DSGVO auf der Website: Die Checkliste ohne Panikmache
Rund um Datenschutz auf Websites hat sich eine kleine Angstindustrie gebildet: Abmahnschreiben mit runden Beträgen, Tools, die Bußgelder in Millionenhöhe an die Wand malen, und Cookie-Banner auf Seiten, die überhaupt keine Cookies setzen. Die Realität ist unspektakulärer. Ein paar Pflichten musst du wirklich erfüllen, die meisten davon sind in Stunden erledigt, und einiges von dem, was dir verkauft wird, brauchst du gar nicht. Dieser Artikel geht deine Website Element für Element durch, benennt bei jedem Punkt die Anforderung und den typischen Fehler und zeigt dir am Ende die Reihenfolge, in der du das an einem Nachmittag abarbeitest.
- 12 Min.
- Juli 2026
- 9
Was auf einer normalen Website wirklich passieren kann
Zwischen "ist mir egal" und "gleich 20 Millionen Bußgeld" liegt die tatsächliche Praxis, und die ist überschaubar.
Die DSGVO gilt seit Mai 2018 für jede Website, die personenbezogene Daten verarbeitet. Das ist praktisch jede Seite, denn schon die IP-Adresse, die dein Server beim Aufruf zwangsläufig sieht, gehört dazu. Daraus folgt aber kein juristisches Großprojekt. Die meisten Websites von Handwerksbetrieben, Kanzleien, Praxen und Selbstständigen verarbeiten sehr wenig: Server-Logs, ein Kontaktformular, vielleicht einen Newsletter. Der Aufwand, das sauber zu bekommen, liegt eher bei Stunden als bei Wochen.
Was in der Praxis vorkommt, sind vier Dinge: Massenschreiben wie in der Google-Fonts-Welle 2022 und 2023, meist mit Forderungen im niedrigen dreistelligen Bereich. Beschwerden bei der Landesdatenschutzbehörde, die dann einen Fragebogen schickt. Auskunftsanfragen von Betroffenen, die du innerhalb eines Monats beantworten musst. Und wettbewerbsrechtliche Abmahnungen, seit der Europäische Gerichtshof im Oktober 2024 entschieden hat, dass Mitbewerber Datenschutzverstöße unter bestimmten Voraussetzungen verfolgen können. Bußgelder in Millionenhöhe treffen Konzerne mit systematischem Tracking, nicht den Elektrobetrieb mit acht Mitarbeitern.
Die Basis: Datenschutzerklärung, Impressum, Verschlüsselung
Drei Dinge, die sitzen müssen, bevor du über Cookies überhaupt nachdenkst.
Die Datenschutzerklärung ist eine Informationspflicht nach Artikel 13 DSGVO. Hinein gehören: wer verantwortlich ist mit ladungsfähiger Anschrift, welche Daten zu welchem Zweck verarbeitet werden, auf welcher Rechtsgrundlage, wer sie bekommt, ob Daten in Drittländer fließen, wie lange gespeichert wird und welche Rechte Betroffene haben, inklusive Beschwerderecht bei einer Aufsichtsbehörde. Nutzt du Einwilligungen, muss auch der Weg zum Widerruf drinstehen.
Generatoren sind dafür völlig in Ordnung, kostenlos oder erfahrungsgemäß für etwa 10 bis 25 Euro im Monat mit laufender Aktualisierung. Der Fehler liegt selten am Generator, sondern an der Nutzung: Es stehen Bausteine für Dienste drin, die es nicht gibt, und die tatsächlich eingesetzten fehlen. Eine Erklärung, die Google Analytics beschreibt, obwohl du keins hast, und dein Buchungstool verschweigt, ist doppelt falsch. Nimm dir eine halbe Stunde und gleiche Punkt für Punkt ab, was auf deiner Seite wirklich läuft.
