DSGVO-Checkliste für die Firmenwebsite: 12 Punkte vor und nach dem Launch
Die meisten Datenschutzprobleme auf Firmenwebsites entstehen nicht durch böse Absicht, sondern durch eingebundene Dienste, die niemand mehr auf dem Schirm hat: eine Schrift von einem fremden Server, eine Karte, ein Video, ein Chat-Widget. Diese Checkliste zeigt, wie Sie zuerst herausfinden, welche Daten Ihre Website überhaupt verschickt, und dann die zwölf Punkte prüfen, an denen Abmahnungen und Beschwerden typischerweise ansetzen. Sie ersetzt keine Rechtsberatung, aber sie macht aus einem diffusen Risiko eine abhakbare Liste.
Zuerst die Bestandsaufnahme: Wohin fließen Daten?
Öffnen Sie Ihre Website in einem privaten Browserfenster, starten Sie die Entwicklertools (F12) und laden Sie die Startseite im Tab „Netzwerk“ neu. Jede Anfrage an eine fremde Domain überträgt mindestens die IP-Adresse des Besuchers an diesen Anbieter. Notieren Sie alle Domains, bevor Sie irgendetwas anklicken, und wiederholen Sie das auf Kontaktseite, Blog und Shop.
Typische Funde sind:
- Schriftarten von Google Fonts oder Adobe Fonts, die live nachgeladen werden.
- Eingebettete Karten (Google Maps) und Videos (YouTube, Vimeo).
- Statistik- und Werbedienste: Google Analytics, Google Tag Manager, Meta-Pixel, LinkedIn Insight Tag.
- Chat-Widgets, Terminbuchungstools, Bewertungs-Widgets und Captchas.
- CDNs für Bibliotheken wie jQuery oder Icon-Sets.
Pflichttexte: Datenschutzerklärung und Impressum
Die Datenschutzerklärung muss nach Art. 13 DSGVO genau die Verarbeitungen beschreiben, die auf Ihrer Website tatsächlich stattfinden: Verantwortlicher, Zwecke, Rechtsgrundlagen, Empfänger, Übermittlungen in Drittländer, Speicherdauer und die Rechte der Betroffenen. Ein Generator ist ein guter Start, aber nur so gut wie die Liste aus der Bestandsaufnahme. Steht dort ein Dienst, den Sie nicht nutzen, oder fehlt einer, den Sie nutzen, ist der Text falsch.
Das Impressum richtet sich seit dem 14. Mai 2024 nach § 5 Digitale-Dienste-Gesetz (DDG), nicht mehr nach dem Telemediengesetz. Verweise auf „§ 5 TMG“ sollten Sie aktualisieren. Beide Texte müssen von jeder Seite aus leicht erkennbar und unmittelbar erreichbar sein, üblicherweise über den Footer, und dürfen nicht von einem Cookie-Banner verdeckt werden.
Einwilligung nur dort, wo sie nötig ist
Für das Speichern und Auslesen von Informationen auf dem Gerät des Besuchers (Cookies, Local Storage, Pixel) gilt § 25 TDDDG: Ohne Einwilligung ist das nur erlaubt, wenn es für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist, etwa für den Warenkorb oder das Login. Statistik, Werbung und eingebettete Fremdinhalte, die Cookies setzen, brauchen eine vorherige Einwilligung.
Die beste Einwilligung ist die, die Sie nicht brauchen: Schriften lokal hosten, Karten und Videos erst nach Klick laden, cookielose Statistik nutzen. Wie ein Banner aussehen muss, wenn Sie doch einen brauchen, beschreiben wir im Artikel zum Cookie-Banner nach TDDDG.
Externe Dienste, Auftragsverarbeitung und USA
Mit jedem Dienstleister, der für Sie personenbezogene Daten verarbeitet (Hosting, Formular-Tool, Newsletter, CRM, Statistik), brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei großen Anbietern schließen Sie ihn meist im Kundenkonto ab; legen Sie ihn trotzdem zu Ihren Unterlagen.
