Die fünf häufigsten Abmahngründe 2024/25
Anwaltskanzleien scannen automatisiert nach diesen Schwächen. Wer sie ausschließt, ist 90 % sicher:
- Google Fonts über CDN eingebunden (IP-Adresse geht ungefragt an Google). Lösung: Fonts lokal hosten oder Next.js next/font verwenden (automatisch lokal).
- Cookie-Banner ohne gleichberechtigte 'Ablehnen'-Option. Korrekt: zwei gleich große Buttons auf gleicher Höhe.
- Google Maps eingebunden, ohne dass der Nutzer vorher zugestimmt hat. Lösung: 2-Klick-Lösung oder Maptiler/OSM nutzen.
- YouTube-Videos eingebunden ohne 'No-Cookie'-Variante. Lösung: youtube-nocookie.com verwenden oder lokale Video-Datei.
- Kontaktformular ohne Hinweis auf Datenschutz und Speicherdauer der Daten.
Impressum — was zwingend rein muss
- Vollständiger Name des Inhabers / Geschäftsführers (kein 'Max M.'). Bei GmbH/UG zusätzlich Handelsregister-Nummer.
- Vollständige Anschrift (keine Postfach-Adresse). Bei Service-Betrieben ohne Ladengeschäft: Wohn- oder Werkstattadresse zwingend.
- Kontakt: E-Mail-Adresse (kein Formular allein), Telefon (bei kommerzieller Tätigkeit empfohlen — nicht zwingend).
- Berufsbezeichnung und Kammerzugehörigkeit (Handwerkskammer, Innung). Wichtig bei reglementierten Berufen.
- USt-IdNr. (falls vergeben) oder Hinweis auf §19 UStG (Kleinunternehmer).
- Berufshaftpflicht-Versicherung mit Anschrift (bei Handwerksbetrieben dringend empfohlen).
- Verantwortlich für Inhalt nach §18 Abs. 2 MStV (sofern redaktionelle Inhalte vorhanden).
- Streitschlichtungs-Hinweis (Link zur EU-Streitschlichtungsplattform).
Datenschutzerklärung — was Sie konkret nennen müssen
Generische Datenschutz-Vorlagen reichen 2026 nicht mehr. Erforderlich ist eine konkrete, nachvollziehbare Erklärung aller Tools.
- Welche Daten beim Aufruf der Website erhoben werden (IP, User-Agent, Referrer) — und wie lange sie gespeichert werden.
- Welche Cookies eingesetzt werden (Name, Anbieter, Zweck, Speicherdauer) — übersichtlich tabellarisch.
- Welche Drittanbieter Daten erhalten (Google Analytics, Calendly, Cituro, etc.) — Verlinkung deren Datenschutz.
- Rechtsgrundlage je Verarbeitungsvorgang (Art. 6 Abs. 1 lit. a/b/f DSGVO).
- Betroffenenrechte (Auskunft, Löschung, Widerspruch) klar erläutern, mit Kontakt zur DSGVO-Auskunft.
- Name und Kontakt des Datenschutzbeauftragten (falls erforderlich — Pflicht ab 20 Beschäftigten mit ständiger Datenverarbeitung).
Cookies & Tracking — 2026 strikter als 2022
- Funktional notwendige Cookies (Session, CSRF): keine Einwilligung nötig, müssen aber in der Datenschutzerklärung erscheinen.
- Marketing-Cookies (Analytics, Ads, Facebook Pixel): nur nach aktiver Einwilligung laden. Pre-Check verboten.
- Cookie-Banner: 'Annehmen' und 'Ablehnen' gleich prominent, gleiche Schriftgröße, gleiche Hintergrundfarbe.
- Consent-Lösung empfohlen: Borlabs Cookie (DE), Cookiebot, klaro (Open Source). Selbstgebaut nur, wenn rechtlich abgesichert.
Hosting, Backups und Auftragsverarbeitung
EU-Hosting (Frankfurt, Wien) ist faktisch Pflicht. US-Hoster wie Cloudflare (Frontend), Vercel oder Netlify sind nutzbar, brauchen aber zusätzliche Vereinbarungen (Standardvertragsklauseln, Risiko-Folgenabschätzung).
- AVV mit Hosting-Anbieter unterschrieben und archiviert.
- AVV mit Buchungstool-Anbieter (Cituro, etermin, Calendly) unterschrieben.
- Backups verschlüsselt, in EU gespeichert, Speicherort dokumentiert.
- E-Mail-Postfach beim selben EU-Anbieter wie das Hosting — sonst doppelter AVV nötig.