Das Impressum wird ständig mit dem Datenschutz vermischt, ist aber ein eigenes Thema. Es steht in Paragraf 5 des Digitale-Dienste-Gesetzes, das seit Mai 2024 das alte Telemediengesetz abgelöst hat, und gehört auf eine eigene, mit einem Klick erreichbare Seite. HTTPS wiederum ist keine Kür: Formulardaten unverschlüsselt zu übertragen verstößt ziemlich klar gegen die Pflicht zu angemessenen technischen Maßnahmen aus Artikel 32 DSGVO. Kostenlose Zertifikate gibt es bei jedem ernstzunehmenden Hoster automatisch, prüfen musst du nur, ob http wirklich auf https umgeleitet wird.
| Element | Was gefordert ist | Typischer Fehler in der Praxis |
|---|---|---|
| Datenschutzerklärung | Alle Pflichtangaben nach Artikel 13, passend zu den tatsächlich genutzten Diensten | Kopie von einer anderen Website oder Bausteine für Dienste, die gar nicht laufen |
| HTTPS | Gültiges Zertifikat, Weiterleitung von http, keine unverschlüsselten Teilinhalte | Zertifikat läuft ab, weil es einmalig von Hand installiert wurde |
| Server-Logs | Zweck und Speicherdauer benennen, kurze Aufbewahrung, berechtigtes Interesse | Logs liegen jahrelang mit voller IP-Adresse herum, weil niemand nachsieht |
| Kontaktformular | Verschlüsselt, nur nötige Pflichtfelder, Hinweis auf die Datenschutzerklärung, Löschkonzept | Pflicht-Häkchen "Ich stimme der Datenschutzerklärung zu", das rechtlich nichts bringt |
| Schriften und Icons | Vom eigenen Server ausgeliefert, keine Verbindung zu fremden Font-Servern | Ein vergessener Font-Aufruf in einem alten Template oder in einem Plugin |
| Verarbeitungsverzeichnis | Kurze Übersicht aller Verarbeitungen, vorlegbar auf Nachfrage | Existiert nicht, weil "wir sind ja nur zu dritt" |
Externe Dienste: Fonts, Karten, Videos, Captcha
Hier entstehen die meisten Verstöße, und hier sind sie am schnellsten behoben.
Der Klassiker sind Schriften von einem externen Font-Server. Ruft deine Seite eine Schrift direkt beim Anbieter ab, überträgt der Browser des Besuchers dessen IP-Adresse dorthin, meist in die USA, und zwar bevor irgendjemand gefragt wurde. Das Landgericht München I sprach dazu im Januar 2022 einer Klägerin 100 Euro immateriellen Schadensersatz zu, danach kamen die Massenschreiben. Wie man diese Welle bewertet, ist am Ende zweitrangig: Der technische Fix dauert zwanzig Minuten.
Lokale Schriften heißt, die Dateien liegen auf deinem Server und werden von dort ausgeliefert. Die meisten freien Schriften erlauben das ausdrücklich, du lädst sie als woff2 herunter und bindest sie per CSS ein. Nebeneffekt: Die Seite wird schneller, weil eine Verbindung zu einem fremden Server entfällt. In meinen Projekten bei Pixylmedia sind lokale Schriften und der Verzicht auf US-CDNs deshalb Standard und keine Zusatzleistung, weil beides gleichzeitig Datenschutz und Ladezeit verbessert. Karten und Videos folgen derselben Logik: erst ein lokales Vorschaubild, der externe Dienst lädt erst nach Klick.
| Dienst | Was beim Seitenaufruf passiert | Einwilligungsfreie Alternative | Aufwand |
|---|---|---|---|
| Externe Web-Schriften | IP-Adresse geht an den Font-Anbieter, meist in die USA | Schriftdateien lokal ablegen und per CSS einbinden | 20 bis 60 Minuten, einmalig |
| Google Maps als iframe | Skripte, Cookies und IP-Übertragung auf jeder Seite mit Karte | Statisches Kartenbild plus Textlink "Route planen" | 30 Minuten pro Standort |
| YouTube- oder Vimeo-Einbettung | Player lädt fremde Ressourcen, teils schon vor der Wiedergabe | Lokales Vorschaubild, Player erst nach Klick nachladen | 1 bis 2 Stunden je nach System |
| reCAPTCHA | Cookies und umfangreiche Geräteauswertung durch einen US-Anbieter | Honeypot-Feld plus Zeitmessung, alternativ EU-Anbieter ohne Tracking | 1 Stunde, hält den Großteil des Spams ab |
| Bibliothek oder Icon-Set vom CDN | Jeder Aufruf erzeugt eine Verbindung zum CDN-Betreiber | Lokal einbinden oder auf nicht genutzte Teile verzichten | 30 Minuten, verbessert meist die Ladezeit |
Analytics: was ohne Einwilligung geht und was nicht
Die ehrliche Antwort ist unbequemer, als beide Lager behaupten.
