Ihre Website ist online, aber erfüllt sie auch die DSGVO? Bei vielen Unternehmenswebsites liegen die Lücken nicht im Text der Datenschutzerklärung, sondern in der Technik: Schriften, Karten oder Videos laden Daten von fremden Servern, bevor der Besucher zugestimmt hat.
Kurz gesagt: Eine DSGVO-konforme Website lädt keine Dienste, die Daten an Dritte übertragen, bevor der Besucher eingewilligt hat. Dazu kommen ein Cookie-Banner mit gleichwertigem Ablehnen-Button, eine vollständige Datenschutzerklärung, ein korrektes Impressum, HTTPS, sparsame Formulare, Verträge zur Auftragsverarbeitung mit allen Dienstleistern und ein Verarbeitungsverzeichnis.
Die Datenschutz-Grundverordnung gilt seit Mai 2018. Für Ihre Website heißt das vor allem: nur die Daten erheben, die Sie brauchen, Besucher verständlich informieren und vor jeder Übertragung an Dritte die Einwilligung einholen. Bei den Websites, die wir umsetzen, prüfen wir diese Punkte vor dem Livegang und danach laufend in der Website-Betreuung. Die Checkliste unten ordnet die Pflichten ein und ersetzt keine Rechtsberatung.
Was gehört auf die Checkliste für eine DSGVO-konforme Website?
Acht Punkte decken die Pflichten einer typischen Unternehmenswebsite ab. Die Abschnitte darunter erklären jeden Punkt im Detail.
| Punkt | Was zu tun ist | Grundlage |
|---|---|---|
| 1. Cookie-Banner | Keine Analyse- oder Marketing-Cookies vor der Einwilligung, Ablehnen so einfach wie Zustimmen | § 25 TDDDG, Art. 6 DSGVO |
| 2. Externe Dienste | Schriften lokal einbinden, Karten und Videos erst nach Klick laden | Art. 6 DSGVO |
| 3. Datenschutzerklärung | Jeden Dienst, jedes Formular und jedes Tool mit Zweck und Rechtsgrundlage aufführen | Art. 13 DSGVO |
| 4. Impressum | Name, Anschrift, Kontakt, Register und Umsatzsteuer-ID vollständig angeben | § 5 DDG |
| 5. HTTPS | Ganze Website verschlüsselt, ohne gemischte Inhalte | Art. 32 DSGVO |
| 6. Formulare | Nur nötige Pflichtfelder, Hinweis auf den Datenschutz, Newsletter mit Double-Opt-In | Art. 5 und Art. 7 DSGVO |
| 7. Auftragsverarbeitung | Verträge mit Hoster, Newsletter- und Analyse-Dienst abschließen | Art. 28 DSGVO |
| 8. Verarbeitungsverzeichnis | Zweck, Daten, Empfänger und Löschfristen je Funktion dokumentieren | Art. 30 DSGVO |
Cookie-Banner und Einwilligungsmanagement richtig umsetzen
Das Cookie-Banner ist der häufigste DSGVO-Verstoß auf deutschen Websites. Die Anforderungen sind klar: Vor der Einwilligung des Nutzers dürfen keine tracking-relevanten Cookies gesetzt werden. Das bedeutet: Google Analytics, Facebook Pixel, Marketing-Tools: Alles muss blockiert sein, bis der Nutzer aktiv zustimmt. Ein einfacher Hinweis „Diese Website verwendet Cookies” reicht längst nicht mehr aus.
Ein professionelles Consent-Management-Tool wie Borlabs Cookie oder Cookiebot übernimmt die technische Umsetzung. Es blockiert Skripte vor der Einwilligung, dokumentiert jede Zustimmung revisionssicher und bietet eine Möglichkeit zum Widerruf. Wichtig: Der Ablehnen-Button muss genauso prominent sein wie der Zustimmen-Button. Alles andere ist ein Verstoß gegen die ePrivacy-Richtlinie.
Google Fonts, Maps und externe Ressourcen lokal einbinden
Das Landgericht München I hat 2022 entschieden, dass die dynamische Einbindung von Google Fonts ohne Einwilligung die IP-Adresse des Besuchers unzulässig an Google überträgt (Urteil vom 20.01.2022, Az. 3 O 17493/20). Seitdem gilt: Schriften gehören auf den eigenen Server.
Die Lösung: Google Fonts lokal hosten. Statt die Schriften von Googles Servern zu laden, werden sie auf dem eigenen Webserver gespeichert. Gleiches gilt für Google Maps, YouTube-Videos und andere externe Ressourcen. Jeder externe Aufruf überträgt die IP-Adresse des Besuchers an Drittanbieter, ohne Einwilligung ein klarer DSGVO-Verstoß. YouTube lässt sich über den erweiterten Datenschutzmodus einbinden, Google Maps über eine Consent-Lösung oder als statisches Bild mit Link.
