Eine Unternehmenswebsite in Deutschland muss mehr können als gut aussehen: Sie verarbeitet personenbezogene Daten, sobald jemand sie aufruft. Die DSGVO stellt dafür klare Anforderungen — und Abmahnungen wegen fehlender Grundlagen gehören zu den häufigsten Ärgernissen für kleine Unternehmen. Diese Checkliste zeigt die Punkte, die wir in jedem Projekt prüfen.
Wichtiger Hinweis: Dieser Artikel ist eine praxisnahe Orientierungshilfe aus unserer täglichen Projektarbeit — er ersetzt keine Rechtsberatung. Für rechtsverbindliche Datenschutzerklärungen, Impressum und die Bewertung Ihres konkreten Einzelfalls wenden Sie sich bitte an eine Rechtsanwältin, einen Rechtsanwalt oder an einen spezialisierten Anbieter für Rechtstexte.
Die technischen Grundlagen
Bevor es um Texte geht, muss die Technik stimmen. Diese drei Punkte sind nicht verhandelbar und in jedem seriösen Angebot enthalten:
1. SSL-Verschlüsselung
Ihre Website muss über https erreichbar sein, und Aufrufe über http sollten automatisch dorthin weitergeleitet werden. Ohne SSL werden Formulardaten unverschlüsselt übertragen — Browser warnen inzwischen sichtbar davor, und Google bewertet es negativ. Ein SSL-Zertifikat ist bei praktisch jedem Hoster kostenlos enthalten.
2. Datensparsame Einbindung externer Dienste
Schriftarten, Karten, Videos und Analyse-Werkzeuge laden häufig Daten von fremden Servern und übertragen dabei die IP-Adresse Ihrer Besucher. Der bekannteste Stolperstein sind extern eingebundene Google Fonts. Die saubere Lösung: Schriften lokal ausliefern, Karten und Videos erst nach ausdrücklicher Zustimmung nachladen.
3. Formulare und Verschlüsselung
Kontaktformulare gehören zu den sensibelsten Stellen. Prüfen Sie, wohin die Daten gehen, wie lange sie gespeichert werden und ob eine Einwilligung mit Verweis auf die Datenschutzerklärung eingeholt wird.
Die Pflichtseiten
Zwei Seiten braucht jede geschäftliche Website in Deutschland — von jeder Unterseite aus erreichbar, üblicherweise über den Footer:
- Impressum: Anbieterkennzeichnung mit ladungsfähiger Anschrift und Kontaktmöglichkeit
- Datenschutzerklärung: verständliche Beschreibung, welche Daten zu welchem Zweck verarbeitet werden
- Beide müssen ohne Zustimmung erreichbar sein — also auch bei geschlossenem Cookie-Banner
- Beide gehören aktuell gehalten, wenn sich Dienste oder Adresse ändern
Cookie-Banner: worauf es ankommt
Ein Cookie-Banner ist kein Selbstzweck und nicht immer nötig. Entscheidend ist, was Ihre Website tatsächlich lädt. Wenn keine Analyse- oder Marketing-Werkzeuge im Einsatz sind, braucht es oft gar kein Banner — nur eine korrekte Datenschutzerklärung.
Wird ein Banner gebraucht, sollte es diese Eigenschaften haben:
- Ablehnen ist genauso einfach wie Zustimmen — gleichwertige Schaltflächen
- Nicht notwendige Dienste laden erst nach aktiver Zustimmung, nicht vorher
- Die Entscheidung lässt sich später ändern oder widerrufen
- Es gibt keine vorangekreuzten Kästchen
Häufigster Fehler aus der Praxis: Das Banner ist vorhanden, aber die Dienste laden trotzdem sofort beim Seitenaufruf. Dann erfüllt es seinen Zweck nicht. Prüfen lässt sich das im Browser über die Entwicklerwerkzeuge im Reiter „Netzwerk“ — oder Sie lassen es einmalig fachlich prüfen.
Die Kurz-Checkliste
Zum Durchgehen für Ihre bestehende Website:
- Website über https erreichbar, http leitet weiter
- Impressum vorhanden, vollständig und aus dem Footer erreichbar
- Datenschutzerklärung vorhanden, aktuell und ohne Zustimmung erreichbar
- Schriftarten werden lokal ausgeliefert
- Karten, Videos und Analyse laden erst nach Zustimmung
- Cookie-Banner mit gleichwertigem „Ablehnen“, Auswahl änderbar
- Kontaktformular mit Einwilligung und Verweis auf die Datenschutzerklärung
- Backups und Updates laufen regelmäßig
Dienstleister und Auftragsverarbeitung
Sobald ein externer Dienstleister personenbezogene Daten für Sie verarbeitet, braucht es dafür eine vertragliche Grundlage — den Vertrag zur Auftragsverarbeitung. Das betrifft mehr Beteiligte, als die meisten erwarten:
- Ihr Hosting-Anbieter, weil Server-Logs IP-Adressen enthalten
- Ihr Newsletter-Dienst, der E-Mail-Adressen speichert
- Analyse-Werkzeuge, sofern eingesetzt
- Ihre Agentur, wenn sie laufend Zugriff auf die Website hat
Seriöse Anbieter stellen diese Verträge von sich aus bereit, meist als Download im Kundenkonto. Ein zweiter Punkt, der oft übersehen wird: Prüfen Sie, ob Daten in Länder außerhalb der EU übertragen werden. Viele bekannte Werkzeuge tun das, was zusätzliche Anforderungen auslöst. Im Zweifel ist ein europäischer Anbieter der einfachere Weg.
Löschen nicht vergessen
Ein Aspekt, der in Checklisten selten auftaucht: Daten dürfen nicht unbegrenzt gespeichert werden. Formularanfragen, die sich in einem Postfach oder einer Datenbank sammeln, sind personenbezogene Daten mit Aufbewahrungsgrenze.
Legen Sie fest, wie lange Anfragen aufbewahrt werden, und halten Sie sich daran. Wenn Ihr Kontaktformular Einträge zusätzlich in der Website-Datenbank speichert, sollte diese regelmäßig aufgeräumt werden — sonst wächst dort über Jahre ein Datenbestand heran, von dem niemand mehr weiß.
Wer ist verantwortlich?
Rechtlich verantwortlich für die Website ist der Betreiber — also Ihr Unternehmen, nicht die Agentur. Eine gute Agentur sorgt dafür, dass die technischen Voraussetzungen stimmen, und weist auf offene Punkte hin. Die Rechtstexte selbst sollten von fachkundiger Seite kommen; spezialisierte Anbieter halten sie laufend aktuell, was bei sich ändernder Rechtslage der praktikabelste Weg ist.
Unsicher, wie Ihre Website dasteht? Wir schauen im Erstgespräch gemeinsam auf die technischen Punkte dieser Checkliste und sagen Ihnen, was konkret zu tun ist — kostenlos und unverbindlich: Jetzt Erstgespräch anfragen.