Die meisten Organisationen reduzieren DSGVO-Compliance auf Cookie-Banner und Datenschutzerklärungen. Dabei beginnt das Problem viel früher: bei der Frontend-Architektur selbst. Jeder externe Request, der beim Laden einer Website ausgeführt wird, überträgt die IP-Adresse des Nutzers an einen Drittanbieter. Die IP-Adresse ist ein personenbezogenes Datum nach Art. 4 Nr. 1 DSGVO.

Das technische Problem

Wenn ein Browser eine Website lädt, werden HTTP-Requests an alle referenzierten Server geschickt. Jeder Request enthält automatisch die IP-Adresse des Nutzers, den User-Agent und den Referrer. Das passiert bevor der Nutzer irgendetwas klickt oder eine Einwilligung gibt.

Eine typische SaaS-Landingpage erzeugt beim ersten Laden oft 30–80 HTTP-Requests an 10–20 verschiedene Domains. Google Fonts, Google Analytics, HubSpot-Tracking, YouTube-Embeds, Social-Media-Widgets, CDN-gehostete Bibliotheken – jeder dieser Dienste erhält automatisch die IP-Adresse des Nutzers.

Konkrete DSGVO-Fallstricke im Frontend

Google Fonts (LG München, Jan. 2022): Einbindung über Google-CDN ohne Einwilligung = DSGVO-Verstoß. Lösung: Self-Hosting. Aufwand: Ein halber Tag.

Analytics (diverse Urteile): Google Analytics überträgt personenbezogene Daten in die USA. Auch mit IP-Anonymisierung wird zunächst die volle IP an Google übertragen. Lösung: EU-hosted Analytics wie Plausible Cloud oder Matomo.

YouTube/Vimeo-Embeds: Standard-Embeds laden Tracking-Skripte bereits beim Seitenaufruf. Lösung: Zwei-Klick-Lösung (Fassade laden, Video erst bei Klick) oder Self-Hosted Video.

Social-Media-Widgets: Like-Buttons, Share-Widgets und Login-Buttons übertragen Nutzerdaten an Meta, X oder LinkedIn – ohne Interaktion. Lösung: Einfache Links statt Widgets, oder Shariff-Lösung.

CDN-gehostete Bibliotheken: jQuery von cdnjs, Bootstrap von BootstrapCDN, React von unpkg – jeder Request überträgt die IP an den CDN-Betreiber. Lösung: npm install + lokaler Build.

Privacy by Design als Architekturprinzip

Art. 25 DSGVO fordert „Datenschutz durch Technikgestaltung” (Privacy by Design). Im Frontend bedeutet das: Die Architektur muss so gestaltet sein, dass personenbezogene Daten gar nicht erst an Dritte übertragen werden. Das ist kein optionales Feature, sondern eine rechtliche Pflicht.

Konkret: Self-Hosting aller Assets, keine externen Tracking-Skripte ohne Einwilligung, Formulardaten direkt an den eigenen Server (nicht über Typeform, Google Forms oder ähnliche US-Dienste), keine Social-Media-Widgets ohne Zwei-Klick-Lösung.

Frontend-Element
Typische Praxis
DSGVO-konform
Aufwand
Fonts
Google Fonts CDN
Self-Hosted WOFF2
0,5 Tage
Analytics
Google Analytics
Plausible Cloud (EU)
1–2 Tage
Video
YouTube Embed
Zwei-Klick-Fassade
1 Tag
Icons
Font Awesome CDN
Lokale SVGs
0,5 Tage
Formulare
Typeform / Google Forms
Eigener Endpunkt
2–5 Tage
Maps
Google Maps Embed
MapLibre Self-Hosted
3–5 Tage

Kernpunkte

  • Die IP-Adresse ist ein personenbezogenes Datum – jeder externe Request ist DSGVO-relevant.
  • Cookie-Banner lösen das Problem nicht: Externe Requests werden vor jeder Einwilligung ausgeführt.
  • Google Fonts, Analytics, YouTube-Embeds und CDN-Bibliotheken sind die häufigsten Compliance-Lücken.
  • Privacy by Design (Art. 25 DSGVO) fordert Datenschutz in der Architektur, nicht als Nachbesserung.
  • Self-Hosting aller Frontend-Assets ist die konsequenteste Lösung – und in den meisten Fällen performanter.
  • Die meisten Fixes sind in Stunden bis Tagen umsetzbar, nicht in Wochen oder Monaten.