Für Google Analytics brauchst du eine Einwilligung, daran ändert auch eine serverseitige Einbindung nichts, denn entscheidend ist, was verarbeitet und an wen übermittelt wird. Wer es einsetzt, braucht einen sauberen Banner und muss damit leben, dass ein relevanter Teil der Besucher ablehnt und in den Zahlen fehlt. Das ist kein Beinbruch, man sollte es nur wissen, bevor man Entscheidungen auf diese Zahlen stützt.
Die Alternative sind datensparsame Werkzeuge: ein selbst gehostetes Matomo ohne Cookies und mit gekürzter IP, oder ein EU-Anbieter, der keine geräteübergreifenden Profile bildet. Oft wird behauptet, das sei automatisch einwilligungsfrei. So einfach ist es nicht. Solange kein Zugriff auf Informationen im Endgerät stattfindet, greift Paragraf 25 TDDDG nach überwiegender Auffassung nicht, und die Verarbeitung lässt sich auf ein berechtigtes Interesse stützen. Es gibt aber abweichende Einschätzungen einzelner Aufsichtsbehörden, und wer dir hier absolute Sicherheit verspricht, verkauft dir etwas.
Deshalb die praktische Frage vorweg: Was willst du überhaupt wissen? Bei 200 bis 800 Besuchern im Monat, wie sie für viele lokale Betriebe normal sind, erkennst du grobe Trends und sonst wenig. Wenn deine wichtigste Kennzahl lautet, wie viele Anfragen diesen Monat über die Website kamen, brauchst du kein Tracking-System, sondern eine Zählung der Formularabsendungen und die Frage "Wie sind Sie auf uns gekommen" im Erstgespräch. Wer Anzeigen schaltet, kommt um Messung nicht herum und sollte den Consent-Aufbau dann auch wirklich sauber betreiben.
Hosting, AV-Verträge und die Frage, wo die Daten liegen
Der unsichtbare Teil. Genau der wird bei einer Prüfung als Erstes abgefragt.
Sobald jemand in deinem Auftrag personenbezogene Daten verarbeitet, braucht es einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO. Das klingt nach Aktenordner und ist in der Praxis ein PDF, das du im Kundenkonto deines Anbieters mit zwei Klicks abschließt oder herunterlädst. Sammle sie einmal ein und leg sie in einen Ordner, digital reicht.
- Webhoster: immer, mindestens wegen Server-Logs und Formulareingängen.
- E-Mail-Anbieter für deine Postfächer: immer, wegen Inhalten und Metadaten.
- Newsletter-Tool, CRM, Terminbuchung, Chat-Widget: immer, wenn sie Kontaktdaten sehen.
- Analytics-Anbieter, sofern nicht selbst gehostet.
- Der Dienstleister, der deine Website betreut, sobald er Zugriff auf Formular- oder Kundendaten hat.
Beim Serverstandort gilt: EU-Hosting ist der Weg des geringsten Ärgers. Für Übermittlungen in die USA gibt es seit Juli 2023 einen Angemessenheitsbeschluss der EU-Kommission, auf den sich zertifizierte Anbieter stützen. Er steht juristisch unter Beobachtung, zwei vergleichbare Grundlagen wurden vorher gekippt. Liefert ein europäischer Hoster dieselbe Leistung zum gleichen Preis, gibt es wenig Grund für diese Unsicherheit.
