Die Datenschutz-Grundverordnung ist kein Compliance-Häkchen, sondern ein dauerhafter Prozess. In den letzten Jahren haben sowohl die österreichische Datenschutzbehörde als auch der EuGH die Daumenschrauben angezogen — vor allem bei Drittland-Transfers, Tracking ohne wirksame Einwilligung und unzureichend dokumentierten Verarbeitungsprozessen.
Die häufigsten DSGVO-Schwachstellen 2026
- Cookie-Banner ohne echte Wahl: Ein “Alle akzeptieren”-Button in Grün und “Ablehnen” als Mini-Link in Grau ist seit dem EuGH-Urteil von 2024 anfechtbar. Die Wahl muss gleichwertig dargestellt sein.
- Google Fonts lokal eingebunden — oder gar nicht: Das LG München-Urteil hat klargestellt, dass das Nachladen von Google Fonts ohne Einwilligung abmahnbar ist. Lokale Einbindung ist Standard.
- Google Analytics 4 nur mit Consent: GA4 darf erst nach Einwilligung geladen werden. Server-Side-Tagging schützt nicht automatisch vor DSGVO-Pflichten.
- Kontaktformulare ohne Datenschutz-Checkbox: Eine Checkbox mit aktiver Einwilligung und Verlinkung zur Datenschutzerklärung ist Pflicht — vor allem, wenn die Daten an externe Dienste (Newsletter-Tools, CRM) weitergegeben werden.
- Fehlender Auftragsverarbeitungsvertrag (AVV): Mit Hosting-Anbietern, CDN-Diensten, E-Mail-Marketing-Tools und Cloud-Speichern muss ein AVV existieren. Das wird bei Audits regelmäßig vergessen.
Drittland-Transfers: Der unterschätzte Klassiker
Nach dem Schrems-II-Urteil und dem nachfolgenden EU-US Data Privacy Framework ist die Übermittlung in die USA wieder möglich — aber nur an zertifizierte Anbieter und mit zusätzlichen Schutzmaßnahmen. Viele Tools, die heute selbstverständlich eingesetzt werden (Mailchimp, HubSpot, Zendesk), erfordern eine eigene Risikoabwägung (TIA — Transfer Impact Assessment).
Pragmatische Checkliste vor dem nächsten Audit
- Datenschutzerklärung aktuell? Letzte Aktualisierung dokumentiert?
- Verzeichnis von Verarbeitungstätigkeiten (VVT) vorhanden und gepflegt?
- Cookie-Consent-Tool konfiguriert, getestet und gleichwertig dargestellt?
- AVVs mit allen Dienstleistern (Hosting, Newsletter, CRM, Analytics) vorhanden?
- Bei Drittland-Tools: TIA durchgeführt und dokumentiert?
- Newsletter mit funktionierendem Double-Opt-In?
- Datenschutz-Folgenabschätzung für sensible Verarbeitungen erstellt?
Eine DSGVO-konforme Website ist kein einmaliges Projekt, sondern eine Disziplin. Wer regelmäßig — etwa zweimal jährlich — durchgeht, vermeidet die teuren Überraschungen. Für ein erstes Audit Ihres Setups setzen Sie sich gerne unverbindlich mit uns in Verbindung.
