Selbst Versicherer scheitern am Datenschutz-Check: So prüfen Sie Ihre Website in 15 Minuten

38 Versicherungen, alle mit Compliance-Abteilung, Datenschutzbeauftragten und Budget für Anwälte. Und trotzdem: Bei 36 von 38 Websites wurden zustimmungspflichtige Dienste schon beim ersten Seitenaufruf geladen — bevor irgendjemand auf „Akzeptieren" geklickt hat. Das ist das Ergebnis einer aktuellen Analyse des Datenschutz-Dienstleisters decareto vom Juli 2026. Wenn selbst große Versicherer an dieser Stelle scheitern: Wie steht dann eine Praxis-Website da, die seit dem Launch vor vier Jahren niemand mehr geprüft hat?

Was genau hat die Studie geprüft?

decareto hat die Websites von 38 deutschen Versicherungen automatisiert auf DSGVO- und TDDDG-Konformität untersucht. Das Interessante vorweg: Alle 38 hatten ein Consent-Banner. An gutem Willen fehlt es also nicht — es hapert an der technischen Umsetzung:

• 36 von 38 Websites (95 %) aktivierten zustimmungspflichtige Dienste oder Cookies bereits beim ersten Seitenaufruf — noch bevor Besucher überhaupt eine Entscheidung treffen konnten.
• 27 von 38 (71 %) setzten nicht notwendige Cookies ohne vorherige Einwilligung. Nach § 25 TDDDG und der Rechtsprechung von EuGH und BGH ist genau das unzulässig.
• 28 von 38 (74 %) nutzten externe Dienste, die in der Datenschutzerklärung gar nicht oder nicht eindeutig genannt wurden — ein möglicher Verstoß gegen die Informationspflichten aus Art. 13 DSGVO.

Am häufigsten liefen dabei Google-Dienste ohne Einwilligung mit: Webanalyse, Werbung, Tag Management. Das Banner erweckt den Eindruck, die Website warte auf die Entscheidung der Besucher — tatsächlich fließen die Daten längst.

Warum betrifft das Ihre Website?

Weil kleine Websites aus exakt denselben Bausteinen bestehen. Google Analytics, eine eingebettete Google-Maps-Karte, ein YouTube-Video auf der Startseite, Google Fonts, vielleicht ein Meta-Pixel aus einer alten Werbekampagne — all das sind externe Dienste, die beim Seitenaufruf Daten an Dritte übertragen können. Der Unterschied zur Versicherung: Bei Ihnen hat es vermutlich nie jemand geprüft. Das Banner wurde einmal per Plugin installiert, sah ordentlich aus, fertig.

Dass das kein theoretisches Risiko ist, zeigen die Urteile der letzten Jahre: Wegen des Meta-Pixels ohne Einwilligung haben Gerichte Meta bereits zu 5.000 Euro Schadensersatz pro Fall verurteilt — und Website-Betreiber, die den Pixel einbinden, gelten dabei als gemeinsam Verantwortliche. Was diese Urteile für kleine Betriebe bedeuten, haben wir hier aufgeschrieben. Und schon 2022 verurteilte das Landgericht München einen Website-Betreiber, weil Google Fonts direkt von Google-Servern geladen wurden und dabei die IP-Adresse der Besucher in die USA übertragen wurde.

So prüfen Sie Ihre Website in 15 Minuten

Sie brauchen dafür keinen Anwalt und keine Agentur — nur einen Browser. So gehen wir bei unseren eigenen Checks vor:

1. Inkognito-Fenster öffnen, eigene Website aufrufen — und das Banner ignorieren. Nicht klicken, weder „Akzeptieren" noch „Ablehnen". Genau dieser Zustand ist der kritische: Alles, was jetzt schon lädt, lädt ohne Einwilligung.
2. Entwicklertools öffnen (Taste F12), Reiter „Netzwerk". Seite neu laden und die Liste der Anfragen durchsehen. Auffällige Ziele: google-analytics.com, googletagmanager.com, fonts.googleapis.com, youtube.com, maps.googleapis.com, connect.facebook.net. Jede dieser Adressen bedeutet: Daten fließen an Dritte, bevor jemand zugestimmt hat.
3. Reiter „Anwendung" → Cookies prüfen. Vor dem Banner-Klick sollten hier nur technisch notwendige Cookies stehen. Ein _ga-Cookie an dieser Stelle heißt: Google Analytics läuft ohne Zustimmung.
4. Den Ablehnen-Test machen. Banner auf „Ablehnen" klicken, Seite neu laden, Netzwerk-Liste erneut prüfen. Laden die Tracking-Dienste trotzdem? Dann ist das Banner reine Dekoration.
5. Datenschutzerklärung abgleichen. Jeder Dienst, den Sie in Schritt 2 gefunden haben, muss dort namentlich auftauchen. Bei 74 % der geprüften Versicherer fehlten genau diese Angaben.

Was tun, wenn Sie fündig werden?

Die gute Nachricht: Die häufigsten Funde lassen sich mit überschaubarem Aufwand beheben — und zwar dauerhaft, nicht als Banner-Kosmetik.

• Google Fonts lokal einbinden. Die Schriften lassen sich herunterladen und vom eigenen Server ausliefern. Kein Datenabfluss, keine Einwilligung nötig — und schneller lädt die Seite meistens auch.
• Karten und Videos hinter einen Platzhalter legen. Eine Zwei-Klick-Lösung lädt YouTube oder Google Maps erst, wenn Besucher aktiv daraufklicken. Bis dahin sieht man nur ein Vorschaubild vom eigenen Server.
• Statistik ohne Cookies erheben. Werkzeuge wie Matomo (selbst gehostet, ohne Cookies) oder Plausible lassen sich so konfigurieren, dass in der Regel kein Einwilligungsbanner nötig ist — die Aufsichtsbehörden legen § 25 TDDDG hier allerdings unterschiedlich streng aus. Welche Statistik-Tools ohne Cookie-Banner funktionieren, zeigen wir hier.
• Das Banner richtig konfigurieren — oder abschaffen. Ein Banner braucht nur, wer zustimmungspflichtige Dienste einsetzt. Wer die Punkte oben umsetzt, kann es oft komplett streichen. Falls es bleiben muss: die häufigsten Konfigurationsfehler haben wir hier gesammelt.
• Datenschutzerklärung aktualisieren. Alles, was auf der Seite läuft, gehört hinein — und was nicht mehr läuft, gehört raus.

Unser Fazit

Die decareto-Zahlen zeigen vor allem eines: Ein Consent-Banner auf der Seite sagt nichts darüber aus, ob die Seite datenschutzkonform ist. Entscheidend ist, was technisch tatsächlich passiert — und das prüft man nicht einmalig, sondern nach jeder größeren Änderung an der Website. Der 15-Minuten-Check oben ist dafür ein realistischer Anfang. Wer dabei auf Funde stößt, die sich nicht selbst beheben lassen, sollte sie zumindest kennen: Es ist deutlich günstiger, eine Google-Fonts-Einbindung umzustellen, als auf das erste Anwaltsschreiben zu warten.