DSGVO-konforme Website 2026: Die komplette Checkliste für Unternehmen

Eine Abmahnung wegen eines fehlerhaften Cookie-Banners kostet schnell 5.000 Euro. Eine unvollständige Datenschutzerklärung kann noch teurer werden. Und das Ärgerliche daran: Die meisten Verstöße lassen sich in ein paar Stunden beheben.

Trotzdem sind nach unserer Erfahrung gut 70 Prozent aller KMU-Websites in mindestens einem Punkt nicht DSGVO-konform. Meistens wissen die Betreiber das nicht mal. Sie haben die Seite vor drei Jahren erstellen lassen, seitdem hat sich die Rechtslage geändert, und niemand hat die Datenschutz-Einstellungen aktualisiert.

In diesem Artikel gehen wir jeden einzelnen Pflichtpunkt durch, den Ihre Unternehmenswebsite erfüllen muss. Mit konkreten Handlungsschritten, Tool-Empfehlungen und einer Checkliste, die Sie abhaken können.

Die DSGVO-Checkliste: 10 Pflichten für jede Unternehmenswebsite

Diese zehn Punkte decken die häufigsten Datenschutz-Anforderungen ab. Gehen Sie sie der Reihe nach durch. Wenn Sie bei einem Punkt unsicher sind, finden Sie weiter unten im Artikel die Details.

Cookie-Banner richtig umsetzen

Das Cookie-Banner ist der häufigste Stolperstein. Viele Websites haben zwar eines, aber es funktioniert nicht rechtskonform. Die wichtigsten Regeln:

Opt-In vor dem Laden

Tracking-Cookies und Marketing-Cookies dürfen erst geladen werden, nachdem der Nutzer aktiv zugestimmt hat. Das heißt: Bevor jemand auf "Akzeptieren" klickt, darf kein Google Analytics, kein Facebook Pixel und kein Marketing-Cookie aktiv sein. Viele Banner sehen zwar gut aus, laden die Cookies aber trotzdem sofort. Das ist rechtswidrig.

Ablehnen-Button muss sichtbar sein

Der Nutzer muss Cookies genauso einfach ablehnen können wie akzeptieren. Ein großer grüner "Alles akzeptieren"-Button und ein winziger grauer "Einstellungen"-Link darunter reicht nicht. Das ist ein sogenanntes Dark Pattern und wird von Datenschutzbehörden zunehmend abgestraft.

Welche Cookies brauchen eine Einwilligung?

• Technisch notwendige Cookies: Keine Einwilligung nötig (Session-Cookies, Warenkorb, Login)
• Statistik-Cookies (Google Analytics, Matomo mit Cookies): Einwilligung nötig
• Marketing-Cookies (Facebook Pixel, Google Ads Remarketing): Einwilligung nötig
• Präferenz-Cookies (Sprachwahl, Darkmode): Einwilligung empfohlen, aber umstritten

Datenschutzerklärung: Was muss rein?

Die Datenschutzerklärung muss jeden Dienst auflisten, der auf Ihrer Website personenbezogene Daten verarbeitet. "Personenbezogene Daten" sind dabei breiter gefasst als die meisten denken. Dazu gehört schon die IP-Adresse eines Besuchers.

Pflichtangaben nach Art. 13/14 DSGVO

• Name und Kontaktdaten des Verantwortlichen
• Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
• Zweck und Rechtsgrundlage jeder Datenverarbeitung
• Empfänger der Daten (z.B. Google, Newsletter-Anbieter, Hoster)
• Übermittlung in Drittländer (z.B. USA) und die Schutzmaßnahmen
• Speicherdauer oder Kriterien für die Festlegung der Dauer
• Rechte der Betroffenen (Auskunft, Löschung, Widerspruch, Beschwerde)
• Hinweis auf Beschwerderecht bei der Aufsichtsbehörde

Diese Dienste müssen Sie aufführen

Gehen Sie Ihre Website einmal komplett durch und listen Sie jeden externen Dienst auf. Die häufigsten:

• Hosting-Anbieter (Server-Logfiles mit IP-Adressen)
• Google Analytics oder andere Analyse-Tools
• Google Fonts (wenn extern geladen)
• Google Maps (wenn eingebettet)
• YouTube-Videos (wenn eingebettet)
• Social-Media-Plugins (Facebook, Instagram, LinkedIn)
• Newsletter-Tool (Mailchimp, CleverReach, Brevo)
• Kontaktformular (welche Daten, wohin gespeichert)
• Online-Terminbuchung (Calendly, Cal.com)
• Bewerbungsformulare oder Job-Portale

Datenschutzerklärungs-Generator oder Anwalt?

Für die meisten KMU-Websites reicht ein guter Generator als Ausgangspunkt. Der Datenschutzerklärungs-Generator von eRecht24 oder der IT-Recht Kanzlei München deckt die gängigsten Fälle ab. Wenn Sie besondere Datenverarbeitungen haben (Gesundheitsdaten, Minderjährige, komplexe Drittanbieter-Ketten), sollten Sie einen spezialisierten Anwalt einschalten.

Wichtig: Eine generierte Datenschutzerklärung ist nur so gut wie die Angaben, die Sie eingeben. Wenn Sie einen Dienst vergessen, fehlt er in der Erklärung, und das ist ein Verstoß.

Google Fonts, Analytics und Co.: Drittanbieter DSGVO-konform einbinden

Die häufigsten DSGVO-Probleme auf Websites entstehen durch externe Dienste, die Nutzerdaten an Server außerhalb der EU übertragen. Hier die wichtigsten Dienste mit Problem und Lösung:

Auftragsverarbeitung: Wann brauchen Sie einen AVV?

