Datenschutz

DSGVO bei alten Websites: typische Risiken, die Betriebe kennen sollten

Von Mario Jakob Zuletzt aktualisiert: Lesedauer: ca. 5 Minuten

Viele ältere Websites nutzen externe Dienste, eingebettete Karten oder Formulare, ohne dass die technische Einbindung noch dem Stand der DSGVO entspricht. Das kann zu Abmahnrisiken führen — oft ohne dass der Betrieb es weiß. Webum prüft typische technische und strukturelle Datenschutzthemen. Dies ist kein Ersatz für Rechtsberatung.

Warum alte Websites häufig DSGVO-Probleme haben

Die DSGVO gilt seit 2018. Viele Betriebe haben ihre Website damals nicht angepasst — oder sie wurde vorher gebaut und seitdem nicht mehr grundlegend überarbeitet. Das Problem: Was 2015 technisch üblich war (Google Fonts direkt eingebunden, Google Maps per iframe, Kontaktformulare ohne Datenschutzhinweis), ist heute datenschutzrechtlich problematisch.

Verordnungstext der DSGVO auf EUR-Lex →

Hinzu kommt: Viele Datenschutzprobleme sind für Besucher unsichtbar. Sie laufen im Hintergrund ab — über externe Skripte, Tracking-Pixel oder Schriftarten, die von fremden Servern geladen werden.

Typische Risiken auf älteren Websites

Diese technischen und strukturellen Punkte prüft Webum im Rahmen des DSGVO-Basischecks:

  • Externe Schriftarten (z.B. Google Fonts): Wenn Schriftarten direkt von Google-Servern geladen werden, werden IP-Adressen der Besucher an Google übertragen — ohne Einwilligung. Lösung: Schriftarten lokal einbinden oder auf Systemfonts wechseln.
  • Eingebettete Karten (Google Maps, OpenStreetMap): Karteneinbindungen per iframe laden externe Inhalte und können Tracking auslösen. Ohne vorherige Einwilligung oder technische Absicherung problematisch.
  • Kontaktformulare ohne Datenschutzhinweis: Formulare, die personenbezogene Daten verarbeiten (Name, E-Mail, Telefon), benötigen einen Hinweis auf die Datenverarbeitung und einen Link zur Datenschutzerklärung.
  • Fehlendes oder unvollständiges Impressum: Das Impressum ist gesetzlich vorgeschrieben (§5 DDG). Fehlende oder unvollständige Angaben können abgemahnt werden — unabhängig von der DSGVO.
  • Veraltete oder fehlende Datenschutzerklärung: Muss alle eingesetzten Dienste und die Art der Datenverarbeitung beschreiben. Viele ältere Websites haben Datenschutzerklärungen aus dem Jahr 2018, die seitdem nicht aktualisiert wurden.
  • Analytics und Tracking-Pixel: Google Analytics, Facebook Pixel oder ähnliche Dienste ohne Einwilligungsmanagement (Cookie-Banner) sind DSGVO-widrig. Betriebe wissen oft nicht mehr, was damals eingebaut wurde.
  • Eingebettete Videos (YouTube, Vimeo): Standard-Einbindungen laden beim Seitenaufruf Tracking-Daten. Technische Lösungen (Zwei-Klick-Lösung, Datenschutz-Modus) können das verhindern.
  • Social-Media-Buttons: Share-Buttons, die direkt von sozialen Netzwerken geladen werden, können Daten übertragen — auch ohne dass Besucher darauf klicken.

Was Webum konkret prüft

Der DSGVO-Basischeck im Rahmen des Startchecks prüft sichtbare und technisch erkennbare Datenschutzthemen:

  • Einbindung externer Schriftarten (Quellcode-Analyse)
  • Externe Dienste und Skripte (sichtbar und über Browser-Entwicklertools erkennbar)
  • Kontaktformulare: Datenschutzhinweis vorhanden?
  • Impressum: vorhanden, vollständig, erreichbar?
  • Datenschutzerklärung: vorhanden, aktuell, vollständig?
  • Tracking-Dienste, Analytics, Pixel: erkennbar?
  • Eingebettete Karten, Videos, Social-Buttons

Wichtig: Der DSGVO-Basischeck ist eine technische und strukturelle Prüfung. Er ersetzt keine Rechtsberatung. Rechtliche Einschätzung und die rechtssichere Erstellung von Texten (Datenschutzerklärung, Impressum) erfolgen bei Bedarf über spezialisierte Partner.

Was Betriebe jetzt tun können

Ein erster praktischer Schritt: Prüfen Sie, welche externen Dienste Ihre Website lädt. Das können Sie im Browser über die Entwicklertools (F12 → Netzwerk) sehen — oder Sie beauftragen einen kurzen technischen Check.

  • Sind Google Fonts oder andere externe Schriftarten eingebunden?
  • Gibt es eine aktuelle Datenschutzerklärung?
  • Ist das Impressum vollständig und leicht auffindbar?
  • Haben Kontaktformulare einen Datenschutzhinweis?
  • Sind Analytics- oder Tracking-Dienste aktiv, die eine Einwilligung erfordern?

Häufige Fragen

Nein. Webum prüft typische technische und strukturelle Datenschutzthemen auf Websites. Rechtliche Beratung oder die rechtssichere Erstellung von Texten erfolgt bei Bedarf über spezialisierte Partner. Der Basischeck gibt eine erste technische Übersicht — keine rechtliche Einschätzung.

Nicht zwingend — das hängt davon ab, welche Dienste eingebunden sind. Verzichtet eine Website komplett auf Analytics, externe Schriftarten, eingebettete Karten und Tracking-Pixel, braucht sie keinen Cookie-Banner. Der DSGVO-Basischeck prüft genau, welche Dienste vorhanden sind und ob eine Einwilligung erforderlich wäre.

Bei erkennbaren DSGVO-Verstößen (z.B. Google Fonts ohne Einwilligung, fehlendes Impressum) besteht ein Abmahnrisiko — sowohl durch Mitbewerber als auch durch Verbraucherschutzorganisationen. Die tatsächliche Risikoeinschätzung ist eine rechtliche Frage, die Webum nicht beantworten kann. Eine technische Prüfung gibt zumindest Orientierung, wo Handlungsbedarf besteht.