Vorweg: Ich bin Webdesigner, kein Anwalt. Das hier ersetzt keine Rechtsberatung. Aber nach vielen Projekten im Allgäu weiß ich, welche DSGVO-Punkte am häufigsten vergessen werden. Diese Checkliste hilft dir, die größten Lücken zu schließen.
Warum das Thema bleibt
Seit 2018 gilt die DSGVO. Die Kontrollen werden strenger, nicht lockerer. Behörden und Abmahnvereine prüfen Websites gezielt. Häufige Fehler: Google Fonts von fremden Servern, kaputte Cookie-Banner, lückenhafte Datenschutz-Texte.
Wie real die Folgen sind, zeigt das Urteil des LG München vom 20. Januar 2022 (Az. 3 O 17493/20): Ein Website-Betreiber musste 100 Euro Schadensersatz nach Art. 82 DSGVO zahlen, weil er Google Fonts dynamisch von Google-Servern nachgeladen und dabei die IP-Adresse eines Besuchers ohne Einwilligung in die USA übertragen hatte. Das ist kein Bußgeld einer Behörde, sondern ein Anspruch der besuchenden Person. Danach kamen massenhaft Abmahnschreiben in Umlauf. Viele davon waren angreifbar, der Verstoß selbst bleibt aber ein Verstoß. Auch kleine Firmen sind betroffen.
1. Cookie-Banner
Das häufigste Problem: Der Banner ist da, aber er funktioniert nicht richtig.
Was ein guter Cookie-Banner braucht:
- Erst fragen, dann laden: Alles, was deine Seite nicht unbedingt zum Funktionieren braucht, darf erst nach dem Klick auf „Akzeptieren“ Cookies setzen oder Daten im Browser speichern: Analytics, Pixel, YouTube und Co. Technisch notwendige Speicherungen, etwa für den Warenkorb oder die gespeicherte Cookie-Auswahl selbst, brauchen keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).
- Ablehnen genauso leicht wie Zustimmen: Beide Möglichkeiten gleich gut sichtbar und auf derselben Ebene. Kein versteckter Link in Mini-Schrift, kein Ablehnen erst in einem zweiten Fenster.
- Klar sagen, wofür: „Marketing-Cookies" reicht nicht. Welche Dienste genau?
- Widerruf jederzeit: Die Auswahl muss sich so leicht ändern lassen, wie sie erteilt wurde (Art. 7 Abs. 3 DSGVO). Üblich ist ein gut sichtbarer Link „Cookie-Einstellungen“ im Footer jeder Seite.
- Nachweis speichern: Du musst zeigen können, wer wann was erlaubt hat. Gute Tools machen das von selbst.
Ich nutze vanilla-cookieconsent. Open Source, schnell und frei anpassbar. Wichtig dabei: Kein Werkzeug macht eine Seite von allein datenschutzkonform. Es kommt darauf an, wie es eingestellt ist und was auf der Seite sonst noch lädt.
2. Impressum
Pflicht nach § 5 DDG (bis Mai 2024: § 5 TMG) für jede Firma im Netz. Von jeder Seite aus mit maximal 2 Klicks erreichbar.
Was rein muss (Freelancer und Einzelfirmen):
- Voller Name (Vor- und Nachname)
- Anschrift (kein Postfach)
- E-Mail-Adresse
- Telefon (umstritten, aber zu empfehlen)
- USt-ID oder Wirtschafts-ID (falls vorhanden)
- Beruf und Kammer (bei Ärzten, Anwälten, Steuerberatern)
- Aufsicht (falls nötig)
- Verantwortlicher nach § 18 MStV (bei Blog-Inhalten)
Typische Fehler im Allgäu:
- Impressum nur als PDF oder Bild (muss als Text da sein)
- Alte Adresse nach Umzug
- Fehlende Kammer-Angabe bei Handwerkern
- Link zum Impressum nur auf der Startseite, nicht im Footer
3. Datenschutz-Seite
Die Datenschutz-Seite beschreibt alle Daten-Abläufe auf deiner Website. Vollständig und verständlich.
Was mindestens rein muss:
- Name und Kontakt des Verantwortlichen, also deiner Firma
- Kontakt der oder des Datenschutzbeauftragten, falls du eine Person benennen musst. Das ist in der Regel ab 20 Personen der Fall, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 Abs. 1 BDSG), in besonderen Fällen auch darunter
- Rechtsgrund für jede Daten-Nutzung (Art. 6 DSGVO)
- Alle genutzten Dienste auflisten: Hosting, Analytics, Formulare, Newsletter, Maps, Fonts, CDNs
- Wie lange du Daten speicherst
- Rechte der Nutzer (Auskunft, Löschung, Widerspruch)
- Hinweis auf die Behörde für Beschwerden
Tipps aus der Praxis:
- Generatoren von IHK oder eRecht24 sind ein guter Start. Passe sie aber an deine echten Dienste an.
