DSGVO-konforme Website: Was Unternehmen 2025 wirklich umsetzen müssen

Ihre Website ist online – aber ist sie auch rechtssicher? Die meisten Unternehmenswebsites verstoßen gegen die DSGVO, ohne dass die Betreiber es wissen. Ein fehlendes Cookie-Banner, falsch eingebundene Schriftarten oder ein unvollständiges Impressum können Abmahnungen auslösen, die schnell vierstellig werden.

Die Datenschutz-Grundverordnung ist seit 2018 in Kraft – und die Kontrollen werden strenger. Aufsichtsbehörden prüfen aktiver, Abmahnanwälte scannen automatisiert. Wer seine Website nicht DSGVO-konform aufgestellt hat, riskiert nicht nur Bußgelder, sondern auch massiven Vertrauensverlust bei Kunden und Geschäftspartnern.

Cookie-Banner und Einwilligungsmanagement richtig umsetzen

Das Cookie-Banner ist der häufigste DSGVO-Verstoß auf deutschen Websites. Die Anforderungen sind klar: Vor der Einwilligung des Nutzers dürfen keine tracking-relevanten Cookies gesetzt werden. Das bedeutet: Google Analytics, Facebook Pixel, Marketing-Tools – alles muss blockiert sein, bis der Nutzer aktiv zustimmt. Ein einfacher Hinweis „Diese Website verwendet Cookies” reicht längst nicht mehr aus.

Ein professionelles Consent-Management-Tool wie Borlabs Cookie oder Cookiebot übernimmt die technische Umsetzung. Es blockiert Skripte vor der Einwilligung, dokumentiert jede Zustimmung revisionssicher und bietet eine Möglichkeit zum Widerruf. Wichtig: Der Ablehnen-Button muss genauso prominent sein wie der Zustimmen-Button – alles andere ist ein Verstoß gegen die ePrivacy-Richtlinie.

Google Fonts, Maps und externe Ressourcen lokal einbinden

Das Urteil des Landgerichts München aus 2022 hat für Aufsehen gesorgt: 100 Euro Schadenersatz für jede dynamische Einbindung von Google Fonts. Was wie ein kleiner Betrag klingt, wurde zur Massenabmahnung. Tausende Unternehmen erhielten Post vom Anwalt – und mussten zahlen oder klagen.

Die Lösung: Google Fonts lokal hosten. Statt die Schriften von Googles Servern zu laden, werden sie auf dem eigenen Webserver gespeichert. Gleiches gilt für Google Maps, YouTube-Videos und andere externe Ressourcen. Jeder externe Aufruf überträgt die IP-Adresse des Besuchers an Drittanbieter – ohne Einwilligung ein klarer DSGVO-Verstoß. YouTube lässt sich über den erweiterten Datenschutzmodus einbinden, Google Maps über eine Consent-Lösung oder als statisches Bild mit Link.

Impressum und Datenschutzerklärung vollständig und aktuell halten

Das Impressum muss nach § 5 TMG bestimmte Pflichtangaben enthalten: Name, Anschrift, Kontaktdaten, Handelsregistereintrag, USt-IdNr. Falls vorhanden, berufsspezifische Angaben. Was viele vergessen: Auch die Datenschutzerklärung muss jedes Tool, jeden Dienst und jede Datenverarbeitung aufführen, die auf der Website stattfindet.

Verwenden Sie Google Analytics? Dann muss es in der Datenschutzerklärung stehen – mit Beschreibung der Verarbeitung, Rechtsgrundlage und Widerspruchsmöglichkeit. Nutzen Sie ein Kontaktformular? Gleiches Spiel. Jedes Plugin, jede Einbindung, jeder externe Dienst erzeugt eine Dokumentationspflicht. Generatoren wie der von eRecht24 oder der Datenschutz-Generator von Dr. Schwenke helfen, nichts zu vergessen.

SSL-Verschlüsselung und sichere Datenübertragung

Eine SSL-Verschlüsselung (erkennbar am https:// in der Adresszeile) ist seit der DSGVO Pflicht für jede Website, die personenbezogene Daten erhebt. Das betrifft praktisch jede Unternehmensseite – denn schon ein Kontaktformular oder ein Newsletter-Anmeldeformular erhebt personenbezogene Daten.

Die meisten Hosting-Anbieter stellen kostenlose SSL-Zertifikate über Let’s Encrypt bereit. Wichtig ist die korrekte Weiterleitung: Alle HTTP-Aufrufe müssen automatisch auf HTTPS umgeleitet werden. Mixed-Content-Warnungen – wenn einzelne Ressourcen noch über HTTP geladen werden – müssen behoben werden. Ein SSL-Check-Tool zeigt, ob die Verschlüsselung korrekt konfiguriert ist.

