DSGVO-konforme Website: Die praktische Checkliste für Unternehmen

Eine Handwerkerin lässt ihre neue Website bauen, alles sieht gut aus – und Wochen später kommt Post: eine Abmahnung wegen fehlendem Impressum und Google Fonts, die direkt von Google-Servern geladen werden. Genau solche vermeidbaren Baustellen sind der Grund, warum eine DSGVO-konforme Website für viele Unternehmen wie ein Bürokratie-Monster wirkt. Ist sie aber nicht. Die meisten Punkte lassen sich mit einer klaren Website-DSGVO-Checkliste sauber abarbeiten.

Die gute Nachricht vorweg: Je schlanker eine Website gebaut ist, desto näher ist sie von Haus aus an der Konformität. Wer keine Tracking-Dienste, keine unnötigen Plugins und keine fremden Server einbindet, sammelt schlicht weniger Daten – und muss weniger absichern.

Dieser Beitrag geht die typischen Baustellen praktisch durch: Impressum, Datenschutzerklärung, Cookie-Consent, externe Dienste, Kontaktformulare und Hosting. Am Ende finden Sie eine Checkliste zum Abarbeiten.

Ein Hinweis vorab: Dieser Text bietet Orientierung und ersetzt keine Rechtsberatung. Bei sensiblen Daten oder Spezialfällen sollten Sie fachlichen Rat einholen.

Impressum: Pflicht in Deutschland und Österreich

Für geschäftlich genutzte Websites gelten in Deutschland und Österreich regelmäßig Impressumspflichten. Welche Angaben nötig sind, hängt unter anderem von Rechtsform, Tätigkeit und anwendbarem Recht ab.

Ins Impressum gehören in der Regel:

• Name und Anschrift des Unternehmens (keine reine Postfachadresse)
• Vertretungsberechtigte Person, etwa Geschäftsführung
• Kontakt: E-Mail-Adresse und idealerweise Telefonnummer
• Registerdaten: Firmenbuch- bzw. Handelsregisternummer, zuständiges Gericht
• Umsatzsteuer-Identifikationsnummer, falls vorhanden
• Bei regulierten Berufen: Kammer, Berufsbezeichnung und berufsrechtliche Regelungen

Wichtig ist, dass das Impressum von jeder Seite aus mit einem Klick erreichbar ist – üblich ist ein Link im Footer. Verstecken Sie es nicht in einem Untermenü. Gerade bei Kanzleien, Praxen und Steuerberatungen kommen berufsrechtliche Zusatzangaben hinzu, die Sie einmal sauber aufsetzen und dann selten ändern müssen.

Datenschutzerklärung: Was tatsächlich passiert, verständlich erklärt

Sobald Ihre Website personenbezogene Daten verarbeitet, müssen Sie Besucher transparent darüber informieren. Das betrifft häufig schon Server-Logs beim Seitenaufruf. Die Datenschutzerklärung sollte beschreiben, welche Daten Sie zu welchem Zweck und auf welcher Rechtsgrundlage verarbeiten.

Typische Inhalte sind:

• Verantwortlicher und Kontaktdaten
• Hosting und Server-Logfiles
• Kontaktformular und E-Mail-Kommunikation
• Eingesetzte Dienste: Analyse, Karten, eingebettete Videos, Schriften
• Rechte der Betroffenen: Auskunft, Löschung, Widerspruch
• Gegebenenfalls Newsletter oder Buchungssysteme

Ein häufiger Fehler ist eine kopierte Vorlage, die Dienste beschreibt, die gar nicht im Einsatz sind – oder umgekehrt reale Dienste verschweigt. Die Datenschutzerklärung muss Ihre tatsächliche Website abbilden. Ein seriöser Generator ist ein guter Startpunkt, muss aber an Ihre Realität angepasst werden. Grundlagen und Betroffenenrechte erklärt die Europäische Kommission.

