In Briefings hören wir fast immer denselben Satz: „Wir brauchen eine DSGVO-konforme Website.“ Gemeint ist meist etwas Konkreteres: Impressum, Datenschutzerklärung, ein Cookie-Banner, das nicht nervt, und die Gewissheit, dass Google Fonts, Maps und ein Chat-Widget nicht still Daten in die USA schieben. Das ist verständlich. Es ist aber auch ungenau. Die Verordnung verlangt keine magische Konformitätsplakette. Sie verlangt Zweckbindung, Rechtsgrundlagen, Transparenz, Sicherheit und — wo nötig — Einwilligung. Technik setzt das um oder unterläuft es.
Wir bauen Sites für Auftraggeber im DACH-Raum. Der Sitz von Hesadu Creatives liegt in Gampaha, Sri Lanka. Genau deshalb behandeln wir Drittlandtransfer, Vertreter nach Art. 27 DSGVO und Hosting in der Union nicht als Fußnote, sondern als Entwurfentscheidung. Was folgt, ist die Checkliste, mit der wir vor dem Launch arbeiten. Sie ersetzt keine anwaltliche Prüfung. Wer Verbraucher im Fernabsatz bedient, Werbenetzwerke einbindet oder Gesundheitsdaten erhebt, braucht zusätzlich Rechtsrat. Wir schreiben das an den Anfang, nicht in den Disclaimer ganz unten.
Worum es in diesem Text geht — und worum nicht
Dieser Artikel richtet sich an Geschäftsführerinnen, Marketingleitungen und interne IT, die eine Unternehmenswebsite für Deutschland, Österreich oder die Schweiz beauftragen oder betreiben. Er beschreibt, was auf der Site stehen muss, welche Skripte vor Einwilligung nichts verloren haben, wie Schriften und Medien laufen sollten und was sich ändert, wenn der Dienstleister außerhalb der EU sitzt. Er ist kein Gutachten, keine Zertifizierung und keine Garantie gegenüber Aufsichtsbehörden.
Wir unterscheiden bewusst zwischen dem, was wir als Studio technisch umsetzen können, und dem, was nur Sie oder Ihre Kanzlei festlegen dürfen: etwa die genaue Formulierung von Zwecken, die Auswahl eines EU-Vertreters, die Bewertung, ob ein berechtigtes Interesse trägt, oder die Frage, ob Ihr Onlineshop zusätzliche Pflichtangaben braucht. Wer das vermischt, produziert schöne Texte und riskante Lücken.
Eine Website ist datenschutzrechtlich selten „fertig“. Sie ist in einem Zustand, den man begründen, dokumentieren und bei Änderungen nachziehen kann. Das ist weniger glamourös als ein grünes Häkchen im Cookie-Tool — und belastbarer.
DSGVO und TDDDG: zwei Schichten, eine Oberfläche
Im Alltag werden beide Regelwerke in einen Topf geworfen. Für die Umsetzung ist die Trennung nützlich. Die DSGVO regelt die Verarbeitung personenbezogener Daten: Wer ist verantwortlich, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange, an wen, mit welchen Rechten der betroffenen Person. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, zuvor TTDSG) setzt zusätzlich an der Endeinrichtung an: Speichern und Auslesen von Informationen auf dem Gerät der Nutzerin oder des Nutzers — Cookies, Local Storage, Fingerprinting-ähnliche Techniken — braucht in der Regel eine Einwilligung, soweit es nicht unbedingt erforderlich ist, damit der Dienst funktioniert, den die Person ausdrücklich angefordert hat.
Praktisch heißt das: Ein Session-Cookie, das ein Kontaktformular vor CSRF schützt, kann notwendig sein. Ein Analyse-Pixel, das merkt, wie weit jemand scrollt, ist es in der Regel nicht. Ein Marketing-Tag, der vor dem ersten Klick feuert, ist das Gegenteil von dem, was deutsche Gerichte und Aufsichtsbehörden seit Jahren beanstanden. Wir bauen Banner deshalb nicht als Dekor, sondern als Schalter: Was nicht notwendig ist, bleibt aus, bis jemand zustimmt. Ablehnen muss genauso einfach sein wie Zustimmen. Dark Patterns — vorangekreuzte Kästchen, ein winziges „Ablehnen“ hinter drei Klicks — gehören nicht auf eine Site, die Vertrauen verkaufen will.
