DSGVO-konforme Website 2026 – Die Checkliste für kleine Unternehmen
Was muss auf eine DSGVO-konforme Website und was muss technisch stimmen? Als Webdesigner zeige ich die wichtigsten Punkte, mit konkreter Checkliste zum Abhaken.
Die DSGVO gilt seit 2018. Trotzdem stellen mir Kunden bei fast jedem Projekt dieselben Fragen: Was muss auf meine Website? Welche Tools sind erlaubt? Bin ich wirklich konform?
Ich bin kein Anwalt & dieser Artikel ist keine Rechtsberatung. Was ich dir geben kann, ist eine Übersicht der wichtigsten technischen und inhaltlichen Punkte, die ich bei jeder Website prüfe. Für verbindliche rechtliche Beratung wende dich bitte an einen Datenschutzexperten oder Anwalt.
01. Impressum – Pflicht für alle gewerblichen Websites
Eine Impressumspflicht gilt in Deutschland für nahezu alle gewerblich genutzten Websites. Das Impressum muss leicht auffindbar sein, typischerweise im Footer und als eigene Seite und mit maximal zwei Klicks von der Startseite erreichbar.
Mindestangaben im Impressum:
- Name und Anschrift des Betreibers
- Telefonnummer oder E-Mail-Adresse für schnelle Kontaktaufnahme
- Bei Unternehmen: Rechtsform, Handelsregistereintrag, Umsatzsteuer-ID
- Bei freien Berufen: zuständige Aufsichtsbehörde
02. Datenschutzerklärung – was rein muss
Jede Website, die personenbezogene Daten verarbeitet, braucht eine Datenschutzerklärung. Das betrifft fast jede Website, weil selbst das Laden einer Seite technisch Daten überträgt (IP-Adressen, Server-Logs).
Was in der Datenschutzerklärung stehen muss:
- Wer für die Datenverarbeitung verantwortlich ist
- Welche Daten erhoben werden (Kontaktformulare, Analytics, Cookies)
- Auf welcher Rechtsgrundlage (Art. 6 DSGVO)
- An wen Daten weitergegeben werden (Hosting, Analytics-Tools)
- Wie lange Daten gespeichert werden
- Welche Rechte Nutzer haben (Auskunft, Löschung, Widerspruch)
Für die Erstellung empfehle ich bewährte Generatoren wie den von Datenschutz.org oder eRecht24. Diese kosten wenig und sparen viel Zeit.
03. Cookie-Consent – die häufigsten Fehler
Das Cookie-Banner ist das nervigste DSGVO-Thema. Und hier passieren die meisten Fehler.
Was erlaubt ist ohne Zustimmung: Technisch notwendige Cookies (Session, Login, Warenkorb).
Was Zustimmung erfordert: Analytics (Google Analytics, Matomo ohne IP-Anonymisierung), Marketing-Pixel (Meta, LinkedIn), Heatmap-Tools, Chatbots mit Datenspeicherung.
Die häufigsten Fehler beim Cookie-Banner:
- Kein gleichwertiger „Ablehnen“-Button, er muss genauso prominent sein wie „Akzeptieren“
- Vorausgefüllte Häkchen für nicht notwendige Cookies
- Keine Möglichkeit, die Zustimmung nachträglich zu widerrufen
- Banner, das erst nach Scrollen erscheint, er muss sofort sichtbar sein
Für Webflow empfehle ich Cookieyes oder Klaro als Consent-Management-Lösungen.
04. Google Analytics & Tracking – DSGVO-konform nutzen
Google Analytics (GA4) ist DSGVO-konform nutzbar aber nur mit dem richtigen Setup. Die wichtigsten Voraussetzungen:
- Cookie-Consent vor dem Laden der Analytics-Scripts
- Datenverarbeitungsvertrag (DPA) mit Google abgeschlossen
- IP-Anonymisierung aktiviert (in GA4 standardmäßig aktiv)
- Keine unnötigen User-IDs oder persönlichen Daten im Tracking
Wer ganz auf Nummer sicher gehen will, nutzt Matomo auf einem europäischen Server. Das erfordert unter bestimmten Bedingungen gar keine Cookie-Zustimmung.
05. Kontaktformulare & Datenspeicherung
Wer ein Kontaktformular auf der Website hat, verarbeitet personenbezogene Daten. Das erfordert:
- Einen Hinweis auf die Datenschutzerklärung direkt am Formular
- SSL-Verschlüsselung der Website (https://), heute Standard
- Klärung, wie lange Anfragen gespeichert werden
Bei Webflow werden Formular-Einreichungen standardmäßig in Webflow gespeichert. Der Datenverarbeitungsvertrag mit Webflow Inc. sollte abgeschlossen werden. Alternativ: Weiterleitung per Zapier oder Make an ein eigenes System.
