Praxisnahes Know-how zu Datenschutz, Compliance und digitalem Recht – speziell für Web- und Marketingagenturen im DACH-Raum.
Frankreich hat 2021 Cookie-Bußgelder von 150 Mio. € gegen Google und 60 Mio. € gegen Facebook verhängt, die Niederlande gelten als streng. Gemessen an der Fläche liegen beide Länder beim Tracking vor der Einwilligung doppelt so hoch wie Deutschland (43,1 % und 44,3 % gegen 21,0 %). Was in Deutschland gewirkt hat, waren nicht Bußgelder, sondern Abmahnungen und ein Urteil, das jeder Dienstleister kannte.
Wir prüfen, ob der Ablehnen-Knopf so prominent ist wie der Zustimmen-Knopf. In Deutschland liefert diese Prüfung bei 45,8 % der Banner kein Urteil, in Frankreich bei 91,5 %. Damit ist ausgerechnet das Merkmal unbrauchbar, das die französische Aufsicht durchgesetzt hat. Dieser Artikel erklärt, warum, und welche Zahlen aus unserer Länderstudie man deshalb nicht verwenden darf.
Wir haben vier Länderbestände mit derselben Methode geprüft: 2.017.353 Websites in Deutschland, 349.849 in Österreich, 1.185.746 in den Niederlanden und 1.063.612 in Frankreich. Vor jeder Einwilligung laden in Deutschland 21,0 % der Seiten Analyse- oder Werbedienste, in Österreich 25,7 %, in Frankreich 43,1 % und in den Niederlanden 44,3 %. Der Abstand zwischen dem besten und dem schlechtesten Land ist größer als jeder Brancheneffekt, den wir bisher gemessen haben.
Hinter jeder unserer Zahlen steht dieselbe Frage: Was ist eigentlich eine Website? Im August 2026 haben wir 5,25 Millionen Domains angefasst, 3,82 Millionen erfolgreich gescannt und dann versucht, den Müll herauszurechnen: geparkte Domains, Weiterleitungen, Alias-Adressen, Domainhändler. Dieser Artikel erklärt, wie das geht, was wir dabei gelernt haben, und warum sich die Kernzahlen trotz dreifacher Korpusgröße um weniger als einen Prozentpunkt bewegt haben.
2.346 Websites deutscher Gemeinden mit demselben Scanner geprüft wie der gewerbliche Bestand. Das Ergebnis ist zweischneidig: Werbe-Tracking vor der Einwilligung ist mit rund einem Prozent praktisch nicht vorhanden, Google-Schriften und fehlende Impressen sind seltener als überall sonst. Dafür laden 37,5 % vor dem Klick Drittanbieter – vor allem Matomo und Barrierefreiheits-Overlays –, 30,5 % haben TLS-Mängel, und 84 % der Cookie-Banner bestehen das Audit nicht.
188.240 Websites aus 30 Branchen, alle mit derselben Frage geprüft: Baut die Seite schon vor dem ersten Klick auf das Cookie-Banner Verbindungen zu Drittanbietern auf, die Besucherdaten empfangen? Die Spanne reicht von 52 % bei Personalvermittlern bis 24 % bei Architekten. Dazwischen: Fitnessstudios mit dem Meta-Pixel, Zahnärzte mit dem Buchungs-Widget, Restaurants mit Google Maps – und Webagenturen, deren eigene Websites zu 41 % betroffen sind.
Wir haben die Verschlüsselung von 2 Millionen deutschen Websites geprüft: 43,9 % haben mindestens einen Mangel, 34,5 % einen kritischen. Aber abgelaufene Zertifikate sind mit 1,3 % die Ausnahme. Die Masse der kritischen Befunde ist Konfiguration: Die www-Variante und die Variante ohne www führen auf verschiedene Adressen (29 %), oder HTTP leitet nicht auf HTTPS um (17 %). Wer die Zahl „fast jede zweite" zitiert, muss das dazusagen – sonst hat er sie nicht verstanden.