Kontaktformulare und E-Mail-Kommunikation absichern

Jedes Kontaktformular auf Ihrer Website verarbeitet personenbezogene Daten. Die DSGVO verlangt dafür: eine klare Information, welche Daten erhoben werden und warum, einen Hinweis auf die Datenschutzerklärung direkt am Formular, die Erhebung nur der tatsächlich notwendigen Daten (Datensparsamkeit), und eine sichere Übertragung über SSL.

Verzichten Sie auf vorausgewählte Checkboxen für Newsletter oder Marketing-Einwilligungen. Das Double-Opt-In-Verfahren ist bei Newsletter-Anmeldungen Pflicht: Der Nutzer bestätigt seine Anmeldung über einen Link in einer Bestätigungs-E-Mail. Ohne diesen Nachweis haben Sie im Streitfall keine gültige Einwilligung.

Auftragsverarbeitungsverträge mit allen Dienstleistern abschließen

Jeder externe Dienst, der personenbezogene Daten Ihrer Website-Besucher verarbeitet, erfordert einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Das betrifft Ihren Hosting-Anbieter, Ihren E-Mail-Marketing-Dienst, Google Analytics, Ihren Newsletter-Anbieter und jeden weiteren Dienstleister in der Kette.

Die meisten großen Anbieter stellen AVVs digital bereit – oft im Kundenbereich oder auf Anfrage. Dokumentieren Sie jeden abgeschlossenen Vertrag. Bei einer Prüfung durch die Aufsichtsbehörde müssen Sie nachweisen können, dass alle Verarbeitungen vertraglich abgesichert sind. Fehlt ein AVV, ist die gesamte Datenverarbeitung rechtswidrig – unabhängig davon, ob die Einwilligung des Nutzers vorliegt.

Die häufigsten DSGVO-Fehler auf Unternehmenswebsites

Diese Verstöße finden wir bei fast jedem Website-Check: Google Fonts werden extern geladen statt lokal gehostet. Das Cookie-Banner setzt Tracking-Cookies bereits vor der Einwilligung. Die Datenschutzerklärung listet nicht alle verwendeten Dienste auf. Kontaktformulare haben keinen Hinweis auf die Datenschutzerklärung. Alte Plugins übertragen Daten an Server außerhalb der EU. Social-Media-Buttons laden Tracking-Skripte ohne Einwilligung. Es fehlen Auftragsverarbeitungsverträge mit Hosting-Anbietern oder Tool-Providern.

Jeder einzelne dieser Punkte kann eine Abmahnung oder ein Bußgeld auslösen. Die Kosten für eine professionelle DSGVO-Anpassung Ihrer Website liegen bei 500 bis 2.000 Euro – deutlich weniger als eine einzige Abmahnung, die schnell 5.000 Euro und mehr kosten kann.

Was kostet es, eine Website DSGVO-konform zu machen?

Die Kosten hängen vom aktuellen Zustand Ihrer Website ab. Ein einfacher DSGVO-Check mit Handlungsempfehlungen beginnt bei wenigen hundert Euro. Die vollständige Umsetzung – Cookie-Banner, lokale Fonts, Datenschutzerklärung, Formulare, AVVs – kostet je nach Umfang zwischen 500 und 2.000 Euro. Bei komplexen Websites mit vielen externen Diensten, Shops oder Mitgliederbereichen kann es auch mehr werden.

Wie oft muss die Datenschutzerklärung aktualisiert werden?

Immer dann, wenn sich etwas an der Datenverarbeitung ändert. Neues Analytics-Tool eingebunden? Datenschutzerklärung anpassen. Hosting-Anbieter gewechselt? Datenschutzerklärung anpassen. Neues Plugin installiert, das externe Verbindungen aufbaut? Datenschutzerklärung anpassen. Eine vierteljährliche Prüfung ist empfehlenswert – mindestens aber bei jeder technischen Änderung.

Reicht ein Cookie-Banner-Plugin für die DSGVO-Konformität?

Nein. Ein Cookie-Banner ist nur ein Baustein. Die DSGVO betrifft die gesamte Datenverarbeitung auf Ihrer Website. Das Banner regelt die Einwilligung für Cookies und Tracking – aber Sie brauchen zusätzlich eine vollständige Datenschutzerklärung, korrekt eingebundene externe Dienste, gesicherte Formulare, AVVs mit allen Dienstleistern und eine dokumentierte Verarbeitungsübersicht. Das Cookie-Banner allein schützt Sie nicht vor Abmahnungen.

Was passiert bei einem DSGVO-Verstoß auf der Website?

