Ratgeber
DSGVO für Websites: Was Unternehmen beachten sollten
Die DSGVO betrifft jede Website, die personenbezogene Daten erhebt – also fast alle. Wer sie nicht einhält, riskiert Abmahnungen und Bußgelder. Die guten Nachrichten: Die wichtigsten Pflichten sind klar, umsetzbar und oft weniger aufwendig als gedacht. Dieser Leitfaden zeigt, worauf es ankommt.
Dieser Beitrag dient der allgemeinen Information und ersetzt keine individuelle Rechtsberatung. Für eine verbindliche Einordnung Ihres konkreten Falls wenden Sie sich bitte an einen Rechtsanwalt oder Datenschutzbeauftragten.
Was ist die DSGVO und wen betrifft sie?
Die Datenschutz-Grundverordnung (DSGVO) regelt den Umgang mit personenbezogenen Daten in der EU. Für Website-Betreiber ist sie relevant, sobald Formulare, Analytics, Newsletter oder andere Dienste eingesetzt werden, die Daten von Besuchern erheben und verarbeiten. Die Verordnung gilt für Unternehmen jeder Größe – auch für Freelancer und kleine Betriebe.
Wer ist verantwortlich?
Verantwortlich im Sinne der DSGVO ist derjenige, der über Zweck und Mittel der Datenverarbeitung entscheidet – in der Regel der Website-Betreiber. Im Impressum müssen Name, Adresse und Kontaktdaten des Verantwortlichen stehen. Wer einen externen Datenschutzbeauftragten bestellt hat, dessen Kontaktdaten sind ebenfalls anzugeben.
Die Datenschutzerklärung: Was rein muss
- Verantwortlicher mit Kontaktdaten
- Welche Daten werden erhoben und zu welchem Zweck?
- Rechtsgrundlage der Verarbeitung (z. B. Einwilligung, Vertragserfüllung, berechtigtes Interesse)
- Speicherdauer und Löschfristen
- Hinweis auf das Recht auf Auskunft, Berichtigung, Löschung und Datenübertragbarkeit
- Verantwortliche Stelle für Beschwerden (Landesdatenschutzbehörde)
Die Datenschutzerklärung muss auf jeder Seite auffindbar sein – idealerweise über den Footer. Sie muss vollständig, verständlich und in verständlicher Sprache formuliert sein.
Kontaktformulare und Formulardaten
Kontaktformulare erheben personenbezogene Daten wie Name und E-Mail-Adresse. Nutzer müssen vor dem Absenden darüber informiert werden, welche Daten erhoben werden und wie sie verarbeitet werden. Ein Verweis auf die Datenschutzerklärung im Formular ist üblich und empfehlenswert. Die Daten sollten nur so lange gespeichert werden, wie sie für die Bearbeitung benötigt werden.
Cookies und Consent: Wann ein Banner nötig ist
Viele Websites zeigen ein Cookie-Banner, obwohl sie gar keine Tracking-Tools oder Drittanbieter-Cookies einsetzen. Ein solches Banner ist dann nicht nur überflüssig, sondern stört die Nutzer unnötig. Setzen Sie ein Cookie-Banner nur ein, wenn es tatsächlich nötig ist – zum Beispiel bei Google Analytics, Facebook Pixel oder eingebetteten YouTube-Videos.
Wenn ein Cookie-Banner nötig ist, muss er die Wahl zwischen „Alle akzeptieren“ und „Nur notwendige“ ermöglichen. Nicht-essentielle Cookies dürfen erst gesetzt werden, nachdem der Nutzer zugestimmt hat.
Analytics und Tracking
Tools wie Google Analytics erheben IP-Adressen, Verhaltensdaten und Geräteinformationen. Für deren Einsatz brauchen Sie eine eindeutige Einwilligung des Nutzers über Ihr Cookie-Banner. Die IP-Anonymisierung muss aktiviert sein. In der Datenschutzerklärung müssen Sie das Tool, den Zweck, die Datenkategorien und die Speicherdauer vollständig angeben.
