Datenschutz 2025/2026: Was hat sich für Websites geändert?

Schloss zur Symobolisierung des Datenschutz

"Die DSGVO gilt doch schon seit 2018 – muss ich da noch was tun?" Diese Frage höre ich oft. Und ja, die Grundverordnung ist geblieben. Aber Gerichte fällen neue Urteile, Datenschutzbehörden verschärfen ihre Auslegung, und neue Technologien bringen neue Herausforderungen.

In diesem Artikel fasse ich zusammen, was sich in den letzten Jahren konkret geändert hat und was Du als Website-Betreiber jetzt wissen und tun solltest.

Das Dauerthema: US-Dienste und Datenschutz

Seit dem Schrems-II-Urteil des Europäischen Gerichtshofs ist die Übertragung von personenbezogenen Daten in die USA ein heißes Eisen. Das betrifft auch Tools, die Du vielleicht täglich nutzt:

Google Analytics: Übermittelt IP-Adressen an US-Server – nur mit gültigem Consent legal
Google Fonts von Google-Servern: Überträgt IP-Adressen – mehrere Gerichte haben das als illegal eingestuft
Meta Pixel (Facebook): Streng reguliert, vollständiger Consent erforderlich

Die gute Nachricht: Es gibt für fast alle diese Tools entweder datenschutzfreundliche Alternativen oder Wege, sie legal einzusetzen.

Google Fonts: Unbedingt lokal einbinden!

Das ist einer der häufigsten Fehler, den ich auf Websites sehe: Google Fonts werden direkt von Googles Servern geladen. Das bedeutet, dass die IP-Adresse jedes Besuchers automatisch an Google übermittelt wird – ohne Einwilligung. Mehrere deutsche Gerichte haben das als Datenschutzverletzung eingestuft und Bußgelder verhängt.

Die Lösung ist einfach: Fonts lokal auf Deinem eigenen Server einbinden.

Schritt 1: Auf google-webfonts-helper.herokuapp.com die gewünschte Schrift herunterladen
Schritt 2: Schrift-Dateien auf Deinen Server hochladen
Schritt 3: In Deinem CSS die lokale Schrift einbinden statt die Google-URL

Für WordPress gibt es das kostenlose Plugin OMGF (Optimize My Google Fonts), das diesen Schritt automatisch erledigt.

Cookie-Einwilligung: Was wirklich gilt

Auch wenn es keine neue Regel ist – viele Websites setzen sie noch immer falsch um. Diese Grundsätze sind bindend:

Pre-Checked Boxes sind illegal: Kästchen dürfen nicht vorangehakt sein
Ablehnen muss genauso einfach sein wie Zustimmen: Kein 13-seitiges Untermenü für die Ablehnung
Cookies dürfen erst nach Einwilligung gesetzt werden – nicht schon beim Laden der Seite
Nur technisch notwendige Cookies (Session, Login) brauchen keine Einwilligung

Datenschutzerklärung: Wann muss ich aktualisieren?

Deine Datenschutzerklärung muss aktuell sein – das heißt: Sie muss alle Tools aufführen, die Du gerade nutzt.

Jedes Mal, wenn Du ein neues Tool einbaust, das Daten verarbeitet
Wenn ein Tool seine eigene Datenschutzrichtlinie ändert
Mindestens einmal im Jahr prüfen – auch wenn Du nichts geändert hast

Empfehlenswerte Generatoren: eRecht24 Premium, Datenschutz-Generator.de von Dr. Thomas Schwenke.

Bonus: Datenschutzfreundliche Alternativen

Google Analytics → Matomo (selbst gehostet, DSGVO-konform)
Google Fonts → lokal einbinden
YouTube-Videos → YouTube mit erweitertem Datenschutzmodus einbetten
Google Maps → OpenStreetMap oder Karte erst nach Klick laden

Du bist unsicher, ob Deine Website DSGVO-konform ist? Ich mache gerne einen Datenschutz-Check für Dich. Meld Dich einfach!

Alle Blogbeiträge anzeigen