DSGVO-Checkliste für die Unternehmenswebsite

Unternehmenswebsites in Deutschland unterliegen einigen der strengsten Regeln Europas: der DSGVO, dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG), dem Digitale-Dienste-Gesetz (DDG, Nachfolger des Telemediengesetzes) und der Rechtsprechung deutscher Gerichte. Abmahnungen wegen fehlender Impressumsangaben oder über Googles Server geladener Google Fonts haben viele Unternehmen Geld und Nerven gekostet.

Diese Checkliste fasst zusammen, was wir bei jeder Website prüfen, die wir bauen. Sie ist ein technischer und praktischer Leitfaden, keine Rechtsberatung; lassen Sie Ihre endgültigen Rechtstexte von einer Anwältin oder Ihrem Datenschutzbeauftragten prüfen.

1. Impressum

Jede geschäftsmäßige Website in Deutschland braucht ein Impressum nach § 5 DDG, erreichbar von jeder Seite mit höchstens zwei Klicks – üblicherweise per Link im Footer.

• Vollständiger Name und Rechtsform des Unternehmens
• Postanschrift (kein Postfach)
• Namen der Geschäftsführung bzw. des Inhabers
• E-Mail-Adresse und ein zweiter schneller Kontaktweg, meist eine Telefonnummer
• Handelsregister und Registernummer, sofern eingetragen
• Umsatzsteuer-Identifikationsnummer, sofern vorhanden
• Verantwortliche Person für redaktionelle Inhalte nach § 18 Abs. 2 MStV, wenn Sie journalistisch-redaktionelle Inhalte wie einen Blog veröffentlichen

2. Datenschutzerklärung

Die Datenschutzerklärung muss in klarer Sprache erläutern, welche personenbezogenen Daten Sie verarbeiten, warum, auf welcher Rechtsgrundlage, wie lange und mit welchen Dienstleistern. In der Praxis fehlen am häufigsten:

• Hosting-Anbieter und Server-Logfiles
• Kontaktformulare und wo Anfragen gespeichert werden
• Newsletter-Werkzeuge
• Statistik und was gemessen wird
• Eingebettete Inhalte wie Karten, Videos oder Buchungs-Widgets
• Übermittlungen in Drittländer wie die USA und die genutzten Garantien
• Speicherfristen für Anfragen und Bewerbungen
• Betroffenenrechte und die zuständige Aufsichtsbehörde

Halten Sie sie aktuell. Jedes neue Tool auf der Website bedeutet einen neuen Abschnitt.

3. Cookies und Einwilligung

Nach § 25 TDDDG erfordert das Speichern oder Auslesen von Informationen auf dem Endgerät eine Einwilligung, es sei denn, es ist für den vom Nutzer gewünschten Dienst unbedingt erforderlich. Praktische Folgen:

• Notwendige Cookies (Sitzung, Sprache, die Einwilligungsentscheidung selbst) brauchen keine Einwilligung.
• Statistik, Marketing und Drittanbieter-Einbettungen brauchen vorher eine Einwilligung – es sei denn, Sie nutzen ein datensparsames Setup, das nichts auf dem Gerät speichert.
• „Ablehnen“ muss so einfach sein wie „Akzeptieren“. Deutsche Aufsichtsbehörden erwarten beide Optionen auf der ersten Ebene des Banners in gleicher Gewichtung. Keine vorausgewählten Häkchen, keine Dark Patterns.
• Vor der Einwilligung lädt nichts. Prüfen Sie mit den Entwicklerwerkzeugen Ihres Browsers, dass keine Anfrage an Dritte erfolgt, bevor der Besucher entschieden hat.
• Die Einwilligung muss widerrufbar sein, etwa über einen Link „Cookie-Einstellungen“ im Footer.

Das beste Cookie-Banner ist das, das Sie nicht brauchen. Mit cookieloser Statistik und selbst gehosteten Ressourcen benötigen viele Unternehmenswebsites eine Einwilligung nur noch für optionale Einbettungen.

4. Schriftarten

Seit einem Urteil des Landgerichts München von 2022 hat das Laden von Google Fonts über Googles Server ohne Einwilligung eine Abmahnwelle ausgelöst, weil dabei die IP-Adresse an Google übertragen wird. Die Lösung ist einfach: Schriften selbst hosten. Moderne Frameworks wie Next.js erledigen das beim Build automatisch.

5. Kontaktformulare

• Nutzen Sie überall HTTPS.
• Erheben Sie nur, was Sie brauchen; kennzeichnen Sie optionale Felder als optional.
• Ergänzen Sie einen kurzen Datenschutzhinweis mit Link zur Datenschutzerklärung. Eine Einwilligungs-Checkbox ist in Deutschland gängige Praxis, auch wenn sich vertragsbezogene Anfragen auf andere Rechtsgrundlagen stützen lassen.
• Dokumentieren Sie, wohin Anfragen gehen (E-Mail-Anbieter, CRM, CMS), und schließen Sie mit diesen Anbietern Auftragsverarbeitungsverträge.
• Legen Sie eine Speicherfrist fest und löschen Sie alte Anfragen.
• Schützen Sie Formulare mit datensparsamen Werkzeugen vor Spam und nennen Sie diese in der Datenschutzerklärung.