Was „unbedingt erforderlich“ in der Praxis bedeutet
Unbedingt erforderlich ist nicht, was dem Marketing lieb ist. Es ist das, ohne das der von Ihnen angebotene Dienst technisch nicht läuft: Warenkorb, Login-Session, Lastverteilung, Sicherheits-Token, Speicherung der Cookie-Entscheidung selbst. Reichweitenmessung, Retargeting, A/B-Tests mit personenbeziehbaren IDs, eingebettete Social-Plugins: das sind Zusatzdienste. Sie können nützlich sein. Sie sind selten zwingend. In Briefings hören wir oft: „Aber ohne Analytics wissen wir nichts.“ Dann messen wir, was ohne Drittanbieter geht — Server-Logs in der EU, ein selbst gehostetes Matomo, ein cookiefreies Tool — oder wir lassen es bleiben, bis eine Einwilligung steht.
Pflichtflächen, die vor dem Launch stehen müssen
Eine deutsche Unternehmenswebsite ohne erkennbare Verantwortlichkeit wirkt nicht modern, sondern unvollständig. Das Digitale-Dienste-Gesetz (DDG, zuvor TMG) verlangt Anbieterkennzeichnung. Die DSGVO verlangt eine Information, die Betroffene verstehen können. Wer an Verbraucher im Fernabsatz verkauft, braucht zusätzlich Widerruf und oft AGB. Wir legen die Flächen an, bevor Design-Feinschliff beginnt. Texte ohne Impressum-Link im Footer sind für uns kein Launch.
Impressum: echte Anschrift, erreichbarer Mensch
Das Impressum nennt, wer hinter dem Angebot steht: Name, ladungsfähige Anschrift, Kontakt. Eine E-Mail reicht nicht als einzige Erreichbarkeit, wenn niemand sie liest. Telefon oder ein Formular, das innerhalb üblicher Fristen beantwortet wird, gehören dazu. Registerangaben und Umsatzsteuer-ID, soweit vorhanden. Bei uns steht die Anschrift in Sri Lanka, weil dort der Verantwortliche sitzt. Eine dekorative Adresse in München, die niemand erreicht, wäre das Gegenteil von Kennzeichnung. Domain und Impressum sind zwei Paar Schuhe: Eine .de-Adresse ersetzt keine Niederlassung.
Verantwortlich für den Inhalt ist eine natürliche Person mit Anschrift. Bei einem Studio unter der Leitung von Hesadu Dissanayaka ist das nachvollziehbar. Versteckte Postfächer, virtuelle Büros ohne Zustellung und „c/o Agentur XY“ ohne Klarheit, wer tatsächlich anbietet, erzeugen genau den Eindruck, den deutsche Einkäufer meiden.
Datenschutzerklärung: Zwecke statt Textbaustein-Friedhof
Die Datenschutzerklärung muss zu dieser Site passen. Ein Generator, der Google Analytics, Facebook Pixel, Newsletter-Tool und US-CDN auflistet, obwohl nichts davon läuft, ist keine Sorgfalt, sondern Rauschen. Wir beschreiben Hosting, Logs, Formular, Cookie-Entscheidung, Schriften, etwaige Analyse, Empfänger, Speicherdauer, Betroffenenrechte und — bei uns zwingend — den Transfer nach Sri Lanka. Rechtsgrundlagen nennen wir konkret: Vertrag oder Anbahnung, berechtigtes Interesse, Einwilligung. Wer „wir verarbeiten Daten, um unser Angebot zu verbessern“ als einzige Formel nutzt, hat nichts erklärt.
