Datenschutz
Welche Dienste auf deiner Website ein Problem sind
Zwanzig Dienste, die auf deutschen und österreichischen Websites am häufigsten eingebunden sind — und was jeder einzelne davon überträgt, bevor ein Besucher irgendetwas anklicken konnte.
Keine Panikmache und keine Entwarnung: für jeden Dienst steht da, welche Daten fließen, ob eine Einwilligung nötig ist und was zu tun ist. Wo es ein Urteil oder einen Behördenbescheid gibt, ist er benannt — mit Datum, damit du siehst, ob er noch den heutigen Stand trifft.
Drei Fragen, nicht eine
„Ist Dienst X DSGVO-konform?" ist keine Frage, die sich mit ja oder nein beantworten lässt — weil drei verschiedene Dinge gemeint sein können.
1. Fließen Daten in ein Drittland?
Bis Juli 2023 war das die schwierigste Frage. Seit dem Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen vom 10. Juli 2023 dürfen zertifizierte US-Unternehmen personenbezogene Daten empfangen, ohne dass zusätzliche Garantien nötig sind.
Das ist der Punkt, an dem die meisten Ratgeber im Netz veraltet sind. Wer heute liest, Google Analytics sei „von der Datenschutzbehörde verboten worden", liest einen Stand von Anfang 2022. Ob ein Anbieter zertifiziert ist, steht in der offiziellen Liste unter dataprivacyframework.gov — das ist die einzige Angabe dazu, die nicht veraltet.
2. Braucht es eine Einwilligung?
Diese Frage hat der Beschluss von 2023 nicht beantwortet, und sie ist heute die wichtigere. Wer auf dem Endgerät des Besuchers etwas speichert oder ausliest — ein Cookie, aber auch anderes —, braucht dafür eine Einwilligung nach § 25 TDDDG in Deutschland und § 165 Abs. 3 TKG 2021 in Österreich.
Diese Vorschriften fragen nicht nach Personenbezug. Sie greifen also auch dann, wenn anonym gemessen wird — eine anonymisierte Messung mit Cookie ist nicht einwilligungsfrei.
3. Gibt es einen Vertrag?
Wer einen Dienstleister Daten verarbeiten lässt, braucht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Den stellen alle größeren Anbieter bereit; er muss aber aktiv abgeschlossen werden und liegt nicht automatisch dem Konto bei.
Ein Sonderfall, der oft falsch eingeordnet wird: Beim Meta-Pixel liegt keine Auftragsverarbeitung vor, sondern gemeinsame Verantwortlichkeit nach Art. 26. Ein Auftragsverarbeitungsvertrag genügt dort nicht.
Die Dienste im Überblick
Die Zeichnung sagt, wie aufwendig der saubere Betrieb ist — nicht, ob ein Dienst gut oder schlecht ist.
| Dienst | Wofür | Aufwand | Der Kern |
|---|---|---|---|
| Google Fonts | Schriftarten | läuft meist ohne Grundlage | Dynamisch eingebunden schickt Google Fonts die IP-Adresse jedes Besuchers an Google, bevor der Besucher irgendetwas zustimmen konnte. |
| Cloudflare | CDN, Schutz vor Angriffen, DNS | mit Einwilligung sauber | Cloudflare sitzt nicht neben der Website, sondern davor — sämtlicher Verkehr läuft hindurch, entschlüsselt. |
| Google reCAPTCHA | Schutz von Formularen vor automatischen Eintragungen | läuft meist ohne Grundlage | reCAPTCHA prüft nicht nur, ob jemand ein Roboter ist — es bewertet dafür das Verhalten auf der Seite, und das an Google. |
| Google Analytics | Reichweitenmessung | mit Einwilligung sauber | Seit dem EU-US-Datenschutzrahmen ist die Übertragung in die USA nicht mehr der Knackpunkt — die Einwilligung für das Cookie ist es immer noch. |
| Google Tag Manager | Verwaltung von Skripten Dritter | läuft meist ohne Grundlage | Der Tag Manager misst selbst nichts — er lädt die Dienste nach, die messen, und genau das macht ihn zum Problemfall. |
| Meta-Pixel | Werbemessung und Zielgruppenbildung | läuft meist ohne Grundlage | Beim Pixel sind Website und Meta gemeinsam verantwortlich — das ist keine Auftragsverarbeitung, und ein Auftragsverarbeitungsvertrag genügt deshalb nicht. |