Wie das im Detail geht, zeigen die Beiträge Google Fonts lokal einbinden, Google Maps DSGVO-konform einbinden und Google Analytics DSGVO-konform.
Impressum und Datenschutzerklärung vollständig und aktuell halten
Das Impressum muss nach § 5 DDG (bis Mai 2024 § 5 TMG) bestimmte Pflichtangaben enthalten: Name, Anschrift, Kontaktdaten, Handelsregistereintrag, USt-IdNr. Falls vorhanden, berufsspezifische Angaben. Was viele vergessen: Auch die Datenschutzerklärung muss jedes Tool, jeden Dienst und jede Datenverarbeitung aufführen, die auf der Website stattfindet.
Verwenden Sie Google Analytics? Dann muss es in der Datenschutzerklärung stehen, mit Beschreibung der Verarbeitung, Rechtsgrundlage und Widerspruchsmöglichkeit. Nutzen Sie ein Kontaktformular? Gleiches Spiel. Jedes Plugin, jede Einbindung, jeder externe Dienst erzeugt eine Dokumentationspflicht. Generatoren wie der von eRecht24 oder der Datenschutz-Generator von Dr. Schwenke helfen, nichts zu vergessen.
SSL-Verschlüsselung und sichere Datenübertragung
Eine SSL-Verschlüsselung (erkennbar am https:// in der Adresszeile) ist seit der DSGVO Pflicht für jede Website, die personenbezogene Daten erhebt. Das betrifft praktisch jede Unternehmensseite, denn schon ein Kontaktformular oder ein Newsletter-Anmeldeformular erhebt personenbezogene Daten.
Die meisten Hosting-Anbieter stellen kostenlose SSL-Zertifikate über Let’s Encrypt bereit. Wichtig ist die korrekte Weiterleitung: Alle HTTP-Aufrufe müssen automatisch auf HTTPS umgeleitet werden. Mixed-Content-Warnungen, wenn einzelne Ressourcen noch über HTTP geladen werden, müssen behoben werden. Ein SSL-Check-Tool zeigt, ob die Verschlüsselung korrekt konfiguriert ist.
Kontaktformulare und E-Mail-Kommunikation absichern
Jedes Kontaktformular auf Ihrer Website verarbeitet personenbezogene Daten. Die DSGVO verlangt dafür: eine klare Information, welche Daten erhoben werden und warum, einen Hinweis auf die Datenschutzerklärung direkt am Formular, die Erhebung nur der tatsächlich notwendigen Daten (Datensparsamkeit), und eine sichere Übertragung über SSL.
Verzichten Sie auf vorausgewählte Checkboxen für Newsletter oder Marketing-Einwilligungen. Das Double-Opt-In-Verfahren ist bei Newsletter-Anmeldungen Pflicht: Der Nutzer bestätigt seine Anmeldung über einen Link in einer Bestätigungs-E-Mail. Ohne diesen Nachweis haben Sie im Streitfall keine gültige Einwilligung.
Auftragsverarbeitungsverträge mit allen Dienstleistern abschließen
Jeder externe Dienst, der personenbezogene Daten Ihrer Website-Besucher verarbeitet, erfordert einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Das betrifft Ihren Hosting-Anbieter, Ihren E-Mail-Marketing-Dienst, Google Analytics, Ihren Newsletter-Anbieter und jeden weiteren Dienstleister in der Kette.
Die meisten großen Anbieter stellen AVVs digital bereit, oft im Kundenbereich oder auf Anfrage. Dokumentieren Sie jeden abgeschlossenen Vertrag. Bei einer Prüfung durch die Aufsichtsbehörde müssen Sie nachweisen können, dass alle Verarbeitungen vertraglich abgesichert sind. Fehlt ein AVV, ist die gesamte Datenverarbeitung rechtswidrig, unabhängig davon, ob die Einwilligung des Nutzers vorliegt.
Welche DSGVO-Fehler sind auf Unternehmenswebsites am häufigsten?
Diese Lücken finden wir bei Website-Prüfungen immer wieder: Google Fonts werden extern geladen statt lokal gehostet. Das Cookie-Banner setzt Tracking-Cookies bereits vor der Einwilligung. Die Datenschutzerklärung listet nicht alle verwendeten Dienste auf. Kontaktformulare haben keinen Hinweis auf die Datenschutzerklärung. Alte Plugins übertragen Daten an Server außerhalb der EU. Social-Media-Buttons laden Tracking-Skripte ohne Einwilligung. Es fehlen Auftragsverarbeitungsverträge mit Hosting-Anbietern oder Tool-Providern.
Aus unseren Projekten: Bei Websites, die wir vor einem Relaunch prüfen, steckt das Problem selten in der Datenschutzerklärung selbst. Meist lädt ein altes Plugin, ein eingebettetes Video oder eine Karte im Hintergrund Daten von fremden Servern, obwohl das Cookie-Banner korrekt aussieht. Sichtbar wird das erst mit einem Blick in die Netzwerkanalyse des Browsers.
