätzlich eine Einwilligung – außer, es ist für den gewünschten Dienst unbedingt erforderlich |
| DSGVO (externer Link) | Jede Verarbeitung personenbezogener Daten, auch der IP-Adresse, braucht eine Rechtsgrundlage (Art. 6); Besucher müssen informiert werden (Art. 13); Dienstleister brauchen einen Vertrag zur Auftragsverarbeitung (Art. 28); Übermittlungen in Drittländer unterliegen besonderen Regeln (Art. 44 ff.) |
Für Kanzleien kommt hinzu: Schon die Tatsache, dass jemand eine Seite zu „Strafverteidigung bei Steuerhinterziehung“ besucht, kann sensibel sein. Datensparsamkeit ist hier nicht nur Pflicht, sondern ein Qualitätsmerkmal.
Schritt 1: Bestandsaufnahme
Listen Sie alle Dienste auf, die Ihre Website beim Aufruf lädt. Diese Fragen helfen:
| Frage | Typische Antworten |
|---|---|
| Woher kommen die Schriftarten? | Google Fonts, Adobe Fonts, eigener Server |
| Gibt es eine eingebettete Karte? | Google Maps, OpenStreetMap |
| Sind Videos eingebettet? | YouTube, Vimeo |
| Welche Statistik läuft? | Google Analytics, Matomo, eigene |
| Gibt es Chat, Terminbuchung, Bewertungs-Widgets? | externe Anbieter |
| Gibt es Social-Media-Buttons oder eingebettete Beiträge? | LinkedIn, Instagram, Facebook |
| Wird ein Captcha genutzt? | reCAPTCHA, andere |
| Woher kommen Skripte und Bibliotheken? | Content-Delivery-Netzwerke, eigener Server |
Für jeden Dienst entscheiden Sie: entfernen, ersetzen oder mit Einwilligung einbinden.
Schritt 2: Die häufigsten Fremddienste – und bessere Lösungen
Schriftarten
Externe Schriftdienste übertragen bei jedem Seitenaufruf Daten an den Anbieter. Die Lösung ist einfach: Laden Sie die Schriftdateien herunter, legen Sie sie auf Ihren eigenen Server und binden Sie sie von dort ein. Viele Schriften stehen unter freien Lizenzen, die das erlauben; prüfen Sie die Lizenz Ihrer Schrift. Dieses Portal lädt alle Schriften vom eigenen Server.
Karten
Eine eingebettete Google-Karte lädt beim Seitenaufruf Inhalte von Google. Bessere Lösungen:
- Ein statisches Kartenbild mit Ihrem Standort, das auf Ihrem Server liegt, plus ein Link „Route planen“, der Google Maps oder Apple Karten erst nach Klick öffnet.
- Eine Anfahrtsbeschreibung in Textform: Haltestelle, Parkmöglichkeiten, barrierefreier Zugang.
- Eine Zwei-Klick-Lösung, bei der die Karte erst nach Klick und Hinweis geladen wird.
Videos
Eingebettete YouTube-Videos laden Inhalte von Google-Servern, bevor jemand auf „Abspielen“ drückt. Nutzen Sie eine Zwei-Klick-Lösung oder hosten Sie die Videos selbst. Details zeigt Teil 19 dieser Serie.
Statistik
Eine Statistik mit Cookies braucht eine Einwilligung. Eine cookielose Statistik, die keine Profile bildet, kommt in der Regel ohne aus. Welche Lösung zu Ihnen passt, erklärt Teil 21 dieser Serie.
Social Media
Eingebettete Beiträge und „Gefällt mir“-Buttons laden Inhalte der Plattformen. Ersetzen Sie sie durch einfache Links auf Ihre Profile – als Text oder Symbol von Ihrem eigenen Server.
Captchas
Viele Captcha-Dienste analysieren das Verhalten der Besucher. Für Kontaktformulare reichen oft einfachere Schutzmechanismen, etwa ein verstecktes Feld, das nur Bots ausfüllen, oder eine Zeitprüfung.
Skripte und Bibliotheken
Laden Sie JavaScript-Bibliotheken und Stylesheets von Ihrem eigenen Server statt von externen Content-Delivery-Netzwerken.
Schritt 3: Das Kontaktformular
Über Kontaktformulare senden Menschen oft sehr persönliche Informationen. Achten Sie auf:
- Verschlüsselung: Die gesamte Website läuft über HTTPS. Klären Sie mit Ihrem Dienstleister, wie die Nachricht vom Server zu Ihnen gelangt.
- Datensparsamkeit: Nur Name, Kontaktweg und kurzes Anliegen als Pflichtfelder.
- Hinweis: Bitten Sie darum, im ersten Schritt keine Unterlagen oder ausführlichen Sachverhalte zu senden.
- Speicherung: Wo werden die Nachrichten gespeichert, und wann werden sie gelöscht? Viele Formular-Erweiterungen speichern Anfragen zusätzlich in der Datenbank der Website.
- Sicherheit: Angemessene technische und organisatorische Maßnahmen zum Schutz der Daten sind Pflicht (Art. 32 DSGVO (externer Link)).
Wenn Sie zusätzlich eine sichere Übermittlung von Unterlagen anbieten möchten, nutzen Sie dafür einen eigenen, geschützten Weg – etwa ein Mandantenportal – statt E-Mail-Anhängen über das Formular.
Schritt 4: Hosting und Dienstleister
- Hosting in der EU: Ein Anbieter mit Sitz und Rechenzentrum in der EU erleichtert den Datenschutz.
