DSGVO-Check für Websites: Google Fonts, Tracking, Cookies

Warum Drittanbieter-Aufrufe ein Datenschutzthema sind

Sobald Ihre Seite Inhalte von fremden Servern lädt, sieht der Betreiber dieses Servers die IP-Adresse Ihrer Besucher und weitere technische Daten. Die IP-Adresse gilt datenschutzrechtlich als personenbezogenes Datum. Für Übermittlungen an Dritte brauchen Sie eine Rechtsgrundlage, bei Tracking und Marketing in der Regel die Einwilligung der Besucher. Für das Speichern und Auslesen von Informationen auf dem Endgerät, etwa über Cookies, verlangt außerdem § 25 TDDDG grundsätzlich eine Einwilligung, soweit es nicht unbedingt erforderlich ist.

Wichtig ist der Zeitpunkt: Die Einwilligung muss vor dem Laden des Dienstes vorliegen. Ein Cookie-Banner nützt nicht, wenn das Skript bereits beim ersten Aufruf läuft.

Was der DSGVO-Check erkennt

• Google Fonts von Google-Servern: Schriften, die über fonts.googleapis.com oder fonts.gstatic.com geladen werden. Das Landgericht München I hat dies 2022 in einem Einzelfall als Verstoß gewertet (Urteil vom 20.01.2022, Az. 3 O 17493/20). Details im Ratgeber zu Google Fonts und DSGVO.
• Tracking und Marketing-Skripte im Quelltext: etwa Google Analytics, Google Tag Manager, Meta-Pixel, TikTok-Pixel oder Hotjar, die ohne Einwilligungsverwaltung eingebunden sind.
• Eingebettete Fremdinhalte: YouTube-Videos und Google Maps, die schon beim Seitenaufruf Daten übertragen.
• Cookies beim ersten Aufruf: Cookies, die Ihr Server schon in der Antwort auf die erste Anfrage setzt.
• Consent-Werkzeug erkannt oder nicht: Ob auf der Seite ein bekanntes Einwilligungswerkzeug eingebunden ist.

Was der Check nicht kann

Der Schnell-Check wertet die ausgelieferte Seite aus, ohne sie wie ein Besucher zu bedienen. Er sieht deshalb nicht, was erst nach Klicks, Scrollen oder in nachgeladenen Skripten passiert, und er beurteilt nicht, ob Ihr Cookie-Banner inhaltlich korrekt gestaltet ist, etwa ob „Ablehnen“ gleichwertig neben „Akzeptieren“ steht. Ob Ihre Datenschutzerklärung zu den eingesetzten Diensten passt, prüft ein Mensch. Ob ein Befund im Einzelfall tatsächlich ein Verstoß ist, hängt von den Umständen ab. Das klären Sie mit Ihrer Datenschutzbeauftragten, Ihrem Datenschutzbeauftragten oder einer Anwältin bzw. einem Anwalt. Yanqiva gibt keine Rechtsberatung.

Typische Ursachen und einfache Lösungen

Die häufigste Lösung ist die schnellste: Google Fonts lokal einbinden. Das übernehmen wir als Yanqiva Fix für 149 €. Weitere Punkte stehen im Website-Report mit Hinweisen, wo Sie ansetzen.

Prüfen Sie auch Ihre Pflichttexte

Datenschutz hängt eng mit den Pflichtangaben zusammen. Der Bereich Rechtliches prüft, ob Impressum und Datenschutzerklärung erreichbar sind. Die Rechtstexte selbst sollten Sie von einer Fachperson oder einem Generator Ihres Vertrauens erstellen lassen.

Monitoring: neue Tracker früh erkennen

Wer ein Plugin aktualisiert oder ein Marketing-Skript einbinden lässt, ändert oft unbemerkt, was an Dritte gesendet wird. Das Monitoring ab 29 €/Monat scannt wöchentlich und meldet neue Drittanbieter-Aufrufe.