DSGVO und lokales SEO: Datenschutzkonformes Review-Management und Tracking

DSGVO-Compliance ist für lokales SEO kein juristisches Beiwerk, sondern eine technische und prozessuale Voraussetzung. Wer Bewertungen einholt, Citations aufbaut und Nutzerverhalten misst, verarbeitet personenbezogene Daten. In Österreich gelten dafür die DSGVO, das Telekommunikationsgesetz (TKG 2021) und der unionsrechtliche Rahmen. Dieser Artikel zeigt, wie lokale Unternehmen Review-Management, Cookie-Consent und Tracking rechtskonform aufsetzen, ohne ihre Sichtbarkeit zu gefährden.

Warum DSGVO-Compliance für lokales SEO entscheidend ist

Lokales SEO lebt von Daten. Bewertungen sind ein Rankingsignal, Tracking liefert die Grundlage für Optimierungsentscheidungen, und Citations verteilen Unternehmensdaten über das Web. Jeder dieser Bausteine berührt die DSGVO, sobald natürliche Personen identifizierbar sind.

Die Relevanz ist messbar groß. In Österreich nutzten Anfang 2025 8,69 Millionen Menschen das Internet, was einer Penetration von 95,3 Prozent entspricht (Daten für Österreich). Bei dieser Reichweite ist die digitale Sichtbarkeit für lokale Betriebe ein zentraler Vertriebskanal, und jede Datenverarbeitung an diesem Kanal unterliegt dem Datenschutzrecht.

Bewertungen sind dabei besonders sensibel, weil sie Vertrauen und Recht gleichzeitig berühren. Laut einer internationalen Studie lesen 97 Prozent der Konsumenten Online-Bewertungen für lokale Unternehmen (Daten primär aus USA und UK, nicht DACH-spezifisch). Gleichzeitig erwarten viele Nutzer eine Reaktion: Laut derselben internationalen Erhebung erwarten 89 Prozent der Konsumenten, dass Unternehmen auf Bewertungen antworten. Genau in diesen Antworten lauert das Datenschutzrisiko, wenn personenbezogene Details öffentlich werden.

Das Spannungsfeld ist real: Datenschutz und Sichtbarkeit ziehen scheinbar in unterschiedliche Richtungen. Tatsächlich verstärken sich beide, wenn man sie richtig verbindet. Die Impressumspflicht etwa erzwingt korrekte Unternehmensdaten und stärkt damit zugleich NAP-Konsistenz und E-E-A-T.

Rechtsgrundlagen im Überblick

Drei Regelwerke bestimmen den Rahmen für lokale Unternehmen in Österreich.

• DSGVO: Die EU-Datenschutz-Grundverordnung regelt jede Verarbeitung personenbezogener Daten. Sie verlangt eine Rechtsgrundlage (Art. 6), Transparenz, Zweckbindung und die Wahrung der Betroffenenrechte wie Auskunft und Löschung.
• TKG 2021 (§ 165 und § 174): Die österreichische Umsetzung der ePrivacy-Vorgaben regelt den Zugriff auf Endgeräte. Cookies und vergleichbare Technologien, die nicht technisch notwendig sind, brauchen eine vorherige Einwilligung. Dies entspricht funktional § 25 des deutschen TDDDG (vormals TTDSG). § 174 TKG 2021 macht außerdem Werbe-E-Mails von einer vorherigen Einwilligung abhängig. Bewertungsanfragen per E-Mail fallen im Zweifel darunter.
• EU-Omnibus-Richtlinie: Die Richtlinie (EU) 2019/2161 stärkt den Verbraucherschutz. Sie verbietet, gefälschte Bewertungen abzugeben oder in Auftrag zu geben, und zu behaupten, Bewertungen stammten von echten Kunden, ohne das angemessen geprüft zu haben. In Österreich ist sie über das UWG umgesetzt, die beiden Verbote stehen in Z 23b und 23c des UWG-Anhangs. Wer Bewertungen zugänglich macht, etwa auf der eigenen Website, muss zudem angeben, ob und wie er ihre Echtheit prüft (§ 2 Abs. 6b UWG).

Für lokale Betriebe folgt daraus eine klare Reihenfolge: Erst Rechtsgrundlage und Transparenz klären, dann Technik einsetzen. Tracking ohne Einwilligung ist die häufigste und zugleich vermeidbarste Verletzung.

DSGVO-konformes Review-Management

Bewertungen einzuholen ist erlaubt, aber an Regeln gebunden. Entscheidend sind die Rechtsgrundlage, der Umgang mit Bewerterdaten und die saubere Trennung von Anreiz und Bewertung.

