Eine DSGVO Website Checkliste prüft sieben Bereiche: Impressum, Datenschutzerklärung, Verschlüsselung, Cookie-Einwilligung, Formulare, technische Sicherheit und eingebundene Drittdienste. Wer diese Punkte sauber umsetzt, reduziert das Risiko von Abmahnungen und Bußgeldern und schafft Vertrauen bei Besuchern. Die Checkliste unten führt Sie in der richtigen Reihenfolge durch Ihren Internetauftritt.
Das Wichtigste in Kürze
- Impressum und Datenschutzerklärung müssen vollständig, aktuell und von jeder Seite erreichbar sein.
- HTTPS ist Pflicht, besonders bei Formularen, Logins und Bestellungen.
- Alles außer technisch notwendigen Cookies braucht vorher eine echte Einwilligung.
- Formulare sollten datensparsam sein, Newsletter über Double-Opt-in laufen.
- Drittdienste wie Social Plugins, Schriftarten oder Karten gehören in die Datenschutzerklärung und dürfen erst nach Einwilligung Daten übertragen.
Wie sieht eine rechtssichere Website Checkliste aus?
Arbeiten Sie die Punkte der Reihe nach ab. Jeder Punkt wird weiter unten erklärt.
- Impressum mit vollständigen Anbieterangaben einrichten und prüfen.
- Datenschutzerklärung mit allen Tools, Zwecken und Rechtsgrundlagen erstellen.
- Datenschutzerklärung und Impressum im Footer jeder Unterseite verlinken.
- HTTPS auf der gesamten Website aktivieren.
- Cookie-Banner mit Opt-in für Analyse und Marketing einrichten.
- Alle Formulare auf Datensparsamkeit und Datenschutzhinweis prüfen.
- Newsletter-Anmeldung mit Double-Opt-in absichern.
- Drittdienste wie Social Plugins, Schriftarten und Karten kontrollieren.
- Auftragsverarbeitungsverträge mit Hoster und Dienstleistern abschließen.
- CMS, Plugins, Passwörter und Backups regelmäßig pflegen.
Was gehört in Impressum und Datenschutzerklärung?
Das Impressum gibt Ihre Identität preis: Firma, Anschrift und Kontaktmöglichkeiten. Die Pflicht ergibt sich aus dem Digitale-Dienste-Gesetz (§ 5 DDG), das das frühere Telemediengesetz abgelöst hat. Bei Medieninhalten kommen Regeln des Medienstaatsvertrags hinzu.
Die Datenschutzerklärung informiert Besucher, welche Daten Sie zu welchem Zweck erheben, etwa über Kontaktformulare, Cookies oder Newsletter. Achten Sie auf:
- verständliche Sprache,
- eine vollständige Auflistung aller Tools, auch Tracking und Social Plugins,
- die Rechtsgrundlagen nach Art. 6 DSGVO,
- die Kontaktdaten der Datenschutzbeauftragten, falls vorhanden.
Üblich ist ein Link im Footer, der von jeder Unterseite erreichbar ist. Das reicht aus. Passen Sie die Erklärung an, sobald Sie ein neues Tool einbinden. Eine veraltete Datenschutzerklärung ist einer der häufigsten Mängel.
Warum braucht Ihre Website HTTPS?
Ohne SSL/TLS werden Formulardaten unverschlüsselt übertragen. Das ist ein Sicherheitsrisiko und mit der DSGVO kaum vereinbar, besonders bei Login-Feldern, Bestellungen und Kontaktformularen. Moderne Browser markieren ungesicherte Seiten zudem oft als nicht sicher. Ein positiver Nebeneffekt: HTTPS gilt auch für Suchmaschinen als Qualitätsmerkmal. Prüfen Sie, ob alle Unterseiten und eingebundenen Inhalte verschlüsselt geladen werden. Mehr zur Sichtbarkeit finden Sie auf unserer Seite zu SEO und Google Ads.
