Warum diese Checkliste wichtig ist
Die DSGVO gilt seit dem 25. Mai 2018. Trotzdem finden sich auf vielen Unternehmenswebsites noch Verstöße — oft nicht aus bösem Willen, sondern aus Unwissenheit.
Die Folgen können teuer werden: Abmahnungen, Schadensersatzforderungen und Bußgelder — bei schweren Verstößen bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, was höher ist (Art. 83 Abs. 5 DSGVO). Und vor allem: Vertrauensverlust bei Kunden. Wer sieht, dass eine Website nicht einmal die Basics erfüllt, fragt sich ob man dort sein Geld lassen sollte.
Diese Checkliste gibt Ihnen 12 konkrete Punkte die Sie heute prüfen können — ohne Jura-Studium.
Punkt 1: Impressum
Jede geschäftsmäßige Website in Deutschland braucht ein Impressum. Die Pflicht steht nicht in der DSGVO, sondern in § 5 Digitale-Dienste-Gesetz (DDG), das am 14. Mai 2024 das Telemediengesetz abgelöst hat. Das Impressum muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein — typischerweise über einen Link „Impressum“ im Footer. Zwei Klicks hat der Bundesgerichtshof dafür als ausreichend angesehen (BGH, Urteil vom 20.07.2006, I ZR 228/03).
Das Impressum muss enthalten:
- Vollständiger Name und Anschrift des Unternehmens
- Rechtsform und Vertretungsberechtigte
- E-Mail-Adresse und ein weiterer schneller Kontaktweg, etwa eine Telefonnummer (zwingend ist die Telefonnummer laut EuGH, Urteil vom 16.10.2008, C-298/07 nicht)
- Umsatzsteuer-ID (falls vorhanden)
- Handelsregistereintrag (falls vorhanden)
- Bei regulierten Berufen: Kammer, Berufsbezeichnung, Aufsichtsbehörde
Punkt 2: Datenschutzerklärung
Die Datenschutzerklärung ist nicht dasselbe wie das Impressum. Sie erklärt detailliert, welche personenbezogenen Daten auf Ihrer Website erfasst werden, warum und auf welcher Rechtsgrundlage.
Sie muss ebenfalls von jeder Seite erreichbar sein (eigener Link im Footer). Eine kopierte Vorlage aus dem Internet reicht nicht. Die Erklärung muss Ihre tatsächlich genutzten Dienste und Datenverarbeitungen abbilden.
Punkt 3: SSL-Verschlüsselung
Ihre Website muss über HTTPS erreichbar sein — nicht nur HTTP. Das erkennen Sie am Schloss-Symbol in der Adressleiste des Browsers.
Ohne SSL werden Formulardaten (Kontaktanfragen, Bestellungen) unverschlüsselt übertragen. Das verstößt in aller Regel gegen die Pflicht zu angemessener Sicherheit nach Art. 32 DSGVO. Außerdem nutzt Google HTTPS seit 2014 als Ranking-Signal (Google, 2014).
Punkt 4: Cookie-Banner
Ein Cookie-Banner ist Pflicht, wenn Ihre Website nicht-essenzielle Cookies setzt — also Cookies für Tracking, Analyse, Marketing oder Social Media. Rechtsgrundlage ist § 25 TDDDG (bis Mai 2024 „TTDSG“): Ohne Einwilligung ist nur erlaubt, was für den gewünschten Dienst unbedingt erforderlich ist.
Wichtig: Der Banner muss eine echte Wahlmöglichkeit bieten. „Alle akzeptieren“ als einziger großer Button und „Einstellungen“ versteckt in Kleinschrift — das reicht nicht. Ablehnen muss genauso einfach sein wie Zustimmen.
Und: Bevor der Nutzer zustimmt, dürfen keine Tracking-Cookies gesetzt werden. Viele Cookie-Banner laden trotzdem Google Analytics im Hintergrund — ein häufiger Fehler.
Punkt 5: Google Fonts lokal einbinden
Wenn Ihre Website Schriften von fonts.googleapis.com lädt, wird bei jedem Seitenaufruf die IP-Adresse des Besuchers an Google übermittelt — ohne Einwilligung. Das Landgericht München I hat einem Besucher deshalb am 20. Januar 2022 100 Euro Schadensersatz zugesprochen (LG München I, 3 O 17493/20).
Die Lösung: Google Fonts lokal auf Ihrem Server einbinden. Mehr dazu in unserem ausführlichen Artikel zu Google Fonts Abmahnungen.
Punkt 6: Kontaktformulare
Jedes Kontaktformular auf Ihrer Website erhebt personenbezogene Daten (mindestens Name und E-Mail). Sie brauchen:
- Einen Hinweis auf die Datenschutzerklärung direkt am Formular
- Eine SSL-verschlüsselte Übertragung
- Angabe, wie lange die Daten gespeichert werden
Eine Checkbox mit „Ich habe die Datenschutzerklärung gelesen“ ist nicht zwingend vorgeschrieben, aber empfehlenswert als Nachweis.
Punkt 7: Analyse-Tools (Google Analytics & Co.)
Google Analytics, Matomo, Hotjar und ähnliche Tools dürfen nur mit vorheriger Einwilligung des Nutzers geladen werden. Das bedeutet: Erst wenn der Besucher im Cookie-Banner aktiv zustimmt, darf das Script starten.