Standdatum und Änderungslogik gehören dazu. Ändert sich der Hoster, kommt ein Chat, fällt Analytics weg: der Text muss nachziehen. Wir behandeln die Erklärung als Teil der Codebasis, nicht als PDF aus 2018 im Footer.
Cookie-Richtlinie und Consent-Protokoll
Neben der Datenschutzerklärung führen wir eine Cookie-Richtlinie, die auflistet, was gesetzt wird, von wem, wofür und wie lange. Notwendig und optional getrennt. Die Entscheidung speichern wir lokal so, dass wir sie nicht jedes Mal erzwingen — und so, dass ein Widerruf möglich bleibt. Ein Consent-Management, das die Wahl nicht dokumentiert, hilft Ihnen später nicht, wenn jemand fragt, ob Tracking vor dem Klick lief.
Technik, die in Deutschland regelmäßig scheitert
Die meisten Abmahnrisiken auf Unternehmenssites entstehen nicht durch böse Absicht, sondern durch Standard-Themes und Marketing-Steckdosen. Page Builder laden Google Fonts vom CDN. Ein „einfaches“ Maps-Embed ruft Google auf, sobald die Kontaktseite öffnet. YouTube-iFrames setzen Cookies, bevor jemand Play drückt. Chat-Widgets aus den USA telefonieren nach Hause. Ein Tag-Manager hängt zwölf Tags in den <head>, „nur zum Testen“, und bleibt. Wir räumen das nicht mit einem Banner weg. Wir entfernen die Ursache oder kapseln sie hinter Einwilligung bzw. Zwei-Klick.
Schriften lokal hosten
Google Fonts über fonts.googleapis.com sind in Deutschland ein Dauerbrenner: Beim Abruf geht typischerweise die IP an Google. Ob das im Einzelfall ein Schaden ist, entscheiden Gerichte und Anwälte. Für uns als Studio ist die technische Antwort einfach: Schriften liegen auf dem eigenen Server, mit font-display, ohne Drittabruf. Das verbessert oft auch die Ladezeit. Wer Variable Fonts und ein knappes Schnitt-Set nutzt, braucht das CDN nicht. In Briefings hören wir: „Aber dann wirken die Schriften anders.“ Dann kalibrieren wir die Dateien, statt ein Tracking-Risiko einzukaufen.
Karten, Video, Social, Chat
Eine Karte auf der Kontaktseite ist nützlich. Ein direktes Google-Maps-Embed ist ein Drittland- und Cookie-Thema. Lösungen: statisches Bild mit Link, OpenStreetMap über einen EU-Host, oder Zwei-Klick (erst laden nach Zustimmung). Dasselbe Muster gilt für YouTube und Vimeo: Preview-Bild, Klick, dann Embed — oder selbst gehostetes Video ohne Tracker. Social-Plugins (Like, Share, Feed) sind in der Standardform Datenlecks. Teilen per Link reicht fast immer.
Chat-Widgets versprechen Conversion. Sie liefern oft US-Server, Session-Mitschnitte und versteckte Cookies. Wenn Sie Chat brauchen, klären wir vor dem Einbau: Wo liegt der Dienst, gibt es einen Auftragsverarbeitungsvertrag, welche Rechtsgrundlage, welche Einwilligung. Sonst bleibt es bei Formular und E-Mail. Langsamer im Chat, klarer im Recht.
Formulare, TLS, keine stille US-SaaS
Kontaktformulare laufen über HTTPS. Pflichtfelder nur, was zur Antwort nötig ist. Kein heimliches Weiterleiten an ein US-CRM, nur weil das Marketing-Tool es „nativ“ anbietet. Captchas von Drittanbietern können selbst Tracking sein. Wir bevorzugen serverseitige Begrenzung, Honeypot und — wo nötig — europäische oder selbst gehostete Herausforderungen. Datei-Uploads brauchen Zweck, Größe, Speicherdauer und Zugriffskonzept. „Einfach mal den Lebenslauf anhängen lassen“ ist eine Personaldatenverarbeitung, keine Deko.