Wie setzen Sie ein rechtssicheres Cookie-Banner um?
- Essenzielle und optionale Cookies trennen: Nur technisch notwendige Cookies, etwa ein Session-Cookie für den Warenkorb, dürfen Sie ohne Einwilligung setzen. Alles andere, etwa Marketing und Analyse, braucht ein Opt-in. Die Regeln dazu stehen für Endgeräte-Zugriffe in § 25 TDDDG, für die anschließende Datenverarbeitung in der DSGVO.
- Transparent informieren: Erklären Sie im Banner, wozu Sie Cookies nutzen und wie Nutzer sie ablehnen können. Ablehnen sollte so einfach sein wie Zustimmen.
- Einwilligungen dokumentieren: Setzen Sie ein Consent-Management-System ein, das Entscheidungen speichert und Skripte erst nach Zustimmung lädt.
Prüfen Sie nach dem Einrichten im Browser, ob vor der Zustimmung wirklich keine Tracking-Skripte laden. Das ist die häufigste Fehlerquelle. Testen Sie außerdem, ob die Ablehnung gespeichert wird und der Banner bei erneutem Besuch nicht erneut erscheint.
Was gilt für Kontakt-, Bestell- und Newsletter-Formulare?
- Datensparsamkeit: Fragen Sie nur ab, was Sie wirklich brauchen. Pflichtfelder halten Sie so knapp wie möglich.
- Datenschutzhinweis: Weisen Sie auf die Verarbeitung hin und verlinken Sie die Datenschutzerklärung.
- Double-Opt-in: Bei Newsletter-Anmeldungen bestätigen Nutzer ihre Adresse per Link in einer Mail. So können Sie die Einwilligung nachweisen.
- Verschlüsselung: Formulare dürfen nur über HTTPS übermittelt werden.
Wie sichern Sie Ihre Website technisch ab?
Art. 32 DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Für eine Website heißt das:
- Aktuelle Systeme: Spielen Sie Updates für CMS, etwa WordPress oder Typo3, und für Plugins regelmäßig ein.
- Starke Passwörter: Keine Standardzugänge wie admin. Nutzen Sie Zwei-Faktor-Authentifizierung, wo möglich.
- Schutzmaßnahmen: Firewall und Malware-Scanner erhöhen die Sicherheit.
- Backups: Speichern Sie Sicherungen verschlüsselt, damit Sie nach einem Angriff rasch wiederherstellen können. Legen Sie dafür auch Aufbewahrungsfristen fest, wie im Leitfaden zum DSGVO Löschkonzept beschrieben.
Mit Ihrem Hoster brauchen Sie in aller Regel einen Auftragsverarbeitungsvertrag, weil er Zugriff auf personenbezogene Daten haben kann.
Wie binden Sie Social Plugins und externe Dienste datenschutzkonform ein?
Wer Buttons von sozialen Netzwerken einbindet, schickt häufig Daten an die jeweiligen Plattformen. Das gilt auch für externe Schriftarten, Karten und eingebettete Videos. Datenschutzfreundlich sind:
- 2-Klick-Lösungen: Das Plugin lädt erst nach dem Klick des Nutzers.
- Cookie-Opt-in: Keine Tracking-Cookies ohne Einwilligung.
- Transparenz: Nennen Sie in der Datenschutzerklärung, welche Daten an wen fließen.
- Lokales Hosting: Binden Sie Schriftarten möglichst von Ihrem eigenen Server ein. Beim externen Laden werden IP-Adressen übertragen, dazu gibt es Gerichtsentscheidungen.
Dieser Beitrag ersetzt keine Rechtsberatung. Prüfen Sie Ihren Auftritt im Zweifel mit einer fachkundigen Stelle.
