DSGVO auf der Website: Checkliste (2026)

Jede Website braucht eine eigene, zur Seite passende Datenschutzerklärung nach Art. 13 DSGVO. Standardtexte von der Konkurrenz zu kopieren reicht nicht – sie muss genau die Dienste abbilden, die du wirklich einsetzt. Hinein gehören mindestens: wer verantwortlich ist (Name, ladungsfähige Anschrift, Kontakt), welche Daten zu welchem Zweck verarbeitet werden, auf welcher Rechtsgrundlage, wie lange gespeichert wird, welche Empfänger und Dienstleister beteiligt sind und welche Betroffenenrechte bestehen (Auskunft, Löschung, Widerspruch, Beschwerde bei der Aufsichtsbehörde).

Für jede Verarbeitung brauchst du eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO. Die vier praxisrelevanten Fälle: Einwilligung (a), Vertragserfüllung (b, z. B. Bestellabwicklung), rechtliche Pflicht (c) und berechtigtes Interesse (f, z. B. sichere Server-Logs). Ordne jeder Datenverarbeitung auf deiner Seite bewusst eine davon zu – das ist der rote Faden, der Datenschutzerklärung und tatsächliche Technik zusammenhält.

Technische Pflicht Nummer eins ist die Transportverschlüsselung. Art. 32 DSGVO verlangt angemessene Sicherheitsmaßnahmen; für Websites heißt das ein gültiges SSL-/TLS-Zertifikat und Auslieferung ausschließlich über HTTPS. Prüfe, dass HTTP automatisch auf HTTPS umleitet und keine 'gemischten Inhalte' geladen werden. Spätestens bei einem Kontakt- oder Anmeldeformular ohne Verschlüsselung wird es kritisch.

Fast niemand betreibt eine Website allein. Sobald ein externer Dienst in deinem Auftrag personenbezogene Daten verarbeitet – Hosting, Analytics, Newsletter-Tool, CDN, Formular- oder Buchungsdienste – brauchst du mit ihm einen Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO. Seriöse Anbieter stellen ihn bereit; deine Aufgabe ist, ihn abzuschließen und griffbereit zu dokumentieren. Führe dazu eine kurze Liste aller eingesetzten Dienste – die brauchst du ohnehin für die Datenschutzerklärung.

Cookie-Consent regelt in Deutschland § 25 TDDDG (früher § 25 TTDSG). Für technisch nicht notwendige Zugriffe auf das Endgerät – also Tracking, Marketing-Pixel, eingebettete Karten oder Videos von Drittanbietern – brauchst du eine vorherige, aktive Einwilligung. Rein technisch notwendige Cookies (z. B. Warenkorb, Login-Session) sind davon ausgenommen und dürfen ohne Banner laufen.

Ein rechtssicherer Consent-Banner erfüllt mehrere Bedingungen: 'Ablehnen' ist gleichwertig und genauso leicht erreichbar wie 'Akzeptieren' (kein verstecktes Ablehnen im Untermenü), keine vorangekreuzten Kästchen (EuGH, Planet49), die Einwilligung wird protokolliert und ist widerrufbar – und entscheidend: Die Skripte dürfen erst nach der Zustimmung laden, nicht schon vorher. Genau daran scheitern viele Banner in der Praxis. Setzt du Analytics oder andere US-Dienste ein, achte zusätzlich auf eine Einwilligung und darauf, dass der Anbieter unter dem EU-US Data Privacy Framework zertifiziert ist.

Kontaktformular: Frage nur ab, was du wirklich brauchst (Datenminimierung), liefere das Formular über HTTPS aus und verlinke gut sichtbar deine Datenschutzerklärung. Als Rechtsgrundlage kommt je nach Fall Vertragsanbahnung (Art. 6 Abs. 1 b) oder berechtigtes Interesse (f) in Betracht. Ein Pflicht-Häkchen 'Ich akzeptiere die Datenschutzerklärung' ist meist überflüssig und eher hinderlich – ein klarer Hinweis genügt.

Newsletter: Hier gilt das Double-Opt-in. Nach der Anmeldung schickst du eine Bestätigungsmail; erst mit Klick auf den Link ist die Adresse aktiv. So dokumentierst du die Einwilligung nach Art. 6 Abs. 1 a DSGVO und erfüllst zugleich § 7 UWG. Speichere Zeitpunkt und Bestätigung nachvollziehbar – im Streitfall musst du die Einwilligung beweisen. Der Abmeldelink gehört in jede Mail.

Diese Fehler werden immer wieder abgemahnt: dynamisch von Google-Servern geladene Google Fonts (Lösung: Schriften lokal einbinden und selbst ausliefern), Analytics oder Karten, die schon vor der Einwilligung laden, ein Consent-Banner ohne gleichwertigen Ablehnen-Button, fehlende AVV mit Dienstleistern sowie veraltete Datenschutzerklärungen, die noch auf § 5 TMG oder § 25 TTDSG verweisen statt auf die aktuellen Grundlagen. Prüfe deine Seite mindestens einmal im Jahr und immer dann, wenn du ein neues Tool einbindest.