• Bewertungsanfrage per E-Mail: Eine Bitte um eine Bewertung soll den Absatz fördern und ist deshalb im Zweifel als Direktwerbung zu behandeln. Per E-Mail ist sie in Österreich nach § 174 Abs. 3 TKG 2021 grundsätzlich nur mit vorheriger Einwilligung zulässig. Eine bestehende Geschäftsbeziehung allein reicht nicht. Die Ausnahme nach Abs. 4 greift nur, wenn alle vier Bedingungen erfüllt sind: Die Adresse stammt aus einem Kauf oder einer Dienstleistung, die E-Mail wirbt für eigene ähnliche Produkte oder Dienstleistungen, der Kunde konnte schon bei der Erhebung kostenlos und einfach widersprechen und bekommt diese Möglichkeit in jeder E-Mail erneut, und er hat nicht widersprochen, auch nicht über die ECG-Liste nach § 7 Abs. 2 E-Commerce-Gesetz. Ob eine reine Bewertungsbitte als Werbung für eigene ähnliche Produkte unter diese Ausnahme fällt, ist nicht geklärt. Der sichere Weg ist eine Einwilligung, die du gleich beim Kauf einholst.
• Keine unzulässigen Anreize: Bezahlte oder durch Rabatte erkaufte Bewertungen verstoßen gegen Plattformrichtlinien und gegen das Lauterkeitsrecht. Laut internationaler Studie halten 97 Prozent der Konsumenten eine Bestrafung von Unternehmen für Fake-Bewertungen für angemessen (US-Daten), und die Zahl der Rabattangebote für Bewertungen ist von 36 Prozent im Jahr 2025 auf 27 Prozent gesunken (US-Daten).
• Verarbeitung von Bewerterdaten: Name, Profil und Inhalt einer Bewertung sind personenbezogene Daten. Wer Reviews exportiert, in CRM-Systemen ablegt oder mit Monitoring-Tools auswertet, braucht dafür eine Rechtsgrundlage und gegebenenfalls einen Auftragsverarbeitungsvertrag mit dem Tool-Anbieter.
• Recht auf Löschung und Beschwerden: Betroffene können die Löschung ihrer Daten verlangen. Bei Bewertungen auf Drittplattformen läuft dies meist über den Plattformbetreiber, in der internen Verarbeitung muss das Unternehmen selbst reagieren.

Antworten auf Bewertungen ohne Datenschutzverstoß

Die Antwort auf eine Bewertung ist öffentlich und damit datenschutzrechtlich heikel. Der häufigste Fehler ist, in der Erwiderung mehr preiszugeben, als der Verfasser selbst öffentlich gemacht hat.

Sicher ist, nur das zu bestätigen, was bereits öffentlich steht, und ansonsten allgemein zu bleiben. Tabu ist die öffentliche Nennung weiterer Details wie Auftragsnummer, Behandlung, Diagnose, Wohnort oder die Tatsache eines konkreten Vertragsverhältnisses, sofern der Kunde diese nicht selbst genannt hat. Besonders kritisch sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, etwa Gesundheitsdaten bei Ärzten, Therapeuten oder Apotheken.

Die praktische Regel lautet: öffentlich sachlich und allgemein antworten, Details in einen privaten Kanal verlagern. Eine kurze, professionelle Antwort mit dem Angebot, den Fall direkt zu klären, erfüllt die Erwartung der Leserschaft und vermeidet zugleich jeden Datenschutzverstoß. Das ist auch geschäftlich sinnvoll, denn laut internationaler Studie nutzen 80 Prozent der Konsumenten eher ein Unternehmen, das auf alle seine Bewertungen antwortet (US-Daten).

Cookie-Consent und Consent-Management-Plattformen

Tracking-Cookies und Analyse-Skripte dürfen erst nach aktiver Einwilligung laden. Ein Consent-Banner muss dafür rechtskonform gestaltet sein, und die österreichische Datenschutzbehörde (DSB) sowie das Bundesverwaltungsgericht (BVwG) haben die Maßstäbe geschärft.

• Gleichwertige Buttons: Annehmen und Ablehnen müssen auf der ersten Ebene gleich erreichbar und optisch gleichwertig sein, also in Größe, Farbe, Kontrast und Schrift vergleichbar. Ein bunter Akzeptieren-Button neben einem grauen Ablehnen-Link gilt als unzulässiges Nudging.
• Granularität: Nutzer müssen Kategorien wie Statistik und Marketing einzeln steuern können. Eine pauschale Alles-oder-nichts-Logik ist unzureichend.
• Keine Vorauswahl: Nicht notwendige Cookies dürfen nicht vorab aktiviert sein. Schweigen oder Weiterscrollen ist keine Einwilligung.
• Widerruf und Dokumentation: Der Widerruf muss so einfach sein wie die Erteilung. Die Einwilligung ist nachweispflichtig zu protokollieren.

