DSGVO und lokales SEO: Datenschutzkonformes Review-Management und Tracking

DSGVO-Compliance ist für lokales SEO kein juristisches Beiwerk, sondern eine technische und prozessuale Voraussetzung. Wer Bewertungen einholt, Citations aufbaut und Nutzerverhalten misst, verarbeitet personenbezogene Daten. In Österreich gelten dafür die DSGVO, das Telekommunikationsgesetz (TKG 2021) und der unionsrechtliche Rahmen. Dieser Artikel zeigt, wie lokale Unternehmen Review-Management, Cookie-Consent und Tracking rechtskonform aufsetzen, ohne ihre Sichtbarkeit zu gefährden.

Warum DSGVO-Compliance für lokales SEO entscheidend ist

Lokales SEO lebt von Daten. Bewertungen sind ein Rankingsignal, Tracking liefert die Grundlage für Optimierungsentscheidungen, und Citations verteilen Unternehmensdaten über das Web. Jeder dieser Bausteine berührt die DSGVO, sobald natürliche Personen identifizierbar sind.

Die Relevanz ist messbar groß. In Österreich nutzten Anfang 2025 8,69 Millionen Menschen das Internet, was einer Penetration von 95,3 Prozent entspricht (Daten für Österreich). Bei dieser Reichweite ist die digitale Sichtbarkeit für lokale Betriebe ein zentraler Vertriebskanal, und jede Datenverarbeitung an diesem Kanal unterliegt dem Datenschutzrecht.

Bewertungen sind dabei besonders sensibel, weil sie Vertrauen und Recht gleichzeitig berühren. Laut einer internationalen Studie lesen 97 Prozent der Konsumenten Online-Bewertungen für lokale Unternehmen (Daten primär aus USA und UK, nicht DACH-spezifisch). Gleichzeitig erwarten viele Nutzer eine Reaktion: Laut derselben internationalen Erhebung erwarten 89 Prozent der Konsumenten, dass Unternehmen auf Bewertungen antworten. Genau in diesen Antworten lauert das Datenschutzrisiko, wenn personenbezogene Details öffentlich werden.

Das Spannungsfeld ist real: Datenschutz und Sichtbarkeit ziehen scheinbar in unterschiedliche Richtungen. Tatsächlich verstärken sich beide, wenn man sie richtig verbindet. Die Impressumspflicht etwa erzwingt korrekte Unternehmensdaten und stärkt damit zugleich NAP-Konsistenz und E-E-A-T.

Rechtsgrundlagen im Überblick

Drei Regelwerke bestimmen den Rahmen für lokale Unternehmen in Österreich.

• DSGVO: Die EU-Datenschutz-Grundverordnung regelt jede Verarbeitung personenbezogener Daten. Sie verlangt eine Rechtsgrundlage (Art. 6), Transparenz, Zweckbindung und die Wahrung der Betroffenenrechte wie Auskunft und Löschung.
• TKG 2021 (§ 165): Die österreichische Umsetzung der ePrivacy-Vorgaben regelt den Zugriff auf Endgeräte. Cookies und vergleichbare Technologien, die nicht technisch notwendig sind, brauchen eine vorherige Einwilligung. Dies entspricht funktional dem deutschen TTDSG/TDDDG § 25.
• EU-Omnibus-Richtlinie: Die Richtlinie (EU) 2019/2161 stärkt den Verbraucherschutz und stuft gefälschte oder nicht verifizierte Bewertungen als unlautere Geschäftspraxis ein. In Österreich ist sie über das UWG umgesetzt.

Für lokale Betriebe folgt daraus eine klare Reihenfolge: Erst Rechtsgrundlage und Transparenz klären, dann Technik einsetzen. Tracking ohne Einwilligung ist die häufigste und zugleich vermeidbarste Verletzung.

DSGVO-konformes Review-Management

Bewertungen einzuholen ist erlaubt, aber an Regeln gebunden. Entscheidend sind die Rechtsgrundlage, der Umgang mit Bewerterdaten und die saubere Trennung von Anreiz und Bewertung.

