DSGVO-konforme Website bauen lassen – mit weniger Datenwegen von Anfang an.

Eine Messung statt einer Behauptung. Wir laden Ihre Seite in einem frischen Browserprofil und protokollieren jeden ausgehenden Request, jeden Cookie und jeden Eintrag im lokalen Speicher – einmal ohne Einwilligung, einmal nach Zustimmung, einmal nach Ablehnung. Daraus entsteht eine Tabelle mit Domain, Auslöser, übertragenen Daten und Empfänger. Die meisten Datenschutzbeauftragten arbeiten damit sofort weiter, weil sie zum ersten Mal die tatsächliche Lage sehen und nicht die Liste installierter Plugins.

Weil das Werkzeug und seine Einbindung zwei verschiedene Dinge sind. Viele Consent-Lösungen können blockieren, werden aber so eingebaut, dass die Drittanbieter-Skripte weiterhin fest im Seitenkopf stehen und beim Laden sofort starten. Der Dialog erscheint dann parallel oder danach. Das prüfen wir in fünf Minuten: Seite im privaten Fenster öffnen, nichts anklicken, Netzwerkliste ansehen. Steht dort eine fremde Domain, hat das Tool nicht gegriffen – unabhängig davon, was auf der Rechnung steht.

Es gab dazu eine bekannte Entscheidung: Das LG München I hat am 20. Januar 2022 (Az. 3 O 17493/20) bei dynamischer Einbindung ohne Einwilligung Unterlassung zugesprochen und 100 Euro Schadensersatz, weil die IP-Adresse an den Anbieter übertragen wurde. Das ist ein Landgerichtsurteil zu einem Einzelfall und keine höchstrichterliche Klärung. Wie Sie das Risiko einschätzen, entscheidet Ihre rechtliche Beratung. Technisch ist die Sache trivial: Schriftdateien ins Projekt legen, von der eigenen Domain ausliefern, fertig.

Wir behaupten nicht, dass ein bestimmtes Werkzeug erlaubt oder verboten ist – das ist eine rechtliche Bewertung. Was wir tun: die Optionen nebeneinanderlegen. Einwilligungspflichtiges Analytics mit sauberer Blockade davor. Selbst gehostete Auswertung auf Ihrer Infrastruktur. Serverseitige Messung. Oder reine Logfile-Auswertung. Zu jeder Variante nennen wir, was sie an Aussagekraft kostet, welche Verträge sie erfordert und ob ein Drittlandbezug entsteht. Die Entscheidung treffen Sie mit Ihrem Datenschutzbeauftragten, und wir bauen sie.

Nein. Ob eine Einwilligung nötig ist, hängt nicht vom Rendering ab, sondern davon, ob auf der Endeinrichtung Informationen gespeichert oder ausgelesen werden – und wofür. Eine statisch ausgelieferte Seite ohne Drittanbieter, ohne Analytics und ohne Marketing-Cookies kommt in der Praxis häufig mit deutlich weniger aus als eine gewachsene Installation. Aber das ist eine Folge dessen, was eingebunden ist, nicht der Bauweise. Was in Ihrem Fall gilt, sagt Ihre rechtliche Beratung nach der Bestandsaufnahme.

Technisch ja, und wir bauen ihn korrekt ein: geladen erst nach Einwilligung, mit sauber getrennten Kategorien. Was Sie dabei wissen sollten: Ein Tag Manager verlagert die Kontrolle darüber, welche Skripte laufen, aus dem Repository in eine Oberfläche, in die auch ohne Entwicklerbeteiligung publiziert wird. Ihre Datenschutzdokumentation veraltet dann still. Deshalb richten wir bei Tag-Manager-Projekten eine wiederkehrende Prüfung ein, die meldet, wenn eine neue Domain in der Auslieferung auftaucht.

Die DSGVO enthält kein Gebot, in der EU zu hosten. Sie verlangt für Übermittlungen in Drittländer eine Grundlage nach Kapitel V – etwa einen Angemessenheitsbeschluss oder Standardvertragsklauseln. Umgekehrt beantwortet ein Rechenzentrum in Frankfurt die Frage nicht automatisch, wenn Support oder Konzernstrukturen einen Zugriff aus einem Drittland ermöglichen. Weil Astro unter der MIT-Lizenz steht und statisches HTML erzeugt, sind Sie bei der Wahl frei: Hosting lässt sich ohne Umbau verlegen.

Nein, es ändert sich nur der Ladezeitpunkt. Statt eines iframes, das beim Seitenaufbau sofort eine Verbindung zum Anbieter aufbaut, bekommen Sie eine Vorschau von Ihrer eigenen Domain – bei der Karte ein Standbild mit Adresse und Routenlink, beim Video ein Vorschaubild mit Abspielknopf. Erst der Klick und die Einwilligung lösen das Nachladen aus. Für Besucher ist der Unterschied ein Klick. Für Ihre Dokumentation ist er der Unterschied zwischen „lädt immer" und „lädt auf Wunsch".

Das ist genau die Frage, die wir am Anfang stellen – und die überraschend oft niemand beantworten kann. Wir zeichnen den Weg auf: welche Felder erhoben werden, über welchen Transportweg sie gehen, wer sie empfängt, wo sie liegen, wer Zugriff hat und wann sie gelöscht werden. Dann kürzen wir den Weg, so weit es geht: Ihre Domain, Ihr Postfach, Ihr System. Jeder Zwischenhändler, der bleibt, braucht einen Vertrag zur Auftragsverarbeitung und einen Eintrag in Ihrem Verzeichnis.