Ein Auftragsverarbeitungsvertrag (AVV) ist ein Vertrag zwischen Ihnen und jedem Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet. Das klingt komplizierter als es ist. Ihr Hoster speichert Server-Logfiles mit IP-Adressen Ihrer Besucher? AVV nötig. Ihr Newsletter-Tool verwaltet E-Mail-Adressen Ihrer Abonnenten? AVV nötig.

Mit diesen Dienstleistern brauchen Sie typischerweise einen AVV

• Webhosting-Anbieter (Hetzner, IONOS, All-Inkl, Strato)
• Newsletter-Tool (Mailchimp, CleverReach, Brevo, Rapidmail)
• Cookie-Consent-Tool (Cookiebot, Usercentrics)
• Analytics-Tool (Google Analytics, Matomo Cloud)
• CRM-System (HubSpot, Pipedrive, Zoho)
• Cloud-Speicher (Google Workspace, Microsoft 365, Dropbox)
• Buchhaltungssoftware (Lexware, SevDesk, wenn Cloud-basiert)
• Online-Terminbuchung (Calendly, Cal.com)

Wo finden Sie AVV-Vorlagen?

Die gute Nachricht: Fast alle seriösen Anbieter stellen fertige AVV-Formulare bereit. Bei den meisten können Sie den AVV direkt im Kunden-Dashboard abschließen (zum Beispiel bei Hetzner, IONOS, Mailchimp oder Google). Sie müssen also keinen Anwalt beauftragen. Prüfen Sie einmal alle Ihre Dienstleister durch und schließen Sie die fehlenden AVVs ab. Das dauert insgesamt vielleicht eine Stunde.

Kontaktformular und Newsletter: Die Stolperfallen

Kontaktformular richtig absichern

Ihr Kontaktformular muss drei Dinge erfüllen: Erstens, fragen Sie nur die Daten ab, die Sie wirklich brauchen. Name und E-Mail-Adresse reichen für eine Kontaktanfrage. Die Telefonnummer sollte ein optionales Feld sein, kein Pflichtfeld.

Zweitens, direkt unter dem Formular muss ein Hinweis stehen, der auf die Datenschutzerklärung verlinkt. Etwas wie: "Mit dem Absenden stimmen Sie der Verarbeitung Ihrer Daten gemäß unserer Datenschutzerklärung zu." Der Link muss funktionieren und auf die richtige Stelle zeigen.

Drittens, die Daten müssen verschlüsselt übertragen werden (HTTPS) und sollten nicht unbegrenzt gespeichert werden. Legen Sie eine Löschfrist fest, zum Beispiel 6 Monate nach Abschluss der Anfrage.

Newsletter: Double-Opt-In ist Pflicht

Ohne Double-Opt-In dürfen Sie in Deutschland keinen Newsletter versenden. Der Ablauf: Der Nutzer gibt seine E-Mail-Adresse ein. Er erhält eine Bestätigungs-Mail mit einem Link. Erst wenn er diesen Link klickt, wird er in den Verteiler aufgenommen. Dieses Verfahren ist Ihre Beweissicherung, dass die Person tatsächlich zugestimmt hat.

Jede einzelne Newsletter-Ausgabe muss einen funktionierenden Abmeldelink enthalten. Kein Verstecken, kein umständlicher Prozess. Ein Klick reicht.

DSGVO-Verstöße: Was passiert wenn es schiefgeht?

DSGVO-Verstöße sind kein theoretisches Risiko. Seit Inkrafttreten der DSGVO 2018 wurden in der EU Bußgelder in Milliardenhöhe verhängt. Für KMU relevanter sind allerdings die Abmahnungen durch Anwälte und Wettbewerber.

Die häufigsten Abmahngründe bei KMU-Websites:

• Google Fonts extern geladen (Abmahnwelle 2022/2023, trifft immer noch verspätete Fälle)
• Cookie-Banner setzt Tracking-Cookies vor der Einwilligung
• Datenschutzerklärung fehlt oder ist unvollständig
• Kein Impressum oder fehlende Pflichtangaben
• Kontaktformular ohne Datenschutzhinweis
• Newsletter-Versand ohne Double-Opt-In-Nachweis

Tipp: Die meisten Abmahnungen kommen nicht von Datenschutzbehörden, sondern von spezialisierten Anwälten oder Wettbewerbern. Die scannen gezielt Websites nach genau diesen Schwachstellen. Je schneller Sie die Punkte oben abarbeiten, desto geringer Ihr Risiko.

DSGVO-Check: So prüfen Sie Ihre Website selbst

Sie müssen kein Datenschutzexperte sein, um die gröbsten Probleme zu finden. Mit diesen fünf Schritten prüfen Sie Ihre Website in unter einer Stunde.

Fazit: DSGVO-Compliance ist kein Hexenwerk

Die zehn Punkte aus der Checkliste oben decken gut 95 Prozent aller KMU-Websites ab. Das meiste davon ist in einem Nachmittag erledigt, wenn Sie wissen, worauf es ankommt. SSL aktivieren, Google Fonts lokal einbinden, Cookie-Banner korrekt konfigurieren, Datenschutzerklärung aktualisieren, AVVs abschließen. Das sind keine Mammutprojekte.

Nehmen Sie sich die Zeit lieber jetzt als nach einer Abmahnung. Denn dann wird es nicht nur teurer, sondern auch stressiger. Und wenn Sie sich unsicher sind, lassen Sie Ihre Website einmal professionell prüfen. Das kostet weniger als eine einzige Abmahnung.

Häufige Fragen zur DSGVO-konformen Website