Die DSGVO (Datenschutz-Grundverordnung) gilt seit Mai 2018 für alle Websites in der EU – egal ob klein oder groß, privat oder kommerziell.
Bei Verstößen drohen
- Bußgelder bis zu 20 Mio. € oder 4% des Jahresumsatzes
- Abmahnungen durch Wettbewerber
- Schadensersatzforderungen von Betroffenen
- Reputationsschäden
01
Warum DSGVO für jede Website Pflicht ist
Das Problem: Viele Website-Betreiber wissen nicht genau, was die DSGVO vorschreibt – und machen teure Fehler.
Die gute Nachricht: Mit den richtigen Maßnahmen ist DSGVO-Konformität kein Hexenwerk. Auch die ab 2025 geltenden Barrierefreiheits-Anforderungen lassen sich gut umsetzen.
02
Die 5 DSGVO-Basics für jede Website
1. Datenschutzerklärung (Pflicht!)
Jede Website braucht eine Datenschutzerklärung.
Was muss rein - Wer ist verantwortlich? (Name, Kontakt) - Welche Daten werden erhoben? - Zu welchem Zweck? - Auf welcher Rechtsgrundlage? - Wie lange werden Daten gespeichert? - An wen werden Daten weitergegeben? - Rechte der Betroffenen (Auskunft, Löschung, etc.) - Widerrufsrecht
Wo platzieren
- Link im Footer (auf jeder Seite)
- Deutlich sichtbar
- Mit einem Klick erreichbar
Wichtig
- Individuell für Ihre Website
- Keine Muster-Datenschutzerklärung 1:1 kopieren
- Bei Änderungen aktualisieren
Tools für Datenschutzerklärung - eRecht24 (kostenpflichtig, sehr gut) - Datenschutz-Generator von Dr. Schwenke (kostenlos, Basis) - activeMind AG (kostenlos)
2. Impressum (ebenfalls Pflicht!)
Telemediengesetz (TMG) § 5: Jede kommerzielle Website braucht ein Impressum.
Was muss rein - Name (bei Firma: vollständiger Firmenname) - Anschrift (kein Postfach!) - Kontakt (E-Mail, Telefon) - Vertretungsberechtigte (bei GmbH: Geschäftsführer) - Handelsregister-Nummer (falls eingetragen) - Umsatzsteuer-ID (falls vorhanden) - Ggf. Aufsichtsbehörde (Ärzte, Anwälte, etc.)
Wo platzieren
- Link im Footer
- Mit "Impressum" beschriftet (nicht "Kontakt" oder "Über uns")
- Mit maximal 2 Klicks erreichbar
3. SSL-Verschlüsselung (HTTPS)
DSGVO Art. 32: Technische Sicherheitsmaßnahmen
Sobald Sie personenbezogene Daten erheben (Kontaktformular, Newsletter), ist SSL Pflicht. Warum SSL und HTTPS heute unverzichtbar sind, erklären wir in einem separaten Artikel.
Was ist SSL? Verschlüsselung der Datenübertragung zwischen Browser und Server.
Erkennbar an
- https:// in URL (nicht http://)
- Schloss-Symbol im Browser
Kosten: Meist kostenlos via Let's Encrypt (bei modernen Hostern inklusive).
4. Cookie-Einwilligung
Der große Knackpunkt
Sie dürfen Cookies nur setzen, wenn:
- Sie technisch notwendig sind ODER
- Der Nutzer aktiv zugestimmt hat
5. Auftragsverarbeitungsverträge (AVV)
Wenn Sie Dienstleister einsetzen, die personenbezogene Daten verarbeiten
Beispiele:
- Newsletter-Tool (Mailchimp, Brevo, etc.)
- Analytics (Google Analytics)
- Hosting-Anbieter
- CRM-System
- Online-Terminbuchung
Pflicht: Schriftlicher Vertrag (AVV), der regelt, wie der Dienstleister mit Daten umgeht.
Praktisch: Die meisten professionellen Dienstleister bieten standardisierte AVVs an (einfach unterschreiben).
Was sind Cookies?
Cookies = kleine Textdateien, die im Browser gespeichert werden.