Zwei Punkte werden regelmäßig vergessen. Erstens das Verzeichnis von Verarbeitungstätigkeiten nach Artikel 30. Die Erleichterung für Betriebe unter 250 Beschäftigten greift nur bei gelegentlicher, risikoarmer Verarbeitung, wer regelmäßig Kundendaten verarbeitet, fällt praktisch nicht darunter. Für eine kleine Firma sind das zwei bis drei Seiten in einer Tabelle, einmal erstellt und danach jährlich kurz geprüft. Zweitens die Zugänge: Wer hat noch Admin-Rechte, gibt es Zwei-Faktor-Absicherung, und hat ein ehemaliger Dienstleister noch Schlüssel? Wem Domain, Hosting und Code gehören, ist ein Thema für sich, dazu gibt es einen eigenen Ratgeber.
Die Reihenfolge: ein Nachmittag, acht Schritte
Nicht alles ist gleich dringend. So arbeitest du es ab, ohne dich zu verzetteln.
Wenn du bei null anfängst, ist die größte Gefahr, dass du dich in Details verlierst. Deshalb die Reihenfolge nach Wirkung pro Stunde: Die ersten drei Punkte beseitigen den größten Teil des realen Risikos, der Rest ist Sorgfalt.
- Netzwerk-Tab öffnen und alle fremden Domains notieren (20 Minuten). Das ist die Grundlage für alles Weitere.
- Schriften, Icons und Bibliotheken lokal einbinden (30 bis 90 Minuten). Bestes Verhältnis von Aufwand zu Wirkung.
- Karten, Videos und Captcha ersetzen oder auf Klick umstellen (1 bis 2 Stunden). Danach ist die Seite oft bannerfrei betreibbar.
- Datenschutzerklärung anhand deiner Liste komplett durchgehen (45 Minuten). Nicht genutzte Dienste raus, fehlende rein.
- Impressum prüfen, HTTPS und Weiterleitung testen (20 Minuten).
- AV-Verträge einsammeln: Hoster, Mail, Newsletter, alle Tools (1 Stunde plus Wartezeit).
- Verarbeitungsverzeichnis anlegen, zwei bis drei Seiten in einer Tabelle (1 bis 2 Stunden, einmalig).
- Nur falls jetzt noch einwilligungspflichtige Dienste übrig sind: Consent-Banner einrichten und testen, ob vorher wirklich nichts lädt (2 bis 4 Stunden).
Zum Geld: Ein Generator für Datenschutztexte kostet erfahrungsgemäß 0 bis 25 Euro im Monat, ein Consent-Tool 0 bis 50 Euro im Monat, eine anwaltliche Prüfung einer überschaubaren Firmenwebsite liegt nach dem, was ich in Projekten sehe, im mittleren dreistelligen bis niedrigen vierstelligen Bereich. Will dir jemand stattdessen ein Paket "DSGVO-Sicherheit" für 79 Euro im Monat verkaufen, frag konkret, welche der acht Punkte enthalten sind und wer im Ernstfall haftet. Wie du solche Positionen sauber vergleichst, steht im Ratgeber zum Angebotsvergleich.
Fazit: weniger Angst, mehr Ordnung
Was du diese Woche tun solltest und wann du dir professionelle Hilfe holst.
Datenschutz auf einer normalen Firmenwebsite ist kein Minenfeld, sondern eine Aufräumaufgabe. Der größte Teil des realen Risikos steckt in vier Punkten: externe Aufrufe, die niemand bemerkt hat, eine Datenschutzerklärung, die nicht zur Website passt, fehlende AV-Verträge und ein Cookie-Banner, der entweder unnötig ist oder falsch konfiguriert. Hast du diese vier im Griff, bist du besser aufgestellt als ein sehr großer Teil der Seiten, die ich mir ansehe.
Die konkrete Empfehlung: Öffne heute den Netzwerk-Tab und schreib die fremden Domains auf, das dauert zwanzig Minuten und du weißt danach, wo du stehst. Diese Woche baust du die Schriften lokal ein und ersetzt die Karte. Nächste Woche sammelst du die AV-Verträge ein und gehst die Datenschutzerklärung durch. Ist danach kein einwilligungspflichtiger Dienst mehr übrig, brauchst du keinen Banner und hast dir Geld, Klickfrust und eine Fehlerquelle gespart.
