Auf den Punkt
Eine Website datenschutzkonform zu machen heißt, drei Ebenen sauber aufzustellen: einen Cookie-Consent, der einwilligungspflichtige Skripte erst nach aktiver Zustimmung lädt, ein Tracking, das ohne Einwilligung datensparsam bleibt, und Server-Logs, die IP-Adressen nur so lange speichern wie nötig. Wer diese drei Punkte mit einer klaren Checkliste abarbeitet, deckt die häufigsten Verstöße gegen DSGVO und TDDDG ab.
Wer eine Website betreibt — ob als Unternehmen, Verein oder Selbstständiger — ist für die Datenverarbeitung darauf verantwortlich. Das gilt im Frontend für Cookies und Tracking genauso wie auf dem Server für Logfiles und IP-Adressen. Gerade auf selbst gehosteten Systemen, wie sie in der Linux- und Open-Source-Welt verbreitet sind, hat man alle Stellschrauben selbst in der Hand. Das ist ein Vorteil für den Datenschutz, verlangt aber auch, dass man die richtigen Einstellungen kennt. Diese Checkliste führt durch die wichtigsten Punkte — von der Einwilligung bis zur Log-Rotation.
Schritt 1: Bestandsaufnahme der Datenflüsse
Bevor Sie etwas ändern, müssen Sie wissen, was Ihre Website tatsächlich tut. Welche externen Dienste sind eingebunden? Welche Cookies werden gesetzt? Welche Daten verlassen den eigenen Server? In der Praxis lädt fast jede Seite mehr Drittinhalte, als der Betreiber annimmt — Schriftarten, Karten, Videos, Analyse-Skripte, Social-Media-Buttons. Jeder dieser Bausteine kann personenbezogene Daten wie die IP-Adresse an Dritte übertragen.
Eine ehrliche Inventur ist die Grundlage für alles Weitere. Wer schnell einen Überblick will, kann seine Website auf DSGVO prüfen und erhält eine strukturierte Liste der geladenen Dienste und gesetzten Cookies. Auf dieser Basis lässt sich entscheiden, welche Einbindungen wirklich gebraucht werden und welche sich datensparsamer lösen lassen.
Consent
Einwilligung vor dem Setzen nicht notwendiger Cookies — § 25 TDDDG.
Tracking
Analyse erst nach Zustimmung oder von vornherein datensparsam und anonymisiert.
Server-Logs
IP-Adressen nur kurz speichern, dann löschen oder kürzen.
Transparenz
Datenschutzerklärung, die alle eingesetzten Dienste benennt.
Schritt 2: Cookie-Consent richtig einrichten
Das Herzstück der datenschutzkonformen Website ist ein funktionierender Consent. Nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG) ist für das Speichern und Auslesen von Informationen auf dem Endgerät des Nutzers grundsätzlich eine Einwilligung erforderlich — außer die Cookies sind technisch zwingend nötig. Praktisch bedeutet das:
- Aktive Einwilligung: Vorausgewählte Häkchen oder ein bloßes Weiterscrollen genügen nicht. Der Nutzer muss bewusst zustimmen.
- Echte Wahlfreiheit: Ablehnen muss genauso einfach sein wie Zustimmen — gleichwertige Schaltflächen, keine Dark Patterns.
- Sperre vor dem Klick: Einwilligungspflichtige Skripte dürfen erst laden, nachdem der Nutzer zugestimmt hat. Das ist der Punkt, an dem die meisten Banner scheitern.
- Widerruf möglich: Die einmal gegebene Einwilligung muss sich jederzeit ebenso leicht zurücknehmen lassen.
Wichtig: Technisch notwendige Cookies — etwa für den Warenkorb oder die Session — brauchen keine Einwilligung. Alles, was der Reichweitenmessung, dem Marketing oder dem Komfort dient, in der Regel schon. Im Zweifel gehört ein Dienst hinter den Consent.
Schritt 3: Tracking datensparsam aufsetzen
Reichweitenanalyse ist legitim, muss aber sauber umgesetzt werden. Es gibt zwei gangbare Wege. Der erste: Sie laden die Analyse erst nach einer Einwilligung über den Consent. Der zweite, gerade in der Open-Source-Welt beliebte Weg: Sie setzen auf eine datensparsame, idealerweise selbst gehostete Lösung, die ohne Cookies auskommt, IP-Adressen sofort kürzt und keine Daten an Dritte überträgt. Solche Werkzeuge lassen sich je nach Konfiguration teils ohne Einwilligung betreiben — das müssen Sie aber im Einzelfall sauber prüfen.
Der große Vorteil selbst gehosteter Analyse: Die Daten bleiben auf dem eigenen Server, es findet keine Übermittlung in Drittländer statt, und Sie behalten die volle Kontrolle über Speicherdauer und Anonymisierung. Für viele Website-Betreiber ist das der pragmatischste Weg zu rechtssicherem Tracking.
„Für jeden ist Datenschutz wichtig. Und für uns ist es wichtig, eine pragmatische Lösung zu finden. Bei Websites heißt das oft: weniger Drittanbieter, mehr selbst hosten. Das ist nicht nur datenschutzfreundlicher, sondern macht die Seite auch schneller und unabhängiger.“
— Pragmatischer Datenschutz-Ansatz von Frag Hugo
Schritt 4: Server-Logs und IP-Adressen
Auf der Server-Ebene fallen Daten an, lange bevor ein Cookie gesetzt wird. Jeder Zugriff landet im Webserver-Log — bei Apache und nginx üblicherweise mit IP-Adresse, Zeitstempel, angefragter Ressource und User-Agent. Dynamische IP-Adressen gelten als personenbezogene Daten, weshalb diese Logs dem Datenschutz unterliegen. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) weist darauf hin, dass die Speicherung der unveränderten IP-Adresse abseits der reinen Webserver-Funktion das Risiko einer Verarbeitung personenbezogener Daten erhöht — die Speicherung sollte sich also auf das Nötige beschränken.