Cookie-Typen
1. Technisch notwendige Cookies Funktionieren ohne diese nicht. Beispiele: - Session-Cookie (Login-Status) - Warenkorb-Cookie - Cookie-Einstellungen speichern
Regel: Keine Einwilligung nötig!
2. Funktionale Cookies Verbessern Nutzererfahrung. Beispiele: - Sprach-Einstellung - Video-Player-Einstellungen
Regel: Einwilligung empfohlen (Grauzone)
3. Analytische Cookies Tracking für Statistiken. Beispiele: - Google Analytics - Matomo - Hotjar
Regel: Einwilligung zwingend nötig!
4. Marketing/Werbe-Cookies Für personalisierte Werbung. Beispiele: - Facebook Pixel - Google Ads Remarketing - LinkedIn Insight Tag
Regel: Einwilligung zwingend nötig!
Was sagt die DSGVO zu Cookies?
Planet49-Urteil (EuGH 2019) + weitere Urteile:
Opt-In-Pflicht Nutzer muss **aktiv** zustimmen (kein vorausgewähltes Häkchen!).
Kein Cookie-Wall
Sie dürfen den Zugang zur Website nicht von Cookie-Zustimmung abhängig machen.
Ablehnung muss genauso einfach sein "Alle akzeptieren" und "Alle ablehnen" gleichwertig.
Echte Wahlmöglichkeit
Nutzer kann einzeln wählen (Granulare Einwilligung).
Widerruf muss möglich sein Nutzer kann Einwilligung jederzeit zurückziehen.
Gute vs. schlechte Cookie-Banner
Schlechter Cookie-Banner
"Wir nutzen Cookies. Durch Nutzung der Website stimmen Sie zu. [OK]"
Probleme: - Keine Ablehnungsmöglichkeit - Erzwungene Zustimmung - Kein Opt-In (nur Hinweis)
Guter Cookie-Banner
"Wir nutzen Cookies"
Diese Website nutzt technisch notwendige Cookies sowie optionale Cookies für Analyse und Marketing.
[Einstellungen] [Alle ablehnen] [Alle akzeptieren]
Bei "Einstellungen": → Granulare Auswahl möglich ☑ Notwendig (nicht abwählbar) ☐ Analyse ☐ Marketing
[Datenschutzerklärung] [Impressum]
Vorteile: - Klare Wahlmöglichkeit - "Ablehnen" genauso prominent - Granulare Auswahl möglich - Transparenz über Cookie-Typen
Ein gutes Banner respektiert Datenschutz und bleibt trotzdem nutzerfreundlich. Zu aggressive Pop-ups können die Conversion-Rate deutlich verschlechtern.
Cookie-Banner-Tools (DSGVO-konform)
Kostenlose Lösungen
Real Cookie Banner (WordPress-Plugin)
- DSGVO-konform
- Granulare Einwilligung
- Kostenlos für Basis-Funktionen
Borlabs Cookie (WordPress) - Premium (ab 39€/Jahr) - Sehr beliebt, zuverlässig - Regelmäßige Updates
Cookiebot - Kostenlos bis 100 Subpages - Automatische Cookie-Erkennung - Mehrsprachig
Complianz - WordPress-Plugin - Kostenlos (Basis) oder Premium - Wizard für einfaches Setup
Usercentrics - Professionell, für große Websites - Teurer, aber sehr umfangreich
Wichtig bei der Auswahl
- Echtes Opt-In (keine vorausgewählten Häkchen)
- "Ablehnen" genauso prominent wie "Akzeptieren"
- Granulare Auswahl möglich
- Cookies werden erst NACH Zustimmung geladen
- Widerruf jederzeit möglich
- Regelmäßige Updates (Rechtslage ändert sich!)
04
Häufige DSGVO-Fehler auf Websites
Fehler 1: Google Analytics ohne Einwilligung
Das Problem
Google Analytics trackt ohne Cookie-Banner.
Die Lösung - Cookie-Banner mit Opt-In - IP-Anonymisierung aktivieren - AVV mit Google abschließen - In Datenschutzerklärung erwähnen
Alternative: Matomo (selbst-gehostet, datenschutzfreundlicher)
Fehler 2: Google Fonts von Google-Servern
Das Problem
LG München 2022: IP-Adresse wird an Google übertragen ohne Rechtsgrundlage.
