DSGVO-konformes Hosting und Website-Betrieb: Die häufigsten Fehler kleiner Unternehmen

Ein weit verbreiteter Irrglaube lautet: „Wir sind doch nur ein kleines Unternehmen, uns betrifft die DSGVO nicht wirklich.” Tatsächlich gilt die DSGVO unabhängig von der Unternehmensgröße – sobald personenbezogene Daten verarbeitet werden, und das ist bei praktisch jeder Website mit Kontaktformular, Newsletter-Anmeldung oder Analyse-Tool automatisch der Fall.

Hinzu kommt: Gerade kleine Unternehmen geraten häufig ins Visier von Abmahnvereinen oder einzelnen Nutzern, die gezielt nach Verstößen wie fehlerhaften Cookie-Bannern oder ungeschützten Formularen suchen – oft mit dem Ziel, Abmahngebühren zu generieren. Ein datenschutzkonformer Auftritt ist daher nicht nur eine Frage der Rechtstreue, sondern auch ein handfester Schutz vor unnötigem Ärger und Kosten.

Viele Website-Betreiber wissen gar nicht genau, wo ihre Website eigentlich gehostet wird – und welche Dienste im Hintergrund eingebunden sind. Das wird vor allem dann zum Problem, wenn Daten an Server außerhalb der EU übertragen werden, etwa durch:

• Hosting bei einem Anbieter mit Serverstandort außerhalb der EU
• Eingebundene Dienste wie Schriftarten, Kartendienste oder Tracking-Tools, die Daten an US-amerikanische Anbieter senden

Nach einem bekannten Urteil des Europäischen Gerichtshofs (dem sogenannten „Schrems II”-Urteil) ist die Übermittlung personenbezogener Daten – dazu zählt bereits die IP-Adresse eines Website-Besuchers – in die USA ohne zusätzliche Schutzmaßnahmen rechtlich heikel. Ein bekanntes Beispiel, das immer wieder zu Abmahnungen geführt hat, ist die Einbindung von Google Fonts direkt von Google-Servern, ohne dass der Nutzer dem zugestimmt hat.

Was Sie tun können: Prüfen Sie, wo Ihre Website gehostet wird, und lassen Sie sich von mir eine Übersicht erstellen, welche externen Dienste auf Ihrer Website eingebunden sind. Schriftarten wie Google Fonts lassen sich beispielsweise problemlos lokal einbinden, statt sie direkt von Google laden zu lassen – technisch ein kleiner Aufwand mit großer datenschutzrechtlicher Wirkung.

Meine Empfehlung für sicheres, performantes und kostengünstiges Webhosting ist seit vielen Jahren all-inkl.com Dort stimmt nicht nur das Preis-Leistungsverhältnis, sondern man bekommt im Problemfall auch schnell und kompetent vom Support geholfen.

Sobald ein externer Dienstleister – etwa Ihr Hosting-Anbieter, ein E-Mail-Marketing-Tool oder ein Analyse-Dienst – in Ihrem Auftrag personenbezogene Daten verarbeitet, sind Sie verpflichtet, mit diesem Anbieter einen sogenannten Auftragsverarbeitungsvertrag (AVV) abzuschließen. Viele kleine Unternehmen wissen entweder nicht, dass diese Pflicht besteht, oder gehen davon aus, dass der Anbieter das schon „automatisch” regelt.

Seriöse Hosting-Anbieter und Tool-Anbieter stellen einen solchen AVV in der Regel unkompliziert über ihr Kundenportal zur Unterschrift bzw. zum Download bereit. Die Pflicht liegt aber bei Ihnen als Unternehmen, diesen Vertrag aktiv abzuschließen und aufzubewahren.

Was Sie tun können: Erstellen Sie sich eine einfache Liste aller externen Dienste, die im Zusammenhang mit Ihrer Website personenbezogene Daten verarbeiten könnten (Hosting, E-Mail-Versand, Newsletter-Tool, Analyse-Tool, Chat-Widget). Prüfen Sie für jeden Dienst, ob ein AVV vorliegt – und falls nicht, fordern Sie diesen beim jeweiligen Anbieter an.

Kaum ein Thema sorgt für so viel Verwirrung wie Cookie-Banner. Häufige Fehler, die ich in der Praxis immer wieder sehe:

• Der Banner bietet nur einen „Akzeptieren”-Button, aber keine gleichwertige Möglichkeit, aktiv abzulehnen
• Tracking- oder Marketing-Cookies werden bereits gesetzt, bevor der Nutzer überhaupt eine Auswahl getroffen hat
• Die Kategorien sind so unklar formuliert, dass Nutzer nicht nachvollziehen können, wem sie eigentlich zustimmen
• Es gibt keine Möglichkeit, die einmal getroffene Auswahl später wieder zu ändern

Rechtlich vorgeschrieben ist, dass eine Einwilligung nur dann wirksam ist, wenn sie freiwillig, informiert und vor der Datenverarbeitung erfolgt. „Nur Akzeptieren, kein gleichwertiges Ablehnen” gilt inzwischen als klar unzulässig.