• Bewertungsaufforderung per E-Mail: Eine direkte Aufforderung setzt in der Regel eine bestehende Geschäftsbeziehung voraus. Wer ohne jeden Kontext fremde Kontakte anschreibt, riskiert sowohl einen DSGVO- als auch einen UWG-Verstoß. Die Kontaktdaten dürfen nur für den ursprünglichen Zweck genutzt werden.
• Keine unzulässigen Anreize: Bezahlte oder durch Rabatte erkaufte Bewertungen verstoßen gegen Plattformrichtlinien und gegen das Lauterkeitsrecht. Laut internationaler Studie halten 97 Prozent der Konsumenten eine Bestrafung von Unternehmen für Fake-Bewertungen für angemessen (US-Daten), und die Zahl der Rabattangebote für Bewertungen ist von 36 Prozent im Jahr 2025 auf 27 Prozent gesunken (US-Daten).
• Verarbeitung von Bewerterdaten: Name, Profil und Inhalt einer Bewertung sind personenbezogene Daten. Wer Reviews exportiert, in CRM-Systemen ablegt oder mit Monitoring-Tools auswertet, braucht dafür eine Rechtsgrundlage und gegebenenfalls einen Auftragsverarbeitungsvertrag mit dem Tool-Anbieter.
• Recht auf Löschung und Beschwerden: Betroffene können die Löschung ihrer Daten verlangen. Bei Bewertungen auf Drittplattformen läuft dies meist über den Plattformbetreiber, in der internen Verarbeitung muss das Unternehmen selbst reagieren.

Antworten auf Bewertungen ohne Datenschutzverstoß

Die Antwort auf eine Bewertung ist öffentlich und damit datenschutzrechtlich heikel. Der häufigste Fehler ist, in der Erwiderung mehr preiszugeben, als der Verfasser selbst öffentlich gemacht hat.

Sicher ist, nur das zu bestätigen, was bereits öffentlich steht, und ansonsten allgemein zu bleiben. Tabu ist die öffentliche Nennung weiterer Details wie Auftragsnummer, Behandlung, Diagnose, Wohnort oder die Tatsache eines konkreten Vertragsverhältnisses, sofern der Kunde diese nicht selbst genannt hat. Besonders kritisch sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten bei Ärzten, Therapeuten oder Apotheken.

Die praktische Regel lautet: öffentlich sachlich und allgemein antworten, Details in einen privaten Kanal verlagern. Eine kurze, professionelle Antwort mit dem Angebot, den Fall direkt zu klären, erfüllt die Erwartung der Leserschaft und vermeidet zugleich jeden Datenschutzverstoß. Das ist auch geschäftlich sinnvoll, denn laut internationaler Studie nutzen 80 Prozent der Konsumenten eher ein Unternehmen, das auf alle seine Bewertungen antwortet (US-Daten).

Cookie-Consent und Consent-Management-Plattformen

Tracking-Cookies und Analyse-Skripte dürfen erst nach aktiver Einwilligung laden. Ein Consent-Banner muss dafür rechtskonform gestaltet sein, und die österreichische Datenschutzbehörde (DSB) sowie das Bundesverwaltungsgericht (BVwG) haben die Maßstäbe geschärft.

• Gleichwertige Buttons: Annehmen und Ablehnen müssen auf der ersten Ebene gleich erreichbar und optisch gleichwertig sein, also in Größe, Farbe, Kontrast und Schrift vergleichbar. Ein bunter Akzeptieren-Button neben einem grauen Ablehnen-Link gilt als unzulässiges Nudging.
• Granularität: Nutzer müssen Kategorien wie Statistik und Marketing einzeln steuern können. Eine pauschale Alles-oder-nichts-Logik ist unzureichend.
• Keine Vorauswahl: Nicht notwendige Cookies dürfen nicht vorab aktiviert sein. Schweigen oder Weiterscrollen ist keine Einwilligung.
• Widerruf und Dokumentation: Der Widerruf muss so einfach sein wie die Erteilung. Die Einwilligung ist nachweispflichtig zu protokollieren.

