Viele Rechtstexte gehen unter, wenn ein Kunden-Funnel über drei Subdomains läuft, zwei Drittanbieter-Tools Daten sammeln und ein Tracking-Pixel mitschreibt, das offiziell nirgendwo erwähnt wird. Genau diese Frage schiebe ich mir bei fast jedem Agentur-Projekt neu vor den Kopf, lange bevor ich überhaupt bei den eigentlichen DSGVO-Tools für Marketing-Agenturen lande – meistens springe ich dafür im Minutentakt zwischen Gesetzestext, Tool-Dashboard und Kunden-Mail hin und her, bis die Tastatur beim schnellen Strg-Tab-Wechsel fast klackert. Als Webdesigner aus Köln sitze ich bei solchen Projekten zwischen zwei Fronten – dem Marketing-Team, das den nächsten Launch treiben will, und einer Rechtslage, die bei Marketing-Funnels selten so einfach ist wie bei einer normalen Firmenwebsite. Rechtssichere Webseiten für Funnels sind ein anderes Handwerk als ein Impressum für eine simple Visitenkarten-Seite.
Der Moment, in dem der Standard-Generator nicht mehr reicht
Ein Marketing-Funnel ist für eine Agentur in erster Linie ein Conversion-Werkzeug – Meta-Pixel, Automatisierungs-Tool, Buchungsseite, alles in einer Kette verschaltet. Die Datenschutzerklärung, die ein Standard-Generator in ein paar Klicks zusammenbaut, deckt meistens nur das Basis-Impressum und ein Kontaktformular ab. Sobald der Funnel personenbezogene Daten erhebt – und das passiert bei jedem Klick im Formular, jedem Pixel-Feuer, jeder Terminbuchung – greift die Informationspflicht nach Artikel 13 DSGVO in voller Breite. Genau an dieser Stelle reicht die Bastellösung nicht mehr, egal wie hübsch das Impressum-Widget aussieht.
Für eine einzelne Visitenkarten-Website ist ein einfacher Generator meistens völlig ausreichend – das Problem beginnt erst, wenn ein Kunde mehrere Landingpages, zwei Subdomains und ein Automatisierungs-Tool gleichzeitig betreibt. Bei einem Funnel mit mehreren Schritten muss jede einzelne Seite ihre eigene, korrekt verlinkte Datenschutzerklärung tragen, sonst bricht die Informationspflicht an genau der Stelle, an der ein Nutzer seine Daten eingibt.
Zwei-Klick-Regel, Drittanbieter und der easyRechtssicher-Test im Agentur-Alltag
Bei Funnels, die über mehrere Domains laufen, greift oft die Zwei-Klick-Regel – das Impressum muss von jeder Unterseite aus mit maximal zwei Klicks erreichbar sein. Bei verschachtelten Landingpages und Pop-ups wird das schnell zur technischen Stolperfalle, vor allem wenn ein Pop-up-Builder eigene Unterseiten erzeugt, die der Generator gar nicht kennt. Wie ein Tool diese Texte verwaltet, ob statisch exportiert oder dynamisch nachgezogen, entscheidet am Ende, wie viel Nacharbeit bei jedem neuen Projekt anfällt.
easyRechtssicher nutze ich inzwischen vor allem wegen der Agentur-Lizenz – ein Account, der mehrere Kundenprojekte gleichzeitig abdeckt, ohne dass für jeden neuen Kunden eine komplett neue Lizenz nötig wird. Wie genau solche Agentur-Lizenzen bei anderen Anbietern aufgebaut sind, ist nochmal ein eigenes Thema. Der praktische Vorteil beim Plugin-System ist, dass sich Updates automatisch in die WordPress-Seite ziehen, statt dass ich Textbausteine per Copy-and-Paste in jede Landingpage prügeln muss. Das verhindert den klassischen Agentur-Fehler: Die Hauptseite wird aktualisiert, die Landingpages auf separaten Subdomains aber nicht.
