DSGVO auf der Maklerwebsite: Die 8 Punkte, die tatsächlich abgemahnt werden

Auf Maklerwebsites werden acht Punkte tatsächlich beanstandet: extern geladene Schriften und Karten, ein Cookie-Banner, das vor der Einwilligung lädt, ein fehlender gleichwertiger Ablehnen-Knopf, Analysewerkzeuge ohne Einwilligung, ein unverschlüsseltes Kontaktformular, eine Datenschutzerklärung, die die Seite nicht beschreibt, fehlende Verträge zur Auftragsverarbeitung — und der Sonderfall dieser Branche: Gesundheitsdaten im Anfrageformular. Der letzte Punkt trifft Vermittler härter als andere Gewerbe, weil er nicht unter die normalen Regeln fällt, sondern unter Artikel 9 DSGVO. Dieser Beitrag geht jeden Punkt durch und schließt mit einer Selbstprüfung, die zwanzig Minuten dauert.

Hinweis: Dieser Beitrag ist eine praxisorientierte Einordnung nach bestem Wissen und ersetzt keine Rechtsberatung. Maßgeblich sind die geltenden Vorschriften und die Rechtsprechung im Einzelfall. Stand: September 2026.

Warum Maklerseiten besonders im Fokus stehen

Für die meisten Websites ist Datenschutz eine Formsache. Bei Versicherungsvermittlern ist er es nicht, aus einem einzigen Grund: Sie verarbeiten regelmäßig Gesundheitsdaten. Sobald jemand über Ihr Formular schreibt, dass er wegen einer Vorerkrankung Probleme bei der Berufsunfähigkeitsversicherung hat, sind Sie in Artikel 9 DSGVO — bei den besonderen Kategorien personenbezogener Daten. Dort gilt ein grundsätzliches Verarbeitungsverbot mit engen Ausnahmen, und der Bußgeldrahmen ist der höhere.

Dazu kommt: Ihre Zielgruppe ist sensibilisiert. Wer Ihnen seine Absicherung anvertraut, achtet darauf, wie Sie mit seinen Daten umgehen — lange bevor eine Behörde das tut.

Punkt 1: Schriften und Karten von fremden Servern

Woran Sie es erkennen: Ihre Website lädt Schriftarten oder eine Kartenansicht direkt von einem externen Server. Beim Aufruf wird die IP-Adresse des Besuchers dorthin übertragen — ohne dass er zugestimmt hätte.

Das ist der Klassiker unter den Beanstandungen. Ein vielbeachtetes Urteil des Landgerichts München I aus dem Jahr 2022 sprach einem Betroffenen wegen dynamisch eingebundener Schriften Schadensersatz zu — und löste eine Welle von Abmahnschreiben aus. Unabhängig davon, wie man einzelne dieser Schreiben bewertet: Der zugrunde liegende Mangel ist real und in einer Stunde behoben.

Was Sie ändern: Schriften herunterladen und vom eigenen Server ausliefern. Karten und Videos erst nach einem Klick laden, mit einem Vorschaubild davor. Prüfen Sie außerdem Icon-Bibliotheken und Skripte, die über ein fremdes Auslieferungsnetz eingebunden sind — sie fallen unter dieselbe Logik.

Punkt 2: Der Banner, der zu spät kommt

Woran Sie es erkennen: Der Cookie-Hinweis erscheint, aber das Analysewerkzeug hat schon geladen. Der Banner ist dann Dekoration.

§ 25 TDDDG verlangt die Einwilligung vor dem Speichern oder Auslesen von Informationen auf dem Endgerät. Nicht davon erfasst sind Cookies, die für den Betrieb unbedingt erforderlich sind — etwa der Sitzungs-Cookie oder das Merken der Cookie-Entscheidung selbst. Alles andere braucht ein Ja vorher.

Was Sie ändern: Einwilligungspflichtige Skripte müssen blockiert bleiben, bis zugestimmt wurde. Prüfen lässt sich das mit den Entwicklerwerkzeugen des Browsers — dazu unten mehr.

Der elegantere Weg: gar nichts einbinden, was einwilligungspflichtig wäre. Eine Website ohne externe Schriften, ohne eingebettete Karten und mit einer Statistik, die ohne Cookies auskommt, braucht in vielen Fällen keinen Banner. Das ist schneller, sauberer und spart die Diskussion.

Punkt 3: Ablehnen ist schwerer als Zustimmen

Woran Sie es erkennen: Ein großer grüner Knopf „Alle akzeptieren“ — und daneben ein grauer Textlink „Einstellungen“, hinter dem sich das Ablehnen versteckt.

Nach der Auffassung der deutschen Aufsichtsbehörden muss die Ablehnung genauso einfach erreichbar sein wie die Zustimmung: auf derselben Ebene, mit vergleichbarer Gestaltung. Eine Einwilligung, die nur deshalb erteilt wurde, weil das Ablehnen erschwert war, gilt als nicht freiwillig — und damit als unwirksam.