Cookies in der konkreten Konfiguration
Wir unterscheiden drei Körbe, die das Banner abbilden muss — oder, besser, von denen zwei leer bleiben.
- Notwendig: Session, CSRF, Speicherung der Einwilligung, Warenkorb, Login. Kein Banner-Theater, aber Transparenz in der Richtlinie.
- Statistik: nur nach Opt-in, sofern der Dienst personenbeziehbar misst. IP-Kürzung allein macht aus einem US-Tag noch keine Freifahrt.
- Marketing: nur nach Opt-in. Default aus. Widerruf im Footer erreichbar.
Wenn Statistik und Marketing nicht existieren, braucht es keinen dreistufigen Layer, der so tut, als gäbe es sie. Ein Hinweis plus Link zur Richtlinie kann reichen. Das ist die sauberste Variante und die, die wir für viele B2B-Sites empfehlen. Wer trotzdem misst, muss es ehrlich tun: Namen der Cookies, Anbieter, Zweck, Dauer, Drittland. Ein Banner, das „Partner“ sagt und 80 Vendors verbirgt, ist in Deutschland kein Qualitätsmerkmal.
Sri Lanka als Drittland: was das für Ihre Anfrage bedeutet
Hesadu Creatives sitzt in Sri Lanka. Sri Lanka hat keinen Angemessenheitsbeschluss der EU-Kommission. Wenn Sie uns über das Formular schreiben, gehen Name, Firma, E-Mail, Nachricht und technische Metadaten zur Bearbeitung dorthin. Das ist kein Geheimnis und darf keines sein. Die Datenschutzerklärung sagt es. Die Rechtsgrundlage für Ihre Anfrage ist typischerweise Vertrag bzw. Anbahnung; der Transfer stützt sich auf Art. 46 DSGVO, in der Praxis Standardvertragsklauseln, plus Transparenz und — wo erforderlich — ergänzende Maßnahmen.
Hosting der Website selbst gehört in die EU, sobald personenbezogene Daten auf dem Server liegen (Logs, Formularspeicher, Backups). Produktion in Gampaha und Datenhaltung in Frankfurt schließen sich nicht aus. Wer beides in ein US-Shared-Hosting ohne AV-Vertrag packt, hat das Problem nur verschoben. Wir empfehlen Hoster mit Auftragsverarbeitung, Serverstandort in der Union, Backup-Konzept und Zugang nur für benannte Personen.
Artikel 27: Vertreter in der Union
Richtet sich ein Angebot gezielt an Personen in der EU und fehlt eine Niederlassung in der Union, verlangt Art. 27 DSGVO in der Regel einen Vertreter. Das ist eine benannte Stelle in der EU, an die sich Betroffene und Aufsichtsbehörden wenden können. Ein Vertreter ist kein Impressum-Ersatz und keine Niederlassung. Er muss tatsächlich mandatiert sein, nicht nur als Platzhalter in der Config stehen. Vor dem Livegang einer Site, die den DACH-Markt anspricht, gehört der Name in Impressum und Datenschutz — oder es muss klar sein, dass das Mandat noch fehlt und nachgezogen wird. Wir halten das Feld vorbereitet und erfinden keine EU-Adresse.
Was Sie als Auftraggeber zusätzlich klären
Wenn wir für Sie entwickeln, sind Sie für Ihre eigene Site Verantwortliche oder Verantwortlicher. Wir sind Auftragsverarbeiter, soweit wir personenbezogene Daten Ihrer Besucher im Auftrag verarbeiten — etwa beim Hosting-Zugang, bei Redaktion oder Support. Dafür braucht es einen Vertrag nach Art. 28. Ihre Kundendaten in Ihrem CRM sind Ihre Sache; wir bekommen sie nur, wenn das Projekt es verlangt. In Briefings hören wir gelegentlich: „Ihr sitzt ja in Sri Lanka, dann gilt DSGVO nicht.“ Das ist falsch, sobald Art. 3 Abs. 2 greift: gezieltes Anbieten an Personen in der Union. Genau das tun wir mit einer deutschen Site. Genau das tun Sie, wenn Ihre Site deutsche Unternehmen anspricht.