Wir haben die Formulare von 88.189 deutschen Websites vor jeder Einwilligung ausgelesen: 41,6 % haben mindestens eines, und von diesen Websites haben 29,9 % Handlungsbedarf. Die harten Fehler konzentrieren sich auf zwei Stellen: Newsletter-Anmeldungen ohne Einwilligungsfeld (59 %) und Google reCAPTCHA, das vor jeder Interaktion Daten in die USA schickt (5,6 % der Websites mit Formular). Fast verschwunden sind dagegen die Klassiker von 2018: vorangehakte Kästchen und unverschlüsselter Versand.
Zwei Millionen deutsche Websites, zwei Fragen: Gibt es einen Consent-Manager? Und wenn ja, hält er, was das Recht verlangt? Die Antworten: 52,5 % haben keinen. Von denen, die einen haben, bestehen 7,4 % das Audit. Rechnerisch bleiben 3,5 % der Websites, auf denen die Einwilligung so eingeholt wird, wie sie gedacht ist. Die fünf häufigsten Fehler sind keine Technik, sondern Gestaltung: kein Widerruf, kein Ablehnen, zu lange Laufzeiten.
Wir haben 3,82 Millionen deutsche Websites in einem echten Browser geladen und mitgeschnitten, was vor dem ersten Klick auf das Cookie-Banner passiert. 987.014 davon, 25,8 %, holen ihre Schriftarten in diesem Moment direkt von Google oder Adobe – und übertragen dabei die IP-Adresse jedes Besuchers. Ein Cookie-Banner ändert daran nichts, weil Schriften vor jedem Skript laden. Welche Systeme besonders betroffen sind, warum das Urteil des LG München von 2022 nichts bewirkt hat, und wie man es in einer Stunde behebt.
Wir haben 19.108 deutsche Websites mit axe-core in einem echten Browser geprüft, darunter 1.722 mit Shop- oder Buchungsfunktion – also die Seiten, für die das Barrierefreiheitsstärkungsgesetz seit dem 28. Juni 2025 in der Regel gilt. Ergebnis: 52 % dieser Shops haben mindestens einen kritischen Verstoß, der Nutzern Inhalt oder Funktion versperrt, und 91 % verlinken keine Erklärung zur Barrierefreiheit. Der Rest des Webs ist nicht besser, nur nicht verpflichtet. Die häufigsten Fehler, warum Shops schlechter abschneiden, und was Agenturen jetzt tun.
Wir haben unsere Liste nicht zuordenbarer Dritt-Server gegen die Malware-Datenbanken von abuse.ch gehalten. 171 Domains waren dort verzeichnet, auf 1.058 überwiegend deutschen Websites. Der eigentliche Fund kam danach: Diese Seiten hatten mehr als doppelt so oft kritische Datenschutzmängel wie der Rest unseres Korpus. Vernachlässigung kommt selten allein — und warum das für Agenturen ein brauchbares Werkzeug ist.
Nicht „ein Tracker hat gefunkt", sondern nachweislich gemessen: Auf 9,5 % der 2,32 Mio. ausgewerteten Websites hat ein Tracking-Dienst schon vor der Einwilligung ein Cookie oder einen localStorage-Eintrag auf dem Gerät gesetzt — der wortgetreue Tatbestand von § 25 TDDDG. Google Analytics ist mit Abstand der größte Einzeltäter (6,7 %). Warum das die belastbarste Zahl unserer Auswertung ist, warum sie niedriger liegt als die 22,9 % US-Transfer, und warum Matomo hier mitzählt.
Wir haben ausgewertet, wohin deutsche Websites Daten schicken, bevor der Nutzer dem Cookie-Banner zustimmt — über 2,32 Millionen Seiten, ganz ohne neuen Scan. Das Ergebnis: 22,9 % binden schon vor der Einwilligung einen Tracking-Dienst eines US-Anbieters ein, praktisch das gesamte Drittland-Volumen entfällt auf die USA. Warum das zwei Rechtsprobleme auf einmal stapelt (§ 25 TDDDG + Schrems II), welche Dienste dahinterstecken (Google dominiert), warum die Zahl ein konservativer Boden ist — und warum wir Matomo bewusst nicht mitzählen.