Die Lösung Google Fonts lokal hosten (auf eigenem Server).
Tools
- google-webfonts-helper
- WordPress-Plugins (z.B. OMGF)
Fehler 3: Eingebettete Videos ohne Einwilligung
Das Problem
YouTube/Vimeo-Videos laden automatisch Cookies.
Die Lösung - 2-Klick-Lösung (Vorschaubild, nach Klick lädt Video) - Oder: Einwilligung über Cookie-Banner
YouTube-Embed mit Privacy-Mode: Normal: youtube.com/embed/VIDEO_ID Privacy: youtube-nocookie.com/embed/VIDEO_ID
(Aber auch hier: rechtliche Grauzone, besser: 2-Klick)
Fehler 4: Social Media Buttons ohne Einwilligung
Das Problem
Facebook/LinkedIn/Instagram-Buttons tracken.
Die Lösung - Buttons als einfache Links (ohne Tracking-Code) - Oder: Shariff-Lösung (deutsche datenschutzfreundliche Alternative)
Einfacher Link statt Plugin: Facebook SDK einbinden (trackt!) Link: https://facebook.com/IhreProfil (trackt nicht)
Fehler 5: Kontaktformular ohne SSL
Das Problem
Daten werden unverschlüsselt übertragen.
Die Lösung SSL-Zertifikat (HTTPS) aktivieren. Mehr Details dazu in unserem Artikel über [SSL-Verschlüsselung](/ratgeber/ssl-https-warum-verschluesselung-pflicht-ist).
Zusätzlich sollte das Formular selbst sparsam und verständlich aufgebaut sein. Wie Sie Datenschutz, Pflichtfelder und Vertrauen verbinden, zeigt der Ratgeber zum Kontaktformular optimieren.
Fehler 6: Keine Einwilligung bei Newsletter-Anmeldung
Das Problem
Checkbox "Newsletter abonnieren" ist vorausgewählt.
Die Lösung - Opt-In (Nutzer muss aktiv anklicken) - Double-Opt-In (Bestätigungs-E-Mail) - Datenschutzhinweis direkt beim Formular
Beispiel: ☐ Ja, ich möchte den Newsletter erhalten. Ich kann mich jederzeit wieder abmelden. [Datenschutzhinweise]
Fehler 7: Keine Cookie-Löschung bei Ablehnung
Das Problem
Nutzer lehnt Cookies ab, aber sie werden trotzdem gesetzt.
Die Lösung Cookie-Banner-Tool muss Cookies blockieren BEVOR Zustimmung erfolgt.
Test
- 1Website im Inkognito-Modus öffnen
- 2Cookie-Banner: "Alle ablehnen"
- 3Browser-Entwicklertools: Cookies prüfen. Es sollten nur technisch notwendige Cookies gesetzt sein.
Fehler 8: Veraltete Datenschutzerklärung
Das Problem
Sie nutzen neue Tools (z.B. Hotjar), aber Datenschutzerklärung erwähnt sie nicht.
Die Lösung Bei jeder Änderung (neues Tool, neuer Dienstleister) Datenschutzerklärung aktualisieren. Am besten wird diese Prüfung in die regelmäßige [Website-Wartung](/ratgeber/website-wartung-pflege-checkliste) aufgenommen.
05
Google Analytics & DSGVO
Google Analytics 4 (GA4) datenschutzkonform nutzen
- 1Auftragsverarbeitungsvertrag (AVV): In Google Analytics abschließen (Settings → Data Processing Terms).
- 2IP-Anonymisierung: In GA4 standardmäßig aktiviert.
- 3Datenschutzerklärung: GA4-Nutzung explizit erwähnen.
- 4Cookie-Einwilligung: GA4 darf erst nach Opt-In laden.
- 5Datenübertragung in die USA: Nach Schrems-II-Urteil problematisch. Prüfen Sie Alternativen.
Mögliche Alternativen
- Matomo (selbst-gehostet)
- Plausible Analytics (EU-Server)
- Fathom Analytics
Wichtig: Auch mit allen Maßnahmen ist GA4 rechtlich umstritten. Konservativere Unternehmen setzen auf EU-Alternativen.