Cookie-Consent: Nur wo es wirklich nötig ist

Hier steckt das größte Missverständnis: Nicht jede Website braucht ein Cookie-Banner. Ein Einwilligungsbanner ist typischerweise erforderlich, wenn Sie Cookies oder Dienste einsetzen, die nicht technisch notwendig sind – also Analyse-Tools, Marketing-Pixel, eingebettete Videos mit Tracking oder ähnliche Dienste. Die genaue Beurteilung hängt von der technischen Ausgestaltung und den geltenden nationalen Regeln ab.

Technisch notwendige Cookies – etwa für einen Warenkorb oder die Sitzungsverwaltung – brauchen keine vorherige Einwilligung. Für alles andere gilt: Ohne aktive, freiwillige Zustimmung dürfen diese Dienste nicht vorab laden.

Daraus folgt ein oft übersehener Punkt: Eine Website ganz ohne Tracking braucht in vielen Fällen gar kein Banner. Das ist kein Mangel, sondern ein Qualitätsmerkmal. Kein nerviges Overlay beim ersten Besuch, weniger Datenerhebung, weniger Angriffsfläche. Wenn Sie Analyse betreiben möchten, gibt es datensparsame Alternativen, die ohne personenbezogenes Tracking auskommen und je nach Ausgestaltung ohne Einwilligung genutzt werden können.

Wenn Sie ein Banner brauchen, achten Sie darauf:

• Ablehnen ist so einfach wie Zustimmen – keine versteckten Wege
• Keine Vorab-Häkchen und kein Laden vor der Einwilligung
• Kein Nudging durch farblich hervorgehobene Zustimmen-Buttons bei versteckter Ablehnung

Externe Dienste: Der häufigste Stolperstein

Die meisten unbeabsichtigten Datenschutzprobleme entstehen durch externe Dienste, die im Hintergrund Daten an fremde Server senden. Der Klassiker sind Schriften, Karten und Videos, die direkt von Drittanbietern geladen werden.

Google Fonts lokal einbinden

Werden Google Fonts direkt von Google-Servern geladen, wird bei jedem Seitenaufruf die IP-Adresse des Besuchers übertragen. Die saubere Lösung ist, die Schriften herunterzuladen und lokal vom eigenen Server auszuliefern. Optisch identisch, aber ohne Datenabfluss – und das gilt auch für andere externe Schrift- und Skript-Bibliotheken.

YouTube- und Maps-Embeds

Ein eingebettetes YouTube-Video oder eine Google-Maps-Karte lädt beim Seitenaufruf Daten vom jeweiligen Anbieter. Zwei praktikable Wege:

• Erweiterter Datenschutzmodus bei YouTube oder eine Zwei-Klick-Lösung, bei der das Embed erst nach aktivem Klick lädt
• Statt einer interaktiven Karte ein verlinktes Vorschaubild oder schlicht die Adresse mit einem Link zur Karte

Analyse ohne Ballast

Wenn Sie wissen möchten, wie Ihre Seite genutzt wird, müssen es nicht die schwergewichtigen Tracking-Suiten sein. Datensparsame Analyse-Werkzeuge messen aggregiert, ohne personenbezogene Profile zu bilden – oft ganz ohne Cookies und damit je nach Ausgestaltung ohne Banner.

Kontaktformulare: Verschlüsselung und Datensparsamkeit

Ein Kontaktformular verarbeitet personenbezogene Daten, deshalb gelten zwei Grundregeln: sichere Übertragung und so wenig Daten wie möglich.

• SSL/TLS-Verschlüsselung: Die Seite muss über HTTPS laufen. Ein gültiges Zertifikat ist heute Standard und meist kostenlos beim Hosting enthalten.
• Datensparsamkeit: Fragen Sie nur ab, was Sie wirklich brauchen. Pflichtfelder auf das Nötigste beschränken, alles Weitere optional.
• Einwilligung und Hinweis: Ein kurzer Hinweis mit Link zur Datenschutzerklärung beim Formular schafft Transparenz.
• Zweckbindung: Anfragen nicht dauerhaft horten, sondern nach Erledigung nach einem sinnvollen Zeitraum löschen.