Auftragsverarbeitung, Logs, Speicherdauer
Der Hoster sieht IP-Adressen. Mail-Transport sieht Empfänger. Ein Backup-Dienst sieht Datenbanken. Jeder Empfänger braucht eine Rolle: Auftragsverarbeiter mit Vertrag, eigenständig Verantwortlicher, oder — selten — gemeinsame Verantwortung. Wir listen Empfänger in der Erklärung, statt „ggf. Dienstleister“ zu schreiben. Server-Logs dienen Sicherheit und Missbrauchsabwehr, Rechtsgrundlage meist berechtigtes Interesse, Speicherdauer kurz (häufig 7–14 Tage), länger nur wenn ein Vorfall es verlangt. Wer Logs „für immer, man weiß ja nie“ behält, hat keine Speicherbegrenzung.
Kontaktanfragen speichern wir, bis die Sache erledigt ist, danach gemäß handels- oder steuerrechtlicher Pflichten, soweit sie greifen, sonst Löschung oder Einschränkung. Newsletter gibt es auf dieser Studio-Site nicht als Default. Wenn Sie einen wollen, ist Double-Opt-in in Deutschland der erwartete Standard, mit klarer Abmeldemöglichkeit und ohne gekaufte Listen.
Checkliste vor dem Go-Live
Die folgende Tabelle ist unser Arbeitsstand, kein Auditbericht. Haken setzen wir nur, wenn der Punkt in Staging nachweisbar ist — nicht wenn er „geplant“ ist.
| Thema | Sollzustand | Häufiger Fehler |
|---|---|---|
| Impressum | Echte Anschrift, Kontakt, Verantwortliche, Register/USt soweit vorhanden | Virtuelle DE-Adresse, fehlendes Telefon/Formular |
| Datenschutz | Passend zur echten Technik, inkl. Drittland und Rechte | Generator mit ungenutzten US-Diensten |
| Cookies | Nur Notwendiges ohne Opt-in; Rest aus bis Consent | Tags feuern vor Klick |
| Schriften | Lokal, kein fonts.googleapis.com | Theme-Default lädt Google |
| Medien | Zwei-Klick oder EU-Host / statisch | YouTube- und Maps-iFrames roh |
| Formular | TLS, minimale Felder, kein stilles CRM-US-SaaS | Mailchimp ohne Grundlage |
| Hosting | EU, AV-Vertrag, kurze Logs | Billig-US-Share ohne Vertrag |
| Art. 27 | Vertreter benannt oder ehrlich als offen markiert | Leeres Feld, so tun als ob |
| Transfer LK | SCC + Transparenz für Anfragen nach Sri Lanka | „Wir sind nur Designer“ |
| Banner | Ablehnen so leicht wie Zustimmen; oder gar kein Marketing | Nur „OK“-Button |
Was wir in Briefings immer wieder hören
„Macht mal Cookie-Banner, dann sind wir safe.“ Ein Banner ohne Inventar der Skripte ist Theater. Zuerst kommt die Liste der Requests im Netzwerk-Tab, dann die Entscheidung, was weg kann. Oft verschwinden 70 Prozent der Drittanbieter, ohne dass die Site schlechter wird. Was bleibt, bekommt eine Grundlage.
„Unsere IT hat gesagt, IP-Adressen sind keine personenbezogenen Daten.“ In der DSGVO-Praxis in Deutschland gelten IP-Adressen regelmäßig als personenbeziehbar. Logs sind Verarbeitung. Punkt.
„Wir nutzen nur Google, das nutzen alle.“ Marktüblichkeit ist keine Rechtsgrundlage. Für viele Unternehmenssites ist Search Console ohne Analytics-Tag ausreichend, um Indexierung zu sehen. Wer mehr will, begründet es.
