Website-Datenschutz komplett: Was wirklich geprüft werden muss
Kurz gesagt
Eine datenschutzkonforme Website braucht mindestens ein korrektes Impressum, eine vollständige Datenschutzerklärung, einen DSGVO-konformen Cookie-Banner, lokal gehostete Schriftarten, ein gültiges SSL-Zertifikat und einen Auftragsverarbeitungsvertrag mit dem Hoster.
Warum Website-Datenschutz so oft scheitert
Die meisten Datenschutzverstöße auf Websites entstehen nicht aus Böswilligkeit, sondern aus Unwissenheit oder veralteten Templates. Wer eine Website mit WordPress, Jimdo oder einem Baukasten-System erstellt, aktiviert dabei oft automatisch Tools wie Google Fonts, Google Analytics oder YouTube-Einbettungen, ohne zu wissen, dass jedes dieser Tools eigene DSGVO-Anforderungen auslöst. Selbst professionell erstellte Websites werden häufig nicht aktuell gehalten, wenn neue Dienste hinzukommen – und genau daraus entstehen die meisten Lücken.
Die vollständige Datenschutz-Checkliste
- Impressum vollständig nach §5 DDG: Name, Adresse, E-Mail, ggf. Handelsregisternummer und USt-ID
- Datenschutzerklärung aktuell und vollständig: alle eingesetzten Tools und Dienste namentlich genannt
- Cookie-Banner DSGVO-konform: kein vorausgefülltes Zustimmen, Ablehnen muss genauso einfach erreichbar sein wie Zustimmen
- Google Fonts lokal gehostet: keine Verbindung zu Google-Servern beim Seitenaufruf
- Google Analytics nur nach Einwilligung: Consent Mode v2 oder vollständige Deaktivierung ohne Zustimmung
- YouTube-Videos nur mit nocookie-Domain (youtube-nocookie.com) oder hinter Click-to-Play
- SSL-Zertifikat aktiv und gültig: HTTPS für alle Seiten, HTTP-Weiterleitung eingerichtet
- Auftragsverarbeitungsvertrag mit dem Hosting-Anbieter abgeschlossen – schriftlich, nicht nur per AGB-Häkchen
- Kontaktformular mit Hinweis auf Verarbeitung, keine Weitergabe ohne Einwilligung
- Externe Dienste wie Maps, Chat oder Buchungssysteme in der Datenschutzerklärung genannt und per Consent abgesichert
Umsetzung Schritt für Schritt
Die Umsetzung folgt sinnvoll dieser Reihenfolge: Zunächst ein technischer Audit der gesamten Website, der alle eingebundenen externen Dienste und Skripte sichtbar macht. Danach werden Google Fonts lokal gehostet, sodass keine Verbindung mehr zu Google-Servern entsteht. Anschließend wird der Cookie-Banner korrekt implementiert, mit gleichwertigen Optionen für Zustimmen und Ablehnen. Danach folgt die Aktualisierung der Datenschutzerklärung, damit sie exakt die tatsächlich eingesetzten Tools abbildet. Zum Abschluss wird der Auftragsverarbeitungsvertrag mit dem Hoster schriftlich abgeschlossen.
Die Cookie-Banner-Falle
Viele Cookie-Banner entsprechen nicht der DSGVO, obwohl sie so aussehen: Wenn „Alle akzeptieren" als großer bunter Button erscheint und „Ablehnen" versteckt oder mehrstufig ist, ist das nicht rechtskonform. Der EuGH und deutsche Gerichte haben das mehrfach bestätigt. Im Zweifel ist eine rechtliche Prüfung sinnvoll.
Regelmäßige Überprüfung einplanen
Datenschutz ist kein einmaliges Projekt. Sinnvoll ist mindestens ein jährlicher Datenschutz-Audit, besonders wenn neue Tools, Plugins oder externe Dienste hinzukommen. Viele Verstöße entstehen durch nachträglich eingebundene Drittdienste, die in der Datenschutzerklärung nie auftauchen. Eine datenschutzkonforme Website ist mehr als eine Pflicht – sie ist ein Vertrauenssignal. Nutzer merken, ob ein Unternehmen sorgfältig mit ihren Daten umgeht. Wer die Grundlagen solide umsetzt, reduziert nicht nur Abmahnrisiken, sondern positioniert sich als seriöser Partner.