Diese Seite hat keinen Cookie-Banner. Nicht, weil ich einen juristischen Trick gefunden hätte, sondern weil es nichts gibt, worüber ein Banner aufklären müsste. Dieser Artikel erklärt die Architektur dahinter, und warum ich sie für den Normalfall im Mittelstand halte, nicht für die Ausnahme.
Der Bauplan
Die Seite, die Sie gerade lesen, ist statisches HTML mit eigenem CSS und einer Handvoll Zeilen JavaScript. Kein Framework, kein Baukasten, kein Content-Management-System mit Plugin-Zoo. Die Schriften liegen als Dateien auf demselben Server wie die Seite, statt von einem amerikanischen CDN geladen zu werden. Bilder, Skripte und Stile kommen ausnahmslos von dieser Domain. Gehostet wird bei einem deutschen Anbieter auf Servern in Deutschland.
Das Kontaktformular verarbeitet Ihre Angaben serverseitig und stellt sie als E-Mail zu. Es gibt keine Formular-Dienste dazwischen, keine Terminbuchungs-Widgets, kein eingebettetes Kartenmaterial. Was Sie mir schreiben, landet in meinem Postfach und nirgendwo sonst.
Warum kein Cookie-Banner nötig ist
Der Banner, den Sie auf den meisten Seiten wegklicken, ist keine Pflichtdekoration. Er ist die Folge einer Entscheidung: Die Seite will Dinge tun, die eine Einwilligung brauchen, meistens Tracking und Drittanbieter-Einbindungen. Wer diese Entscheidung anders trifft, braucht keine Einwilligung und deshalb keinen Banner. Diese Seite setzt keine Cookies, erstellt keine Profile und bindet keine Dritten ein. Übrig bleiben die Server-Logfiles des Hosters, die für Betrieb und Sicherheit nötig sind. Das deckt die Datenschutzerklärung ab, ohne dass Sie etwas anklicken müssen.
So prüfen Sie das nach
Sie müssen mir das nicht glauben. Öffnen Sie die Entwicklerwerkzeuge Ihres Browsers, meist mit der Taste F12, wechseln Sie auf den Reiter Netzwerk und laden Sie diese Seite neu. Sie sehen jede einzelne Anfrage, die Ihr Browser stellt, und den Host, an den sie geht. Auf dieser Seite werden Sie ausschließlich Anfragen an ki-kompass.dev finden. Dieselbe Prüfung empfehle ich Ihnen übrigens bei jedem Dienstleister, der mit Datenschutz wirbt. Zwei Minuten Netzwerkanalyse sagen mehr als jede Zertifikatswand.
Was das mit Ihren Projekten zu tun hat
Eine Website ist ein kleines System, aber die Prinzipien skalieren. Erstens Datenminimierung als Bauentscheidung: Was nicht erhoben wird, muss nicht geschützt, dokumentiert und beauskunftet werden. Zweitens Abhängigkeiten als Risiko: Jeder Drittanbieter im Pfad ist ein Vertrag, eine Fehlerquelle und ein möglicher Abfluss. Drittens Nachvollziehbarkeit: Ein System, dessen Datenflüsse man in zwei Minuten erklären kann, ist auch das System, das eine Datenschutz-Prüfung ohne Drama übersteht.
Wenn ich für Kunden Automatisierung baue, gelten dieselben Regeln: so wenig Datenweitergabe wie möglich, Verarbeitung bevorzugt dort, wo die Daten ohnehin liegen, und jede Anbindung dokumentiert. KI-Systeme verschärfen die Fragen eher noch, weil Trainings- und Eingabedaten dazukommen. Umso wichtiger, dass die Grundarchitektur schon stimmt, bevor das erste Modell angebunden wird.
Der häufigste Einwand: Aber dann weiß ich ja nichts über meine Besucher
Stimmt nur zum Teil. Die Server-Logfiles zeigen, wie viele Zugriffe es gab, auf welche Seiten und woher grob verwiesen wurde. Für eine Seite wie diese, deren Aufgabe es ist, warme Kontakte zu bestätigen statt kalten Traffic zu optimieren, reicht das vollständig. Die ehrliche Frage ist nicht, welche Daten man sammeln könnte, sondern welche Entscheidung man mit ihnen treffen würde. In den meisten mittelständischen B2B-Fällen lautet die Antwort: keine. Dann kann der Banner weg, und mit ihm die Agentur-Rechnung für seine Pflege.
Wo Drittanbieter trotzdem ihren Platz haben
Es gibt legitime Gründe für externe Dienste: Zahlungsabwicklung, Videokonferenzen, spezialisierte Fachanwendungen. Der Punkt ist nicht, Drittanbieter zu verteufeln, sondern sie bewusst zu wählen: mit Auftragsverarbeitungsvertrag, mit dokumentiertem Datenfluss und mit der Frage, ob es eine europäische Alternative gibt. Der Unterschied zwischen einer durchdachten und einer gewachsenen Architektur zeigt sich genau hier: Die eine kann jeden Dienst begründen, die andere hat ihn irgendwann per Copy-and-paste eingebaut.
Datenschutz ist bei mir keine Seite im Anhang, sondern eine Bauentscheidung am Anfang.