„Könnt ihr die Datenschutzerklärung von der alten Site übernehmen?“ Nur wenn die Technik gleich bleibt. Alte Texte erwähnen Piwik, nennen aber GA4, oder umgekehrt. Wir schreiben die Erklärung gegen den tatsächlich ausgelieferten HTML-Kopf.
„Muss das alles vor dem Launch?“ Ja, soweit es die laufende Site betrifft. Ein Staging hinter Basic Auth und noindex darf unvollständig sein; die öffentliche Domain nicht. Redirects von der alten Domain erben sonst das Problem.
Barrierefreiheit, Minderjährige, Sonderfälle
Datenschutz und Barrierefreiheit berühren sich bei Consent-Layern: Ein Banner, das Tastatur und Screenreader aussperrt, ist doppelt unbrauchbar. Ablehnen muss fokussierbar sein. Texte müssen lesbar sein, nicht nur rechtlich vollständig. Das Barrierefreiheitsstärkungsgesetz betrifft nicht jede KMU-Site gleich; semantisches HTML und Kontrast sind trotzdem Standard bei uns, nicht ein Extra für Behörden.
Angebote, die sich an Kinder richten, Tracking in Bewerbungsstrecken, Gesundheits-, Finanz- oder Standortdaten in Echtzeit: das sind Sonderfälle. Hier endet die Checkliste und beginnt Mandatsarbeit. Wir bauen dann keine „schnelle Lösung“, sondern stoppen, bis Zwecke und Grundlagen stehen.
Was wir tun — und was Ihr Anwalt tun muss
Wir konfigurieren Hosting-Empfehlungen in der EU, lokale Schriften, schlanke Skripte, Consent nur wo nötig, Formulare ohne heimliche Abflüsse, Flächen für Impressum, Datenschutz und Cookie-Richtlinie, Hinweise auf Drittland und Art. 27. Wir dokumentieren, welche Cookies existieren. Wir entfernen Theme-Ballast. Das ist unser Handwerk, beschrieben auch unter technischer SEO, weil viele dieser Punkte gleichzeitig Indexierung und Tempo betreffen.
Wir formulieren keine Garantie, dass eine Aufsichtsbehörde oder ein Gericht Ihre Site „für rechtmäßig erklärt“. Wir ersetzen keine Datenschutz-Folgenabschätzung, keine Verzeichnisse von Verarbeitungstätigkeiten in Ihrem Unternehmen und keine Schulung Ihrer Mitarbeitenden. Wenn Sie uns beauftragen, klären wir im Angebot, ob Textredaktion der Rechtstexte enthalten ist oder ob Ihre Kanzlei liefert und wir nur einbauen.
Rechtssicherheit entsteht nicht durch die teuerste Consent-Software. Sie entsteht, wenn die Site weniger verarbeitet, als das Marketing ursprünglich wollte — und das, was bleibt, erklären kann.
Nach dem Launch: Betrieb, nicht einmaliges Projekt
Plugins kommen, Marketing bucht ein Tool „nur für die Kampagne“, ein Junior hängt einen Pixel in den Tag-Manager. Drei Monate später entspricht die Datenschutzerklärung nicht mehr der Realität. Wir empfehlen eine kurze, wiederkehrende Prüfung: Netzwerk-Tab, Cookie-Store, Footer-Links, Hoster-Rechnung (Standort), Vertreter-Mandat. Änderungen an Zwecken sind Anlass, den Text zu datieren. Ein Vorfall (Formular-Spam, gehacktes WordPress) ist Anlass, Logs und Zugänge zu prüfen, nicht nur das Design zu erneuern.
Wenn Sie uns für Wartung buchen, gehört diese Kontrolle in den Turnus. Wenn Sie intern weiterbauen, brauchen Sie jemanden, der „neues Skript“ als Datenschutzfrage erkennt, nicht nur als Conversion-Chance.
Kurz: Reihenfolge, die sich bewährt
- Verantwortliche benennen, Anschrift und Kontakt klären, Impressum schreiben.