Was Sie ändern: Zwei gleichwertige Knöpfe auf der ersten Ebene. Kein voreingestelltes Häkchen. Und die Entscheidung muss später widerrufbar sein — ein kleiner Link im Seitenfuß genügt.

Punkt 4: Statistik ohne Einwilligung

Woran Sie es erkennen: Das Analysewerkzeug läuft auf jeder Seite, unabhängig davon, was der Besucher im Banner angeklickt hat.

Was Sie ändern: Entweder das Werkzeug sauber an die Einwilligung koppeln — so, dass es ohne Zustimmung tatsächlich nicht lädt — oder auf eine Lösung wechseln, die ohne personenbezogene Daten und ohne Cookies arbeitet. Für ein Maklerbüro reicht die zweite Variante in aller Regel: Sie brauchen Besucherzahlen, Einstiegsseiten und abgesendete Formulare, nicht die Wiedererkennung einzelner Personen über Wochen.

Der Nebeneffekt ist erheblich: Ohne Einwilligungspflicht zählen Sie alle Besucher statt nur derer, die zugestimmt haben. Ihre Zahlen werden dadurch nicht nur rechtssicherer, sondern auch richtiger.

Punkt 5: Das Kontaktformular

Woran Sie es erkennen: Die Seite läuft ohne Verschlüsselung, neben dem Formular steht kein Hinweis auf die Datenverarbeitung, oder es gibt ein Pflichthäkchen mit einer Textwüste.

Was Sie ändern:

• Verschlüsselte Verbindung auf der gesamten Website — nicht nur auf der Formularseite. Ein Zertifikat ist bei jedem Hoster kostenlos enthalten.
• Ein Satz mit Link statt eines Pflichthäkchens: „Wir verarbeiten Ihre Angaben ausschließlich zur Bearbeitung Ihrer Anfrage. Näheres in der Datenschutzerklärung.“ Ein erzwungenes Häkchen ist keine wirksame Einwilligung, weil es an der Freiwilligkeit fehlt — und für die Bearbeitung einer Anfrage braucht es ohnehin keine Einwilligung, sondern die Vertragsanbahnung als Rechtsgrundlage.
• Datensparsamkeit. Drei Felder für den Erstkontakt. Jedes Pflichtfeld, das Sie für die Antwort nicht brauchen, ist datenschutzrechtlich schwer zu begründen — und kostet nebenbei Anfragen, wie in Warum Ihre Maklerseite keine Anfragen bringt beschrieben.
• Löschkonzept. Anfragen, aus denen kein Mandat wird, gehören nach einer festgelegten Frist gelöscht — nicht auf unbestimmte Zeit ins Postfach.

Punkt 6: Der Sonderfall Gesundheitsdaten

Dieser Punkt betrifft Vermittler und kaum jemanden sonst — und er wird fast nie beachtet.

Woran Sie es erkennen: Ihr Formular hat ein Auswahlfeld „Berufsunfähigkeit“ oder „Private Krankenversicherung“ und ein Freitextfeld. Was Menschen dort hineinschreiben, ist absehbar: Diagnosen, Behandlungen, Vorerkrankungen. Damit verarbeiten Sie besondere Kategorien nach Artikel 9 DSGVO.

Was Sie ändern:

• Fragen Sie im Formular nicht danach. Das Formular dient der Terminvereinbarung, nicht der Risikoprüfung. Ein Hinweis genügt: „Bitte geben Sie hier keine Gesundheitsangaben ein — das klären wir im persönlichen Gespräch.“
• Rechnen Sie trotzdem damit. Menschen schreiben es hinein. Deshalb: Formularmails verschlüsselt übertragen, Zugriff auf den Postfach-Zugang beschränken, nicht ungeschützt weiterleiten.
• Für die eigentliche Erhebung im Beratungsprozess brauchen Sie eine ausdrückliche Einwilligung nach Artikel 9 Absatz 2 Buchstabe a DSGVO — getrennt, verständlich und dokumentiert.
• In der Datenschutzerklärung gehört ein eigener Abschnitt zu Gesundheitsdaten: welche, wozu, auf welcher Grundlage, wie lange, an wen sie weitergegeben werden.

Der Grund für die Sorgfalt ist nicht nur das Bußgeld: Ein Datenschutzvorfall mit Gesundheitsangaben ist in dieser Branche ein Vertrauensschaden, von dem man sich nicht mehr erholt.

Punkt 7: Die Datenschutzerklärung beschreibt eine andere Website

Woran Sie es erkennen: In Ihrer Erklärung stehen Dienste, die Sie nie eingebunden haben — oder ein Dienst fehlt, den Sie nutzen. Manchmal steht sogar noch der Name des Generators darin.

Eine Vorlage, die nicht zur Seite passt, ist schlechter als keine: Sie belegt schwarz auf weiß, dass niemand geprüft hat, was tatsächlich passiert.

