31. Mai 2026

DSGVO-konforme Website – Die ultimative Checkliste für Unternehmer

Cookie-Banner, Tracking, Datenschutzerklärung & Hosting: Alles was Ihre Website für DSGVO-Konformität braucht – als praktische Checkliste.

Datenschutz ist das Thema, bei dem in Erstgesprächen am meisten Halbwissen im Raum steht – meist gemischt aus einer Abmahnwelle, von der jemand gehört hat, und der Hoffnung, dass es bei einer kleinen Firma schon niemand prüft. Die Datenschutz-Grundverordnung gilt seit Mai 2018 für jede Website, die personenbezogene Daten von EU-Bürgern verarbeitet, und der Bußgeldrahmen liegt bei bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes – je nachdem, was höher ist (Art. 83 Abs. 5 DSGVO). Der praktische Teil ist trotzdem überschaubar. Die folgenden zwölf Punkte sind das, was ich bei jedem Projekt durchgehe, bevor eine Seite online geht.

Was dieser Artikel ist – und was nicht: Eine technische Orientierung aus der Praxis, keine Rechtsberatung. Ob eine Website im Einzelfall datenschutzkonform ist, hängt von den tatsächlich eingesetzten Diensten, den verarbeiteten Daten und der jeweiligen Rechtsgrundlage ab. Diese Checkliste ersetzt keine Prüfung durch eine Fachanwältin, einen Fachanwalt oder eine Datenschutzbeauftragte.

Die Checkliste: 12 Punkte für DSGVO-Konformität

1. SSL-Verschlüsselung (HTTPS)

Ihre Website sollte ausnahmslos über HTTPS erreichbar sein. Ohne Zertifikat werden Formulardaten unverschlüsselt übertragen. Art. 32 DSGVO verlangt Schutzmaßnahmen nach dem Stand der Technik – und Transportverschlüsselung ist seit Jahren genau das. Fehlt sie dort, wo personenbezogene Daten übertragen werden, ist das ein handfestes Risiko und praktisch nicht mehr zu rechtfertigen.

Prüfen Sie: Zeigt Ihr Browser ein Schloss-Symbol in der Adressleiste?
Die meisten Hosting-Anbieter bieten kostenlose SSL-Zertifikate (Let's Encrypt)

2. Datenschutzerklärung

Jede Website braucht eine vollständige Datenschutzerklärung, die beschreibt:

Welche Daten Sie erheben (z.B. IP-Adressen, Kontaktformular-Daten)
Warum Sie diese erheben (Rechtsgrundlage)
Wie lange Sie diese speichern
Welche Drittanbieter Zugriff haben
Die Rechte der Betroffenen (Auskunft, Löschung, Widerspruch)

Tipp: Nutzen Sie einen Generator wie den von eRecht24 oder der Kanzlei Siebert Lexow, aber lassen Sie das Ergebnis von einem Anwalt prüfen.

Cookies dürfen nicht ohne vorherige Einwilligung gesetzt werden (außer technisch notwendige). Ihr Cookie-Banner muss:

Vor dem Setzen von Cookies erscheinen
Eine echte Wahl bieten (nicht nur „Akzeptieren")
„Ablehnen" genauso leicht zugänglich machen wie „Akzeptieren"
Detaillierte Einstellungen ermöglichen
Die Einwilligung dokumentieren

4. Google Fonts lokal einbinden

Ein häufiger Abmahngrund: Google Fonts über die Google-CDN laden überträgt die IP-Adresse des Besuchers an Google-Server in den USA. Lösung: Fonts lokal auf Ihrem Server hosten.

5. Kontaktformulare absichern

Wenn Sie ein Kontaktformular haben:

Informieren Sie über die Datenverarbeitung direkt am Formular
Verlinken Sie die Datenschutzerklärung
Speichern Sie nur die nötigen Daten
Löschen Sie Anfragen nach angemessener Zeit

6. Analytics datenschutzkonform einsetzen

Google Analytics ist DSGVO-problematisch, weil Daten in die USA fließen. Alternativen: | Tool | Server-Standort | Cookie-frei | Preis | |------|----------------|-------------|-------| | Umami | Selbst gehostet (DE) | Ja | Kostenlos | | Plausible | EU | Ja | Ab 9 €/mtl. | | Matomo | Selbst gehostet (DE) | Optional | Kostenlos | | Google Analytics | USA | Nein | Kostenlos | Wichtig: Ob ein Analysewerkzeug eine Einwilligung braucht, entscheidet sich nicht am Ruf des Anbieters, sondern an zwei Fragen: Werden Informationen auf dem Endgerät gespeichert oder ausgelesen (dann greift § 25 TDDDG und es braucht eine Einwilligung), und auf welche Rechtsgrundlage stützt sich die anschließende Verarbeitung? Für cookielose, aggregierte Messung wird ein berechtigtes Interesse diskutiert – belastbar ist das nur nach Prüfung des konkreten Aufbaus. Im Zweifel: einwilligen lassen.