Eine Consent-Management-Plattform (CMP) automatisiert das Blockieren von Skripten bis zur Einwilligung und dokumentiert die Zustimmung. Wichtig ist, dass die CMP nicht-notwendige Tags tatsächlich erst nach Consent auslöst, nicht nur das Banner anzeigt.

Datenschutzkonformes Tracking-Setup

Beim Tracking entscheidet die Tool-Wahl über das Risiko. Der Einsatz von US-Tools ist seit Jahren umstritten. Die österreichische DSB stellte bereits im Januar 2022 in einer vielbeachteten Entscheidung fest, dass der Einsatz von Google Analytics auf EU-Webseiten gegen die DSGVO verstößt (Entscheidung für Österreich), weil personenbezogene Daten wie IP-Adresse und Nutzer-IDs in die USA übermittelt wurden. Hintergrund war das Schrems-II-Urteil des EuGH.

Daraus ergeben sich mehrere Optionen.

• EU-basierte Alternativen: Werkzeuge wie Matomo (self-hosted oder EU-Cloud) oder etracker halten die Daten in der EU und reduzieren das Transferrisiko deutlich. Sie bieten häufig auch cookieless oder Consent-schonende Konfigurationen.
• Google Analytics 4 mit Consent Mode: GA4 lässt sich nur nach Einwilligung und mit datensparsamen Einstellungen betreiben. Der Consent Mode steuert, ob Tags vollständig oder nur in aggregierter Form auslösen. Das transatlantische Transferrisiko bleibt jedoch ein offener Punkt.
• Serverseitiges Tracking: Server-side Tagging kann Datenflüsse bündeln und filtern, ersetzt aber keine Einwilligung. Es ändert nichts an der Rechtsgrundlage, sondern nur an der technischen Architektur.

Internationale Datenübermittlung: Schrems II und das Restrisiko

Jedes US-Tool wirft die Frage der Drittlandübermittlung nach Kapitel V DSGVO auf. Nach dem Schrems-II-Urteil bietet das seit 2023 geltende EU-US Data Privacy Framework (DPF) eine Rechtsgrundlage, sofern der US-Empfänger zertifiziert ist. Das senkt das Risiko, beseitigt es aber nicht.

Datenschutzfachleute warnen vor einem möglichen Schrems III, also einer erneuten Anfechtung des DPF vor dem EuGH. Solange diese Unsicherheit besteht, gilt für lokale Unternehmen ein pragmatischer Grundsatz: Wo eine EU-Lösung den gleichen Zweck erfüllt, ist sie die risikoärmere Wahl. Wer US-Tools nutzt, sollte die DPF-Zertifizierung prüfen, Standardvertragsklauseln als Backup vereinbaren und die Datenflüsse dokumentieren.

Google Business Profile datenschutzkonform betreiben

Das Google Business Profile (GBP) ist der wichtigste lokale Sichtbarkeitskanal und zugleich eine Datenverarbeitung. Drei Punkte sind relevant.

• Rollen klären: Bei der reinen Profilpflege agiert das Unternehmen weitgehend eigenständig. Sobald jedoch Tracking-Parameter, Buchungs- oder Nachrichtenfunktionen genutzt werden, sind die jeweiligen Vereinbarungen und gegebenenfalls eine Auftragsverarbeitung zu prüfen.
• Datenfreigaben prüfen: Funktionen wie Reservierungen oder Messaging übertragen Kundendaten an Google und Drittanbieter. Diese Flüsse gehören in die Datenschutzerklärung.
• GBP-Interaktionen tracken: Wer UTM-Parameter auf den Website-Link des Profils setzt, misst Klicks aus dem GBP. Diese Messung greift auf der eigenen Website und unterliegt damit der Consent-Pflicht.

Best Practices: Compliance-Checkliste für lokale Unternehmen

Eine schlanke, dokumentierte Routine deckt die wichtigsten Pflichten ab.

