Die meisten Wirte glauben, ihre Website sei datenschutzrechtlich unauffällig, weil sie ja „nur die Speisekarte und eine Karte“ zeigt. Genau dort liegt das Problem. Die eingebettete Google-Karte, die Google-Schriftart und das Reservierungsformular übertragen Daten, bevor der Gast irgendetwas angeklickt hat. Das ist keine Panikmache, sondern der Stand der Dinge, der in Deutschland bereits Abmahnwellen ausgelöst hat und in Österreich genauso gilt: Die österreichische Datenschutzbehörde erledigte laut ihrem Datenschutzbericht (2024) im Jahr 2024 insgesamt 2.397 Individualbeschwerden, rund 21 Prozent mehr als im Jahr davor. Die gute Nachricht: Eine Gastro-Website hat überschaubar viele heikle Stellen. Wir gehen sie der Reihe nach durch.

Google Maps: die Anfahrtskarte, die vorab Daten sendet

Fast jede Restaurant-Website hat eine eingebettete Google-Karte. Technisch passiert dabei Folgendes: Sobald die Seite lädt, kontaktiert der Browser des Gastes die Google-Server und übermittelt dabei unter anderem seine IP-Adresse. Ohne Einwilligung. Genau das ist der Verstoß, nicht die Karte an sich.

Es gibt zwei saubere Lösungen. Die Zwei-Klick-Variante: Statt der Karte erscheint zunächst ein Platzhalterbild mit einem Hinweis, die echte Karte lädt erst nach einem Klick des Gastes. Oder die pragmatische Variante: ein statisches Bild Ihrer Umgebung mit einem Link „Route in Google Maps öffnen“. Der Link öffnet Google erst, wenn der Gast ihn anklickt, und auf seinem Handy landet er ohnehin in seiner Karten-App. Für die meisten Lokale ist die zweite Variante die bessere, weil Gäste die Route sowieso am Handy planen.

Schriften: Google Fonts gehören auf Ihren eigenen Server

Google Fonts ist der Klassiker unter den unsichtbaren Verstößen. Viele Baukasten-Vorlagen und ältere Agentur-Websites laden ihre Schriftarten direkt von den Google-Servern. Auch hier wird die IP-Adresse jedes Besuchers übertragen, bevor er zustimmen konnte. Das Landgericht München I hat 2022 genau dafür einem Website-Besucher 100 Euro Schadenersatz zugesprochen (Az. 3 O 17493/20), danach rollte eine Abmahnwelle durch den deutschsprachigen Raum.

Die Lösung kostet nichts: Die Schriftdateien werden einmal heruntergeladen und vom eigenen Server ausgeliefert. Optisch ändert sich gar nichts, rechtlich sehr viel. Ob Ihre Website betroffen ist, prüfen Sie in zwei Minuten selbst: Seite öffnen, Rechtsklick, „Seitenquelltext anzeigen“, nach „fonts.googleapis“ suchen. Taucht der Begriff auf, laden Ihre Schriften von Google.

Cookies: der Banner, den Sie vielleicht gar nicht brauchen

Der Cookie-Banner ist zum Symbol der DSGVO geworden, dabei ist er nur für optionale Dinge nötig: Analyse-Tools, Marketing-Pixel, eingebettete Videos. Technisch notwendige Speicherungen, etwa für ein Reservierungsformular, brauchen keine Einwilligung.

Daraus folgt eine unbequeme Wahrheit für alle, die einfach einen Banner „draufgeklebt“ haben: Ein Banner macht eine Website nicht konform. Wenn Google Analytics schon lädt, bevor der Gast auf „Akzeptieren“ gedrückt hat, ist der Banner Dekoration. Und umgekehrt gilt: Eine Restaurant-Website, die auf Tracking verzichtet, kommt oft ganz ohne Banner aus. Das ist nicht nur rechtlich entspannter, es sieht auch besser aus, wenn der erste Eindruck Ihres Lokals nicht ein graues Zustimmungsfenster ist.

Reservierungsdaten: hier wird es wirklich persönlich

Maps und Fonts betreffen IP-Adressen. Bei Reservierungen speichern Sie Name, Telefonnummer, E-Mail, Datum, Personenzahl, vielleicht eine Notiz über die Nussallergie am Tisch 7. Das sind echte personenbezogene Daten, bei Gesundheitsangaben wie Allergien sogar besonders geschützte.

Drei Fragen sollten Sie beantworten können. Erstens: Wo liegen die Daten? Bei einem externen Reservierungsportal liegen sie beim Portal, und Sie brauchen einen Auftragsverarbeitungsvertrag mit dem Anbieter. Zweitens: Wie lange bleiben sie gespeichert? Eine Reservierung von vorletztem Jahr hat in keinem System mehr etwas verloren, legen Sie eine Löschfrist fest, etwa ein Jahr. Drittens: Steht das alles in Ihrer Datenschutzerklärung? Der Gast muss nachlesen können, was mit seinen Daten passiert.

Was in Impressum und Datenschutzerklärung gehört

In Österreich braucht jede geschäftliche Website ein Impressum mit Firmennamen, Anschrift, Kontaktdaten und je nach Rechtsform weiteren Angaben. Die Datenschutzerklärung muss zur tatsächlichen Website passen: Wenn dort ein Reservierungsformular erwähnt wird, das Sie längst abgeschaltet haben, oder das eingebettete Instagram-Widget fehlt, das Sie letzten Monat ergänzt haben, stimmt das Dokument nicht mehr.

Unser Rat: keine kopierte Datenschutzerklärung von einer anderen Restaurant-Website. Die beschreibt deren Technik, nicht Ihre. Kostenlose Generatoren der Wirtschaftskammer oder seriöser Anbieter sind ein brauchbarer Start, ersetzen aber den Abgleich mit dem, was Ihre Seite wirklich lädt.

Ihre Prüfliste für einen Nachmittag

Das alles klingt nach mehr Arbeit, als es ist. Wer die folgenden Punkte durchgeht, hat die häufigsten Schwachstellen einer Gastro-Website abgedeckt:

Google-Karte durch Zwei-Klick-Lösung oder statisches Bild mit Routenlink ersetzen
Quelltext auf „fonts.googleapis“ prüfen, Schriften bei Bedarf lokal hosten
Cookie-Banner testen: Lädt wirklich nichts Optionales vor der Zustimmung?
Reservierungsdaten: Speicherort klären, Auftragsverarbeitungsvertrag prüfen, Löschfrist festlegen
Datenschutzerklärung mit der tatsächlichen Website abgleichen
Impressum auf Vollständigkeit prüfen

Oder Sie lagern das Thema aus

Ehrlich gesagt: Ein Wirt sollte seine Abende nicht mit Quelltext-Suchen verbringen. Bei GuestMaker ist das datenschutzbewusste Setup Teil des Pakets: lokal gehostete Schriften, keine ungefragt ladenden Einbettungen und ein Reservierungssystem, bei dem klar ist, wo die Gästedaten liegen. Sie bekommen eine Website, bei der diese Liste von Anfang an abgehakt ist, ab 99 Euro im Monat, ohne Anzahlung.