Viele Unternehmen glauben, sie seien datenschutzkonform. Sie haben eine Datenschutzerklärung, vielleicht sogar einen Datenschutzbeauftragten. Aber auf ihrer Website passiert etwas, das sie nicht auf dem Schirm haben: Tracking-Dienste laden, bevor der Besucher zugestimmt hat.
Das Problem, das die meisten nicht sehen
Google Analytics, Google Tag Manager, Facebook Pixel, Google Ads — diese Tools übertragen Besucherdaten an Server in den USA. Oft bereits beim ersten Seitenaufruf. Der Consent-Banner? Lädt danach. Oder fehlt komplett.
Das ist kein Kavaliersdelikt. Es ist ein Verstoß gegen die DSGVO und das TDDDG — mit konkreten Konsequenzen.
Was das Gesetz sagt
Zwei Gesetze sind relevant:
Die DSGVO (Datenschutz-Grundverordnung) regelt die Verarbeitung personenbezogener Daten. Artikel 6 sagt: Ohne Rechtsgrundlage darf nicht verarbeitet werden. Für Tracking und Marketing ist diese Rechtsgrundlage in der Regel die Einwilligung des Besuchers.
Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, ehemals TTDSG) geht noch weiter. § 25 sagt: Jeder Zugriff auf das Endgerät des Nutzers — Cookies setzen, localStorage beschreiben, Fingerprinting — braucht eine vorherige Einwilligung. Ausnahme: technisch notwendige Zugriffe.
Was passiert ohne Consent-Banner
Die Konsequenzen sind gestaffelt — aber alle real:
Bußgelder: Die DSGVO erlaubt Bußgelder bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Die französische Datenschutzbehörde CNIL hat bereits Millionenstrafen für fehlende oder fehlerhafte Consent-Implementierungen verhängt. Deutsche Aufsichtsbehörden ziehen nach.
Abmahnungen: Seit dem Urteil des EuGH in der Sache „Bundeskartellamt gegen Meta" können auch Verbraucherschutzverbände und Wettbewerber DSGVO-Verstöße abmahnen. Eine fehlende Einwilligung auf Ihrer Website ist ein leicht nachweisbarer Verstoß — jeder kann ihn in 30 Sekunden mit den Browser-Entwicklertools überprüfen.
Vertrauensverlust: Ihre Kunden erwarten, dass Sie verantwortungsvoll mit deren Daten umgehen. Wenn ein Datenschutzverstoß öffentlich wird — durch eine Beschwerde, eine Prüfung oder einen Pressebericht — ist der Reputationsschaden oft größer als das Bußgeld.
Für regulierte Branchen: BaFin-regulierte Finanzdienstleister, Versicherungsmakler und Unternehmen im Gesundheitsbereich haben zusätzliche Anforderungen. Ein Verstoß gegen die DSGVO kann hier auch aufsichtsrechtliche Konsequenzen haben.
Die häufigsten Fehler
In unseren Analysen sehen wir immer wieder dieselben Muster:
Kein Banner vorhanden. Die Website trackt, aber es gibt schlicht keinen Consent-Banner. Der Besucher wird nicht gefragt, alle Dienste laden sofort. Das ist der schwerwiegendste Verstoß.
Banner vorhanden, aber er blockiert nichts. Der Banner wird angezeigt, aber Google Analytics und andere Dienste laden trotzdem vor der Einwilligung. Der Banner ist rein kosmetisch — er sieht aus wie Compliance, ist aber keine. Das sehen wir bei etwa der Hälfte aller Websites, die wir prüfen.
Keine gleichwertige Ablehnen-Option. Der Banner hat einen großen blauen „Alle akzeptieren"-Button und einen kleinen grauen „Einstellungen"-Link. Nach der Rechtsprechung muss die Ablehnung genauso einfach sein wie die Zustimmung. Ein versteckter Ablehnen-Button ist keine gleichwertige Option.
Tracking-Dienste nicht im Banner konfiguriert. Der Banner existiert und blockiert Cookies — aber ein neu hinzugefügtes Analytics-Tool wurde nie in die Consent-Kategorien eingebunden. Es lädt ungeblockt.
localStorage und sessionStorage werden ignoriert. Viele Consent-Banner blockieren nur Cookies. Aber das TDDDG erfasst jeden Zugriff auf das Endgerät — auch localStorage und sessionStorage. Viele Analytics- und Marketing-Tools nutzen diese Speicher vor der Einwilligung.
Was ein korrekter Consent-Banner können muss
Ein rechtskonformer Consent-Banner erfüllt mindestens diese Anforderungen:
Er lädt vor allen nicht-essentiellen Diensten. Kein Script, kein Pixel, kein Tracker darf vor der Einwilligung aktiv werden.
Er bietet eine gleichwertige Ablehnen-Option. „Alle akzeptieren" und „Nur notwendige Cookies" müssen gleich prominent sein — gleiche Größe, gleiche Sichtbarkeit.
Er dokumentiert die Einwilligung. Wann hat der Besucher zugestimmt, welchen Kategorien, in welcher Version des Banners? Das muss nachweisbar sein.
Er blockiert aktiv. Der Banner darf nicht nur informieren — er muss technisch verhindern, dass Dienste ohne Einwilligung laden. Das bedeutet: Scripts werden erst nach dem Opt-in in den DOM eingefügt.
Er verlinkt auf die Datenschutzerklärung. Der Besucher muss vor seiner Entscheidung nachlesen können, welche Daten zu welchem Zweck verarbeitet werden.
Die saubere Lösung
Der Consent-Banner ist der erste Schritt. Aber er löst das eigentliche Problem nicht: Ihre Daten fließen an Dritte.
Selbst mit perfektem Consent-Banner gilt: Wenn ein Besucher zustimmt, gehen seine Daten an Google, an Meta, an US-Server. Sie brauchen einen Auftragsverarbeitungsvertrag, Sie sind abhängig von den Datenschutzerklärungen dieser Anbieter, und Sie haben keine Kontrolle darüber, was mit den Daten passiert.
Die Alternative: Analytics auf Ihrem eigenen Server in Deutschland. Cookieless, ohne Drittanbieter, ohne Auftragsverarbeitung. Wenn keine Cookies gesetzt und keine IP-Adressen gespeichert werden, brauchen Sie für Analytics keinen Consent — und keinen Banner für diesen Zweck.
Das bedeutet: bessere Daten (weil kein Besucher Analytics ablehnt), weniger rechtliches Risiko, und volle Kontrolle über Ihre Infrastruktur.
Was Sie jetzt tun sollten
Drei Schritte:
Erstens: Prüfen Sie, was auf Ihrer Website wirklich passiert. Nicht was Ihre Agentur sagt, nicht was Sie glauben — was tatsächlich beim Seitenaufruf geladen wird. Öffnen Sie die Browser-Entwicklertools oder nutzen Sie einen automatisierten Scanner.
Zweitens: Stellen Sie sicher, dass Ihr Consent-Banner technisch korrekt implementiert ist. Nicht nur vorhanden — sondern aktiv blockierend.
Drittens: Prüfen Sie, ob Sie Ihre Analytics-Daten wirklich an einen US-Konzern schicken müssen. Die Alternativen existieren, sind bezahlbar, und lösen das Problem an der Wurzel.
Wo genau Ihre Website heute steht, sehen Sie sofort: Jetzt kostenlos scannen auf scanner.privaflow.de