Prüfen Sie dabei auch, ob Ihr Impressum zu allen Auftritten passt, etwa zu Social-Media-Profilen und Online-Shops. Fehlen dort Anbieterangaben oder Verlinkungen zur Datenschutzerklärung, sind das einfache Angriffspunkte, die sich in wenigen Minuten beheben lassen.
Welche Folgen drohen bei Mängeln auf der Website?
Mängel fallen schnell auf, weil Datenschutzerklärung, Banner und Skripte öffentlich einsehbar sind. Mögliche Folgen sind Abmahnungen von Wettbewerbern, Beschwerden bei der Datenschutzaufsicht, Auskunfts- und Löschverlangen von Besuchern und im Ernstfall Bußgelder. Entscheidend ist, dass Sie nachweisen können, wie Sie vorgegangen sind. Dazu gehören eine aktuelle Datenschutzerklärung, dokumentierte Einwilligungen, abgeschlossene Auftragsverarbeitungsverträge und ein Protokoll Ihrer regelmäßigen Prüfungen.
Wie oft sollten Sie die Checkliste durchgehen?
Mindestens einmal im Jahr und immer dann, wenn sich etwas ändert: ein neues Plugin, ein neues Analysewerkzeug, ein Relaunch, ein neuer Hoster oder ein neues Formular. Legen Sie fest, wer prüft, und halten Sie das Ergebnis schriftlich fest. Bei Änderungen durch externe Agenturen sollten Sie vertraglich regeln, dass Sie vor jedem Livegang informiert werden.
Unsere Einschätzung aus der Praxis
Bei Websites kleiner und mittlerer Unternehmen liegen die Mängel selten bei Impressum oder HTTPS. Typisch sind dagegen eine Datenschutzerklärung, die zu den tatsächlich genutzten Tools nicht passt, ein Cookie-Banner, das Skripte schon vor der Zustimmung lädt, und eingebettete Dienste, die niemand mehr auf dem Schirm hat. Oft ändern Agenturen oder Mitarbeitende die Seite, ohne dass jemand die Datenschutzerklärung anpasst. Starten Sie mit einer Bestandsaufnahme: Welche Dienste laden beim Aufruf Ihrer Seite? Gleichen Sie das Ergebnis mit Banner und Datenschutzerklärung ab. Danach lohnt sich ein fester Prüfrhythmus, etwa nach jedem größeren Website-Update.
Häufige Fragen
Muss ich meine Datenschutzerklärung auf jeder Unterseite verlinken?
Üblich ist ein Link im Footer, der von jeder Unterseite zugänglich ist. Das reicht aus.
Brauche ich einen Auftragsverarbeitungsvertrag mit meinem Hoster?
Ja, wenn Ihr Hoster Zugriff auf personenbezogene Daten haben könnte, was meist der Fall ist. Dann ist ein Vertrag nach Art. 28 DSGVO verpflichtend.
Darf ich Google Fonts extern laden?
Beim externen Laden werden IP-Adressen übertragen, dazu gibt es Gerichtsentscheidungen. Hosten Sie die Schriftarten besser lokal, um Risiken zu minimieren.
Welche Cookies darf ich ohne Einwilligung setzen?
Nur technisch notwendige Cookies, zum Beispiel ein Session-Cookie für den Warenkorb. Alles andere, etwa Marketing und Analyse, braucht ein vorheriges Opt-in.
Reicht ein Cookie-Banner mit Ok-Button?
Nein. Nutzer müssen informiert werden und echte Wahlmöglichkeiten haben. Ablehnen sollte so einfach sein wie Zustimmen.
Gehen Sie die Liste oben einmal komplett durch und notieren Sie, was fehlt. Beginnen Sie mit Datenschutzerklärung und Cookie-Banner, denn dort sind die Risiken am größten. Wenn Sie dabei Unterstützung wünschen, finden Sie unser Angebot unter Datenschutz-Umsetzung. Fragen zur Umsetzung in Ihrem Unternehmen beantworten wir gern: Nehmen Sie Kontakt auf.