Was Sie ändern: Erstellen Sie zuerst eine Liste aller Dienste, die Ihre Seite tatsächlich verwendet — Hoster, Formularversand, Statistik, Schriften, Karten, Newsletter, Terminbuchung, Chat. Erst dann die Erklärung, und zwar entlang dieser Liste. Und aktualisieren Sie sie, sobald Sie etwas einbauen oder entfernen.

Pflichtbestandteile nach Artikel 13 DSGVO sind unter anderem: Verantwortlicher mit Kontaktdaten, Zwecke und Rechtsgrundlagen, Empfänger, Speicherdauer, Betroffenenrechte, Beschwerderecht bei der Aufsichtsbehörde und — falls bestellt — der Datenschutzbeauftragte.

Punkt 8: Fehlende Verträge zur Auftragsverarbeitung

Woran Sie es erkennen: Sie haben mit Ihrem Hoster, Ihrem Newsletter-Anbieter oder Ihrem CRM keinen Vertrag nach Artikel 28 DSGVO abgeschlossen — oder wissen nicht, ob.

Dieser Punkt wird nicht abgemahnt, weil er von außen nicht sichtbar ist. Er ist aber der erste, nach dem eine Aufsichtsbehörde fragt, wenn sie einmal fragt — und der einfachste, den man erledigen kann.

Was Sie ändern: Für jeden Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, den Vertrag abschließen. Die meisten Anbieter stellen ihn als Selbstbedienung im Kundenkonto bereit. Führen Sie eine einfache Liste: Anbieter, Zweck, Vertrag vorhanden ja/nein, Datum. Diese Liste ist zugleich die Grundlage für Ihr Verarbeitungsverzeichnis.

Die Selbstprüfung in 20 Minuten

Ohne Werkzeuge und ohne Vorkenntnisse:

1. Privates Fenster öffnen und Ihre Startseite aufrufen. Im Cookie-Banner nichts anklicken.
2. Entwicklerwerkzeuge öffnen (F12), Reiter „Netzwerk“, Seite neu laden.
3. Fremde Adressen suchen. Erscheinen dort Anfragen an Server, die nicht zu Ihrer Domain gehören? Jede davon ist ein Datenabfluss vor der Einwilligung.
4. Reiter „Anwendung“ öffnen, dort die Cookies ansehen. Liegen dort Einträge, die nicht technisch notwendig sind — obwohl Sie nichts angeklickt haben?
5. Ablehnen-Knopf prüfen: Ist er auf der ersten Ebene und genauso deutlich gestaltet wie das Zustimmen?
6. Adresszeile prüfen: Steht dort ein Schloss, und wird die Seite ohne Zertifikatswarnung geladen?
7. Datenschutzerklärung lesen und mit dem abgleichen, was Sie in Schritt 3 tatsächlich gesehen haben.
8. Formular ansehen: Wie viele Pflichtfelder, gibt es einen Hinweis mit Link, wird nach Gesundheitsangaben gefragt?

Wer bei Schritt 3 nichts Fremdes findet und bei Schritt 4 nur technisch notwendige Cookies, hat die beiden häufigsten Beanstandungen bereits nicht.

Was ein Verstoß kostet

Drei Wege, auf denen es teuer wird:

• Schadensersatz nach Artikel 82 DSGVO. Die zugesprochenen Beträge sind einzeln überschaubar, treten aber in Serie auf — genau darauf zielen Massenschreiben.
• Abmahnung durch Mitbewerber oder Verband. Kosten plus Unterlassungserklärung, die im Wiederholungsfall eine Vertragsstrafe auslöst.
• Bußgeld der Aufsichtsbehörde. Der Rahmen des Artikel 83 DSGVO geht bis 20 Millionen Euro oder vier Prozent des Jahresumsatzes. Für ein Maklerbüro sind das keine realistischen Größen — aber bei Verstößen im Bereich der Gesundheitsdaten liegt der Maßstab deutlich höher als bei einem vergessenen Cookie-Hinweis.

Der wahrscheinlichste Fall bleibt das Abmahnschreiben. Die Kosten dafür übersteigen den Aufwand einer sauberen Seite regelmäßig um ein Vielfaches.

Fazit

Die meisten Datenschutzprobleme auf Maklerwebsites entstehen nicht durch komplizierte Rechtsfragen, sondern durch eingebundene Dienste, die niemand bewusst eingebaut hat, und durch Vorlagen, die die eigene Seite nicht beschreiben. Beides ist an einem Tag zu beheben.

Die wirksamste Maßnahme ist zugleich die einfachste: weniger einbinden. Eine Website ohne externe Schriften, ohne eingebettete Karten und mit cookiefreier Statistik ist schneller, braucht in vielen Fällen keinen Banner und hat sechs der acht Punkte damit erledigt.

Wenn Sie prüfen lassen wollen, was Ihre Seite tatsächlich lädt und ob Datenschutzerklärung, Impressum und Erstinformation zueinander passen: Wir sehen es uns im kostenlosen Erstgespräch an und sagen Ihnen, was fehlt. Die rechtliche Bewertung im Einzelfall gehört in eine Kanzlei — wir setzen um, was dort festgelegt wird.