• Datenschutzerklärung aktuell halten: Alle eingesetzten Tools für Analyse, Bewertungen, Karten und Buchung benennen, inklusive Zweck, Rechtsgrundlage und Drittlandbezug.
• Auftragsverarbeitungsverträge abschließen: Mit jedem Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, etwa CMP, Analyse-Tool oder Review-Monitoring.
• Consent-Banner prüfen: Gleichwertige Buttons, Granularität, keine Vorauswahl, funktionierende Skript-Blockade vor Einwilligung.
• Bewertungs-Workflow definieren: Wer fragt wann nach Bewertungen, auf welcher Rechtsgrundlage, und wer beantwortet sie nach welchen Regeln.
• Impressum vollständig führen: Korrekte NAP-Daten erfüllen die gesetzliche Pflicht und stärken zugleich lokale Signale und E-E-A-T.
• Dokumentation pflegen: Einwilligungen, Verträge und Verarbeitungsverzeichnis als Nachweis bereithalten.

Häufige Fehler

Wiederkehrende Schwachstellen lassen sich gezielt vermeiden.

• Tracking vor Consent: Analyse-Skripte, die beim Seitenaufruf sofort laden, sind die häufigste Verletzung. Das Banner allein genügt nicht, die Skripte müssen tatsächlich blockiert sein.
• Personenbezug in Review-Antworten: Das öffentliche Nennen von Vertragsdetails, Gesundheitsdaten oder Wohnort. Details gehören in den privaten Kanal.
• US-Tools ohne Prüfung: Standardmäßiges Einbinden ohne DPF-Zertifizierung, ohne Standardvertragsklauseln und ohne Dokumentation.
• Fehlende AV-Verträge: Monitoring- und Analyse-Dienste ohne vertragliche Grundlage einzusetzen.
• Erkaufte Bewertungen: Anreize oder Fake-Reviews riskieren Bußgelder und Reputationsschaden.

Metriken und Messung trotz Consent-Verlusten

Datenschutzkonformes Tracking bedeutet weniger Daten. Bei einem rechtskonformen Banner gehen laut einer Benchmark-Studie im Schnitt rund 60 Prozent der Besuchsdaten verloren, wenn eine Einwilligung erforderlich ist (Daten für Deutschland/EU). Diese Lücke ist systematisch, nicht zufällig, und verzerrt die Statistik. Wer das ignoriert, trifft Entscheidungen auf einer schiefen Grundlage.

Valide Analysen sind dennoch möglich.

• Trends statt Absolutwerte: Relative Entwicklungen über die Zeit bleiben aussagekräftig, solange die Messbedingungen konstant sind.
• Consent-Rate als eigene Kennzahl: Die Zustimmungsquote selbst messen, um die Datenbasis einzuordnen und die Banner-Performance zu beurteilen.
• Serverseitige und cookieless Signale nutzen: Aggregierte, nicht personenbezogene Messung liefert eine zusätzliche, einwilligungsfreie Perspektive.
• GBP-Insights und SERP-Daten einbeziehen: Anrufe, Routenanfragen und Rankings sind unabhängige Belege, die nicht unter dem Consent-Verlust leiden.

Sanktionsrisiken und Abmahnungen

Die Folgen von Verstößen sind real. Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. Tracking ohne Einwilligung und mangelhafte Consent-Banner sind regelmäßig Gegenstand von Prüfungen und Beschwerden.

Hinzu kommt das Wettbewerbsrecht. Fake-Bewertungen und unzulässige Anreize sind über die Omnibus-Richtlinie und das UWG abmahnfähig und können Geldbußen nach sich ziehen. Für lokale Betriebe addieren sich damit drei Risikoebenen: aufsichtsrechtliche DSGVO-Bußgelder, wettbewerbsrechtliche Abmahnungen und der Vertrauensverlust bei der Kundschaft.

Weiterführendes

DSGVO-konformes lokales SEO ist kein einmaliges Projekt, sondern eine Routine. Wer Consent vor Tracking schaltet, Bewertungen sauber einholt und beantwortet, EU-nahe Tools bevorzugt und alles dokumentiert, verbindet Rechtssicherheit mit Sichtbarkeit. Die Datenschutzerklärung, ein geprüftes Consent-Banner und ein klarer Bewertungs-Workflow bilden das Fundament, auf dem sich lokale Reichweite rechtssicher ausbauen lässt.