7. Impressum

Kein DSGVO-Thema, aber Pflicht nach § 5 DDG (das Digitale-Dienste-Gesetz hat das TMG im Mai 2024 abgelöst – ältere Checklisten nennen hier noch § 5 TMG). Jede geschäftliche Website braucht ein vollständiges Impressum mit Name, Adresse und Kontaktdaten. Es muss von jeder Seite aus mit maximal zwei Klicks erreichbar sein.

8. Auftragsverarbeitungsverträge (AVV)

Einen AVV nach Art. 28 DSGVO brauchen Sie für Dienstleister, die personenbezogene Daten in Ihrem Auftrag und nach Ihren Weisungen verarbeiten. Nicht jeder Drittanbieter fällt darunter: Wer über Zweck und Mittel der Verarbeitung selbst entscheidet, ist eigener Verantwortlicher oder gemeinsam Verantwortlicher – dann braucht es eine andere Vereinbarung, keinen AVV. Typische Auftragsverarbeiter sind:

Hosting-Anbieter
E-Mail-Marketing-Tools
Analytics-Dienste
Cloud-Speicher
CRM-Systeme

9. Externe Ressourcen prüfen

Jede externe Ressource, die geladen wird, überträgt die IP-Adresse des Besuchers. Prüfen Sie:

Google Maps → Erst nach Klick laden
YouTube-Videos → Erweiterten Datenschutzmodus nutzen
Social-Media-Buttons → Shariff-Lösung oder statische Links
CDN-Dienste → Auf EU-Server achten

10. Hosting-Standort

Ideal: Server in Deutschland oder der EU. Wenn Daten in die USA übertragen werden, brauchen Sie zusätzliche Schutzmaßnahmen (EU-US Data Privacy Framework) und müssen dies in der Datenschutzerklärung angeben.

11. Löschkonzept

Sie müssen Daten löschen können, wenn Betroffene dies verlangen. Haben Sie einen Prozess dafür?

Kontaktformular-Daten nach Bearbeitung löschen
Newsletter-Abmeldung einfach ermöglichen
Alte Backup-Daten regelmäßig bereinigen

12. Verzeichnis der Verarbeitungstätigkeiten

Ab einer gewissen Größe (oder wenn Sie regelmäßig personenbezogene Daten verarbeiten) müssen Sie ein Verzeichnis führen, das alle Datenverarbeitungen dokumentiert.

Wo es in der Praxis schiefgeht

Fast alle Probleme, die mir bei bestehenden Seiten begegnen, lassen sich auf wenige Ursachen zurückführen. Der Klassiker bleibt die extern geladene Schrift. Sie steht in unzähligen Themes voreingestellt, fällt niemandem auf, weil man sie nicht sieht, und war 2022 der Anlass einer Abmahnwelle, die viele kalt erwischt hat. Dann die Einwilligungsbanner, die keine sind. Ein Fenster, das nur einen sichtbaren Weg nach vorn kennt, dokumentiert keine Einwilligung – es dokumentiert, dass jemand weiterwollte. Ablehnen muss genauso leicht erreichbar sein wie Zustimmen. Der dritte Fall ist die Datenschutzerklärung, die einmal erstellt und nie wieder angesehen wurde. Sie beschreibt dann Dienste, die längst nicht mehr laufen, und schweigt über die, die dazugekommen sind. Ein Generator liefert einen Ausgangspunkt, keinen Dauerzustand. Und schließlich Messwerkzeuge, die vor der Einwilligung starten. Das ist der Fehler, der am seltensten auffällt, weil alles funktioniert – nur eben zu früh.

Die drei Dienste, an denen es am häufigsten hängt

Schriften von externen Servern. Wer Schriften direkt von einem Anbieterserver lädt, übermittelt bei jedem Aufruf die IP-Adresse des Besuchers dorthin – vor jeder Einwilligung. Das Landgericht München I hat dazu 2022 entschieden (Az. 3 O 17493/20) und einem Kläger Schadensersatz zugesprochen. In der Folge kam eine Welle von Abmahnschreiben, teils selbst zweifelhaft. Die Lösung ist unabhängig von der Rechtsfrage simpel: Schriften selbst ausliefern. Das ist zusätzlich schneller. Eingebettete Karten. Eine eingebettete Karte stellt beim Laden eine Verbindung zum Anbieter her, auch wenn niemand sie bedient. Wer eine Karte zeigen will, hat drei Wege: erst nach Einwilligung nachladen, ein Bild mit Link auf den Kartendienst, oder ein Anbieter, der ohne Personenbezug auskommt. Für die meisten Websites reicht die zweite Variante – gebraucht wird ohnehin nur die Route. Videos. Eingebettete Videos setzen in der Regel Kennungen, bevor jemand auf Abspielen tippt. Der datenschutzfreundlichere Einbettungsmodus großer Anbieter verringert das, beseitigt es aber nicht. Sauber ist auch hier: Vorschaubild zeigen, erst auf Klick laden. Der gemeinsame Nenner: Es geht nicht darum, ob Sie Daten auswerten, sondern ob beim bloßen Aufruf der Seite schon Daten abfließen. Diese Unterscheidung erklärt die meisten Streitfälle.

