Wer eine Website erstellen lässt, erhält oft einen Datenschutzhinweis als Textbaustein zum Einfügen. Das reicht nicht. Datenschutz durchzieht die gesamte technische und konzeptionelle Arbeit – von der Formulargestaltung bis zur Auftragsverarbeitung. Wer das Thema erst am Ende adressiert, baut strukturelle Mängel ein, für die der Website-Betreiber haftet.
Der Unterschied zwischen aufgesetztem Text und durchdachtem Datenschutz
Viele Agenturen verstehen Datenschutz als reinen Textbaustein. Sie kopieren einen Standardhinweis in die Fußzeile, fügen eine Seite mit Datenschutzerklärung ein und betrachten das Thema als erledigt. Das ist keine Datenschutzumsetzung, sondern eine Fassade.
Durchdachter Datenschutz beginnt bei der Konzeption. Welche Daten fließen wo? Werden Formular-Eingaben serverseitig zwischengespeichert? Kommen Dienste aus dem Ausland zum Einsatz? Lassen sich Funktionen datensparender gestalten, ohne die Nutzbarkeit zu beeinträchtigen? Diese Fragen müssen vor der ersten Zeile Code geklärt werden, nicht nach dem Launch.
Die Qualität einer Agentur zeigt sich daran, ob sie Datenschutz als architektonische Aufgabe begreift oder als lästige Pflichtübung. Wer das Thema ernst nimmt, dokumentiert Entscheidungen, prüft Alternativen und kommuniziert dem Auftraggeber Risiken transparent. Wer es nur aufsetzt, versteckt es hinter schönem Design.
Wo das Nebenher-Scheitern beginnt: Formulare, Cookies und Dritteinbettungen
Die typischen Schwachstellen entstehen dort, wo Funktionalität und Datenschutz kollidieren – und Funktionalität gewinnt.
Formulare: Ein Kontaktformular sammelt mehr als sichtbar ist. IP-Adressen, Zeitstempel, Browserdaten. Viele Agenturen speichern diese Informationen ungefragt in der Datenbank oder leiten sie ungeschützt per E-Mail weiter. Die Datenschutzerklärung erwähnt das vielleicht irgendwo, die tatsächliche Verarbeitung bleibt undurchsichtig. Besonders bei Buchungs- und Shop-Funktionen wird schnell unübersichtlich, welche Daten wo landen.
Cookies und Tracking: Hier wird oft mit der Brechstube gearbeitet. Tracking-Dienste werden eingebunden, bevor eine Einwilligungslösung steht. Oder die Einwilligungslösung wird technisch so implementiert, dass sie nicht wirksam blockiert. Das Ergebnis: Daten fließen, bevor der Nutzer zugestimmt hat. Die Agentur hat ein Banner eingebaut, aber keine funktionierende Abschaltung.
Dritteinbettungen: YouTube-Videos, Google Maps, Social-Media-Feeds – jede Einbettung kann Daten an externe Server übertragen, noch bevor der Nutzer aktiv zugestimmt hat. Agenturen, die Datenschutz nebenher erledigen, binden diese Dienste direkt ein. Strukturiert arbeitende Agenturen prüfen vorher, ob eine datensparende Alternative existiert oder eine Zwei-Klick-Lösung technisch umsetzbar ist.
Der gemeinsame Nenner: Das Problem entsteht in der technischen Umsetzung, nicht in der Textgestaltung. Ein nachträglich eingefügter Hinweis kann diese Mängel nicht korrigieren.
Die Auftragsverarbeitung: Ein Vertrag, den viele Agenturen vergessen
Sobald eine Agentur personenbezogene Daten im Auftrag des Betreibers verarbeitet – sei es durch Formular-Empfang, Hosting oder Wartung – greifen Regelungen zur Auftragsverarbeitung. Das erfordert eine vertragliche Vereinbarung, die konkret regelt: Was darf die Agentur mit den Daten? Wie sind sie zu schützen? Wer haftet bei einem Vorfall?
In der Praxis wird dieser Vertrag oft übersehen oder mit einer generischen Klausel abgetan. Das ist problematisch aus zwei Gründen. Erstens fehlt dem Betreiber die vertragliche Absicherung, wenn die Agentur Daten missbraucht oder unsicher verarbeitet. Zweitens zeigt die Vernachlässigung dieses Vertrags, dass die Agentur Datenschutz nicht als Prozess versteht, sondern als Dokumentenpflicht.
Eine seriöse Agentur bringt den Auftragsverarbeitungsvertrag selbst ins Gespräch, bevor der Auftraggeber danach fragen muss. Sie kann erklären, welche Daten sie zu welchem Zweck verarbeitet, wie lange sie gespeichert werden und wer Zugriff hat. Wer das nicht kann oder will, hat Datenschutz nicht verstanden.
Warum der Website-Betreiber haftet, auch wenn die Agentur gebaut hat
Der Betreiber einer Website ist der Verantwortliche im datenschutzrechtlichen Sinn. Das bedeutet: Bei Abmahnungen, Beschwerden oder Prüfungen trägt er die rechtlichen Konsequenzen, nicht die Agentur. Er kann sich gegenüber der Agentur ggf. schadensersatzpflichtig machen, aber das ändert nichts an der primären Haftung.