Neben dem Datenschutz gelten für Websites weitere Pflichten, etwa die KI-Kennzeichnungspflicht für Chatbots und KI-Bilder.
Alle Ratgeber zu Sicherheit, Datenschutz und Technik finden Sie in der Übersicht Website-Sicherheit, Recht und Technik.
Häufige Fragen zur DSGVO-konformen Website
Was kostet es, eine Website DSGVO-konform zu machen?
Der Aufwand hängt vom Zustand der Website ab: wie viele externe Dienste eingebunden sind, ob ein Consent-Tool schon sauber arbeitet und ob Formulare, Newsletter oder Bewerbungen Daten verarbeiten. Eine schlanke Website mit wenigen Diensten ist schnell angepasst, eine gewachsene Seite mit vielen Plugins braucht zuerst eine Bestandsaufnahme. Bei den Websites, die wir umsetzen, ist die Prüfung Teil der Website-Betreuung.
Wie oft muss die Datenschutzerklärung aktualisiert werden?
Immer dann, wenn sich etwas an der Datenverarbeitung ändert. Neues Analytics-Tool eingebunden? Datenschutzerklärung anpassen. Hosting-Anbieter gewechselt? Datenschutzerklärung anpassen. Neues Plugin installiert, das externe Verbindungen aufbaut? Datenschutzerklärung anpassen. Eine vierteljährliche Prüfung ist empfehlenswert, mindestens aber bei jeder technischen Änderung.
Reicht ein Cookie-Banner-Plugin für die DSGVO-Konformität?
Nein. Ein Cookie-Banner ist nur ein Baustein. Die DSGVO betrifft die gesamte Datenverarbeitung auf Ihrer Website. Das Banner regelt die Einwilligung für Cookies und Tracking, aber Sie brauchen zusätzlich eine vollständige Datenschutzerklärung, korrekt eingebundene externe Dienste, gesicherte Formulare, AVVs mit allen Dienstleistern und eine dokumentierte Verarbeitungsübersicht. Das Cookie-Banner allein macht eine Website nicht DSGVO-konform.
Was braucht man für eine DSGVO-konforme Website?
Eine DSGVO-konforme Website braucht sieben Bausteine: ein rechtskonformes Cookie-Banner nach Paragraf 25 TDDDG, eine vollständige Datenschutzerklärung, ein korrektes Impressum nach Paragraf 5 DDG, SSL-Verschlüsselung, lokal eingebundene Schriften und Skripte, abgesicherte Kontaktformulare sowie Auftragsverarbeitungsverträge mit allen Dienstleistern. Dazu kommt ein Verarbeitungsverzeichnis, das jede Funktion der Website dokumentiert.
Technisch zählt vor allem die Reihenfolge: Kein Skript, das personenbezogene Daten überträgt, darf vor der aktiven Einwilligung laden.
Ist Google Analytics DSGVO-konform einsetzbar?
Google Analytics 4 lässt sich nur mit vorheriger, aktiver Einwilligung der Besucher DSGVO-konform einsetzen: Vor dem Klick auf „Akzeptieren“ darf weder ein Analyse-Cookie gesetzt noch eine Kennung an Google übertragen werden. Ein Banner, das Analytics bereits beim Seitenaufruf startet oder nur über die Nutzung informiert, erfüllt diese Anforderung nicht.
Seit dem EU-US Data Privacy Framework von Juli 2023 ist der Datentransfer in die USA grundsätzlich wieder auf eine Angemessenheitsentscheidung gestützt. Das ersetzt aber nicht die Einwilligung nach Paragraf 25 TDDDG, denn diese betrifft bereits den Zugriff auf Endgeräte. Wer eine belastbare Datenbasis ohne Einwilligungsverlust möchte, fährt mit einer selbst gehosteten Matomo-Instanz oder einer cookiefreien Analyse-Lösung oft besser. Dort entfallen die Datenlücken durch abgelehnte Banner.
Was gehört in ein Verarbeitungsverzeichnis für eine Website?
Ein Verarbeitungsverzeichnis nach Artikel 30 DSGVO dokumentiert für jede Website-Funktion vier Pflichtangaben: den Zweck der Verarbeitung, die Kategorien der verarbeiteten Daten, die Empfänger sowie die vorgesehenen Löschfristen. Typische Einträge einer Unternehmenswebsite sind Server-Logfiles, das Kontaktformular, der Newsletter-Versand, die Reichweitenmessung und eingebundene Kartendienste.
Die verbreitete Annahme, Unternehmen unter 250 Mitarbeitern seien von der Pflicht befreit, ist unvollständig. Die Ausnahme in Artikel 30 Absatz 5 DSGVO greift nur, wenn die Verarbeitung gelegentlich erfolgt und kein Risiko für die betroffenen Personen besteht. Eine Website, die dauerhaft Logfiles schreibt und Kontaktanfragen speichert, verarbeitet regelmäßig, damit gilt die Dokumentationspflicht auch für kleine Betriebe.