- Inventar: welche Requests, Cookies, Empfänger, Speicherorte existieren sollen.
- Streichen, was nicht nötig ist. Schriften lokal. Medien ohne Tracker.
- Hosting in der EU mit AV-Vertrag. Logs begrenzen.
- Drittland (Sri Lanka, ggf. USA) transparent machen, SCC wo nötig.
- Art. 27 klären, falls keine EU-Niederlassung.
- Datenschutz- und Cookie-Text gegen die echte Technik schreiben.
- Consent nur für das, was übrig und nicht notwendig ist.
- Staging prüfen, dann Launch, dann Search Console — ohne vorschnelle Analytics.
- Nach drei Monaten Inventar wiederholen.
Österreich und die Schweiz folgen nicht identisch dem deutschen DDG, erwarten aber ebenfalls erkennbare Anbieter, nachvollziehbare Datenschutzerklärungen und Zurückhaltung bei Tracking. Wer eine Site für den ganzen DACH-Raum betreibt, sollte die strengere Praxis als Maßstab nehmen und lokale Besonderheiten mit der eigenen Beratung klären — nicht mit einem einzigen Generator-Text für drei Rechtsordnungen.
Bewerberformulare sind kein Kontakt plus PDF
Ein Lebenslauf-Upload ist keine Anfrage mit Anhang. Es ist Bewerberdaten: oft längere Speicherung, engerer Zugriff, andere Löschfrist, manchmal besondere Kategorien, wenn Gesundheitsfragen mitschwingen. Wir bauen das Formular erst, wenn Zweck und Frist stehen. „Die HR-Kollegin wollte das nur mal“ ist kein Zweck. Unter Webdesign legen wir die Fläche an. Die Grundlage liefern Sie oder Ihre Beratung.
Pflichtfelder auf das, was die Stelle braucht. Kein heimliches Weiterleiten an ein US-Recruiting-Tool, nur weil die Demo hübsch war. Zugang begrenzen. Löschen, wenn die Stelle besetzt ist — oder so lange, wie Sie es begründen können. Begründen müssen Sie, nicht das Theme. Wir sitzen in Gampaha; Bewerberdaten gehören nicht nebenbei in denselben Posteingang wie die allgemeine Anfrage, wenn HR das trennen will. Trennung ist Prozess, nicht ein zweites Theme.
Wenn Technik wechselt, muss der Text mit
Hosterwechsel, neues Formular-Tool, ein Chat „nur für die Messe“: die Datenschutzerklärung muss nachziehen, sonst beschreibt sie eine Site, die es nicht mehr gibt. Wir behandeln den Text wie Code. Diff, Datum, Livegang. Wer das als Pedanterie sieht, liest die nächste Abmahnung als Designproblem. Es ist keines.
Newsletter-Häkchen im Kontaktformular, vorangekreuzt, Text unleserlich: das sehen wir auf geerbten Sites regelmäßig. Wir entfernen es oder stellen Double-Opt-in ehrlich. Beides ist Arbeit. Beides ist klarer als ein stilles Abonnement. Preise für den Umbau stehen im Angebot, nicht als Fußnote „Banner inklusive und dann sind Sie safe“.
Wenn Sie an dieser Stelle unsicher sind, ist das kein Zeichen, dass Sie „zu wenig Tool“ haben. Es ist das normale Bild einer Site, die Ernst genommen werden soll. Schreiben Sie uns über Kontakt. Wir sagen Ihnen, was wir technisch schließen können — und wo Sie eine Kanzlei brauchen. Das ist unbequemer als ein Rundum-sorglos-Siegel. Es ist ehrlicher.
Lesen Sie ergänzend die Datenschutzerklärung dieser Site, das Impressum und die Cookie-Richtlinie. Wer die drei Seiten mit dem tatsächlich ausgelieferten HTML vergleicht, sieht, ob ein Studio seine eigene Checkliste einhält. Genau diesen Vergleich sollten Sie bei jedem Anbieter anstellen — bei uns und bei jedem anderen.