Diese Haftungslage wird von Agenturen oft nicht transparent kommuniziert. Der Betreiber glaubt, durch den Auftrag an eine Fachfirma abgesichert zu sein. Tatsächlich hat er ein Risiko eingekauft, dessen Tragweite ihm nicht klar war.
Besonders brisant wird das, wenn die Agentur nach Projektende nicht mehr erreichbar ist oder den Support verweigert. Dann bleibt der Betreiber mit einer datenschutzrechtlich angreifbaren Website zurück – ohne die technische Kompetenz, die Mängel selbst zu beheben. Wer Leistungen für seine Website evaluiert, sollte dieses Haftungsgefälde von Anfang an im Blick haben.
Fünf Anzeichen, dass Datenschutz bei Ihrer Agentur nur Beiwerk ist
1. Der Datenschutzhinweis kommt als Textvorlage zum Selbsteinpflegen
Die Agentur liefert einen generischen Text und überlässt dem Betreiber die Anpassung. Das zeigt, dass sie den konkreten Datenfluss der Website nicht analysiert hat.
2. Technische Entscheidungen werden ohne Datenschutz-Abwägung getroffen
Ein Drittanbieter wird eingebunden, weil er bequem ist. Auf die Frage nach datenschutzfreundlichen Alternativen folgt Unverständnis oder Abwimmelung.
3. Es gibt keine Dokumentation der Verarbeitungstätigkeiten
Die Agentur kann nicht nachweisen, welche Daten wo verarbeitet werden. Bei einer Prüfung oder einem Wechsel der Agentur entsteht ein Vakuum.
4. Der Auftragsverarbeitungsvertrag wird als Option behandelt
Er wird nicht als selbstverständlicher Bestandteil des Vertrags geführt, sondern als Zusatzleistung oder gar nicht erwähnt.
5. Nachfragen werden als störend empfunden
Wenn der Betreiber nach Datenflüssen oder Speicherorten fragt, reagiert die Agentur genervt oder ausweichend. Datenschutz wird als Verzögerung des eigentlichen Projekts wahrgenommen.
Diese Anzeichen sind keine Einzelfälle. Sie zeigen eine Arbeitskultur, die Datenschutz als äußere Schicht behandelt, nicht als Kernaufgabe. Und diese Kultur wirkt sich meist auch auf andere Bereiche aus: Dokumentation, Qualitätssicherung, Langzeitbetreuung.
Was Sie vor Auftragserteilung klären sollten
Die richtigen Fragen früh zu stellen, verhindert spätere Überraschungen. Sie dienen nicht der Kontrolle, sondern der Orientierung, ob die Agentur strukturiert arbeitet.
- Welche personenbezogenen Daten werden auf der Website erfasst, wo werden sie verarbeitet und wie lange gespeichert?
- Werden Drittdienste eingesetzt, und wurden datenschutzfreundliche Alternativen geprüft?
- Wie ist die technische Umsetzung von Einwilligungen geregelt – blockiert das System tatsächlich vor Zustimmung?
- Gibt es einen Auftragsverarbeitungsvertrag, und was regelt er konkret?
- Wie wird die Dokumentation der Verarbeitungstätigkeiten geführt, und ist sie beim Betreiber einsehbar?
- Was passiert bei einem Wechsel der Agentur – wie werden Daten übergeben oder gelöscht?
Eine Agentur, die diese Fragen souverän beantwortet, hat das Thema durchdacht. Eine, die ausweicht oder Standardsätze wiederholt, behandelt Datenschutz als Beiwerk. Das Gespräch vor dem Vertrag ist der beste Indikator für die spätere Qualität.
Fazit: Datenschutz als Qualitätsindikator, nicht als Beifang
Datenschutz ist kein technisches Detail, das man zum Schluss draufklebt. Er ist ein Maßstab dafür, wie gründlich eine Agentur arbeitet. Wer bei Datenschutz pfuscht, pfuscht meist auch bei der technischen Umsetzung, der Dokumentation und der langfristigen Betreuung. Die Konsequenzen trägt der Betreiber.
Umgekehrt gilt: Eine Agentur, die Datenschutz strukturiert angeht, zeigt damit, dass sie komplexe Anforderungen versteht, transparent kommuniziert und Verantwortung ernst nimmt. Für den Auftraggeber ist das ein wertvolles Beurteilungskriterium – unabhängig davon, ob er selbst datenschutzaffin ist.
Wer eine Website erstellen lässt, sollte Datenschutz nicht delegieren und vergessen, sondern als Prüfstein der Agenturqualität nutzen. Die richtigen Fragen vor dem Vertrag verhindern, dass aus einem schönen Projekt ein dauerhaftes Risiko wird.
---
Sie stehen vor der Auswahl einer Agentur und möchten das Thema Datenschutz von Anfang an richtig verankern? Lassen Sie sich neutral beraten, welche Anforderungen für Ihr konkretes Projekt gelten und woran Sie seriöse Agenturen erkennen.
