DSGVO-konform heißt nicht kompliziert, sondern transparent. Wer weiß, welche Daten seine Website verarbeitet, wer sie sieht und wie lange sie liegen, hat den größten Teil bereits erledigt. Der Rest ist saubere Umsetzung.
Die sechs Punkte, die zählen
1. Impressum und Datenschutzerklärung aktuell
Beide Dokumente müssen zur tatsächlichen Nutzung Ihrer Website passen. Kein Textbaustein aus einem Generator hilft, wenn er nicht mit den echten Diensten übereinstimmt.
2. Cookie-Banner nur wo nötig
Ein Banner brauchen Sie, wenn nicht zwingend erforderliche Cookies gesetzt werden. Reine Statistik ohne Personenbezug kann in Deutschland unter engen Voraussetzungen ohne Zustimmung laufen, wird aber häufig falsch umgesetzt. Wichtig ist echte Wahlfreiheit.
3. Tracking sauber trennen
Werbepixel, Marketing-Tags und Chat-Widgets nur nach Zustimmung laden. Analytics konfigurieren, IP kürzen, Datenaufbewahrung begrenzen, Auftragsverarbeitung abschließen.
4. Hosting-Standort und Anbieter
EU-Hosting ist die einfachste Antwort. Sonst prüfen, ob Ihr Anbieter aktuelle Standardvertragsklauseln und geeignete Schutzmaßnahmen anbietet.
5. Formulare mit Zweckbindung
Nur die Felder, die wirklich nötig sind. Keine Pflichtangaben ohne sachlichen Grund. Klarer Hinweis, wofür die Daten genutzt werden und wann sie gelöscht werden.
6. Auftragsverarbeitungsverträge
Für Hosting, Analytics, Mailversand, Chatbot und ähnliche Dienste. Ohne Vertrag keine rechtssichere Nutzung.
Typische Dienste und ihre Stolperfallen
| Dienst | AVV nötig? | Typischer Fehler |
|---|---|---|
| Hosting | Ja | AVV nie abgeschlossen, weil „läuft ja" |
| Web-Analyse (z. B. Google Analytics, Matomo) | Ja | Lädt vor der Einwilligung; IP nicht gekürzt |
| Google Fonts / externe Schriften | — | Vom Google-Server geladen statt lokal eingebunden — Klassiker der Abmahnwellen |
| YouTube-Videos | — | Direkt eingebettet statt Zwei-Klick-Lösung oder erweiterter Datenschutzmodus |
| Kontaktformular / Newsletter | Ja (Versanddienst) | Pflichtfelder ohne Grund, kein Double-Opt-in beim Newsletter |
| Chatbot / Live-Chat | Ja | Übermittlung an Drittanbieter ohne Einwilligung und ohne Hinweis |
Der 15-Minuten-Selbstcheck
- Website im privaten Browserfenster öffnen und die Netzwerk-Anfragen ansehen (F12 → „Netzwerk"): Welche fremden Domains laden, bevor Sie im Banner zugestimmt haben? Alles, was da nicht hingehört, ist ein Befund.
- Cookie-Banner prüfen: Ist „Ablehnen" genauso leicht erreichbar wie „Akzeptieren"? Versteckte Ablehnen-Links auf der zweiten Ebene gelten als unfaire Gestaltung.
- Datenschutzerklärung mit der Realität abgleichen: Steht jeder tatsächlich eingesetzte Dienst drin — und umgekehrt kein Dienst, den Sie längst entfernt haben?
- Formulare durchgehen: Ist jedes Pflichtfeld wirklich nötig? Gibt es einen Hinweis auf Zweck und Speicherdauer?
- AVV-Ordner prüfen: Liegt für Hosting, Analyse, Mailversand und Chat jeweils ein Auftragsverarbeitungsvertrag vor?
Was 2026 besonders auffällt
Aufsichtsbehörden achten stärker auf faire Cookie-Banner, echte Löschprozesse und die Weitergabe von Daten an US-Dienste. Viele Websites tragen alte Fehler mit sich herum, weil sie einmal eingerichtet und nie überprüft wurden. Dazu kommt seit Juni 2025 eine zweite Baustelle, die oft mit dem Datenschutz verwechselt wird, aber eigene Regeln hat: die Barrierefreiheit nach dem BFSG. Was dort gilt und wen es betrifft, steht im Artikel Barrierefreie Website nach BFSG. Wer ohnehin einen Relaunch plant, sollte beides zusammen angehen — der Artikel Website-Relaunch: Wann er sich lohnt zeigt das Vorgehen.
Wenn Sie unsicher sind, hilft ein strukturierter DSGVO-Website-Check. Ergebnis ist eine klare Prioritätenliste, keine juristische Prüfung.
