Was beim Laden einer Seite passiert
Ein Browser lädt nicht nur die Seite, sondern alles, was sie einbindet: Skripte von Content Delivery Networks, Schriften von Google Fonts, Bilder von Bildservern, Karten, Videos, Zahlungs-Widgets, Chat-Fenster, Analyse- und Werbeskripte. Jede dieser Anfragen überträgt die IP-Adresse des Besuchers, Browser-Kennung, Referrer und oft Cookies an den jeweiligen Server. Die IP-Adresse ist nach Art. 4 Nr. 1 DSGVO ein personenbezogenes Datum (EuGH, Urteil vom 19.10.2016, C-582/14). Steht der Server außerhalb der EU oder gehört er einem Unternehmen außerhalb der EU, liegt eine Übermittlung in ein Drittland vor, die nach Art. 44 ff. DSGVO einer Grundlage bedarf.
Die Rechtslage
Art. 45 DSGVO erlaubt Übermittlungen in Länder mit Angemessenheitsbeschluss der EU-Kommission. Für die USA gilt seit dem 10.07.2023 der Beschluss zum EU-US Data Privacy Framework, allerdings nur für Unternehmen, die sich dort zertifiziert haben; die Liste führt das US-Handelsministerium. Ohne Beschluss braucht es geeignete Garantien nach Art. 46, in der Praxis Standardvertragsklauseln der Kommission (Beschluss 2021/914) mit einer Transfer-Folgenabschätzung, wie sie der EuGH im Urteil Schrems II (16.07.2020, C-311/18) verlangt. Art. 49 nennt Ausnahmen, darunter die ausdrückliche Einwilligung, die für regelmäßige Einbindungen nicht trägt. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, § 25) verlangt zusätzlich eine Einwilligung für das Speichern und Auslesen von Informationen auf dem Endgerät, also für die meisten Cookies und Fingerprinting-Skripte, unabhängig vom Standort.
Anycast und der Trugschluss vom EU-Server
Große Netze beantworten Anfragen aus dem nächstgelegenen Rechenzentrum. Eine Geodatenbank zeigt deshalb für Cloudflare, Google oder Amazon oft Frankfurt oder Amsterdam an. Der Standort des antwortenden Knotens ist aber nicht der Maßstab: Entscheidend ist, wer die Daten verarbeitet und welchem Recht das Unternehmen unterliegt. Ein US-Anbieter mit EU-Knoten bleibt ein US-Anbieter, dessen Zugriff durch US-Behörden der EuGH in Schrems II als Problem benannt hat. Das Werkzeug stuft solche Hosts deshalb als eigene Kategorie ein und nennt den Anbieter aus den Daten des Autonomen Systems.
Typische Fehler
- Google Fonts dynamisch eingebunden: Der häufigste Fund, seit dem Münchner Urteil vom 20.01.2022 Gegenstand von Abmahnwellen.
- CDN-Skripte aus der Vorlage: jQuery, Bootstrap oder Icon-Fonts von cdnjs, jsDelivr oder unpkg, obwohl die Dateien lokal liegen könnten.
- YouTube ohne erweiterten Datenschutzmodus: Das Video lädt Cookies und Tracking vor dem Abspielen; youtube-nocookie.com und Zwei-Klick-Lösung fehlen.
- Analyse- und Werbeskripte vor der Einwilligung: Der Banner ist da, die Skripte laden trotzdem.
- Datenschutzerklärung veraltet: Nennt Dienste, die nicht mehr eingebunden sind, und verschweigt neue.
- Eigener Server im Drittland: Hosting bei einem Anbieter außerhalb der EU ohne Vertrag nach Art. 28 und Art. 46 DSGVO.
Was eine saubere Lösung ausmacht
Schriften, Skripte und Stylesheets liegen auf dem eigenen Server oder bei einem EU-Anbieter mit Auftragsverarbeitungsvertrag. Karten, Videos und Social-Media-Einbettungen laden erst nach Klick. Analyse läuft serverseitig oder mit einem EU-Werkzeug ohne Cookies. Der Consent-Banner steuert tatsächlich, was geladen wird, und die Datenschutzerklärung beschreibt genau diese Quellen. Ein wiederkehrender Prüflauf wie dieser meldet, wenn eine neue Quelle auftaucht. Wie wir Websites ohne fremde Einbettungen bauen, steht unter https://netzhandwerker.de/webseite-erstellen-lassen; Speicher aus Deutschland unter https://netzhandwerker.de/cloudwerk.
Quellen: DSGVO Art. 4, 28, 44 bis 49; Durchführungsbeschluss (EU) 2023/1795 (EU-US Data Privacy Framework, 10.07.2023); Durchführungsbeschluss (EU) 2021/914 (Standardvertragsklauseln); EuGH C-311/18 (Schrems II, 16.07.2020) und C-582/14 (Breyer, 19.10.2016); LG München I, 3 O 17493/20 (20.01.2022); TDDDG § 25; IP Geolocation by DB-IP (db-ip.com), CC BY 4.0.
Weiterführend auf netzhandwerker.de
