Wendelin, befreundeter Freelance-Entwickler, startet die Stoppuhr auf seinem Handy, noch bevor ich im DSGVO-Generator das erste Feld für die Datenschutzerklärung ausgefüllt habe. Er nennt jedes neue Tool aus meinem Webdesign-Alltag erst einen Papiertiger, bis er es selbst getestet hat, und dieses Mal soll es anders laufen. Die Tastatur klackert schneller, während ich zwischen den Browser-Tabs hin- und herspringe, Firmendaten raus, Textbaustein rein. Elf Minuten später hält er mir sein Handy hin: fertige Datenschutzerklärung, Stoppuhr angehalten, Papiertiger-Verdacht erstmal widerlegt.
Bevor es weitergeht: Dieser Text enthält Affiliate-Links, über die ich bei einem Kauf eine Provision bekomme — ohne Mehrkosten für dich. Ich bin Webdesigner, kein Anwalt, das hier ist Werkstatt-Erfahrung aus echten Kundenprojekten, keine Rechtsberatung.
Der Mythos vom fertigen Text fürs Leben
Elf Minuten fühlen sich beeindruckend an, keine Frage. Aber genau da liegt das Missverständnis, das ich bei fast jedem Kunden geradebiegen muss: Ein DSGVO-Generator schreibt keinen Text fürs Leben, sondern einen Text für den Moment der Datenerhebung. Nach Art. 13 DSGVO ist praktisch jede Website zur Datenschutzerklärung verpflichtet, weil schon die IP-Adresse beim ersten Seitenaufruf als personenbezogenes Datum zählt — und diese Information muss bereitstehen, sobald die Daten erhoben werden, nicht drei Wochen später, wenn gerade Zeit für das Impressum ist.
Früher habe ich mir kostenlose Muster-Datenschutztexte aus einem Webdesigner-Forum zusammengesucht und in Kundenprojekte kopiert. Hat eine Weile funktioniert, bis ein Textbaustein plötzlich nicht mehr zur echten Website passte, und genau dieses Muster zieht sich bis heute durch, nur mit besseren Werkzeugen.
Wenn das Plugin kommt, bleibt der Text stehen
Bei einem Projekt für eine mittelständische Kanzlei ist mir das noch einmal in einer größeren Version passiert. Die Datenschutzerklärung stand, sauber generiert, alles passte zur damaligen Website. Ein paar Wochen später hat die Kanzlei ein neues Analyse-Plugin installiert, ohne mir Bescheid zu geben. Der Text im Footer wusste davon nichts, weil ein generierter Text sich nicht selbst aktualisiert, egal wie gut das Tool beim Erstellen war. Seitdem läuft bei mir für Projekte mit vielen technischen Schnittstellen die Impressum/Datenschutz Automatisierung von Paragraf7 mit, weil sie die Website bei jedem Durchlauf neu scannt statt nur einmal einen Text abzuliefern.
Rund 86 Euro kostet das Paket, dazu kommt ungefähr eine Stunde Einarbeitung, in der man sich die Logik hinter den automatischen Scans erklären muss. Das fühlt sich am Anfang zäh an, wie das Justieren einer neuen Maschine. Danach ist der Ablauf bei jedem neuen Kunden fast identisch, und genau diese Wiederholbarkeit gibt am Ende die Zeit zurück, die man vorher verloren hat.
Eine falsche Rechtsform im Impressum-Generator reicht schon
Ein anderer Fehler war kleiner, aber genauso unangenehm. Ein Kunde hat mitten im Projekt die Rechtsform gewechselt, von der Einzelunternehmung zur GmbH, und mir das erst nach dem Live-Gang erzählt. Der Generator hatte natürlich noch die alte Angabe gespeichert, weil er nicht im Handelsregister nachschaut, sondern nur ausgibt, was ich eingetragen habe. Das Impressum war ein paar Tage schlicht falsch, bis mir das bei einem Routine-Check aufgefallen ist. Seitdem frage ich bei jedem Projekt aktiv nach der aktuellen Rechtsform, statt mich auf den letzten Stand im Tool zu verlassen.
Bei kleinen Kunden wie Rosalie, die ihr Nagelstudio in Köln-Nippes führt und mich ohnehin lieber anruft als eine Mail zu schreiben, will ich möglichst wenig Fehlerquellen im System. Für sie und ähnliche Fälle nutze ich easyRechtssicher — ein Abo für etwa 19 Euro im Monat, bei dem kaum etwas manuell falsch eingestellt werden kann, weil das meiste vom Anbieter automatisch gepflegt wird. Das Setup dauert bei mir mittlerweile keine fünfzehn Minuten mehr: Plugin rein, Zugangsdaten hinterlegt, fertig.
Schützt ein Cookie-Banner wirklich?
Es gab eine Phase, in der ich einen kostenlosen Cookie-Banner-Baukasten gerne empfohlen habe, weil die Einrichtung keine zwei Minuten gedauert hat — inzwischen rate ich davon ab. Genau dort ist mir nämlich der nächste Fehler passiert: Der Banner stand auf 'nur essenzielle Cookies', aber ein Marketing-Script im Footer hat trotzdem weiter Daten rausgeschickt, weil es technisch nie an die Zustimmung gekoppelt war. Von außen sah alles compliant aus, im Netzwerk-Tab des Browsers zeigte sich das Gegenteil. Seitdem prüfe ich nach jeder Banner-Konfiguration einmal im Inkognito-Fenster, was tatsächlich lädt, bevor ich der Einstellung traue.