Für US-Anbieter gilt seit Juli 2023 der Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Das Gericht der EU hat die Klage dagegen am 3. September 2025 abgewiesen (T-553/23); ein Rechtsmittel beim EuGH ist anhängig (C-703/25 P). Prüfen Sie in der offiziellen DPF-Liste, ob Ihr Anbieter zertifiziert ist, und bevorzugen Sie EU-Anbieter, wo es gleichwertige gibt. Dann trifft Sie eine mögliche spätere Entscheidung weniger.
Ein bekanntes Beispiel für die Folgen kleiner Einbindungen: Das LG München I sprach 2022 einem Besucher 100 € Schadensersatz zu, weil eine Website Google Fonts dynamisch nachlud und so seine IP-Adresse ohne Rechtsgrundlage an Google übermittelte (Az. 3 O 17493/20). Lokal gehostete Schriften lösen das Problem vollständig.
Formulare, E-Mail und Löschfristen
Kontaktformulare sind der Ort, an dem Ihre Website die meisten personenbezogenen Daten erhebt. Fragen Sie nur ab, was Sie zur Bearbeitung wirklich brauchen (Datenminimierung nach Art. 5 DSGVO), übertragen Sie Formulare nur per HTTPS und legen Sie fest, wann Anfragen gelöscht werden, die nicht zu einem Auftrag geführt haben. Für Newsletter hat sich das Double-Opt-in durchgesetzt, weil Sie die Einwilligung nach Art. 7 DSGVO nachweisen müssen.
Die 12-Punkte-Checkliste
Gehen Sie die Liste nach jedem größeren Update der Website erneut durch, nicht nur einmal beim Launch:
- 1. Liste aller externen Domains aus dem Netzwerk-Tab ist erstellt und aktuell.
- 2. Datenschutzerklärung beschreibt genau diese Dienste, nicht mehr und nicht weniger.
- 3. Impressum nach § 5 DDG ist vollständig und von jeder Seite erreichbar.
- 4. Vor einer Einwilligung werden keine Statistik-, Werbe- oder Fremdinhalte geladen.
- 5. Ablehnen ist im Banner genauso einfach wie Zustimmen; der Widerruf ist jederzeit möglich.
- 6. Schriftarten und Icons werden vom eigenen Server geladen.
- 7. Karten und Videos laden erst nach Klick (Zwei-Klick-Lösung).
- 8. Auftragsverarbeitungsverträge mit Hosting, Formular-, Newsletter- und CRM-Anbietern liegen vor.
- 9. US-Dienste sind im Data Privacy Framework zertifiziert oder durch Standardvertragsklauseln abgesichert.
- 10. Formulare fragen nur notwendige Daten ab und laufen über HTTPS.
- 11. Für Anfragen und Newsletter-Daten sind Löschfristen festgelegt und umgesetzt.
- 12. Ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO) enthält die Website-Verarbeitungen.
Häufige Fragen
- Brauche ich wegen der Website einen Datenschutzbeauftragten?
- Nach § 38 BDSG ist ein Datenschutzbeauftragter in der Regel ab 20 Personen Pflicht, die ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Die Website allein löst die Pflicht meist nicht aus.
- Reicht ein Datenschutz-Generator?
- Als Grundlage ja, wenn Sie ihn mit der tatsächlichen Liste Ihrer Dienste füttern und nach jeder Änderung an der Website aktualisieren. Das häufigste Problem ist ein veralteter Text, nicht ein fehlender.
- Was droht bei Verstößen?
- Bußgelder nach Art. 83 DSGVO sind möglich, für kleine Unternehmen sind in der Praxis aber Abmahnungen, Beschwerden bei der Aufsichtsbehörde und Schadensersatzforderungen nach Art. 82 DSGVO das häufigere Risiko.
Quellen
Senden Sie uns die Adresse Ihrer Website. Wir listen alle externen Verbindungen auf und zeigen, welche davon Einwilligung, Vertrag oder Umbau brauchen.
Website auf DSGVO prüfen