- Auftragsverarbeitung: Mit dem Hoster und allen weiteren Dienstleistern, die personenbezogene Daten in Ihrem Auftrag verarbeiten, schließen Sie einen Vertrag nach Art. 28 DSGVO.
- Verschwiegenheit: Wenn Dienstleister Zugang zu Informationen erhalten könnten, die der Verschwiegenheit unterliegen, gelten zusätzlich die Vorgaben von § 43e BRAO (externer Link): sorgfältige Auswahl, Vertrag in Textform, Verpflichtung zur Verschwiegenheit.
- Server-Protokolle: Klären Sie, welche Daten Ihr Hoster in Protokollen speichert und wie lange.
Schritt 5: Brauchen Sie ein Cookie-Banner?
Wenn Ihre Website nach den Schritten 1 bis 4 keine Informationen auf dem Gerät der Besucher speichert oder ausliest, die nicht unbedingt erforderlich sind, brauchen Sie dafür keine Einwilligung nach § 25 TDDDG – und damit auch kein Banner, das danach fragt. Das ist für viele Kanzlei-Websites ohne Weiteres erreichbar.
Wenn Sie bestimmte Dienste bewusst einsetzen möchten, etwa eine Statistik mit Cookies oder Conversion-Tracking für Anzeigen, brauchen Sie ein Einwilligungsbanner, das diese Dienste erst nach Zustimmung lädt. Achten Sie darauf, dass Ablehnen genauso einfach ist wie Zustimmen.
Schritt 6: Die Datenschutzerklärung
Ihre Datenschutzerklärung muss beschreiben, was auf Ihrer Website tatsächlich passiert (Art. 13 DSGVO (externer Link)). Nach dem Aufräumen wird sie oft deutlich kürzer und verständlicher. Prüfen Sie sie nach jeder Änderung an der Website. Ein Beispiel für eine Website ohne Cookies und Fremddienste ist die Datenschutzerklärung dieses Portals.
Der Nebeneffekt: Tempo
Jeder externe Dienst kostet Ladezeit. Wer Schriften selbst hostet, Karten durch Links ersetzt und Videos erst nach Klick lädt, verbessert meist auch die Core Web Vitals (Teil 10 dieser Serie). Datenschutz und Geschwindigkeit ziehen hier am selben Strang.
Die häufigsten Fehler
| Fehler | Folge | Besser so |
|---|---|---|
| Google Fonts von Google-Servern | Datenübertragung bei jedem Aufruf | Schriften selbst hosten |
| Eingebettete Google-Karte | Datenübertragung, langsamere Seite | Statisches Bild und Routenlink |
| YouTube direkt eingebettet | Datenübertragung vor dem Abspielen | Zwei-Klick oder eigenes Hosting |
| Banner, das Dienste vor der Einwilligung lädt | Einwilligung wirkungslos | Dienste erst nach Zustimmung laden |
| Ablehnen schwerer als Zustimmen | Einwilligung nicht freiwillig | Gleichwertige Schaltflächen |
| Formular speichert Anfragen unbemerkt in der Datenbank | Unnötige Datenhaltung | Speicherung prüfen, Löschfristen festlegen |
| Datenschutzerklärung aus dem Generator, nie angepasst | Beschreibt nicht, was passiert | Nach jeder Änderung prüfen |
Ihre Checkliste
- Bestandsaufnahme aller Fremddienste mit dem Browser-Netzwerkreiter.
- Schriften auf den eigenen Server legen.
- Karten durch statisches Bild und Routenlink ersetzen.
- Videos per Zwei-Klick oder selbst hosten.
- Social-Media-Einbettungen durch Links ersetzen.
- Statistik ohne Cookies wählen oder Einwilligung einholen.
- Kontaktformular prüfen: Pflichtfelder, Speicherung, Hinweis.
- Verträge mit Hoster und Dienstleistern nach Art. 28 DSGVO und § 43e BRAO abschließen.
- Prüfen, ob noch ein Cookie-Banner nötig ist.
- Datenschutzerklärung an den tatsächlichen Stand anpassen.
Häufige Fragen
Kann eine Kanzlei-Website ganz ohne Cookie-Banner auskommen?
Ja, wenn sie keine Informationen auf dem Gerät der Besucher speichert oder ausliest, die nicht unbedingt erforderlich sind. Für viele Kanzlei-Websites ist das mit eigenen Schriften, Karten-Links und cookieloser Statistik erreichbar.
Darf ich Google Maps einbinden?
Mit einer Zwei-Klick-Lösung, die die Karte erst nach Zustimmung lädt. Einfacher und schneller ist ein statisches Kartenbild mit Routenlink.
Ist ein Kontaktformular datenschutzrechtlich problematisch?
Nicht grundsätzlich. Achten Sie auf Verschlüsselung, wenige Pflichtfelder, klare Speicherregeln und einen Hinweis in der Datenschutzerklärung.
Brauche ich mit meinem Hoster einen Vertrag?
Ja, einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Wenn der Hoster Zugang zu vertraulichen Informationen erhalten könnte, beachten Sie zusätzlich § 43e BRAO.
Wie prüfe ich, welche Dienste meine Website lädt?
Öffnen Sie die Website in einem privaten Browserfenster, drücken Sie F12 und schauen Sie im Reiter „Netzwerk“, von welchen Adressen Inhalte geladen werden.
Quellen
- § 25 TDDDG (externer Link), § 43e BRAO (externer Link), Bundesministerium der Justiz
- Datenschutz-Grundverordnung (EU) 2016/679 (externer Link), Art. 6, 13, 28, 32 und 44 ff., Amtsblatt der Europäischen Union