Welche Dienste müssen in die Datenschutzerklärung?

Die meisten Datenschutzerklärungen sind nicht falsch, sondern unvollständig. Sie beschreiben eine Website, die es so nicht gibt: ohne die Schriften, die das Theme nachlädt, ohne das Chatfenster aus dem Plugin, ohne die Karte im Kontaktformular. Genau diese Lücke ist der Mangel, den Aufsichtsbehörden 2026 verstärkt suchen — und der sich am leichtesten schließen lässt.

Was die DSGVO verlangt

Nach Art. 13 Abs. 1 lit. e DSGVO musst du die Empfänger oder Kategorien von Empfängern personenbezogener Daten benennen. Ein Empfänger ist jeder, an den Daten fließen — und die IP-Adresse deines Besuchers ist ein personenbezogenes Datum.

Der entscheidende Punkt wird oft übersehen: Der Datenfluss entsteht beim bloßen Aufruf deiner Seite. Niemand muss klicken. Bindest du ein YouTube-Video ein, geht die IP-Adresse an Google, sobald die Seite lädt — auch wenn das Video nie abgespielt wird.

Warum 2026 genauer hingeschaut wird

Der Europäische Datenschutzausschuss hat für 2026 die Transparenz- und Informationspflichten nach Art. 12, 13 und 14 DSGVO zum koordinierten Prüfschwerpunkt erklärt. 25 Aufsichtsbehörden prüfen im selben Zeitraum dasselbe Thema und legen die Ergebnisse anschließend zusammen.

Geprüft wird dabei nicht nur, ob eine Erklärung existiert, sondern ob sie lesbar ist, alle Pflichtangaben enthält — und ob sie zu dem passt, was die Website tatsächlich tut. Der häufigste Befund ist genau das: kein vergessener Paragraf, sondern eine Erklärung, die nicht zur Realität passt.

Die Dienste, die am häufigsten fehlen

Aus unseren Messungen an deutschen Betriebswebsites — sortiert danach, wie oft sie eingebunden sind, ohne im Text vorzukommen:

• Google Fonts — steckt in fast jedem gekauften Theme. Niemand hat es bewusst eingebaut, deshalb steht es nirgends.
• Google Analytics und Google Tag Manager — meist über ein Plugin installiert und danach vergessen.
• Google Maps — die Karte auf der Kontaktseite.
• YouTube und Vimeo — ein eingebettetes Video reicht.
• Google reCAPTCHA — sitzt im Kontaktformular, oft ohne dass der Betreiber weiß, dass es Google ist.
• Chatfenster wie Intercom oder Tidio.
• Newsletter-Anbieter wie Brevo oder Mailchimp — das Anmeldeformular lädt Skripte vom Anbieter.
• Werbe-Pixel von Meta, LinkedIn, TikTok oder Pinterest — meist von einer Agentur eingebaut, die schon lange nicht mehr für dich arbeitet.
• Bewertungssiegel und Prüfsiegel — jedes eingebettete Bild von einem fremden Server zählt.
• Zahlungsdienste wie PayPal oder Stripe.

Warum das so oft passiert

Fast nie aus Nachlässigkeit. Der Grund ist, dass die meisten dieser Dienste nicht als Datenverarbeitung wahrgenommen werden, sondern als Gestaltung. Eine Schriftart ist für das Gefühl eine Designentscheidung, kein Datentransfer in die USA. Ein Bewertungssiegel ist ein Vertrauenselement, kein Empfänger personenbezogener Daten.

Dazu kommt: Vieles davon hat der Betreiber nie selbst eingebaut. Das Theme bringt Schriften mit, das Formular-Plugin bringt ein Captcha mit, der Baukasten lädt Symbole nach. Wer seine Datenschutzerklärung aus einem Generator zusammenklickt, kann diese Dinge dort nicht angeben — er weiß nichts davon.

Selbst prüfen — in fünf Minuten

1. Deine Startseite in einem privaten Fenster öffnen.
2. F12 drücken, Reiter Netzwerk wählen.
3. Die Seite mit F5 neu laden.
4. Die Spalte Domain einblenden und danach sortieren.
5. Jede Adresse, die nicht deine eigene ist, notieren.

Diese Liste ist deine Empfängerliste. Vergleiche sie Zeile für Zeile mit deiner Datenschutzerklärung. Was dort nicht vorkommt, fehlt.

Wichtig dabei: Nur nachgeladene Inhalte zählen — Bilder, Skripte, Schriften, Stylesheets, eingebettete Rahmen. Ein Link auf eine fremde Seite überträgt beim Aufruf nichts und gehört nicht in die Liste.