Eine Consent-Management-Plattform (CMP) automatisiert das Blockieren von Skripten bis zur Einwilligung und dokumentiert die Zustimmung. Wichtig ist, dass die CMP nicht-notwendige Tags tatsächlich erst nach Consent auslöst, nicht nur das Banner anzeigt.

Datenschutzkonformes Tracking-Setup

Beim Tracking entscheidet die Tool-Wahl über das Risiko. Der Einsatz von US-Tools ist seit Jahren umstritten. Die österreichische DSB stellte in einer im Januar 2022 veröffentlichten Entscheidung fest, dass der damalige Einsatz von Google Analytics auf einer österreichischen Website gegen die DSGVO verstieß, weil personenbezogene Daten wie IP-Adresse und Nutzer-IDs in die USA übermittelt wurden. Auslöser war eine Beschwerde von noyb aus dem August 2020, Hintergrund das Schrems-II-Urteil des EuGH. Die Entscheidung betraf damit die Zeit vor dem EU-US Data Privacy Framework. Inzwischen ist Google LLC nach dem DPF zertifiziert, die Übermittlung hat also wieder eine Rechtsgrundlage. Ein Restrisiko bleibt, dazu mehr im Abschnitt zur internationalen Datenübermittlung.

Daraus ergeben sich mehrere Optionen.

• EU-basierte Alternativen: Werkzeuge wie Matomo (self-hosted oder EU-Cloud) oder etracker halten die Daten in der EU und reduzieren das Transferrisiko deutlich. Sie bieten häufig auch cookieless oder Consent-schonende Konfigurationen.
• Google Analytics 4 mit Consent Mode: GA4 lässt sich nur nach Einwilligung und mit datensparsamen Einstellungen betreiben. Der Consent Mode steuert, ob Tags vollständig oder nur in aggregierter Form auslösen. Das transatlantische Transferrisiko bleibt jedoch ein offener Punkt.
• Serverseitiges Tracking: Server-side Tagging kann Datenflüsse bündeln und filtern, ersetzt aber keine Einwilligung. Es ändert nichts an der Rechtsgrundlage, sondern nur an der technischen Architektur.

Internationale Datenübermittlung: Schrems II und das Restrisiko

Jedes US-Tool wirft die Frage der Drittlandübermittlung nach Kapitel V DSGVO auf. Nach dem Schrems-II-Urteil bietet das seit 2023 geltende EU-US Data Privacy Framework (DPF) eine Rechtsgrundlage, sofern der US-Empfänger zertifiziert ist. Das senkt das Risiko, beseitigt es aber nicht.

Das Gericht der EU hat eine Nichtigkeitsklage gegen das DPF am 3. September 2025 abgewiesen (Rs. T-553/23, Latombe). Der Kläger hat dagegen Rechtsmittel beim EuGH eingelegt (Rs. C-703/25 P). Das Verfahren ist dort anhängig (Stand: Oktober 2026). Bis der EuGH entschieden hat, bleibt ein Schrems III möglich, also ein Kippen des DPF. Solange diese Unsicherheit besteht, gilt für lokale Unternehmen ein pragmatischer Grundsatz: Wo eine EU-Lösung den gleichen Zweck erfüllt, ist sie die risikoärmere Wahl. Wer US-Tools nutzt, sollte die DPF-Zertifizierung prüfen, Standardvertragsklauseln als Backup vereinbaren und die Datenflüsse dokumentieren.

Google Business Profile datenschutzkonform betreiben

Das Google Business Profile (GBP) ist der wichtigste lokale Sichtbarkeitskanal und zugleich eine Datenverarbeitung. Drei Punkte sind relevant.

• Rollen klären: Bei der reinen Profilpflege agiert das Unternehmen weitgehend eigenständig. Sobald jedoch Tracking-Parameter, Buchungs- oder Nachrichtenfunktionen genutzt werden, sind die jeweiligen Vereinbarungen und gegebenenfalls eine Auftragsverarbeitung zu prüfen.
• Datenfreigaben prüfen: Funktionen wie Reservierungen oder Messaging übertragen Kundendaten an Google und Drittanbieter. Diese Flüsse gehören in die Datenschutzerklärung.
• GBP-Interaktionen tracken: Wer UTM-Parameter auf den Website-Link des Profils setzt, misst Klicks aus dem GBP. Diese Messung greift auf der eigenen Website und unterliegt damit der Consent-Pflicht.

