Datenschutz-Check (DSGVO)
Google Fonts, Tracking vor der Einwilligung, eingebettete Inhalte und Impressum: was wir erkennen und wie Sie es beheben.
Was wir prüfen
Wir lesen dieselben Dateien wie für die Sicherheitsprüfung: das HTML der Startseite, ihre Stylesheets und JavaScript-Dateien von Ihrer Domain und die Cookies, die der Server beim ersten Aufruf setzt. Daraus erkennen wir typische Datenschutz-Fehler, die in Deutschland oft abgemahnt werden. Ein Klick auf das Einwilligungs-Banner oder eine Unterseite gehört nicht dazu.
Das ist keine Rechtsberatung und ersetzt keine Prüfung durch Datenschutzbeauftragte. Es zeigt die Stellen, die sich von außen belegen lassen. Datenschutz-Befunde fließen nicht in die Note ein, die misst die Angriffsfläche. Bei Seiten in der EU sind Tracking-Befunde Warnungen, sonst Hinweise.
Google Fonts von Google-Servern
Lädt Ihre Seite Schriften von fonts.googleapis.com oder fonts.gstatic.com, schickt jeder Browser beim Aufruf die IP-Adresse an Google. Das Landgericht München I hat das 2022 als Verstoß gewertet (Az. 3 O 17493/20), danach kamen viele Abmahnungen. Bei deutschsprachigen Seiten ist das eine Warnung, sonst ein Hinweis. Steht die Adresse nur in den JavaScript-Dateien, ist es immer ein Hinweis: Sie kann auch aus einer Bibliothek stammen, die sie nie lädt.
So beheben Sie es: Laden Sie die Schriften herunter und liefern Sie sie selbst aus. Bei Next.js macht das next/font automatisch, bei Vite-Apps (Lovable, Bolt) ein Paket von Fontsource:
npm install @fontsource/inter
// in main.tsx
import "@fontsource/inter/400.css";
import "@fontsource/inter/600.css";Danach den Link oder @import auf fonts.googleapis.com aus index.html und index.css entfernen.
Tracking vor der Einwilligung
Messung und Werbung dürfen erst laufen, wenn Besucher zugestimmt haben (§ 25 TDDDG, DSGVO). Wir melden zwei Fälle: Der Server setzt schon in der ersten Antwort Cookies wie _ga, _fbp oder _gcl_au. Oder die Seite lädt Google Analytics, den Meta Pixel, Hotjar, Clarity, TikTok, LinkedIn, Microsoft Ads oder Pinterest, und wir finden kein Einwilligungs-Tool. Lädt die Seite nur den Google Tag Manager, ist das ein Hinweis: Er kann die Einwilligung über den Consent Mode selbst steuern.
Skripte mit type="text/plain" oder Merkmalen wie data-cookieconsent laufen erst nach der Zustimmung, die zählen wir nicht. Als Einwilligungs-Tool erkennen wir unter anderem Usercentrics, Cookiebot, OneTrust, Borlabs, Complianz, CookieYes, Klaro, consentmanager, CCM19 und Googles Consent Mode.
So beheben Sie es: Binden Sie ein Einwilligungs-Banner ein und laden Sie Tracker erst nach der Zustimmung. Setzt Ihr Server selbst Tracking-Cookies, etwa über serverseitiges Tagging, muss auch das bis zur Zustimmung warten.
Eingebettete Inhalte
YouTube-Videos, Google Maps und Vimeo, die direkt als iframe in der Seite stehen, laden beim Aufruf und schicken IP-Adresse und oft Cookies an den Anbieter. Besser ist eine Vorschau mit Hinweis, die den Inhalt erst nach einem Klick lädt. Für YouTube gibt es zusätzlich die Adresse youtube-nocookie.com.
Impressum und Datenschutzerklärung
Geschäftliche Websites brauchen ein leicht erreichbares Impressum (§ 5 DDG) und eine Datenschutzerklärung (Art. 13 DSGVO). Bei deutschsprachigen Seiten suchen wir auf der Startseite nach Links dorthin. Reine JavaScript-Apps bauen ihre Links erst im Browser, dort prüfen wir das nicht, um keinen Fehlalarm zu melden.
Noch Fragen? Schreiben Sie uns.