Drittanbieter sind bei Marketing-Funnels das eigentliche Minenfeld. ActiveCampaign, Calendly, Zahlungsanbieter – sobald Daten in die USA fließen, kommen Standardvertragsklauseln ins Spiel, und ohne eine saubere Auftragsverarbeitungs-Vereinbarung mit jedem einzelnen Dienstleister fehlt dem Kunden die Grundlage, selbst wenn die Datenschutzerklärung inhaltlich stimmt. Wie ein Cookie-Consent-Banner technisch mit der Datenschutzerklärung zusammenspielen muss, ist ein eigenes Kapitel – genauso wie die genaue Dokumentation eines Double-Opt-In-Verfahrens beim E-Mail-Marketing. Bei der Einbindung in unterschiedliche CMS- oder Shopsysteme zeigt sich außerdem, dass nicht jedes Tool jedes Setup gleich gut versteht.
Es gab eine Phase, in der ich reine Ein-Klick-Generatoren ohne Agentur-Funktionen empfohlen habe, weil sie günstig und schnell eingerichtet waren – für Funnel-Projekte mit mehreren Drittanbietern würde ich das heute nicht mehr tun, weil sie bei Subdomains schnell an ihre Grenzen stoßen. Einen ähnlichen Fehler habe ich mir selbst geleistet: Eine Datenschutz-Vorlage aus dem Jahr 2018 habe ich eine Zeit lang einfach für neue Kundenprojekte weiterverwendet, weil sie beim letzten Mal funktioniert hatte. Bis ein Kunde mit einem komplett neuen Tracking-Setup kam, für das die alte Vorlage keine einzige passende Formulierung hatte.
Die Haftung, wenn die Agentur den falschen Haken setzt
Automatisierte DSGVO-Tools sind in Funnels schnell nutzlos, wenn sie die Haftung bei einem individuellen Marketing-Setup klammheimlich auf die Agentur verlagern, sobald ein Webdesigner den falschen Haken setzt oder ein Tool schlicht vergisst anzugeben. Wie genau sich diese Haftung zwischen Webdesigner, Agentur und Kunde am Ende verteilt, ist ein eigenes, ziemlich komplexes Thema, das ich hier nicht aufmache. Viele Generatoren suggerieren trotzdem eine Sicherheit, die sie bei einem individuellen Funnel-Aufbau gar nicht kennen können, weil sie die tatsächlichen Datenflüsse nicht sehen.
Wenn ein Kunde mehr als 20 Mitarbeitende hat, die ständig mit automatisierter Verarbeitung personenbezogener Daten zu tun haben, braucht er nach Paragraph 38 BDSG ohnehin einen Datenschutzbeauftragten – meine Aufgabe ist dann, diesem DSB ein sauber vorbereitetes Soll-Konzept zu liefern, keine fertige Rechtsmeinung. Tools, die eine klare Übersicht der genutzten Dienste oder einen Export der Einstellungen erlauben, sind in solchen Fällen Gold wert.
Als ich einmal die Anwaltsrechnung aus dem Vorjahr neben die aktuelle gelegt habe, war der Unterschied so groß, dass ich die Zahl zweimal nachgerechnet habe – seitdem sehe ich ein gutes Tool nicht mehr als reinen Kostenpunkt, sondern als vorgezogene Rechtsberatung, die bei den meisten Standardfragen gar nicht erst beim Anwalt landet. Wie sich easyRechtssicher über einen längeren Zeitraum im Webdesigner-Alltag schlägt, habe ich an anderer Stelle ausführlicher aufgeschrieben: easyRechtssicher im Langzeittest.
Jede Branche bringt ihre eigene Checkliste mit
Ein Funnel für eine Coaching-Praxis sieht rechtlich anders aus als einer für einen Online-Shop. Bei einem Coaching- oder Beratungs-Funnel mit Terminbuchung und Zahlungsanbieter würde ich ein Tool mit Agentur-Tiefe nehmen und mir Zeit für die branchenspezifischen Pflichten von Coaches und Beratern nehmen – bei einer reinen Info-Landingpage ohne Formular reicht oft ein einfacherer Generator. Sobald ein Online-Shop im Spiel ist, kommen AGB und Widerrufsrecht dazu, die ein reiner Datenschutz-Generator oft gar nicht mitdenkt. Richtet sich der Funnel an Schweizer Besucher, kommen mit dem NDSG nochmal andere länderspezifische Anforderungen dazu, die ein DACH-Tool nicht automatisch abdeckt.
