Websites & Software

Website-Datenschutz komplett: Was wirklich geprüft werden muss

Kurz gesagt

Eine datenschutzkonforme Website braucht mindestens ein korrektes Impressum, eine vollständige Datenschutzerklärung, einen DSGVO-konformen Cookie-Banner, lokal gehostete Schriftarten, ein gültiges SSL-Zertifikat und einen Auftragsverarbeitungsvertrag mit dem Hoster.

Warum Website-Datenschutz so oft scheitert

Die meisten Datenschutzverstöße auf Websites entstehen nicht aus Böswilligkeit, sondern aus Unwissenheit oder veralteten Templates. Wer eine Website mit WordPress, Jimdo oder einem Baukasten-System erstellt, aktiviert dabei oft automatisch Tools wie Google Fonts, Google Analytics oder YouTube-Einbettungen, ohne zu wissen, dass jedes dieser Tools eigene DSGVO-Anforderungen auslöst. Selbst professionell erstellte Websites werden häufig nicht aktuell gehalten, wenn neue Dienste hinzukommen – und genau daraus entstehen die meisten Lücken.

Die vollständige Datenschutz-Checkliste

  • Impressum vollständig nach §5 DDG: Name, Adresse, E-Mail, ggf. Handelsregisternummer und USt-ID
  • Datenschutzerklärung aktuell und vollständig: alle eingesetzten Tools und Dienste namentlich genannt
  • Cookie-Banner DSGVO-konform: kein vorausgefülltes Zustimmen, Ablehnen muss genauso einfach erreichbar sein wie Zustimmen
  • Google Fonts lokal gehostet: keine Verbindung zu Google-Servern beim Seitenaufruf
  • Google Analytics nur nach Einwilligung: Consent Mode v2 oder vollständige Deaktivierung ohne Zustimmung
  • YouTube-Videos nur mit nocookie-Domain (youtube-nocookie.com) oder hinter Click-to-Play
  • SSL-Zertifikat aktiv und gültig: HTTPS für alle Seiten, HTTP-Weiterleitung eingerichtet
  • Auftragsverarbeitungsvertrag mit dem Hosting-Anbieter abgeschlossen – schriftlich, nicht nur per AGB-Häkchen
  • Kontaktformular mit Hinweis auf Verarbeitung, keine Weitergabe ohne Einwilligung
  • Externe Dienste wie Maps, Chat oder Buchungssysteme in der Datenschutzerklärung genannt und per Consent abgesichert

Umsetzung Schritt für Schritt

Die Umsetzung folgt sinnvoll dieser Reihenfolge: Zunächst ein technischer Audit der gesamten Website, der alle eingebundenen externen Dienste und Skripte sichtbar macht. Danach werden Google Fonts lokal gehostet, sodass keine Verbindung mehr zu Google-Servern entsteht. Anschließend wird der Cookie-Banner korrekt implementiert, mit gleichwertigen Optionen für Zustimmen und Ablehnen. Danach folgt die Aktualisierung der Datenschutzerklärung, damit sie exakt die tatsächlich eingesetzten Tools abbildet. Zum Abschluss wird der Auftragsverarbeitungsvertrag mit dem Hoster schriftlich abgeschlossen.

Die Cookie-Banner-Falle

Viele Cookie-Banner entsprechen nicht der DSGVO, obwohl sie so aussehen: Wenn „Alle akzeptieren" als großer bunter Button erscheint und „Ablehnen" versteckt oder mehrstufig ist, ist das nicht rechtskonform. Der EuGH und deutsche Gerichte haben das mehrfach bestätigt. Im Zweifel ist eine rechtliche Prüfung sinnvoll.

Regelmäßige Überprüfung einplanen

Datenschutz ist kein einmaliges Projekt. Sinnvoll ist mindestens ein jährlicher Datenschutz-Audit, besonders wenn neue Tools, Plugins oder externe Dienste hinzukommen. Viele Verstöße entstehen durch nachträglich eingebundene Drittdienste, die in der Datenschutzerklärung nie auftauchen. Eine datenschutzkonforme Website ist mehr als eine Pflicht – sie ist ein Vertrauenssignal. Nutzer merken, ob ein Unternehmen sorgfältig mit ihren Daten umgeht. Wer die Grundlagen solide umsetzt, reduziert nicht nur Abmahnrisiken, sondern positioniert sich als seriöser Partner.

Häufige Fragen

Muss ich Google Fonts wirklich lokal hosten?
Ja. Das LG München hat klargestellt, dass die dynamische Einbindung von Google Fonts ohne Einwilligung die DSGVO verletzt, weil IP-Adressen an Google-Server übertragen werden. Lokales Hosting ist die saubere Lösung.
Was passiert, wenn mein Cookie-Banner nicht DSGVO-konform ist?
Es drohen Abmahnungen durch Mitbewerber oder Verbraucherschutzverbände, Bußgelder durch Datenschutzbehörden und Reputationsschäden.
Reicht ein Generator für die Datenschutzerklärung?
Als Basis ja, aber jeder eingesetzte externe Dienst muss manuell geprüft und eingetragen werden. Bei komplexeren Seiten ist eine rechtliche Prüfung empfehlenswert.
Brauche ich einen Datenschutzbeauftragten?
Unternehmen ab 20 Personen, die regelmäßig personenbezogene Daten verarbeiten, sind in Deutschland zur Benennung eines Datenschutzbeauftragten verpflichtet. Kleinere Unternehmen können einen externen DSB bestellen.