In der Praxis haben sich für rein betriebliche Logs kurze Fristen etabliert. Wo keine konkreten Sicherheitsgründe für eine längere Vorhaltung sprechen, wird häufig eine Speicherdauer im Bereich weniger Tage als angemessen angesehen. Zwei Linux-typische Stellschrauben helfen dabei:
- IP-Kürzung: In der Logging-Konfiguration die letzten Stellen der IP-Adresse anonymisieren, sodass kein Personenbezug mehr besteht.
- Log-Rotation: Mit Werkzeugen wie logrotate automatisch alte Logs nach kurzer Frist löschen, statt sie unbegrenzt anzusammeln.
Schritt 5: Verträge und Dokumentation nicht vergessen
Sobald Sie einen externen Dienst einsetzen, der in Ihrem Auftrag personenbezogene Daten verarbeitet — etwa ein Hosting-Anbieter, ein CDN oder ein Mail-Dienst —, brauchen Sie mit ihm einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Dieser AVV regelt, was der Dienstleister mit den Daten tun darf und welche Sicherheitsmaßnahmen er garantiert. Bei seriösen Anbietern liegt ein solcher Vertrag standardmäßig zum Abschluss bereit; fehlt er, ist das ein Warnsignal.
Genauso wichtig wie die Technik ist die Dokumentation. Die DSGVO verlangt mit der Rechenschaftspflicht nach Art. 5 Abs. 2, dass Sie die Einhaltung der Grundsätze nachweisen können. Für eine Website heißt das konkret: Halten Sie fest, welche Dienste Sie aus welchem Grund einsetzen, auf welcher Rechtsgrundlage sie laufen und wie lange Daten gespeichert werden. Diese Übersicht ist die Grundlage Ihres Verzeichnisses von Verarbeitungstätigkeiten und zugleich die Vorlage für eine ehrliche, vollständige Datenschutzerklärung.
Die Checkliste im Überblick
| Bereich | To-do | Rechtsgrundlage |
|---|---|---|
| Consent | Banner mit aktiver Einwilligung, gleichwertigem Ablehnen, Skript-Sperre | § 25 TDDDG, Art. 6 DSGVO |
| Tracking | Erst nach Consent oder datensparsam selbst hosten | § 25 TDDDG |
| Drittanbieter | Schriften/Karten/Videos lokal einbinden oder hinter Consent legen | Art. 6 DSGVO |
| Server-Logs | IP kürzen, kurze Speicherfrist, Log-Rotation | Art. 5, 6 DSGVO |
| Transparenz | Datenschutzerklärung mit allen Diensten, Impressum verlinkt | Art. 13 DSGVO, DDG |
FAQ
Braucht jede Website ein Cookie-Banner?
Nein. Wer ausschließlich technisch notwendige Cookies einsetzt und kein einwilligungspflichtiges Tracking betreibt, braucht kein Consent-Banner. Sobald aber Analyse, Marketing oder externe Dienste mit personenbezogenen Daten ins Spiel kommen, ist eine Einwilligung nach § 25 TDDDG nötig.
Wie lange darf ich Server-Logs speichern?
Eine feste gesetzliche Frist gibt es nicht. Für rein betriebliche Logs mit IP-Adressen gilt eine kurze Speicherdauer im Bereich weniger Tage als gut vertretbar. Längere Aufbewahrung sollte mit konkreten Sicherheitsgründen begründet und dokumentiert sein.
Ist selbst gehostete Analyse automatisch DSGVO-konform?
Nicht automatisch, aber sie ist deutlich einfacher konform zu betreiben. Wenn keine Cookies gesetzt, IP-Adressen sofort gekürzt und keine Daten an Dritte übertragen werden, lässt sich je nach Konfiguration teils auf eine Einwilligung verzichten. Das gehört im Einzelfall geprüft.
Was ist mit externen Schriftarten?
Schriften, die von einem Drittserver geladen werden, übertragen die IP-Adresse des Besuchers dorthin. Datenschutzfreundlicher ist es, die Schriften lokal auf dem eigenen Server einzubinden — das vermeidet die Übermittlung komplett.
Fazit
Eine Website datenschutzkonform zu machen ist kein Hexenwerk, wenn man strukturiert vorgeht. Die Reihenfolge ist immer gleich: erst wissen, was die Seite tatsächlich lädt und speichert, dann den Consent so einrichten, dass einwilligungspflichtige Skripte wirklich erst nach Zustimmung laufen, das Tracking datensparsam aufsetzen und schließlich die Server-Logs mit IP-Kürzung und Rotation entschärfen. Gerade auf selbst gehosteten Linux-Systemen hat man alle Stellschrauben in der Hand. Wer die Checkliste einmal sauber abarbeitet und die Datenschutzerklärung ehrlich an die tatsächlich eingesetzten Dienste anpasst, betreibt eine Website, die sowohl die DSGVO als auch das TDDDG respektiert.