Der Baukasten, auf dem eine Website steht, entscheidet mit, ob sie schon vor dem Cookie-Consent trackt. Für einen Teil der 1,2 Mio. Websites unserer DSGVO-Studie lässt sich die Plattform am Netzwerk-Fingerabdruck ablesen — und da zeigt sich ein Muster: Squarespace (91 %), Weebly (89 %) und Duda (69 %) tracken am häufigsten vor der Einwilligung, Strato (3 %), Jimdo (8 %) und Wix (13 %) am seltensten. Warum das an den Voreinstellungen der Plattform liegt, wo WordPress und Webflow stehen — und warum die Plattform nur bei rund jeder fünften Seite überhaupt erkennbar ist.
Das Cookie-Banner fragt um Erlaubnis — doch auf 21 % der Seiten mit Banner fließen Daten an Dritte schon vorher. Warum die Einwilligung dann zur Fassade wird, woran das strukturell liegt und was ausdrücklich kein Consent-Theater ist. Eine Einordnung zur Auswertung von rund 1,2 Millionen deutschen Websites.
Verstößt Ihre Hotel-Website gegen die DSGVO? Unsere Analyse von 23.614 Websites deutscher Hotels, Pensionen und Gasthöfe zeigt: 47,4 % der Seiten mit echter Web-Präsenz übertragen Daten an Dritte, bevor der Gast einwilligt — und 37,6 % tun das trotz vorhandenem Cookie-Banner. Dazu Daten zu Tracking-Kategorien, Google-Dominanz, der Leak-Quote je Cookie-Banner und der überraschenden Schwäche der teuren Premium-Banner. So machen Sie Ihre Hotel-Website rechtssicher und vermeiden Abmahnungen.
Verstößt Ihre Restaurant-Website gegen die DSGVO? Unsere Analyse von über 61.000 Gastronomie-Seiten zeigt: 54,8 % der Seiten mit echter Web-Präsenz übertragen Daten an Dritte, bevor der Gast einwilligt — und 42,6 % tun das trotz vorhandenem Cookie-Banner. Dazu Daten zu Tracking-Kategorien, Google-Dominanz, der Leak-Quote je Cookie-Banner, Impressum-Mängeln und Banner-Audits. So machen Sie Ihre Gastro-Website rechtssicher und vermeiden Abmahnungen.
Die EU wollte Cookie-Banner abschaffen — ein zentrales Browser-Signal sollte sie ersetzen. Ein geleaktes Ratsdokument zeigt: Nach intensivem Lobbying von Google und Widerstand mehrerer Mitgliedstaaten, darunter Deutschland, soll der entscheidende Artikel 88b gestrichen werden. Was das gescheiterte EU-Lobbying für Webagenturen bedeutet — und warum die technische Verantwortung für sauberes Consent-Management jetzt erst recht bei der Agentur liegt.
VVT-Vorlage für Agenturen: Pflichtfelder, Muster und ein ausgefülltes Beispiel zum Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) für Web- und Marketingagenturen im DACH-Raum.
Datenschutzerklärung für Agentur-Kunden: Generator, Vorlage & skalierbare Verwaltung 2026 – so erstellen Agenturen rechtssichere DSE für mehrere Kunden.
Impressumspflicht 2026: Was sich durch das DDG ändert und was Agenturen für Kundenseiten beachten müssen – Pflichtangaben, Fehler, Praxistipps.
Datenschutz beim Website-Relaunch: Checkliste für Agenturen – Cookies klassifizieren, Tracking prüfen, Datenschutzerklärung aktualisieren. Praxisnah.
Wer haftet, wenn auf einer Kunden-Website ein Datenschutzverstoß passiert? Klare Antworten zur Agentur-Haftung, Abmahnungen und Bußgeldern.
Welche Cookies brauchen keine Einwilligung? Praxisguide für Agenturen: Abgrenzung, Beispiele und die entscheidende Frage – technisch notwendig oder nicht?
Cookie Banner DSGVO-konform umsetzen: Worauf Agenturen bei Consent-Gestaltung, Pre-Consent-Tracking und Mandantenhaftung achten müssen.