Was in den Absatz gehört

Ein tragfähiger Absatz nennt vier Dinge:

• Welcher Dienst eingebunden ist, mit Namen.
• Wer der Anbieter ist — Firma und Sitz.
• Was übertragen wird, mindestens die IP-Adresse, und wohin.
• Auf welcher Rechtsgrundlage — bei fast allen Drittdiensten ist das die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Geht die Übermittlung in ein Land außerhalb der EU, gehört der Hinweis dazu. Und wenn du einen Auftragsverarbeitungsvertrag geschlossen hast, kannst du das erwähnen — verpflichtend ist es an dieser Stelle nicht.

Der zweite Teil: Die Nennung allein genügt nicht

Ein Dienst, der eine Einwilligung braucht, darf erst nach der Zustimmung starten. Steht er zwar korrekt in der Datenschutzerklärung, lädt aber schon beim Seitenaufruf, ist das ein eigener Verstoß — nach § 25 Abs. 1 TDDDG. Beides gehört zusammen: richtig nennen und richtig blockieren.

Wie du erkennst, ob dein Einwilligungsbanner tatsächlich blockiert, steht im Ratgeber Cookie-Banner ohne Ablehnen-Button.

Häufige Fragen

Muss Google Analytics in die Datenschutzerklärung?

Ja. Google Analytics überträgt beim Seitenaufruf die IP-Adresse deiner Besucher an Google. Damit ist Google ein Empfänger personenbezogener Daten, und nach Art. 13 Abs. 1 lit. e DSGVO müssen Empfänger in der Datenschutzerklärung benannt werden. Es genügt nicht, allgemein von „Analysediensten" zu sprechen — der Dienst muss erkennbar sein.

Was passiert, wenn ein Dienst in der Datenschutzerklärung fehlt?

Die Datenverarbeitung ist dann nicht ordnungsgemäß offengelegt. In der Praxis führt das zu Beschwerden bei der Aufsichtsbehörde, zu Abmahnungen durch Wettbewerber und Verbände und im Ernstfall zu einem Bußgeld. Der häufigere Fall ist unangenehmer als teuer: Ein Kunde oder Mitbewerber schaut in den Quelltext, findet den Dienst, findet ihn nicht im Text — und schreibt.

Reicht eine Datenschutzerklärung aus einem Generator?

Als Grundlage ja, als Ergebnis nein. Ein Generator kennt nur, was du ihm ankreuzt. Er sieht nicht, dass dein Theme Schriften von Google lädt oder dass ein Plugin ein Chatfenster einbindet. Genau diese Lücke ist der häufigste Mangel: nicht ein vergessener Paragraf, sondern eine Erklärung, die nicht zu dem passt, was die Seite tatsächlich tut.

Welche Dienste werden am häufigsten vergessen?

Nach unseren Messungen: Google Fonts (weil sie im Theme stecken und niemand sie bewusst eingebaut hat), eingebettete Karten, YouTube-Videos, Schriften und Symbole aus fremden Netzen, Chatfenster, Newsletter-Formulare und Bewertungssiegel. Allen gemeinsam: Sie wurden nicht als Datenverarbeitung wahrgenommen, sondern als Gestaltungselement.

Muss ich Google Fonts nennen, wenn sie lokal liegen?

Nein. Liegen die Schriftdateien auf deinem eigenen Server, geht beim Seitenaufruf nichts an Google — es gibt keinen Empfänger und nichts zu nennen. Entscheidend ist nicht, woher die Schrift ursprünglich stammt, sondern von welchem Server der Browser sie holt.

Zählt ein Link auf eine fremde Seite auch?

Nein. Ein Link überträgt beim bloßen Aufruf deiner Seite nichts. Erst wenn der Besucher klickt, verlässt er deine Website — dann gilt die Erklärung der anderen Seite. Zu nennen sind nur eingebettete Inhalte: alles, was dein Browser automatisch nachlädt.

Wie finde ich heraus, welche Dienste meine Seite lädt?

Öffne die Seite in einem privaten Fenster, drücke F12 und wechsle auf „Netzwerk". Lade die Seite neu und sortiere nach Domain. Alles, was nicht deine eigene Adresse ist, ist ein fremder Empfänger. Diese Liste vergleichst du mit deiner Datenschutzerklärung.

Muss der Anbieter mit vollständiger Anschrift genannt werden?

Die DSGVO verlangt die Benennung der Empfänger oder Kategorien von Empfängern. In der Praxis hat sich durchgesetzt, den Anbieter mit Firma und Sitz zu nennen — das ist eindeutig und erspart die Diskussion, ob eine Kategorie ausreichend bestimmt war.

Wird das wirklich geprüft?

Ja, und 2026 verstärkt. Der Europäische Datenschutzausschuss hat die Transparenz- und Informationspflichten nach Art. 12, 13 und 14 DSGVO zum koordinierten Prüfschwerpunkt für 2026 gemacht. 25 Aufsichtsbehörden prüfen dabei dasselbe Thema gleichzeitig — unter anderem, ob Datenschutzhinweise vollständig sind und zur Wirklichkeit passen.

Stand: 18. August 2026. Dieser Text erklärt technische und rechtliche Zusammenhänge und ist keine Rechtsberatung.