Cookie-Consent-Tools und die Datenschutzerklärung sauber miteinander zu verzahnen ist dabei ein eigenes Kapitel, das über eine einzelne Checkbox weit hinausgeht. Der rote Faden bei all diesen Fehlern ist derselbe: Ein Text, der sich nicht an technische Änderungen anpasst, ist nur so lange sicher, wie sich auf der Website nichts bewegt — und das kommt in der Praxis kaum vor. Wie groß der Zeitunterschied zwischen einem starren und einem mitwachsenden Text tatsächlich ist, habe ich in meinem Artikel über statische vs. dynamische Datenschutzerklärung im Detail durchgerechnet.
Die AGB-Lücke beim Shop-Kunden
Beim vierten Fehler ging es nicht um Datenschutz, sondern um AGB. Ein Kunde mit Online-Shop für individuell bedruckte Produkte ist mit einer AGB-Vorlage live gegangen, die zwar ordentlich aussah, aber die Widerrufsklausel für maßgefertigte Ware schlicht ausgeklammert hat — die Standardklausel im Paket war für gewöhnliche Lagerware geschrieben, nicht für Sonderanfertigungen. Aufgefallen ist es erst, als eine Kundin widerrufen wollte und der Shop-Betreiber selbst nachschauen musste, was eigentlich vereinbart war. Für Shops mit Sonderfällen wie diesem greife ich seitdem zu Vertrag und AGB für Online Unternehmer, weil die Vorlagen dort tief genug in einzelne Produktarten gehen, um die passende Variante zu finden, statt eine Klausel zusammenzuflicken.
Das Widerrufsrecht bei Online-Shops hat so viele Sonderfälle — von Sonderanfertigungen bis zu digitalen Inhalten —, dass ich das hier nicht im Vorbeigehen erklären will, das würde keinem einzelnen Fall gerecht. Das AGB-Paket kostet einmalig rund 85 Euro, ohne laufende Kosten, aber man muss die Klauseln selbst lesen und auf die eigene Produktpalette anpassen — das Tool nimmt einem das Denken nicht ab, es liefert nur den Rohstoff dafür.
Welches Tool passt zu welchem Kunden?
Welches der vier Werkzeuge in meiner Kiste zum Einsatz kommt, hängt fast nie vom Tool selbst ab, sondern vom Kunden dahinter. Bei einer Kanzlei mit vielen Schnittstellen nehme ich die Automatisierung, bei einem Nagelstudio wie Rosalies das Abo, bei einem Shop mit Sonderanfertigungen die AGB-Vorlagen. Für ganz kleine Erstprojekte oder Agenturkunden, die selbst noch lernen wollen, wie das Setup überhaupt funktioniert, ziehe ich dagegen einen einfacheren Schritt-für-Schritt-Generator heran — wie man solche Tools speziell für Agenturkunden lizenziert und einsetzt, habe ich in einem separaten Praxis-Check zum DSGVO Schritt für Schritt Generator aufgeschrieben. Bei Coaches und Beratern kommen oft andere Pflichten dazu als bei einem klassischen Shop, und bei Kunden mit Schweizer Website reicht deutsches DSGVO-Denken sowieso nicht, weil dort andere Regeln wie das nDSG greifen.
Was das unterm Strich kostet, ist ohnehin nie nur der Tool-Preis — Anwaltskosten für Sonderfälle, die eigene Zeit für Setup und Pflege, das gehört alles mit in die Rechnung, wenn ein Kunde fragt, was ihn Rechtssicherheit am Ende wirklich kostet. Und dann ist da noch die Frage, die mir Kunden am häufigsten stellen, wenn ein Tool doch einmal einen Fehler produziert: Wer haftet eigentlich, wenn der Generator falschliegt — das Tool, ich als Webdesigner, oder am Ende doch der Website-Betreiber selbst? Eine pauschale Antwort gibt es darauf nicht, und genau deshalb würde ich sie hier auch nicht vortäuschen.
Neun Jahre Agentur-Workflow, ein Fazit
Neun Jahre und vier Tools weiter, hier im Hinterhofbüro in Köln-Ehrenfeld, bleibt bei mir vor allem eine Lektion hängen: Kein Generator macht eine Website für immer rechtssicher, er macht sie sicher für den Moment, in dem man ihn zuletzt laufen ließ. Die vier Fehler von oben hängen inzwischen als Punkte auf dem Board neben meinem Schreibtisch, das neue Kunden sonst nur beim Übergabe-Gespräch zu Gesicht bekommen — jeder Punkt ein Grund, warum ich nach jedem Plugin, jeder Rechtsform-Änderung und jedem neuen Script noch einmal draufschaue, statt mich auf den ersten Durchlauf zu verlassen.
Für Projekte mit vielen technischen Schnittstellen bleibt die Automatisierung von Paragraf7 mein erster Griff, weil sie sich die Änderungen selbst ansieht, statt dass ich sie ihr erzählen muss. Für die kleinen, planbaren Kunden wie Rosalie fahre ich weiter mit dem Abo von easyRechtssicher, weil dort niemand vergisst, den Text zu aktualisieren. Wer seinen Workflow von der Forum-Copy-Paste-Methode auf professionelles Niveau heben will, findet in der Automatisierung von Paragraf7 das Werkzeug, das mir in den letzten Projekten am meisten Zeit und Nerven gespart hat.