6. Eingebettete Inhalte

Google Maps, YouTube, Instagram-Beiträge, Buchungskalender und Chat-Widgets laden Inhalte von fremden Servern und übertragen Daten, sobald sie erscheinen. Nutzen Sie eine Zwei-Klick-Lösung: Zeigen Sie einen Platzhalter mit Erklärung und laden Sie den Inhalt erst nach dem Klick. Merken Sie sich die Entscheidung, wenn der Besucher dauerhaft zustimmt.

7. Statistik

Sie haben drei Möglichkeiten:

• Cookielose Statistik wie Plausible, Fathom oder Vercel Web Analytics, die nichts auf dem Gerät speichert und keine Profile bildet. In vielen Fällen funktioniert das ohne Einwilligungsbanner – beschrieben werden muss sie in der Datenschutzerklärung trotzdem.
• Google Analytics 4 oder ähnliche Tools mit Einwilligung, datensparsam konfiguriert und mit dokumentierter Drittlandübermittlung.
• Gar keine Statistik – rechtlich unproblematisch, aber Sie fliegen blind.

Egal wie Sie sich entscheiden: Erfassen Sie nur, was Sie brauchen. Seitenaufrufe und Conversion-Ereignisse wie abgesendete Formulare reichen meist aus.

8. Hosting und Auftragsverarbeiter

Listen Sie jeden Dienstleister auf, der in Ihrem Auftrag personenbezogene Daten verarbeitet – Hosting, CMS, E-Mail, Formulare, Statistik, CRM – und schließen Sie mit jedem einen Auftragsverarbeitungsvertrag (AVV). Bevorzugen Sie Anbieter mit EU-Rechenzentren. Prüfen Sie bei US-Anbietern die Zertifizierung nach dem EU-US Data Privacy Framework und dokumentieren Sie die Garantien.

9. Sicherheit

• HTTPS mit gültigem Zertifikat und HSTS
• Aktuelle Software: Plugins und CMS-Versionen sind das häufigste Einfallstor
• Sicherheits-Header wie X-Content-Type-Options und eine sinnvolle Referrer-Policy
• Backups und ein Plan für Vorfälle – Datenpannen müssen der Behörde innerhalb von 72 Stunden gemeldet werden

Eine statisch oder serverseitig gerenderte Website mit Headless CMS bietet eine deutlich kleinere Angriffsfläche als eine klassische, pluginlastige Installation.

10. Barrierefreiheit

Seit Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz (BFSG) für viele digitale Produkte und Dienstleistungen für Verbraucher, darunter Onlineshops und Buchungsdienste. Auch wo es nicht unmittelbar greift, erreichen barrierefreie Websites mehr Menschen und ranken besser. Zielen Sie auf WCAG 2.2 AA: ausreichende Kontraste, Tastaturbedienung, Alternativtexte, klare Überschriften und Formulare mit Beschriftungen.

Der schnelle Selbstcheck

• Impressum vollständig und im Footer verlinkt?
• Datenschutzerklärung nennt jedes Tool der Website?
• Banner bietet „Ablehnen“ und „Akzeptieren“ gleichwertig an, und vor der Einwilligung lädt nichts?
• Schriften selbst gehostet?
• Karten, Videos und Buchungs-Widgets erst nach Klick?
• Formulare über HTTPS mit Datenschutzhinweis, und Anfragen werden nach definierter Frist gelöscht?
• Auftragsverarbeitungsverträge mit jedem Anbieter vorhanden?
• Software aktuell und Backups getestet?

Häufige Fehler aus unseren Audits

• Ein Einwilligungsbanner, das Statistik oder Einbettungen lädt, bevor der Besucher entschieden hat.
• Google Fonts oder Icon-Fonts, die ein Theme oder Plugin weiterhin von externen CDNs lädt.
• Kontaktformulare, die Daten unverschlüsselt per E-Mail an ein privates Postfach schicken – ohne Löschregel.
• Eine vor Jahren generierte Datenschutzerklärung, die die Hälfte der eingesetzten Tools nicht nennt.
• Direkt eingebettete YouTube-Videos statt einer Lösung per Klick.
• Fehlende Registernummer oder USt-IdNr. im Impressum.

Wer ist verantwortlich?

Rechtlich verantwortlich für die Website ist das Unternehmen, nicht die Agentur. Klären Sie deshalb intern, wer neue Tools freigibt, wer die Datenschutzerklärung aktualisiert und wer Anfragen von Betroffenen beantwortet. Eine kurze Freigaberegel – „Kein neues Script ohne Prüfung“ – verhindert die meisten Probleme.

Fazit

Eine rechtssichere Website in Deutschland hängt weniger an langen Rechtstexten als an technischer Disziplin: nichts von Dritten ohne Einwilligung laden, Schriften selbst hosten, jedes Tool dokumentieren und die Website aktuell halten. Wenn wir Websites mit Next.js und Headless CMS bauen, gehören diese Punkte zum Standard – deshalb brauchen viele unserer Websites ein Einwilligungsbanner nur noch für optionale Einbettungen.

DSGVO-freundliche Website umsetzen