Google Fonts: der häufigste Fehler
Werden Schriften direkt von Google-Servern geladen, wird bei jedem Seitenaufruf die IP-Adresse des Besuchers an Google übertragen — ohne dessen Einwilligung. Ein Urteil des Landgerichts München hat dazu 2022 einem Betroffenen Schadensersatz zugesprochen, was eine Welle von Abmahnschreiben ausgelöst hat.
Die Lösung ist unspektakulär: Schriften lokal auf dem eigenen Server ablegen statt sie von außen zu laden. Damit entfällt die Übertragung vollständig. Diese Seite hier tut genau das — sie lädt keine einzige externe Ressource.
Prüfen können Sie das selbst, indem Sie im Browser die Entwicklerwerkzeuge öffnen und im Netzwerk-Reiter nachsehen, ob Verbindungen zu fonts.googleapis.com auftauchen.
Cookie-Banner: wann Sie wirklich einen brauchen
Ein weit verbreiteter Irrtum ist, dass jede Website einen Banner braucht. Tatsächlich ist er nur erforderlich, wenn Cookies oder ähnliche Techniken zum Einsatz kommen, die nicht technisch notwendig sind — also insbesondere für Analyse, Marketing oder eingebettete Dienste.
Wer auf Tracking verzichtet, keine Karten oder Videos von Dritten einbettet und keine externen Schriften lädt, braucht keinen Banner. Das ist rechtlich sauberer und für Besucher deutlich angenehmer.
Wenn ein Banner nötig ist, gelten klare Regeln: Ablehnen muss genauso einfach sein wie Zustimmen, es darf nichts vorangekreuzt sein, und ohne Zustimmung dürfen die betroffenen Dienste nicht laden. Ein Banner, der nur informiert und dann trotzdem alles lädt, ist wirkungslos.
Karten, Videos und Schriftarten von außen
Die typischen Stolperstellen bei regionalen Websites:
- Google Maps — überträgt beim Laden Daten. Alternative: ein statisches Bild der Karte, das erst auf Klick die interaktive Karte lädt, oder schlicht ein Link zur Route.
- YouTube-Videos — dasselbe Problem. Der erweiterte Datenschutzmodus mildert es, beseitigt es aber nicht vollständig.
- Schriftarten und Icon-Bibliotheken von externen Anbietern — lokal einbinden.
- Social-Media-Buttons, die direkt einbinden statt nur zu verlinken. Ein einfacher Link ist unproblematisch.
Impressum und Datenschutzerklärung
Beides ist Pflicht, und beides muss von jeder Unterseite aus mit einem Klick erreichbar sein.
Ins Impressum gehören Name und Anschrift, Kontaktdaten, bei Gesellschaften die Vertretungsberechtigten und das Registergericht, bei Umsatzsteuerpflicht die USt-IdNr. sowie bei bestimmten Berufen die Aufsichtsbehörde und Kammer.
Die Datenschutzerklärung muss beschreiben, welche Daten tatsächlich verarbeitet werden — auch Server-Logdateien und Kontaktaufnahmen per E-Mail. Eine Erklärung, die Dienste aufführt, die gar nicht im Einsatz sind, ist genauso falsch wie eine, die vorhandene verschweigt.
Das Kontaktformular
Bei Formularen gelten drei praktische Regeln: nur abfragen, was tatsächlich gebraucht wird; über die Verarbeitung informieren und auf die Datenschutzerklärung verlinken; verschlüsselt übertragen, also über HTTPS.
Eine Pflicht-Checkbox zur Einwilligung ist übrigens meist gar nicht nötig — die Verarbeitung zur Beantwortung einer Anfrage ist regelmäßig auch ohne sie zulässig. Wir verzichten auf beiden Seiten bewusst ganz auf Formulare und nennen stattdessen Telefonnummer und Adresse. Das ist datensparsam und für den Anfragenden meist schneller.
Kurze Selbstprüfung
- Werden Schriften lokal geladen?
- Laden Karten oder Videos erst nach Zustimmung?
- Ist ein Banner vorhanden — und falls ja, ist Ablehnen so einfach wie Zustimmen?
- Sind Impressum und Datenschutzerklärung von überall erreichbar?
- Beschreibt die Datenschutzerklärung tatsächlich das, was passiert?
- Läuft die Seite über HTTPS?
Diese Seite ist kein Rechtsrat. Bei Unsicherheit im Einzelfall fragen Sie bitte einen Fachanwalt — wir setzen die technische Seite um.