Die DSGVO regelt den Umgang mit personenbezogenen Daten von EU-Bürgerinnen und -Bürgern. Sie gilt für jede Organisation, die Daten von EU-Personen verarbeitet – unabhängig vom Sitz des Unternehmens.
- Datenschutzerklärung (Art. 13/14)
- Impressumspflicht mit Verantwortlichem
- Cookie-Einwilligung bei Tracking (Art. 6)
- Keine Google Fonts ohne Einwilligung
- Kein Einbinden externer Ressourcen ohne Consent
- Auftragsverarbeitungsvertrag (AVV) mit Dienstleistern
- Löschkonzept für personenbezogene Daten
- Bis zu 20 Mio. € oder
- 4 % des weltweiten Jahresumsatzes (der höhere Betrag)
- Abmahnungen durch Wettbewerber
- Schadensersatzklagen Betroffener (Art. 82)
Werden Schriften direkt von Google geladen, geht die IP-Adresse jedes Besuchers an Google, bevor er irgendetwas anklicken konnte. Ohne Einwilligung fehlt dafür die Rechtsgrundlage nach Art. 6 DSGVO – das ist unstrittig und der eigentliche Befund.
Häufig zitiert wird das Urteil des LG München I vom 20.01.2022 (Az. 3 O 17493/20) mit 100 € Schadensersatz. Diese Zahl sollte man einordnen: ein Einzelfall eines Landgerichts, gefolgt von einer Welle massenhafter Abmahnschreiben, die mehrere Gerichte als rechtsmissbräuchlich einstuften. Der Europäische Gerichtshof hat 2023 entschieden (C-300/21), dass ein Verstoß allein noch keinen Schadensersatz begründet – ein Schaden muss vorliegen. Umstritten ist also die Höhe eines Anspruchs, nicht die Pflicht. Behoben ist die Sache in einer halben Stunde, indem die Schriften auf dem eigenen Server liegen – dann erübrigt sich die Frage vollständig.
Das BFSG verpflichtet private Unternehmen, digitale Produkte und Dienstleistungen barrierefrei zu gestalten. Es betrifft alle Unternehmen, die Verbraucher in der EU beliefern – mit Ausnahme von Kleinstunternehmen (< 10 Mitarbeiter, < 2 Mio. € Jahresumsatz).
- E-Commerce-Websites und -Apps
- Online-Banking und Finanzdienstleistungen
- Ticketverkauf (Bahn, Flug, ÖPNV)
- Streaming-Dienste
- Telekommunikationsdienste
- E-Books und E-Reader-Software
- Alt-Texte für alle Bilder
- Ausreichende Farbkontraste (≥ 4,5:1)
- Tastaturnavigation ohne Maus
- Sprachattribut gesetzt (
lang="de") - Beschriftung aller Formularfelder
- Korrekte Überschriftenstruktur (h1→h2→h3)
lang-Attribut, Formulare ohne Label, falsche Überschriftenstruktur, leere Links.
Das TTDSG regelt den Einsatz von Cookies und ähnlichen Technologien (§ 25). Tracking-Cookies und nicht-technisch-notwendige Cookies erfordern eine ausdrückliche Einwilligung des Nutzers – unabhängig von der DSGVO.
- Analyse-Cookies (Google Analytics, Matomo)
- Marketing- und Retargeting-Cookies
- Social-Media-Pixel (Facebook, LinkedIn)
- Fingerprinting-Technologien
- Session-Cookies für Login
- Warenkorb-Cookies
- Technisch notwendige Cookies
- Sprachpräferenz-Cookies
Sicherheitsheader sind keine gesetzliche Pflicht, aber Teil des technisch-organisatorischen Datenschutzes (Art. 32 DSGVO). Fehlende Schutzmaßnahmen können als DSGVO-Verstoß gewertet werden. Das BSI empfiehlt die Implementierung aller gängigen Sicherheitsheader.
Strict-Transport-Security(HSTS)Content-Security-Policy(CSP)X-Frame-OptionsX-Content-Type-OptionsReferrer-PolicyPermissions-Policy
- Art. 32 DSGVO: „Geeignete technische Maßnahmen"
- BSI IT-Grundschutz: APP.3.1 Webanwendungen
- Fehlender HSTS kann als Verstoß gewertet werden
- CSP schützt vor XSS – relevant für DSGVO-Compliance
Die häufigste Fehleinschätzung lautet: „Solange sich niemand beschwert, passiert nichts." Das war einmal richtig. Für die Aufsicht sind inzwischen drei Wege eingerichtet, und zwei davon brauchen keine Beschwerde:
Für private Anbieter überwachen die Länder die Einhaltung – von Amts wegen, nicht erst auf Anzeige. Der Bußgeldrahmen liegt bei bis zu 100.000 €.
Bund und Länder unterhalten Stellen, die die Websites von Behörden und Kommunen regelmäßig und stichprobenartig prüfen. Grundlage ist die EU-Richtlinie 2016/2102, die eine fortlaufende Überwachung und Berichte an die Europäische Kommission verlangt. Diese Prüfungen laufen, unabhängig davon, ob sich jemand beschwert hat.
Die Aufsichtsbehörden der Länder führen eigene Prüfaktionen durch und schreiben Betreiber auch ohne vorherige Beschwerde an. Der Bußgeldrahmen der DSGVO reicht bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes – entscheidend ist in der Praxis aber seltener die Höhe als die Tatsache, dass geprüft wird.
Hinweis: Diese Seite dient der Information. Sie ersetzt keine Rechtsberatung. Bei konkreten rechtlichen Fragen wenden Sie sich an einen Fachanwalt für IT-Recht oder Datenschutz.