- Jedes Tool, das Daten sammelt, muss erwähnt werden.
- Google Fonts am besten lokal laden. Kommen sie von Google-Servern, geht die IP-Adresse jeder Besucherin und jedes Besuchers an Google, und dafür bräuchtest du vorher eine Einwilligung.
- YouTube nur im Datenschutz-Modus einbetten. Oder erst nach Zustimmung laden.
4. Kontaktformulare
Jedes Formular, das Daten erhebt (Name, Mail, Telefon), braucht:
- Link zur Datenschutz-Seite — mindestens als Text-Link
- Hinweis statt Pflicht-Häkchen — Für eine normale Anfrage brauchst du in der Regel keine Einwilligung. Die Daten verarbeitest du, um die Anfrage zu beantworten (Art. 6 Abs. 1 Buchst. b DSGVO). Ein kurzer Hinweis mit Link auf die Datenschutzerklärung reicht. Fragst du trotzdem ein Häkchen ab, darf es nicht vorab gesetzt sein.
- HTTPS — Formulardaten verschlüsselt übertragen. Das Gesetz nennt ein als sicher anerkanntes Verschlüsselungsverfahren ausdrücklich als Schutzmaßnahme (§ 19 Abs. 4 TDDDG, Art. 32 DSGVO).
- Weniger ist mehr — Frage nur ab, was du wirklich brauchst. Für eine Anfrage brauchst du kein Geburtsdatum.
5. Externe Dienste
Jeder fremde Dienst, der Nutzer-Daten nutzt, braucht eine Rechts-Grundlage:
- Google Maps: Erst nach Zustimmung laden. Oder als Bild mit Link ersetzen.
- YouTube / Vimeo: Erst nach Zustimmung. Oder mit erweitertem Datenschutz-Modus.
- Social-Media-Buttons: Einfache Links statt eingebettete Skripte.
- Analytics: Nur nach klarem Opt-in.
- Schriften: Am einfachsten lokal hosten. Dann gibt es keinen Aufruf von Google-Servern und nichts, wofür du fragen musst.
- CDNs: Prüfe, ob du einen AVV mit dem Anbieter brauchst.
6. SSL-Zertifikat
HTTPS ist Standard. Aber es gibt immer noch Seiten ohne SSL oder mit gemischten Inhalten. Jeder Hoster bietet kostenlose Zertifikate (Let's Encrypt). Es gibt keinen Grund, ohne SSL online zu sein.
7. AVV (Auftrags-Vertrag)
Für jeden Dienst, der in deinem Auftrag Daten speichert, brauchst du einen AVV:
- Hosting-Anbieter
- E-Mail-Tools (Mailchimp, CleverReach)
- Analytics-Dienste
- Cloud-Speicher (wenn dort Kunden-Daten liegen)
- CRM-Systeme
Die meisten Anbieter haben einen AVV online bereit. Du musst ihn nur abschließen. Das vergessen viele.
Checkliste zum Abhaken
- Cookie-Banner mit Opt-in und gleichwertiger Ablehnung
- Impressum vollständig und von jeder Seite erreichbar
- Datenschutz-Seite mit allen Diensten und Rechtsgrundlagen
- Formulare mit Datenschutz-Hinweis
- Google Fonts lokal eingebunden
- Externe Dienste erst nach Zustimmung aktiv
- SSL aktiv, keine gemischten Inhalte
- AVVs mit allen Dienstleistern abgeschlossen
- Verzeichnis von Verarbeitungstätigkeiten geführt (Art. 30 DSGVO)
Fazit: Datenschutz zeigt Qualität
Ja, die DSGVO macht Arbeit. Aber eine sauber gemachte Website zeigt, dass du es ernst meinst. Deine Kunden merken vielleicht nicht, dass dein Banner richtig läuft. Doch sie merken es, wenn er es nicht tut.
Weiterführende Artikel
- Website-Relaunch — die Checkliste — DSGVO beim Relaunch von Anfang an
- Was kostet eine Website? — DSGVO-Setup ist immer im Preis
- Warum kein Baukasten? — Wix, Jimdo, Squarespace im DSGVO-Realitätscheck
Du willst deine Seite DSGVO-fit machen? Oder planst eine neue Seite, die von Anfang an sauber steht? Sprich mich an — Datenschutz ist bei meinen Projekten von Tag eins dabei.