Die Datenschutz-Grundverordnung (DSGVO) gilt seit Mai 2018 für alle Unternehmen, die Daten von EU-Bürgern verarbeiten — und das tut jede Website, die Besucherinnen und Besucher empfängt. Viele Betreiber unterschätzen, wie viele rechtliche Anforderungen eine scheinbar einfache Unternehmenswebsite erfüllen muss. Diese Checkliste gibt einen strukturierten Überblick.
Jede Website, die personenbezogene Daten verarbeitet, braucht eine Datenschutzerklärung. Das beginnt bereits bei Server-Log-Dateien, die IP-Adressen speichern. Die Datenschutzerklärung muss leicht zugänglich, jederzeit abrufbar und in verständlicher Sprache verfasst sein.
Pflichtangaben in der Datenschutzerklärung:
Das Telemediengesetz (TMG) und das Digitale-Dienste-Gesetz (DDG) verpflichten gewerbliche Websitebetreiber zu einem vollständigen Impressum. Es muss von jeder Seite aus innerhalb von zwei Klicks erreichbar sein und folgende Angaben enthalten: Name und Anschrift, Kontaktmöglichkeit (E-Mail oder Telefon), ggf. Handelsregistereintrag, Umsatzsteuer-ID, zuständige Aufsichtsbehörde (für reglementierte Berufe).
Technisch notwendige Cookies dürfen ohne Einwilligung gesetzt werden. Alle anderen Cookies — Analytics, Marketing, Social-Media-Einbindungen — erfordern eine vorherige, informierte und freiwillige Einwilligung. Ein rechtssicherer Cookie-Banner muss:
Viele verbreitete Banner-Lösungen erfüllen diese Anforderungen nicht vollständig. Es lohnt sich, einen geprüften Consent-Manager einzusetzen.
Google Fonts, Google Maps, YouTube-Videos, Facebook-Plugins oder externe Schriftarten laden Daten von Drittservern und übermitteln dabei die IP-Adresse der Besucherin oder des Besuchers. Das ist ohne Einwilligung problematisch.
Lösungen:
Wer ein Kontaktformular betreibt, muss in der Datenschutzerklärung erklären, wie die übermittelten Daten verarbeitet werden, wie lange sie gespeichert bleiben und auf welcher Rechtsgrundlage die Verarbeitung erfolgt. Es dürfen nur die Felder abgefragt werden, die tatsächlich benötigt werden — das Prinzip der Datensparsamkeit gilt.
Jede Website, die Daten überträgt — sei es durch ein Kontaktformular, ein Login oder Analysepixel — muss HTTPS verwenden. Ein gültiges SSL-Zertifikat ist heute bei den meisten Hosting-Anbietern kostenlos verfügbar (Let's Encrypt). Ohne HTTPS stufen Browser die Seite als unsicher ein, und Suchmaschinen bewerten sie schlechter.
Wer externe Dienstleister nutzt, die im Auftrag personenbezogene Daten verarbeiten — etwa ein Hosting-Unternehmen, einen E-Mail-Anbieter oder ein Analytics-Tool — muss mit diesen Dienstleistern einen Auftragsverarbeitungsvertrag abschließen. Seriöse Anbieter stellen entsprechende Verträge in der Regel über ihr Kundenportal zur Verfügung.
Google Analytics ist nach mehreren Datenschutzbehörden-Entscheidungen ohne sorgfältige Konfiguration (IP-Anonymisierung, AVV, ggf. Serverstandort in der EU) nicht DSGVO-konform einsetzbar. Datenschutzfreundliche Alternativen wie Matomo (selbst gehostet) oder Plausible Analytics sind eine Option für Betreiber, die auf Nutzungsstatistiken nicht verzichten möchten, ohne aufwendige Einwilligungsprozesse aufzusetzen.
Datenschutzrecht entwickelt sich weiter: Urteile, behördliche Stellungnahmen und neue Dienste auf der Website können dazu führen, dass eine Datenschutzerklärung überarbeitet werden muss. Eine jährliche Überprüfung ist für die meisten kleinen Unternehmen ausreichend; bei größeren Änderungen an der Website sollte unmittelbar nachgearbeitet werden.
Weitere Informationen zu DSGVO-Anforderungen stellt die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit (BfDI) bereit.
Eine DSGVO-konforme Website ist kein einmaliges Projekt, sondern eine laufende Aufgabe. Die Checkliste hier deckt die wichtigsten Punkte ab, ersetzt aber keine Rechtsberatung. Wer unsicher ist, sollte die eigene Website von einem auf Datenschutz spezialisierten Anwalt oder einem zertifizierten Datenschutzbeauftragten prüfen lassen.
sprungbrett internet