06. Externe Dienste & Einbindungen
Jeder externe Dienst, der beim Laden der Website aktiv wird, kann ein DSGVO-Problem sein:
- Google Fonts: Direkte Einbindung lädt Fonts von Google-Servern und überträgt IP-Adressen. Lösung: Fonts lokal hosten.
- YouTube-Videos: Eingebettete Videos laden Tracking-Cookies. Lösung: youtube-nocookie.com oder Consent-Layer vorschalten.
- Google Maps: Karte eingebettet = Datenübertragung. Lösung: Klick-Consent oder statische Karte mit Link.
- Social Share-Buttons: Standard-Buttons laden Tracking-Scripts. Lösung: Eigene Buttons ohne direkte Script-Einbindung.
Die DSGVO-Checkliste für deine Website
Die wichtigsten Punkte auf einen Blick:
- Impressum vorhanden und mit max. 2 Klicks erreichbar
- Datenschutzerklärung vollständig und aktuell
- SSL-Zertifikat aktiv (https://)
- Cookie-Consent korrekt implementiert (Ablehnen gleichwertig sichtbar)
- Analytics nur nach Zustimmung geladen
- Google Fonts lokal gehostet oder über Consent geladen
- Kontaktformular mit Datenschutzhinweis
- Datenverarbeitungsvertrag mit Hosting-Anbieter abgeschlossen
- Externe Dienste (YouTube, Maps, Pixel) hinter Consent-Layer
- Datenschutzerklärung und Impressum im Footer verlinkt
Fazit
DSGVO-Konformität ist kein einmaliges Projekt, sondern ein laufender Prozess. Datenschutzerklärungen müssen aktualisiert werden, wenn neue Tools eingebunden werden. Ich baue alle Websites so, dass die wichtigsten technischen Voraussetzungen von Anfang an stimmen.
Wenn du eine neue Website planst, lies auch meinen Artikel zum Website-Relaunch 2026, dort gehe ich auf weitere technische Pflichtpunkte ein. Für die Umsetzung einer professionellen Website stehe ich dir gerne zur Seite.
FAQ
Brauche ich einen Anwalt für meine Datenschutzerklärung?
Für einfache Datenschutzerklärungen genügen bewährte Online-Generatoren wie Datenschutz.org oder eRecht24. Sie sind aktuell, kostengünstig und decken die meisten Standardsituationen ab. Sobald du besondere Kategorien von Daten verarbeitest, ein komplexes Tracking-Setup betreibst oder ein größeres Unternehmen bist, empfehle ich die Prüfung durch einen Datenschutzanwalt.
Welches Cookie-Consent-Tool empfiehlst du für Webflow?
Für Webflow empfehle ich Cookieyes oder Klaro. Beide lassen sich gut integrieren, bieten einen DSGVO-konformen Banner mit gleichwertigem Ablehnen-Button und ermöglichen das nachträgliche Zurückziehen der Zustimmung. Wichtig: Das Tool muss vor Analytics-Scripts und anderen Tracking-Codes geladen werden.
Ist Google Analytics 2026 DSGVO-konform?
Ja, mit dem richtigen Setup. Die wichtigsten Voraussetzungen: Cookie-Consent vor dem Laden, Datenverarbeitungsvertrag mit Google abgeschlossen, IP-Anonymisierung aktiv (in GA4 Standard), keine persönlichen Daten im Tracking. Alternativ ist Matomo auf eigenem EU-Server eine datenschutzfreundlichere Option.
Was passiert, wenn meine Website nicht DSGVO-konform ist?
Bei Abmahnungen drohen Unterlassungsansprüche und Schadensersatzforderungen. Datenschutzbehörden können Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes verhängen, in der Praxis sind bei kleinen Unternehmen die Beträge deutlich niedriger, aber der Aufwand für Abmahnungen und Verfahren ist real. Vorbeugung ist immer günstiger als Nacharbeit.
Du benötigst Hilfe bei deinem Projekt?
Egal ob konkrete Anfrage oder erste Idee. Ich berate dich gerne kostenlos. Bei einem Erstgespräch können wir uns über dein Projekt und deine Wünsche austauschen. Anschließend überlege ich mir wirkungsvolle nächste Schritte oder sende dir ein unverbindliches Angebot zu.
Kostenlose Beratung