Die Konsequenzen reichen von Abmahnungen durch Mitbewerber oder spezialisierte Kanzleien über Beschwerden bei der Aufsichtsbehörde bis hin zu Bußgeldern. Für kleine und mittlere Unternehmen bewegen sich Bußgelder typischerweise im vier- bis fünfstelligen Bereich. Dazu kommen Anwaltskosten und der Aufwand für die nachträgliche Umsetzung unter Zeitdruck. Der größte Schaden ist oft der Vertrauensverlust bei Kunden und Partnern.

Was braucht man für eine DSGVO-konforme Website?

Eine DSGVO-konforme Website braucht sieben Bausteine: ein rechtskonformes Cookie-Banner nach Paragraf 25 TDDDG, eine vollständige Datenschutzerklärung, ein korrektes Impressum nach Paragraf 5 DDG, SSL-Verschlüsselung, lokal eingebundene Schriften und Skripte, abgesicherte Kontaktformulare sowie Auftragsverarbeitungsverträge mit allen Dienstleistern. Fehlt einer dieser Punkte, ist die Website angreifbar – für Abmahnungen ebenso wie für Bußgelder.

Technisch ist der wichtigste Punkt die Reihenfolge: Kein Skript, das personenbezogene Daten überträgt, darf vor der aktiven Einwilligung laden. Genau daran scheitern die meisten Unternehmenswebsites, weil Google Fonts, Google Maps, YouTube-Videos oder Tracking-Pixel bereits beim Seitenaufruf eine Verbindung zu externen Servern herstellen. Das Landgericht München I hat 2022 einem Websitebesucher wegen dynamisch eingebundener Google Fonts 100 Euro Schadensersatz zugesprochen (Az. 3 O 17493/20) – seitdem gehört die lokale Einbindung von Schriften zum Pflichtprogramm.

Der organisatorische Teil wird häufig unterschätzt. Zu einer DSGVO-konformen Website gehören Auftragsverarbeitungsverträge mit Hoster, Newsletter-Anbieter und Analyse-Dienst, ein Verarbeitungsverzeichnis nach Artikel 30 DSGVO sowie ein dokumentierter Prozess für Auskunfts- und Löschanfragen. Bei einer bestehenden WordPress-Website ist die technische Umsetzung meist an einem Arbeitstag erledigt; laufend abgesichert bleibt sie über eine Wartung von 50 bis 300 Euro pro Monat, in der Plugin-Updates und Cookie-Konfiguration mitgeprüft werden.

Ist Google Analytics DSGVO-konform einsetzbar?

Google Analytics 4 lässt sich nur mit vorheriger, aktiver Einwilligung der Besucher DSGVO-konform einsetzen: Vor dem Klick auf „Akzeptieren“ darf weder ein Analyse-Cookie gesetzt noch eine Kennung an Google übertragen werden. Ein Banner, das Analytics bereits beim Seitenaufruf startet oder nur über die Nutzung informiert, erfüllt diese Anforderung nicht.

Seit dem EU-US Data Privacy Framework von Juli 2023 ist der Datentransfer in die USA grundsätzlich wieder auf eine Angemessenheitsentscheidung gestützt. Das ersetzt aber nicht die Einwilligung nach Paragraf 25 TDDDG, denn diese betrifft bereits den Zugriff auf Endgeräte. Wer eine belastbare Datenbasis ohne Einwilligungsverlust möchte, fährt mit einer selbst gehosteten Matomo-Instanz oder einer cookiefreien Analyse-Lösung oft besser – dort entfallen die Datenlücken durch abgelehnte Banner.

Was gehört in ein Verarbeitungsverzeichnis für eine Website?

Ein Verarbeitungsverzeichnis nach Artikel 30 DSGVO dokumentiert für jede Website-Funktion vier Pflichtangaben: den Zweck der Verarbeitung, die Kategorien der verarbeiteten Daten, die Empfänger sowie die vorgesehenen Löschfristen. Typische Einträge einer Unternehmenswebsite sind Server-Logfiles, das Kontaktformular, der Newsletter-Versand, die Reichweitenmessung und eingebundene Kartendienste.

Die verbreitete Annahme, Unternehmen unter 250 Mitarbeitern seien von der Pflicht befreit, ist unvollständig. Die Ausnahme in Artikel 30 Absatz 5 DSGVO greift nur, wenn die Verarbeitung gelegentlich erfolgt und kein Risiko für die betroffenen Personen besteht. Eine Website, die dauerhaft Logfiles schreibt und Kontaktanfragen speichert, verarbeitet regelmäßig – damit gilt die Dokumentationspflicht auch für kleine Betriebe.