Ehrlich auch zur Grenze: Bei sensiblen Daten, einem Kundenportal, ernsthaftem Performance-Marketing oder wenn bereits Post von einer Kanzlei da ist, ist dieser Artikel der Startpunkt und nicht die Lösung, dann brauchst du jemanden, der Datenschutzrecht als Beruf ausübt. Und wenn deine Seite ein reines Hobbyprojekt ohne Formular, Newsletter und Tracking ist, reicht ein Baukasten mit ordentlichen Einstellungen völlig aus. Wirf dort nur einen Blick darauf, was im Hintergrund geladen wird, denn genau da liegt bei vielen Anbietern die eigentliche Schwachstelle.
Für alle dazwischen gilt: Datenschutz ist kein Zustand, den man einmal erreicht, sondern etwas, das beim nächsten Plugin-Update wieder kaputtgehen kann. Setz dir einmal im Jahr eine Stunde in den Kalender, geh die Liste durch und prüf den Netzwerk-Tab erneut. Das ist unspektakulär, kostet fast nichts und erspart dir genau die Art von Brief, wegen der die meisten Leute überhaupt erst anfangen, sich mit dem Thema zu beschäftigen.
Häufige Fragen
- Brauche ich für meine Website wirklich einen Cookie-Banner?
- Einen Cookie-Banner brauchst du nur, wenn du Dienste einsetzt, die auf dem Endgerät speichern oder darauf zugreifen, ohne für den Betrieb nötig zu sein. Eine Firmenwebsite mit lokalen Schriften, Kontaktformular und ohne Tracking kommt ohne aus. Prüf im Netzwerk-Tab deines Browsers, welche fremden Domains geladen werden. Bleibt nur deine eigene Domain übrig, ist der Banner überflüssig und kostet dich nur Besucher.
- Sind externe Schriften wie Google Fonts wirklich ein Abmahnrisiko?
- Externe Web-Schriften sind ein echtes Problem, weil der Browser deines Besuchers beim Laden dessen IP-Adresse ungefragt an den Anbieter überträgt, meist in die USA. Das Landgericht München I sprach dazu 2022 einer Klägerin 100 Euro Schadensersatz zu, danach kamen die Massenschreiben. Der Fix dauert 20 bis 60 Minuten: Schriftdateien als woff2 herunterladen, auf dem eigenen Server ablegen und per CSS einbinden.
- Was kostet es, eine Website DSGVO-konform zu machen?
- Bei einer normalen Firmenwebsite bleibt es meist bei Werkzeugkosten: ein Generator für Datenschutztexte erfahrungsgemäß 0 bis 25 Euro im Monat, ein Consent-Tool 0 bis 50 Euro im Monat. Die Umsetzung selbst dauert einen Nachmittag, wenn du sie selbst machst. Eine anwaltliche Prüfung liegt nach meiner Projekterfahrung im mittleren dreistelligen bis niedrigen vierstelligen Bereich, ist aber nur bei sensiblen Fällen nötig.
- Wie lange dauert es, die wichtigsten DSGVO-Punkte umzusetzen?
- Die vier wirksamsten Schritte schaffst du an einem Nachmittag. Fremde Domains im Netzwerk-Tab notieren dauert etwa 20 Minuten, Schriften und Icons lokal einbinden 30 bis 90 Minuten, Karten und Videos auf Klick umstellen 1 bis 2 Stunden, die Datenschutzerklärung abgleichen rund 45 Minuten. AV-Verträge und Verarbeitungsverzeichnis kommen mit zwei bis drei weiteren Stunden dazu, aber nur einmalig.
- Muss unter dem Kontaktformular ein Häkchen für die Datenschutzerklärung stehen?
- Nein, dieses Pflicht-Häkchen bringt rechtlich nichts. Eine Datenschutzerklärung ist eine Information und keine Vereinbarung, der man zustimmen könnte, und die Bearbeitung einer Anfrage stützt sich in der Regel auf Vertragsanbahnung oder berechtigtes Interesse statt auf eine Einwilligung. Ein erzwungenes Häkchen wäre ohnehin unwirksam. Setz stattdessen einen kurzen Hinweissatz mit Link unter den Absenden-Button. Ein echtes Kästchen brauchst du nur beim Newsletter.
Genug gesehen?
Festpreis. Zwei Wochen. Direkt mit dem Macher. Kein Vorgespräch-Marathon, keine Newsletter-Falle.