DSGVO-Website-Checkliste 2026: 10 Punkte, die jede kleine Firma prüfen muss
Die DSGVO gilt für jede geschäftliche Website mit Besuchern aus der EU — egal ob Einzelunternehmer oder GmbH. Diese Checkliste hilft Ihnen, die häufigsten Fallstricke zu erkennen.
1. Impressum — vollständig und leicht erreichbar
Pflichtangaben nach § 5 TMG:
- Vollständiger Name (oder Firmenname mit Rechtsform)
- Ladungsfähige Adresse (kein Postfach!)
- E-Mail-Adresse und Telefonnummer
- Bei juristischen Personen: Vertretungsberechtigter und Registerangaben
- Umsatzsteuer-ID (falls vorhanden)
Der Link muss von jeder Seite aus mit maximal zwei Klicks erreichbar sein — üblich ist der Footer.
2. Datenschutzerklärung — kein Generator-Platzhalter
Die Datenschutzerklärung muss Ihre tatsächliche Datenverarbeitung beschreiben, nicht nur generische Floskeln. Mindestinhalt:
- Wer ist verantwortlich? (Name + Adresse)
- Welche Daten werden erhoben? (Server-Logs, Kontaktformular, Cookies, Analyse-Tools)
- Zu welchem Zweck?
- Rechtsgrundlage (Art. 6 DSGVO)
- Wie lange werden Daten gespeichert?
- Wer hat Zugriff? (Auftragsverarbeiter, Dritte)
- Betroffenenrechte (Auskunft, Löschung, Widerspruch)
3. Cookie-Banner — nur wenn nötig
Keine Cookies = kein Banner nötig. Technisch notwendige Cookies (Session-Cookie, CSRF-Token) brauchen keine Einwilligung.
Wenn Sie Google Analytics, Facebook Pixel oder ähnliche Tracking-Cookies einsetzen: Opt-in-Banner mit klarer Ablehnungsmöglichkeit ist Pflicht. “Nur mit der Nutzung einverstanden”-Banner sind seit 2022 unzulässig.
4. SSL/HTTPS — Minimum für den Betrieb
Ohne HTTPS übertragen Sie personenbezogene Daten unverschlüsselt — ein DSGVO-Verstoß, selbst wenn Sie “nur” ein Kontaktformular haben.
5. Kontaktformular — doppelte Absicherung
- Datenschutz-Hinweis direkt am Formular (Checkbox + Link zur Datenschutzerklärung)
- Spamschutz (Honeypot oder Cloudflare Turnstile — kein Google reCAPTCHA, das überträgt Daten in die USA)
- Daten nur so lange speichern wie nötig
6. Auftragsverarbeitung (AVV)
Wenn Sie Drittanbieter einsetzen, die personenbezogene Daten in Ihrem Auftrag verarbeiten, brauchen Sie einen Vertrag zur Auftragsverarbeitung:
- Webhoster (Hetzner, All-Inkl, STRATO u.a.)
- E-Mail-Provider (Google Workspace, Microsoft 365)
- Newsletter-Tool (Mailchimp, Brevo u.a.)
- Analyse-Tools (Google Analytics, Matomo Cloud)
7. KI-Tools — die neue DSGVO-Baustelle
ChatGPT, DeepL, Midjourney — wenn Sie KI-Tools im Unternehmen nutzen, müssen Sie prüfen:
- Werden Kundendaten eingegeben? → AVV oder verboten
- Speichert der Anbieter die Eingaben? → Datenschutzerklärung muss informieren
- Wo stehen die Server? → Drittlandtransfer prüfen
8. Schriftarten — DSGVO-konform einbinden
Google Fonts von Google-Servern einzubinden ist in Deutschland nach einem BGH-Urteil problematisch (Übertragung der IP-Adresse ohne Einwilligung). Lösung: Fonts selbst hosten (lokal einbinden).
9. Betroffenenrechte — Prozesse bereithalten
Jeder Besucher kann verlangen: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit. Sie müssen innerhalb eines Monats antworten können — haben Sie einen Prozess dafür?
10. Datenschutz-Folgenabschätzung (DSFA)
Nur nötig bei “voraussichtlich hohem Risiko” — z. B. umfangreiche Videoüberwachung, Scoring, Profiling. Für die meisten kleinen Unternehmens-Websites nicht erforderlich.
Fazit: 20 Minuten Selbst-Check
Gehen Sie Ihre Website mit dieser Liste durch. Die meisten Punkte lassen sich schnell beheben. Für eine professionelle externe Prüfung: