DSGVO Website Checkliste 2026: Das gehört auf Ihre Seite

Diese DSGVO Website Checkliste prüft vier Bereiche: Impressum, Datenschutzerklärung, Cookie-Banner und externe Dienste wie Google Fonts. Die meisten Fehler entstehen nicht, weil ein Text fehlt. Sie entstehen, weil die Seite im Hintergrund Daten an Dritte schickt, von denen der Betreiber nichts weiß. Dieser Beitrag zeigt, was Sie selbst prüfen können. Er ist keine Rechtsberatung. Bei Unsicherheit sollten Sie eine Anwältin oder einen Anwalt mit Schwerpunkt Datenschutz fragen.

Zuerst klären, was Ihre Seite lädt

Bevor Sie Texte schreiben, brauchen Sie eine Liste aller Dienste, die Ihre Website nutzt. Erst danach lässt sich eine Datenschutzerklärung formulieren, die stimmt.

Typische Kandidaten sind Schriftarten, Google Maps, YouTube-Videos, Statistik-Tools, Kontaktformulare, Newsletter-Anmeldungen, Social-Media-Buttons und der Hoster selbst. Ein Plugin oder Baukasten-Element kann auch Dienste mitbringen, die Sie nie bewusst ausgewählt haben.

Eine einfache Prüfung geht so: Öffnen Sie Ihre Seite im Chrome-Browser, drücken Sie F12 und wechseln Sie zum Reiter „Netzwerk“. Laden Sie die Seite neu. In der Liste sehen Sie, von welchen Adressen Dateien kommen. Taucht dort etwas auf, das nicht Ihre eigene Domain ist, hat die Seite Kontakt zu einem Dritten.

Impressum

Jede geschäftsmäßig betriebene Website braucht ein Impressum. Die Grundlage ist seit 2024 das Digitale-Dienste-Gesetz, das das frühere Telemediengesetz abgelöst hat. Das Impressum muss von jeder Seite aus mit einem Klick erreichbar sein, üblich ist ein Link im Footer.

Welche Angaben nötig sind, hängt von Ihrer Rechtsform und Ihrem Beruf ab. Üblich sind:

• vollständiger Name, bei Firmen die Rechtsform und der Vertretungsberechtigte
• ladungsfähige Anschrift, ein Postfach genügt nicht
• E-Mail-Adresse und ein zweiter schneller Kontaktweg, etwa eine Telefonnummer
• Handelsregister- und Registernummer, falls Sie eingetragen sind
• Umsatzsteuer-Identifikationsnummer, falls vorhanden
• bei Handwerk und Heilberufen oft Kammer, Berufsbezeichnung und berufsrechtliche Regeln

Prüfen Sie bei jedem Umzug, jeder neuen Telefonnummer und jeder Änderung der Rechtsform, ob das Impressum noch stimmt. Veraltete Angaben sind ein häufiger und vermeidbarer Fehler.

Datenschutzerklärung

Die Datenschutzerklärung muss beschreiben, welche personenbezogenen Daten Sie verarbeiten, wozu, auf welcher Rechtsgrundlage und wie lange. Auch IP-Adressen gelten als personenbezogene Daten, und die fallen bei jedem Seitenaufruf an.

Folgende Punkte gehören hinein:

• Name und Kontaktdaten des Verantwortlichen, also Ihre
• Zwecke und Rechtsgrundlagen für jede Datenverarbeitung
• Empfänger der Daten, etwa Hoster, Newsletter-Anbieter oder Statistik-Dienst
• Speicherdauer oder die Kriterien dafür
• Rechte der Besucher: Auskunft, Berichtigung, Löschung, Widerspruch und Beschwerde bei der Aufsichtsbehörde
• Hinweis auf Widerruf einer erteilten Einwilligung

Generatoren helfen als Ausgangspunkt. Sie passen aber nur, wenn jeder Baustein zu einem Dienst gehört, den Ihre Seite wirklich nutzt. Ein Text, der Google Analytics beschreibt, obwohl Sie es nicht einsetzen, ist genauso falsch wie ein fehlender Absatz zu einem Dienst, der läuft. Kopieren Sie nie die Erklärung einer fremden Seite.

Cookie-Banner

Ein Cookie-Banner brauchen Sie dann, wenn Ihre Seite Informationen auf dem Gerät des Besuchers speichert oder ausliest, die nicht technisch notwendig sind. Das betrifft Statistik, Werbung und viele eingebettete Inhalte von Dritten. Die Regel dazu steht im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, kurz TDDDG, die Einwilligung selbst folgt der DSGVO.

Technisch notwendige Dinge brauchen keine Einwilligung, zum Beispiel ein Warenkorb, ein Login oder die Speicherung der Banner-Entscheidung. Nutzt eine kleine Seite weder Statistik noch Fremdinhalte, kann es sein, dass gar kein Banner nötig ist. Das ist ein Vorteil von schlanken Seiten.

Wenn Sie einen Banner einsetzen, sollte er diese Punkte erfüllen:

• Ablehnen ist auf der ersten Ebene genauso einfach wie Zustimmen
• keine vorausgewählten Häkchen
• vor der Einwilligung wird nichts Einwilligungspflichtiges geladen
• Besucher können die Entscheidung jederzeit ändern
• die Einwilligung wird so gespeichert, dass Sie sie nachweisen können

Der häufigste Fehler: Der Banner ist da, aber das Statistik-Tool lädt trotzdem schon vorher. Testen Sie das im Privatfenster. Öffnen Sie die Seite, ignorieren Sie den Banner und schauen Sie im Netzwerk-Reiter, ob schon Anfragen an Google, Meta oder ähnliche Anbieter laufen.

Google Fonts

Google Fonts sind kostenlose Schriftarten. Wird die Schrift direkt von Google-Servern geladen, überträgt der Browser die IP-Adresse des Besuchers an Google. Ein Urteil des Landgerichts München aus dem Jahr 2022 hat das Thema bekannt gemacht und eine Abmahnwelle ausgelöst.

Die einfachste Lösung ist lokales Hosting: Sie laden die Schriftdateien herunter und liefern sie von Ihrem eigenen Server aus. Dann fließt keine IP-Adresse an Google, und es ist keine Einwilligung nötig. Bei selbst programmierten Seiten ist das Standard, bei Baukästen und Themes oft nicht. Dort lohnt ein Blick in die Einstellungen oder in den Netzwerk-Reiter nach dem Eintrag fonts.googleapis.com.

Dasselbe Prinzip gilt für andere Bibliotheken, die von fremden Servern kommen, etwa Icon-Sammlungen oder Skripte aus einem Content-Delivery-Netzwerk. Was Sie selbst ausliefern können, sollten Sie selbst ausliefern.

Weitere Stellen, an denen Daten fließen

• Kontaktformular: Nur Felder abfragen, die Sie brauchen. Ein Hinweis auf die Datenschutzerklärung gehört direkt ans Formular. Die Verbindung muss per HTTPS verschlüsselt sein.
• Google Maps und YouTube: Laden Sie solche Einbettungen erst nach einem Klick des Besuchers oder nach Einwilligung. Alternativ verlinken Sie nur auf die Karte oder das Video.
• Statistik: Prüfen Sie, welches Tool läuft und ob es ohne Einwilligung einsetzbar ist. Das hängt von der Konfiguration ab und sollte im Einzelfall geklärt werden.
• Hosting: Mit Ihrem Hoster brauchen Sie in der Regel einen Vertrag zur Auftragsverarbeitung. Den stellen die meisten Anbieter im Kundenbereich bereit.
• Newsletter: Anmeldung mit Bestätigung per E-Mail, dazu eine klare Abmeldemöglichkeit.

Die Checkliste zum Abhaken

• Impressum im Footer auf jeder Seite verlinkt und aktuell
• Datenschutzerklärung im Footer verlinkt und passend zu allen genutzten Diensten
• HTTPS aktiv, ohne Zertifikatswarnung
• Netzwerk-Reiter geprüft: Welche fremden Adressen werden geladen?
• Schriften lokal eingebunden
• Cookie-Banner nur dort, wo er nötig ist, und mit gleichwertigem Ablehnen-Button
• Nichts Einwilligungspflichtiges lädt vor der Zustimmung
• Kontaktformular mit Datenschutzhinweis und wenigen Pflichtfeldern
• Karten und Videos erst nach Klick oder Einwilligung
• Vertrag zur Auftragsverarbeitung mit dem Hoster und anderen Dienstleistern abgelegt

Regelmäßig nachprüfen

Die Prüfung ist nicht einmalig. Ein Plugin-Update, ein neues Formular oder ein eingebettetes Video ändert, was Ihre Seite lädt, und die Datenschutzerklärung veraltet unbemerkt. Planen Sie eine Kontrolle nach jeder größeren Änderung und sonst ein bis zweimal im Jahr. Wie das in der laufenden Pflege aussieht, steht im Beitrag zu Wartungsaufgaben und Risiken.

Bei einer neuen Seite lässt sich vieles von Anfang an sauber lösen: lokale Schriften, wenige externe Dienste, kein unnötiger Banner. So geht Webdesign ohne Baukasten vor. Wer die Seite von mir betreuen lässt, bekommt die Kontrolle dieser Punkte als Teil der Website-Betreuung.