Best Practices: Compliance-Checkliste für lokale Unternehmen

Eine schlanke, dokumentierte Routine deckt die wichtigsten Pflichten ab.

• Datenschutzerklärung aktuell halten: Alle eingesetzten Tools für Analyse, Bewertungen, Karten und Buchung benennen, inklusive Zweck, Rechtsgrundlage und Drittlandbezug.
• Auftragsverarbeitungsverträge abschließen: Mit jedem Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, etwa CMP, Analyse-Tool oder Review-Monitoring.
• Consent-Banner prüfen: Gleichwertige Buttons, Granularität, keine Vorauswahl, funktionierende Skript-Blockade vor Einwilligung.
• Bewertungs-Workflow definieren: Wer fragt wann nach Bewertungen, auf welcher Rechtsgrundlage, und wer beantwortet sie nach welchen Regeln.
• Impressum vollständig führen: Korrekte NAP-Daten erfüllen die gesetzliche Pflicht und stärken zugleich lokale Signale und E-E-A-T.
• Dokumentation pflegen: Einwilligungen, Verträge und Verarbeitungsverzeichnis als Nachweis bereithalten.

Häufige Fehler

Wiederkehrende Schwachstellen lassen sich gezielt vermeiden.

• Tracking vor Consent: Analyse-Skripte, die beim Seitenaufruf sofort laden, sind die häufigste Verletzung. Das Banner allein genügt nicht, die Skripte müssen tatsächlich blockiert sein.
• Personenbezug in Review-Antworten: Das öffentliche Nennen von Vertragsdetails, Gesundheitsdaten oder Wohnort. Details gehören in den privaten Kanal.
• US-Tools ohne Prüfung: Standardmäßiges Einbinden ohne DPF-Zertifizierung, ohne Standardvertragsklauseln und ohne Dokumentation.
• Fehlende AV-Verträge: Monitoring- und Analyse-Dienste ohne vertragliche Grundlage einzusetzen.
• Erkaufte Bewertungen: Anreize oder Fake-Reviews riskieren Bußgelder und Reputationsschaden.

Metriken und Messung trotz Consent-Verlusten

Datenschutzkonformes Tracking bedeutet weniger Daten. Bei einem rechtskonformen Banner gehen laut einer Benchmark-Studie im Schnitt rund 60 Prozent der Besuchsdaten verloren, wenn eine Einwilligung erforderlich ist (Daten für Deutschland/EU). Diese Lücke ist systematisch, nicht zufällig, und verzerrt die Statistik. Wer das ignoriert, trifft Entscheidungen auf einer schiefen Grundlage.

Valide Analysen sind dennoch möglich.

• Trends statt Absolutwerte: Relative Entwicklungen über die Zeit bleiben aussagekräftig, solange die Messbedingungen konstant sind.
• Consent-Rate als eigene Kennzahl: Die Zustimmungsquote selbst messen, um die Datenbasis einzuordnen und die Banner-Performance zu beurteilen.
• Serverseitige und cookieless Signale nutzen: Aggregierte, nicht personenbezogene Messung liefert eine zusätzliche, einwilligungsfreie Perspektive.
• GBP-Insights und SERP-Daten einbeziehen: Anrufe, Routenanfragen und Rankings sind unabhängige Belege, die nicht unter dem Consent-Verlust leiden.

Sanktionsrisiken und Abmahnungen

Die Folgen von Verstößen sind real. Die DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes vor. Tracking ohne Einwilligung und mangelhafte Consent-Banner sind regelmäßig Gegenstand von Prüfungen und Beschwerden.

Hinzu kommt das Wettbewerbsrecht. Fake-Bewertungen und unzulässige Anreize verstoßen gegen das UWG, das in Österreich die Omnibus-Richtlinie umsetzt. Solche Verstöße sind abmahnfähig und können Geldbußen nach sich ziehen. Für lokale Betriebe addieren sich damit drei Risikoebenen: aufsichtsrechtliche DSGVO-Bußgelder, wettbewerbsrechtliche Abmahnungen und der Vertrauensverlust bei der Kundschaft.

Weiterführendes

DSGVO-konformes lokales SEO ist kein einmaliges Projekt, sondern eine Routine. Wer Consent vor Tracking schaltet, Bewertungen sauber einholt und beantwortet, EU-nahe Tools bevorzugt und alles dokumentiert, verbindet Rechtssicherheit mit Sichtbarkeit. Die Datenschutzerklärung, ein geprüftes Consent-Banner und ein klarer Bewertungs-Workflow bilden das Fundament, auf dem sich lokale Reichweite rechtssicher ausbauen lässt.