Woran Sie erkennen, ob es funktioniert

Die Checkliste abzuhaken ist das eine, nachzusehen das andere. Drei Prüfungen, die Sie selbst machen können: Die Netzwerkansicht im Browser. Entwicklerwerkzeuge öffnen, Reiter „Netzwerk", Seite neu laden, ohne das Banner zu berühren. Jede Verbindung zu einer fremden Domain, die dort erscheint, muss erklärbar sein. Fremde Domains vor der Einwilligung sind der häufigste echte Fund. Cookies vor der Zustimmung. Im selben Werkzeug unter „Speicher" nachsehen, welche Cookies bereits gesetzt sind. Erlaubt sind ohne Einwilligung nur technisch notwendige – dazu gehört auch der Speichereintrag, der Ihre Ablehnung merkt. Der Ablehnen-Knopf. Klicken Sie ihn und laden Sie neu. Wenn danach dieselben Verbindungen aufgebaut werden wie vorher, ist das Banner Dekoration.

Was diese Checkliste nicht ist

Ich bin Webentwickler, kein Anwalt, und dieser Text ist keine Rechtsberatung. Er beschreibt, was mir in der Praxis regelmäßig begegnet und wie es sich technisch lösen lässt. Der Unterschied ist wichtiger, als er klingt. Ob ein bestimmter Dienst in Ihrem konkreten Fall zulässig ist, hängt an Details, die eine Checkliste nicht kennt: Wer verarbeitet was, auf welcher Grundlage, mit welchem Vertrag, mit wem geteilt. Bei Verarbeitungen mit erkennbarem Risiko – Bewerberdaten, Gesundheitsdaten, umfangreiches Tracking – gehört diese Frage zu jemandem mit Zulassung. Was ich Ihnen sagen kann: Die technischen Punkte dieser Liste beseitigen den größten Teil dessen, worüber überhaupt gestritten wird. Was danach übrig bleibt, ist meist eine Frage der Dokumentation, nicht der Programmierung.

Was sich von vornherein vermeiden lässt

Ein Teil dieser Punkte stellt sich gar nicht erst, wenn die Seite ohne fremde Bausteine gebaut wird: Schriften liegen dann ohnehin lokal, es gibt keine Erweiterungen von Dritten, deren Datenabfluss man nachvollziehen müsste, und der Server steht dort, wo man ihn hingestellt hat. Das ist kein Freibrief. Auch eine solche Seite braucht eine zutreffende Datenschutzerklärung, ein Impressum, Verträge mit den Dienstleistern, die es trotzdem gibt, und einen Weg, Daten wieder loszuwerden. Der Unterschied ist nur, dass weniger Stellen existieren, an denen unbemerkt etwas abfließt. Datenschutz bleibt dabei nichts, was man einmal erledigt. Er verschiebt sich mit jedem Werkzeug, das dazukommt. Eine Checkliste wie diese deckt die technischen Grundlagen ab und schließt die häufigsten Fehler aus – ein abschließendes Urteil über eine konkrete Website ist sie ausdrücklich nicht. Wenn Sie eine bestehende Seite auf genau diese zwölf Punkte prüfen lassen möchten, schicken Sie mir die Adresse. Sie bekommen eine Liste dessen, was mir auffällt – inklusive der Stellen, an denen ich Ihnen zu juristischem Rat rate statt zu Technik. Website prüfen lassen

Weiterlesen

Passende Beiträge aus demselben Themenfeld.

Core Web Vitals verbessern – Der Praxis-Guide für bessere Google-RankingsLCP, INP und CLS verstehen und optimieren: Praktische Maßnahmen für bessere Core Web Vitals, schnellere Ladezeiten und höhere Google-Rankings.

WordPress oder Next.js – Welche Technologie passt zu Ihrem Projekt?WordPress vs. Next.js im direkten Vergleich: Vor- und Nachteile beider Technologien, damit Sie die richtige Entscheidung für Ihr Webprojekt treffen.

Was kostet eine professionelle Website 2026? – Der ehrliche PreisguideVon WordPress ab 990 € bis Premium-Lösungen: Was eine Website wirklich kostet, welche Faktoren den Preis bestimmen und wo versteckte Kosten lauern.