06
Checkliste: DSGVO-konforme Website
Basis-Anforderungen - [SSL-Verschlüsselung](/ratgeber/ssl-https-warum-verschluesselung-pflicht-ist) (HTTPS) aktiv - Datenschutzerklärung vorhanden & aktuell - Impressum vollständig - Kontaktformulare verschlüsselt
Cookie-Management - Cookie-Banner DSGVO-konform - Opt-In (keine vorausgewählten Häkchen) - "Ablehnen" genauso prominent wie "Akzeptieren" - Granulare Auswahl möglich - Cookies werden erst NACH Zustimmung geladen - Widerruf jederzeit möglich
Externe Dienste - Google Analytics mit Einwilligung & AVV - Google Fonts lokal gehostet - Social Media Buttons ohne Tracking - YouTube-Videos mit 2-Klick-Lösung - Newsletter-Tools mit AVV
Formulare & Einwilligungen - Newsletter: Double-Opt-In - Kontaktformular: Datenschutzhinweis und [sinnvolle Pflichtfelder](/ratgeber/kontaktformular-optimieren-mehr-anfragen) - Keine vorausgewählten Checkboxen - Widerrufsrecht kommuniziert
Dokumentation - AVVs mit allen Dienstleistern - Verzeichnis Verarbeitungstätigkeiten (bei >250 Mitarbeitern Pflicht) - Datenschutz-Folgenabschätzung (bei Bedarf)
07
Abmahnrisiko minimieren
Wer mahnt ab? - Wettbewerber - Abmahn-Anwälte - Verbraucherschutzverbände - Datenschutzbehörden
Was kostet eine Abmahnung? - Anwaltskosten: 500-2.000€ - Ggf. Schadensersatz - Ggf. Unterlassungserklärung - Reputationsschaden
Wie minimieren Sie das Risiko? 1. DSGVO-konforme Website (siehe Checkliste) 2. Regelmäßige Updates (Rechtslage ändert sich!) 3. Vorsicht bei Wettbewerbs-sensitiven Branchen 4. Rechtsberatung bei Unsicherheiten
Bei Abmahnung
- Nicht ignorieren!
- Nicht sofort unterschreiben!
- Rechtsanwalt konsultieren
- Ggf. modifizierte Unterlassungserklärung
08
Kosten für DSGVO-Konformität
Einmalige Kosten
- Datenschutzerklärung-Generator: 0-100€/Jahr
- Cookie-Banner-Tool: 0-500€/Jahr
- Anwalt für Erstberatung: 200-500€
- SSL-Zertifikat: meist kostenlos (Let's Encrypt)
Laufende Kosten
- Cookie-Banner-Tool-Abo: 0-50€/Monat
- Datenschutzbeauftragter (ab 20 Mitarbeitern): ab 150€/Monat
Bei professioneller Website-Erstellung: DSGVO-Konformität sollte inklusive sein!
09
Fazit: DSGVO ist kein optionales Extra
Wichtigste Erkenntnisse: - Jede Website braucht Datenschutzerklärung & Impressum - SSL-Verschlüsselung ist Pflicht - Cookie-Banner mit echtem Opt-In erforderlich - Google Analytics nur mit Einwilligung & AVV - Externe Dienste kritisch prüfen - Bei Änderungen Datenschutzerklärung updaten
DSGVO-Konformität schützt
- Vor Abmahnungen
- Vor Bußgeldern
- Ihre Reputation
- Das Vertrauen Ihrer Kunden
Handeln Sie jetzt: Prüfen Sie Ihre Website anhand der Checkliste und beheben Sie Mängel. Die Investition ist minimal im Vergleich zum Risiko einer Abmahnung!
Unsicher? Lassen Sie Ihre Website von einem Experten prüfen. Bei Webnamic ist DSGVO-Konformität bei jeder Website Standard – ohne Aufpreis!
Redaktionsstandard
Jeder Webnamic-Ratgeber folgt derselben Logik: klare These, konkrete Diagnose, praktische Schritte und ein nachvollziehbarer nächster Handlungspunkt.