Was Sie tun können: Lassen Sie Ihr Cookie-Consent-Tool einmal fachkundig überprüfen – insbesondere, ob technisch tatsächlich erst nach Zustimmung Cookies gesetzt werden (und nicht nur die Anzeige der Cookies verzögert wird, während sie im Hintergrund schon aktiv sind, was ein häufiger, aber schwer erkennbarer Fehler ist).

Die Datenschutzerklärung ist oft eine der am längsten unveränderten Seiten der gesamten Website – dabei sollte sie den tatsächlichen, aktuellen Stand widerspiegeln. Typische Probleme:

• Es werden Dienste in der Datenschutzerklärung erwähnt, die längst nicht mehr im Einsatz sind – oder umgekehrt, aktuell genutzte Dienste fehlen komplett
• Kontaktformulare, Newsletter-Anmeldungen oder Buchungssysteme werden nicht erwähnt, obwohl über sie personenbezogene Daten erhoben werden
• Es fehlen Angaben zu Speicherdauer, Rechtsgrundlage oder den Rechten der betroffenen Person

Was Sie tun können: Nehmen Sie sich einmal jährlich – etwa im Rahmen eines Website-Checks – bewusst Zeit, um die Datenschutzerklärung mit dem tatsächlichen Stand Ihrer Website abzugleichen. Wenn Sie neue Tools oder Funktionen einbinden (z. B. einen Chatbot oder ein neues Buchungssystem), sollte die Datenschutzerklärung direkt mit angepasst werden.

Formulare zur Kontaktaufnahme gehören zu den sensibelsten Bereichen einer Website, da hier aktiv personenbezogene Daten erhoben und übermittelt werden. Häufige Schwachstellen:

• Die Formulardaten werden unverschlüsselt per E-Mail versendet
• Es fehlt ein wirksamer Spam-Schutz, sodass das Formular für automatisierte Angriffe oder Massen-Spam missbraucht werden kann
• Formulareinträge werden dauerhaft und unbegrenzt in der Datenbank gespeichert, obwohl dafür keine Notwendigkeit mehr besteht

Was Sie tun können: Achten Sie darauf, dass Ihre Website grundsätzlich per SSL-Zertifikat verschlüsselt ist (erkennbar am Schlosssymbol in der Adresszeile des Browsers) – das ist heute technischer Mindeststandard und wird auch von Google für die Suchmaschinenplatzierung berücksichtigt. Lassen Sie zudem prüfen, ob alte Formulareinträge nach einer sinnvollen Frist automatisch gelöscht werden.

Ein häufig übersehener, aber wichtiger Punkt: Wer hat eigentlich Zugriff auf das Contao-Backend Ihrer Website – und damit potenziell auf gespeicherte Kundendaten aus Formularen oder Newsletter-Anmeldungen? In der Praxis sehe ich oft „gewachsene” Zugriffsrechte: Ehemalige Mitarbeiter oder externe Dienstleister, die längst nicht mehr für Sie tätig sind, haben teilweise weiterhin ein aktives Backend-Konto.

Was Sie tun können: Führen Sie mindestens einmal im Jahr eine kurze Bestandsaufnahme durch: Wer hat aktuell Zugriff auf das Backend, und ist das auch heute noch notwendig? Nicht mehr benötigte Konten sollten zeitnah deaktiviert werden.

• Regelmäßiger Abgleich der Datenschutzerklärung mit den tatsächlich eingesetzten Tools
• Jährliche Überprüfung, wer Zugriff auf das Backend hat
• Aufbewahrung der Auftragsverarbeitungsverträge Ihrer Dienstleister an einem zentralen, auffindbaren Ort
• Sensibilität im Alltag: Bei jeder neuen Funktion oder jedem neuen Tool kurz die Frage stellen „Werden hier personenbezogene Daten verarbeitet – und ist das dokumentiert?”

Die technische Umsetzung datenschutzkonformer Strukturen erfordert Erfahrung mit den konkreten Contao-Bordmitteln und den gängigen Cookie-Consent-Lösungen. Für meine Kunden übernehme ich unter anderem:

• Technische Überprüfung, welche externen Dienste auf der Website eingebunden sind und ob diese datenschutzkonform eingerichtet sind
• Lokale Einbindung von Schriftarten und anderen Ressourcen statt direkter Anbindung an Drittanbieter-Server
• Fachgerechte Einrichtung und Überprüfung von Cookie-Consent-Tools
• SSL-Verschlüsselung und Absicherung von Kontaktformularen inklusive Spam-Schutz
• Unterstützung bei der Pflege und Aktualisierung Ihrer Datenschutzerklärung in enger Abstimmung mit Ihnen bzw. Ihrem Datenschutzbeauftragten
• Erstellung von Impressum, Datenschutzerklärung und Barrierefreiheitserklärung mittels eRecht24 Rechtstext-Generator

DSGVO-konformer Website-Betrieb ist kein einmaliges Projekt, sondern eine fortlaufende Aufgabe – aber eine, die sich mit dem richtigen Blick für die typischen Stolperfallen gut bewältigen lässt. Wer die häufigsten Fehler kennt und regelmäßig überprüft, reduziert nicht nur rechtliche Risiken, sondern schafft auch Vertrauen bei den eigenen Kunden, die zunehmend sensibel auf den Umgang mit ihren Daten achten.