Drittanbieter-Dienste und externe Ressourcen
Jeder externe Dienst, den Ihre Website einbindet, kann personenbezogene Daten übermitteln. Das gilt für eingebettete YouTube-Videos, Social-Media-Plugins, externe Schriftarten (z. B. Google Fonts) und Analyse-Tools. Bei jedem dieser Dienste muss in der Datenschutzerklärung angegeben werden, welche Daten übermittelt werden und an welchen Server-Standort. Wenn externe Schriftarten von Google-Servern geladen werden, erfolgt dabei eine Datenübertragung in die USA – das ist ohne Einwilligung problematisch.
Lösung: Lokal gehostete Schriftarten vermeiden diese Datenübertragung komplett. Viele moderne Websites setzen deshalb auf systemeigene Schriftarten oder lokal gespeicherte Fonts.
Hosting und Server-Standort
Server außerhalb der EU erfordern besondere Schutzmaßnahmen wie den Abschluss von Standardvertragsklauseln (SCCs). Wer seine Website in Deutschland oder der EU hostet, vereinfacht den Datenschutz erheblich. Auch hier gilt: Der Hosting-Anbieter ist ein Auftragsverarbeiter, mit dem ein Auftragsverarbeitungsvertrag (AV-Vertrag) abgeschlossen werden muss.
Datensparsamkeit und Speicherdauer
Die DSGVO verlangt, nur so viele Daten zu erheben, wie für den Zweck notwendig sind (Datensparsamkeit). Formulare sollten nur die Felder enthalten, die tatsächlich benötigt werden. Daten müssen gelöscht werden, wenn der Zweck erreicht ist oder keine gesetzliche Aufbewahrungspflicht besteht. Formulardaten zum Beispiel sollten nach der Bearbeitung gelöscht werden.
Praktische Checkliste für Website-Betreiber
- Datenschutzerklärung vorhanden, vollständig und auf jeder Seite verlinkt
- Impressum mit vollständigen Pflichtangaben erreichbar
- Cookie-Banner nur bei tatsächlichem Einsatz von Tracking-Tools oder Drittanbieter-Cookies
- Kontaktformulare mit Hinweis auf Datenschutz und auf das Speicherverhalten
- Analytics-Tools nur mit Einwilligung und IP-Anonymisierung
- Externe Dienste (Fonts, Videos, Plugins) in der Datenschutzerklärung aufgeführt
- Hosting-Server in der EU, AV-Vertrag mit dem Hosting-Anbieter abgeschlossen
- Datensparsamkeit: Nur notwendige Felder, nur nötige Speicherung
- Regelmäßige Überprüfung: Werden neue Dienste oder Tools eingesetzt, muss die Erklärung angepasst werden
Häufige Fragen
Brauche ich ein Cookie-Banner?
Nur wenn Sie Cookies setzen oder Tracking-Tools nutzen. Reine statische Websites ohne Drittanbieter-Dienste brauchen in der Regel kein Cookie-Banner.
Muss ich als Freelancer ein Impressum haben?
Ja, wenn Sie geschäftsmäßig im Internet auftreten. Die Pflicht gilt unabhängig von der Rechtsform – auch für Freelancer und Einzelunternehmer.
Was droht bei Verstößen gegen die DSGVO?
Bußgelder bis 20 Mio. € oder 4 % des Jahresumsatzes sind der Höchstwert. In der Praxis beginnen Behörden mit Abmahnungen und Fristen. Wer früh handelt, vermeidet die meisten Risiken.
Reicht eine DSGVO-Vorlage aus dem Internet?
Vorlagen sind ein guter Start, ersetzen aber keine individuelle Anpassung. Ihre Website hat spezifische Datenverarbeitungen, die in der Erklärung abgebildet sein müssen.
Weiterführend
Weiterlesen
Weitere Ratgeber
Unsere Leistungen
Autor
Aymane El-Khalloufi
Gründer & Entwickler
Aymane El-Khalloufi ist Gründer von Weblancia und verantwortlich für Konzeption, Entwicklung und Betreuung aller Projekte.
Datenschutz technisch umsetzen
Wir prüfen Ihre Website auf DSGVO-Konformität und setzen die technischen Maßnahmen um – von der Datenschutzerklärung bis zum Cookie-Banner.