Die naheliegendste Produktfrage überhaupt: Ihr findet Consent-Verstöße — warum verkauft ihr nicht das Banner dazu, das sie behebt? Die Antwort handelt von Interessenkonflikten, von 40,5 % Verstößen trotz Consent-Banner (gemessen auf über 100.000 .de-Domains), von Agentur-Stacks mit zehn verschiedenen CMPs — und davon, warum ein Prüfbericht nur so viel wert ist wie die Unabhängigkeit dessen, der ihn schreibt.
Host-basierte Scanner erkennen Tracking an der Domain — und übersehen Tools, die über die eigene Domain laufen: Server-side GTM, geproxietes PostHog, self-hosted Matomo. Ein technischer Deep Dive: Erkennung über DOM-Signale statt Host-Liste, die Trennung von § 25 TDDDG und Art. 6 DSGVO, Config-Auslese — und wie wir die Treffsicherheit gemessen haben, ohne uns selbst zu täuschen (inklusive des Mess-Fehlers, der uns fast eine falsche Zahl gekostet hätte).
Ein automatischer Scanner meldet einen DSGVO-Verstoß — woher willst du wissen, dass er recht hat? Wie eingefrorene Beweis-Snapshots jeden Befund mit der exakten Netzwerk-Evidenz nachvollziehbar machen, Confidence-Labels Fehlalarme verhindern und URLs datenschutzkonform redigiert werden.
Datenschutz-Audits zeigen konkrete Website-Risiken und öffnen Agenturen neue Kundengespräche. So wird aus Analyse, Bericht und Monitoring ein Akquiseprozess.
Verstößt Ihre Medizin-Website gegen die DSGVO? Unsere Analyse von 12.255 Seiten zeigt: 69 % übertragen Daten unerlaubt vor Consent. Google Fonts ist der häufigste Verursacher. Erfahren Sie, wie Sie Ihre Arztpraxis rechtssicher machen und Abmahnungen vermeiden.
Eine Analyse von 1.284 Anwaltswebsites zeigt: 3 von 4 übermitteln personenbezogene Daten an externe Server – noch bevor der Nutzer seine Einwilligung erteilt hat. Warum ein Cookie-Banner das Problem oft nicht löst – und was Agenturen für ihre Kanzlei-Kunden tun können.
AVV Vorlage Webagentur: Wann braucht eine Agentur einen Auftragsverarbeitungsvertrag mit Kunden und Dienstleistern? Welche Tools brauchen einen AVV – und warum Meta Pixel keinen braucht. Mit Tool-Tabelle und Überblick für alle Kunden.
Meta Pixel ohne Einwilligung = Haftungsfalle (OLG Dresden 2/2026). Wer als Agentur haftet, was Art.-82-Schadensersatz kostet und wie du dich absicherst.
![heyData, Proliance oder Complianty? DSGVO-Software für Agenturen im ehrlichen Vergleich [2026]](assets/blog/dsgvo-software-vergleich.webp)
heyData, Proliance 360 und Robin Data im Vergleich mit Complianty: Welche DSGVO-Software eignet sich für Agenturen wirklich zur Mandantenverwaltung und technischen Website-Prüfung?
Cookie Consent Tool Vergleich 2026 für Agenturen & deutsche Unternehmen: 7 CMPs mit Preisen & Multi-Mandanten-Check. Welches Consent-Tool für mehrere Kunden? Plus Gratis-Scan.
![DSGVO-Pflichten für Webagenturen: Die vollständige Checkliste für jedes Kundenprojekt [2026]](assets/blog/dsgvo-pflichten-checkliste.webp)
DSGVO Checkliste Agentur: Welche Datenschutz-Pflichten gelten bei jedem Website-Launch für Webagenturen? AVV, Datenschutzerklärung, Cookie Banner, Haftung – komplett erklärt.
Pre-Consent Tracking ist einer der häufigsten DSGVO-Befunde – auch mit Banner. Welche Tracker feuern vor dem Consent-Klick, wie das passiert und wie Agenturen das zentral für alle Mandanten prüfen.