Verantwortlicher im Sinne der DSGVO ist in aller Regel der Betreiber der Website, also Sie. Wir sind Dienstleister und haften für unsere Leistung – dafür, dass umgesetzt ist, was vereinbart wurde, und dass unsere Messung stimmt. Deshalb bekommen Sie von uns Belege statt Zusicherungen. Nebenbei: Das OLG Frankfurt am Main hat am 11. Dezember 2025 (Az. 6 U 81/23) entschieden, dass auch ein Drittanbieter selbst haften kann, wenn seine Technik ohne Einwilligung auf Endgeräte zugreift. Verantwortung kann also mehrfach bestehen – sie wandert nicht von Ihnen weg.

Artikel 30 DSGVO kennt eine Erleichterung für Organisationen unter 250 Beschäftigten, aber sie greift nur, wenn die Verarbeitung kein Risiko für die Rechte der Betroffenen birgt, nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. Eine dauerhaft laufende Website mit Kontaktformular verarbeitet nicht gelegentlich. In der Praxis führen deshalb auch kleine Unternehmen ein Verzeichnis. Ob Sie eines brauchen, klärt Ihre rechtliche Beratung; den Website-Teil füllen wir aus.

Manchmal, aber selten allein deswegen. Der ehrliche Zwischenschritt ist billiger: aufräumen, was niemand braucht, Consent korrekt durchsetzen, Schriften und Embeds lokalisieren. Wenn danach immer noch ein halbes Dutzend Erweiterungen eigene Verbindungen aufbaut und niemand sagen kann, warum, wird ein Wechsel zur sinnvollen Option – dann verschwindet die ganze Plugin-Ebene mitsamt ihren Datenwegen. Ablauf, Risiken und die Fälle, in denen wir abraten, stehen unter WordPress zu Astro.

Es ist zumindest eine eigene Verarbeitung, und wir behandeln sie auch so. Der Messenger und das Sprachmodell sind Empfänger und gehören in die Bestandsaufnahme; je nach Anbieter entsteht ein Drittlandbezug. Was dafür spricht: Redaktionsinhalte sind meist nicht personenbezogen, und der Kreis der Personen mit Vollzugriff auf ein Redaktionssystem bleibt klein. Was dagegen sprechen kann: Ihr Rechtsrahmen trägt den Weg nicht. Dann bleibt es bei Content Collections oder einem CMS, und das Projekt funktioniert genauso.

Bestandsaufnahme mit Bericht: ein bis zwei Wochen. Nachrüstung einer bestehenden Seite: zwei bis fünf Wochen. Neubau mit Astro, bei dem alles von Anfang an eingeplant ist: vier bis zehn Wochen. Bewegt wird die Spanne von der Anzahl der Drittanbieter, den Systemanbindungen für Formulare, der Mehrsprachigkeit, dem Zustand des Bestands und der Zahl der Abstimmungsschleifen mit Kanzlei, Datenschutz und Marketing. Eine Zahl nennen wir nach dem Erstgespräch – dann aber mit den Annahmen, auf denen sie beruht.

Nein. Statisches Rendering verringert die Zahl der Stellen, an denen zur Laufzeit etwas passieren kann, und entfernt den Plugin-Code aus der Auslieferung. Ob personenbezogene Daten verarbeitet werden, entscheidet trotzdem allein das, was eingebunden ist – und wie.

Nicht jede. § 25 Abs. 1 TDDDG verlangt eine Einwilligung für das Speichern von Informationen auf der Endeinrichtung und den Zugriff darauf; Absatz 2 enthält eng gefasste Ausnahmen. Ob Ihr Fall darunterfällt, ist eine rechtliche Bewertung und keine Frage des Frameworks.

Die DSGVO regelt europaweit die Verarbeitung personenbezogener Daten. Das TDDDG – bis Mai 2024 TTDSG – ist deutsches Recht und regelt in § 25 den Schutz der Endeinrichtung: Speichern und Auslesen von Informationen auf dem Gerät, unabhängig davon, wo die Daten danach hinlaufen.

Sie vermeiden jedenfalls den Punkt, um den es in den bekannten Fällen ging: Es geht kein Request und damit keine IP-Adresse an einen fremden Anbieter. Ob damit alles beantwortet ist, bewertet Ihre rechtliche Beratung. Prüfen Sie zusätzlich die Schriftlizenz – nicht jede erlaubt das Selbst-Hosten.

Ja. Die EU-Kommission hat ihn am 10. Juli 2023 erlassen, das Gericht der Europäischen Union hat eine Nichtigkeitsklage am 3. September 2025 abgewiesen, das Rechtsmittel dagegen ist beim Europäischen Gerichtshof anhängig. Er trägt nur Übermittlungen an US-Unternehmen, die sich selbst zertifiziert haben.

Die nach Artikel 30 DSGVO geforderte Übersicht darüber, welche personenbezogenen Daten Sie zu welchem Zweck verarbeiten, wer sie empfängt, wo sie liegen und wann sie gelöscht werden. Für den Website-Teil liefern wir die Zuarbeit auf Basis gemessener Requests.

Nein, das sind zwei verschiedene Pflichten. Das Banner holt die Einwilligung für den Zugriff auf die Endeinrichtung ein; die Datenschutzerklärung erfüllt die Informationspflichten der DSGVO. Wir binden beides technisch korrekt ein – geschrieben werden die Texte von Ihrer rechtlichen Beratung.