Tipp: Prüfen Sie ob Google Analytics auf Ihrer Website auch dann lädt, wenn Sie alle Cookies ablehnen. Wenn ja, haben Sie ein Problem.
Punkt 8: Eingebettete Inhalte
YouTube-Videos, Google Maps, Instagram-Feeds — all diese Einbettungen übertragen beim Laden Daten an Drittanbieter. Die Lösung:
- YouTube: Der erweiterte Datenschutzmodus (
youtube-nocookie.com) setzt weniger Cookies, überträgt beim Laden aber trotzdem die IP-Adresse an Google. Sicherer ist eine 2-Klick-Lösung (Vorschaubild zeigen, erst bei Klick laden) - Google Maps: Nicht direkt einbetten, sondern Vorschaubild mit Link oder 2-Klick-Lösung
- Social-Media-Plugins: Keine Like-Buttons oder Feeds einbetten die beim Laden Daten senden
Punkt 9: Externe Ressourcen
Neben Google Fonts gibt es viele weitere externe Ressourcen die heimlich Daten übertragen:
- CDN-Bibliotheken: jQuery, Bootstrap oder Font Awesome von externen Servern — lokal einbinden
- Captcha-Dienste: Google reCAPTCHA überträgt Daten an Google. Auch hCaptcha kommt von einem US-Anbieter (Intuition Machines, Inc.) und gehört ebenso in die Datenschutzerklärung. Ohne Drittanbieter geht es mit serverseitigen Prüfungen, etwa einem versteckten Feld oder einer Zeitsperre
- Chat-Widgets: Viele Live-Chat-Tools setzen Tracking-Cookies ohne Einwilligung
Punkt 10: Auftragsverarbeitungsverträge (AVV)
Für jeden Dienstleister der personenbezogene Daten verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag. Das betrifft:
- Ihren Webhoster
- Ihren E-Mail-Anbieter
- Google Analytics (Google bietet dafür Datenverarbeitungsbedingungen an). Für eingebettete Google Maps stellt Google keinen AVV bereit — hier helfen Einwilligung oder 2-Klick-Lösung (siehe Punkt 8)
- Newsletter-Tools (Mailchimp, CleverReach etc.)
- Ihre Webagentur (wenn sie Zugriff auf Kundendaten hat)
Die meisten großen Anbieter stellen AVVs online bereit. Sie müssen diese aber aktiv abschließen — es passiert nicht automatisch.
Punkt 11: Verzeichnis der Verarbeitungstätigkeiten
Die DSGVO schreibt vor, dass Sie ein Verzeichnis aller Datenverarbeitungen führen. Das klingt bürokratisch, ist aber in der Praxis ein einfaches Dokument das beschreibt:
- Welche Daten Sie erheben (Kontaktformular, Newsletter, Bestellungen)
- Warum Sie sie erheben (Vertragsanbahnung, Marketing)
- Wie lange Sie sie speichern
- An wen Sie sie weitergeben (Hoster, E-Mail-Anbieter)
Dieses Verzeichnis muss nicht öffentlich sein, aber Sie müssen es bei einer Prüfung vorlegen können.
Punkt 12: Recht auf Löschung und Auskunft
Jeder Besucher hat das Recht, von Ihnen zu erfahren welche Daten Sie über ihn gespeichert haben — und diese löschen zu lassen. Sie müssen in der Lage sein, solche Anfragen innerhalb eines Monats zu beantworten.
In der Praxis heißt das: Sie müssen wissen wo Ihre Kundendaten gespeichert sind — in Ihrem E-Mail-Postfach, in einer Datenbank, in einem CRM, bei Ihrem Hoster. Und Sie müssen sie dort löschen können.
DSGVO-Konformität ist kein einmaliges Projekt. Es ist ein laufender Prozess — aber einer der mit den richtigen Grundlagen sehr wenig Aufwand macht.
Wie gehen Sie am besten vor?
Gehen Sie die 12 Punkte der Reihe nach durch. Die meisten lassen sich an einem Nachmittag prüfen und viele Probleme sofort beheben. Für technische Themen (Google Fonts lokal einbinden, Cookie-Banner konfigurieren, Analytics-Einbindung prüfen) brauchen Sie möglicherweise Ihren Webentwickler.
Wichtig: Dokumentieren Sie, was Sie geprüft und geändert haben. Im Streitfall zeigt das, dass Sie sich aktiv um Datenschutz bemühen — und das zählt.
Fazit
Die DSGVO ist kein Bürokratie-Monster. Die meisten Anforderungen sind einfach und nachvollziehbar. Sie schützen nicht nur Ihre Besucher, sondern auch Sie selbst — vor Abmahnungen, Bußgeldern und Vertrauensverlust.
Wer heute eine Website betreibt, muss diese 12 Punkte kennen. Nicht um perfekt zu sein — sondern um die größten Risiken auszuschalten.
Sie möchten wissen, wie Ihre Website bei einigen dieser Punkte abschneidet? Website kostenlos prüfen: Der Check sieht sich in rund 60 Sekunden unter anderem Impressum, Datenschutzerklärung, Schriften von fremden Servern und Tracking vor der Zustimmung an — das Ergebnis erscheint direkt, ohne E-Mail. Punkte wie AVV oder Verarbeitungsverzeichnis prüft er nicht.