Ein häufiger Fehler sind überladene Formulare, die Geburtsdatum, Anrede und Firmengröße abfragen, obwohl für eine einfache Anfrage die E-Mail-Adresse genügt. Weniger Felder bedeuten weniger Risiko – und nebenbei mehr ausgefüllte Formulare.

Hosting-Standort und Auftragsverarbeitung

Wo Ihre Website gehostet wird, ist ein Datenschutzthema, weil Ihr Hoster in Ihrem Auftrag personenbezogene Daten verarbeitet – etwa durch Server-Logs. Zwei Punkte sind hier zentral.

Erstens der Standort: Ein Hosting innerhalb der EU beziehungsweise des EWR erspart Ihnen die komplexeren Fragen rund um Datenübermittlungen in Drittländer. Server in Europa sind hier schlicht der unkompliziertere Weg.

Zweitens der Auftragsverarbeitungsvertrag (AV-Vertrag): Mit Ihrem Hoster und anderen Dienstleistern, die in Ihrem Auftrag Daten verarbeiten, brauchen Sie einen solchen Vertrag. Seriöse Anbieter stellen ihn standardmäßig bereit – prüfen Sie, ob er vorliegt und abgeschlossen ist.

Baustein-Übersicht auf einen Blick

Die folgende Tabelle fasst die wichtigsten Bausteine zusammen – inklusive der Fehler, die uns in der Praxis am häufigsten begegnen.

Warum eine schlanke Website leichter konform ist

Der rote Faden durch alle Punkte: Datenschutz ist kein Bürokratie-Monster, sondern eine Frage der sauberen Umsetzung. Und die fällt umso leichter, je weniger unnötigen Ballast eine Website mitschleppt.

Eine Seite, die aus einem Wildwuchs an Plugins besteht, bindet oft ungefragt fremde Server ein, lädt Schriften extern und setzt Cookies, von denen niemand mehr weiß, wozu sie da sind. Eine schlank und individuell gebaute Website macht das Gegenteil: Sie lädt nur, was sie braucht, hält Schriften und Skripte lokal und verzichtet auf Tracking, das niemand nutzt.

JetPages ist eine maßgeschneiderte Business-Website mit selbst pflegbarem CMS, ohne WordPress. Unsere Seiten werden ohne unnötigen Tracking-Ballast gebaut, Schriften und Skripte liegen lokal, und Impressum wie Datenschutzerklärung werden sauber integriert. Wenn Sie unsicher sind, wo Ihre bestehende Seite steht, hilft ein Blick mit unserem Website-Check; wie eine individuell gebaute Lösung technisch aussieht, zeigen wir auf unserer Lösungsseite.

Checkliste: DSGVO-konforme Website

Zum Abarbeiten von oben nach unten:

• Impressum vollständig und per Footer-Link von jeder Seite erreichbar
• Bei regulierten Berufen berufsrechtliche Zusatzangaben ergänzt
• Datenschutzerklärung an die tatsächlich genutzten Dienste angepasst
• Geprüft, ob überhaupt nicht-notwendige Cookies im Einsatz sind
• Wenn kein Tracking: bewusst auf ein Banner verzichtet
• Wenn Banner nötig: Ablehnen so einfach wie Zustimmen, kein Vorab-Laden
• Google Fonts und andere externe Ressourcen lokal eingebunden
• YouTube- und Maps-Embeds auf Zwei-Klick-Lösung oder Vorschaubild umgestellt
• Analyse – falls gewünscht – datensparsam und cookielos gelöst
• Kontaktformular über HTTPS und mit minimalen Pflichtfeldern
• Hosting in Europa und AV-Vertrag mit dem Hoster abgeschlossen

Arbeiten Sie die Liste einmal gründlich durch, dann ist der Großteil erledigt. Der Rest ist Pflege: Wenn Sie einen neuen Dienst einbinden, prüfen Sie kurz, ob er Daten nach außen sendet – und ergänzen Sie die Datenschutzerklärung. Für die verbindliche Beurteilung Ihres konkreten Falls holen Sie im Zweifel fachlichen Rat ein.