Läuft der Funnel über Social Media, etwa weil ein Kunde Instagram oder TikTok als Haupt-Traffic-Quelle nutzt, kommt die Impressumspflicht auf Drittplattformen ins Spiel, die viele Agenturen schlicht übersehen. Bei einer Arztpraxis mit Online-Terminbuchung reden wir plötzlich über besondere Datenkategorien wie Gesundheitsdaten, bei einem Fotografen mit Online-Galerie über Bildrechte und Einwilligungen für Personenfotos, und bei einer Steuerkanzlei über die berufsrechtlichen Pflichtangaben im Impressum, die über das normale Webdesign-Standardset hinausgehen.
Eine Kita oder Schule, die Fotos oder Namen von Kindern online stellt, braucht eine eigene Herangehensweise an den Datenschutz für Minderjährige – das ist ein komplett anderes Thema als ein Marketing-Funnel für Erwachsene. Ein Online-Magazin mit mehreren Gastautoren muss zusätzlich klären, wer redaktionell verantwortlich im Sinne des Medienstaatsvertrags ist. Ein Yoga-Studio, das über ein externes Buchungs- oder Ticketsystem läuft, hat wieder eine eigene Baustelle bei der Datenübergabe an den Buchungsanbieter, und wer im Recruiting unterwegs ist, muss sich um Bewerberdaten und Beschäftigtendatenschutz kümmern, sobald die ersten Bewerbungen über den Funnel eingehen.
Welche Kriterien beim reinen Funktionsvergleich zwischen den einzelnen DSGVO- und Impressum-Tools wirklich zählen, würde hier den Rahmen sprengen – genauso wie die Frage, was am Ende an Tool- und Anwaltskosten für ein konkretes Projekt zusammenkommt, weil das von Branche zu Branche stark schwankt. Wie ich Rechtstexte für andere Kundengruppen ohne Jura-Studium aufbaue, habe ich in einem anderen Beitrag beschrieben: Rechtstexte ohne Jura-Studium.
So baue ich das Sicherheitspaket für einen Funnel auf
Bei einem neuen Funnel-Projekt gehe ich inzwischen in einer festen Reihenfolge vor. Zuerst liste ich jedes einzelne Tool im Stack auf – Tracking-Pixel, Automatisierungs-Tool, Zahlungsanbieter, Buchungssystem – und prüfe, welches davon personenbezogene Daten verarbeitet. Danach kommt die Zwei-Klick-Prüfung für jede Unterseite und Subdomain, gefolgt vom Abgleich, welche Daten tatsächlich an welcher Stelle im Funnel erhoben werden. Erst wenn diese Punkte stehen, schreibe ich die eigentliche Datenschutzerklärung – nicht umgekehrt.
Das Ersteinrichten für einen mehrstufigen Funnel mit mehreren Drittanbieter-Tools dauert bei mir real eher zwei bis drei Stunden als die paar Klicks, die manche Tool-Landingpages versprechen – vor allem, weil das Durchklicken der einzelnen Drittanbieter-Einstellungen und der Abgleich mit der tatsächlichen Datenerhebung im Funnel Zeit braucht, die kein Generator automatisch mitbringt. Paragraph 25 des TDDDG verlangt für jeden nicht zwingend erforderlichen Cookie eine aktive Zustimmung, und Marketing-Pixel sind so gut wie nie zwingend erforderlich – das ist die gesetzliche Grundlage, an der sich die gesamte Checkliste für den Funnel orientiert.
Am Ende verkaufe ich meinen Kunden Rechtssicherheit nicht mehr als lästiges Extra, sondern als festen Bestandteil des Funnel-Aufbaus – wer bei mir einen Funnel bucht, bekommt die rechtliche Grundabsicherung automatisch mit, inklusive lokal eingebundener Google Fonts und einer klaren Ansage, dass IP-Adressen nicht ohne Einwilligung an US-Server gehen. Compliance ist für mich kein Hindernis mehr, sondern ein Prozess, der sich mit jedem Projekt wiederholt und dadurch planbar wird.
Ein Hinweis zum Schluss für Kollegen, die das Gleiche machen: Regelt die Haftung im Vertrag mit dem Kunden klar, bevor der Funnel live geht. Ein Tool kann die Arbeit erleichtern, aber die Verantwortung für die Inhalte trägt am Ende der Betreiber der Website. Wer sich einmal gründlich mit den Einstellungen des eigenen Generators auseinandersetzt, statt sich blind auf die Automatik zu verlassen, erspart sich die meisten unangenehmen Überraschungen.