| YouTube-Einbettung | Videos | mit Einwilligung sauber | Der erweiterte Datenschutzmodus hilft wirklich — er verhindert aber nicht, dass beim Laden des Videorahmens Daten fließen. |
| Google Maps | Karten | mit Einwilligung sauber | Eine eingebettete Karte auf der Kontaktseite überträgt Daten an Google, sobald die Kontaktseite geöffnet wird — nicht erst, wenn jemand die Karte benutzt. |
| Calendly | Terminbuchung | mit Einwilligung sauber | Wer über Calendly bucht, gibt Namen und E-Mail-Adresse nicht der Website, sondern einem Anbieter in den USA. |
| HubSpot | Kundenverwaltung, Formulare, Chat, Newsletter | läuft meist ohne Grundlage | HubSpot ist kein einzelner Dienst, sondern ein Bündel — und das Verfolgungsskript läuft auf jeder Seite mit, nicht nur dort, wo ein Formular steht. |
| Mailchimp | Newsletter-Versand | mit Einwilligung sauber | Die Adressen liegen in den USA, und die Öffnungsmessung im Newsletter ist eine eigene Verarbeitung, über die getrennt aufgeklärt werden muss. |
| Hotjar | Aufzeichnung von Sitzungen und Heatmaps | läuft meist ohne Grundlage | Hotjar zeichnet auf, was der Besucher tut — Mausweg, Klicks, Scrollen, und ohne sorgfältige Einstellung auch, was er in Felder tippt. |
| Microsoft Clarity | Aufzeichnung von Sitzungen und Heatmaps | läuft meist ohne Grundlage | Kostenlos, weil Microsoft die Daten selbst verwendet — und genau das gehört in die Aufklärung. |
| Matomo | Reichweitenmessung | ohne Einwilligung möglich | Der einzige Eintrag dieser Serie, der sich ohne Einwilligung betreiben lässt — wenn man ihn richtig einrichtet. |
| Typeform | Formulare und Umfragen | mit Einwilligung sauber | Eingebettet lädt Typeform mit der Seite — die Antworten selbst liegen beim Anbieter, nicht bei dir. |
| Jotform | Formulare | mit Einwilligung sauber | Ein Formularanbieter verarbeitet naturgemäß genau die Daten, die am ehesten heikel sind — und bei Jotform steht der Server in den USA. |
| Vimeo | Videos | mit Einwilligung sauber | Gilt als die datenschutzfreundliche Alternative zu YouTube — überträgt aber ebenfalls beim Laden, nicht erst beim Abspielen. |
| LinkedIn Insight Tag | Werbemessung im Geschäftskundenbereich | läuft meist ohne Grundlage | Erkennt angemeldete LinkedIn-Mitglieder auf deiner Website wieder — und das ist der ganze Zweck. |
| TikTok-Pixel | Werbemessung | läuft meist ohne Grundlage | Dieselbe Bauart wie der Meta-Pixel, mit einer zusätzlichen Frage: wohin die Daten am Ende fließen. |
| Font Awesome | Symbolschriften | läuft meist ohne Grundlage | Genau derselbe Mechanismus wie bei Google Fonts, nur redet niemand darüber. |
Was hier nicht steht: ob der jeweilige Anbieter unter dem EU-US-Datenschutzrahmen zertifiziert ist. Dieser Stand ändert sich, ohne dass jemand Bescheid sagt, und eine falsche Angabe darüber wäre schlechter als keine. Nachschlagen lässt er sich in der offiziellen Liste unter dataprivacyframework.gov.
Wie du herausfindest, was auf deiner Seite läuft
Der Blick in den Quelltext findet das meiste: Strg+U, dann
Strg+F nach der jeweiligen Adresse. Er findet aber nur, was ausgeliefert
wird — nicht, was ein Skript später nachlädt. Genau dort sitzen die
unangenehmen Fälle: Ein Tag Manager im Quelltext ist eine Zeile, was er nachlädt, sind
fünf weitere Dienste.
Unser Datenschutz-Check lädt die Seite wie ein Browser und protokolliert jede Verbindung, die dabei tatsächlich entsteht — samt Cookies, die dabei gesetzt werden.
Diese Seiten sind keine Rechtsberatung. Wir messen, was eine Website überträgt, und geben den Rechtsstand wieder, soweit er uns bekannt ist — mit Datum, damit du das Alter der Angabe siehst. Ob dein konkreter Einsatz zulässig ist, hängt vom Einzelfall ab und gehört im Zweifel einem Anwalt vorgelegt.
Beiträge zu Dienste und die DSGVO
19 Beiträge