DSGVO-Checkliste für Websites: 17 Punkte

Wie verbreitet die einzelnen Versäumnisse sind, haben wir an 352 deutschen Websites gemessen: mindestens 27,8 % binden Analytics ein, 34,4 % haben keinen DMARC-Eintrag, 75,3 % keine Content-Security-Policy. Zur Studie 2026.

Diese Liste deckt ab, was bei einer normalen Unternehmenswebsite in der Praxis geprüft wird. Sie ersetzt keine Rechtsberatung — aber sie bringt dich von „irgendwie unsicher" zu einer Liste, die du konkret abarbeiten kannst. Wer eine rechtssichere Website will, arbeitet genau diese Punkte ab: erst die technischen, die von außen jeder sieht, dann die Unterlagen.

Pflichtangaben

1. Impressum vollständig und erreichbar

Von jeder Seite mit maximal zwei Klicks erreichbar, klar als „Impressum" bezeichnet. Enthalten sein müssen unter anderem Name und ladungsfähige Anschrift (kein Postfach), E-Mail-Adresse und ein zweiter Kontaktweg, bei eingetragenen Unternehmen Register und Registernummer, bei Umsatzsteuerpflicht die USt-IdNr. Grundlage ist § 5 des Digitale-Dienste-Gesetzes (DDG), das seit Mai 2024 die entsprechenden Regelungen des TMG abgelöst hat.

So prüfst du es: Von einer beliebigen Unterseite aus versuchen, das Impressum zu erreichen — nicht von der Startseite. Fehlt der Link im Fußbereich einzelner Seitentypen (Landingpages, Shop-Kasse, Buchungsstrecke), ist die Bedingung nicht erfüllt. Ein häufiger Fehler sind auch Weiterleitungen auf ein „Kontakt“-Formular statt auf eine Seite mit den Angaben.

2. Datenschutzerklärung, die zur Website passt

Ebenfalls von jeder Seite erreichbar. Entscheidend ist nicht die Länge, sondern die Übereinstimmung mit der Realität: Jeder eingesetzte externe Dienst muss genannt sein, und es darf kein Dienst genannt werden, den es auf der Seite gar nicht gibt. Beides kommt bei Mustertexten regelmäßig vor.

So prüfst du es: Öffne die Entwicklerwerkzeuge, Reiter Netzwerk, lade die Seite neu und notiere jede fremde Domain, zu der eine Verbindung aufgebaut wird. Diese Liste gleichst du mit der Datenschutzerklärung ab. Erfahrungsgemäß fehlen dort am häufigsten: Kartendienste, Schriften, Bewertungswerkzeuge und das Consent-Werkzeug selbst.

Der umgekehrte Fall ist genauso ein Mangel: Mustertexte nennen oft Google Analytics oder Facebook-Pixel, obwohl beides nie eingebaut wurde. Wer Dienste beschreibt, die es nicht gibt, dokumentiert eine Verarbeitung, die nicht stattfindet — und weckt Fragen, die niemand stellen müsste.

Einwilligung und externe Dienste

3. Kein Tracking vor der Einwilligung

Analyse- und Marketingdienste dürfen erst starten, nachdem zugestimmt wurde. Der häufigste Fehler: Das Banner erscheint, im Hintergrund läuft der Zähler aber schon. Prüfbar ist das daran, welche Anfragen der Browser vor dem ersten Klick verschickt.

So prüfst du es: Privates Fenster öffnen, Seite laden, nichts anklicken, dann unter „Anwendung → Cookies“ und im lokalen Speicher nachsehen. Alles außer der Sitzungskennung und dem Einwilligungs-Cookie selbst ist ein Befund. Ausführlich steht das im Ratgeber zum Cookie-Banner.

4. Ablehnen so einfach wie Zustimmen

Wenn es einen gut sichtbaren „Alle akzeptieren"-Knopf gibt, muss „Ablehnen" auf derselben Ebene und ähnlich sichtbar sein. Ein Ablehnen, das erst über „Einstellungen" und drei weitere Klicks erreichbar ist, wird von Aufsichtsbehörden beanstandet.

5. Einwilligung widerrufbar

Es muss einen dauerhaft erreichbaren Weg geben, eine erteilte Einwilligung zurückzunehmen — üblich ist ein Link in der Fußzeile oder in der Datenschutzerklärung.

6. Externe Schriften und Karten lokal oder mit Einwilligung

Google Fonts, Google Maps, YouTube-Videos, reCAPTCHA und Skripte fremder CDNs übertragen die IP-Adresse des Besuchers an den jeweiligen Anbieter, oft in die USA. Schriften lassen sich lokal ausliefern (ausführliche Anleitung), Karten und Videos über eine Zwei-Klick-Lösung einbinden.

Technische Absicherung

7. HTTPS überall, HTTP leitet weiter

Ein gültiges Zertifikat reicht nicht, wenn die Seite parallel noch unverschlüsselt erreichbar ist. Die unverschlüsselte Adresse muss dauerhaft auf HTTPS weiterleiten.

So prüfst du es: http:// statt https:// in die Adresszeile tippen — auch mit und ohne www., das sind vier Kombinationen. Alle vier müssen bei der verschlüsselten Hauptadresse landen. Ergänzend lohnt der Blick auf abgelaufene Zertifikate: Sie sind die häufigste Ursache dafür, dass Besucher eine Warnseite sehen und wieder gehen.

8. Formulare verschlüsselt und sparsam

Kontakt- und Bewerbungsformulare gehören auf HTTPS-Seiten. Abgefragt werden sollte nur, was gebraucht wird — jedes Pflichtfeld muss sich begründen lassen. Ein Hinweis auf die Datenverarbeitung gehört ans Formular.

9. Cookies richtig gekennzeichnet

Cookies mit personenbezogenem Inhalt brauchen die Kennzeichen Secure und HttpOnly, dazu ein sinnvolles SameSite. Das ist keine reine Formalie: Ohne HttpOnly kann eingeschleustes JavaScript die Sitzung eines Nutzers auslesen.

10. Keine sensiblen Dateien öffentlich erreichbar

Konfigurationsdateien, Datenbank-Sicherungen und Versionsverwaltungs-Verzeichnisse haben im öffentlichen Bereich nichts verloren. Klassiker sind .env, backup.sql, wp-config.php.bak und ein erreichbares .git/-Verzeichnis. Wer dort Zugangsdaten findet, braucht keine Sicherheitslücke mehr.

11. Software mit Sicherheitsupdates

Serverdienste und Anwendungen ohne Herstellerunterstützung bekommen keine Sicherheitsupdates mehr. Besonders häufig: alte PHP-Versionen. PHP 7.4 wird seit Ende 2022 nicht mehr gepflegt, PHP 5 seit 2019 — trotzdem laufen viele Seiten noch damit.

Organisatorisches — der Teil, den kein Scanner sieht

12. Verzeichnis der Verarbeitungstätigkeiten

Auch kleine Unternehmen müssen ein Verzeichnis der Verarbeitungstätigkeiten führen (Art. 30 DSGVO). Die oft zitierte Ausnahme für Betriebe unter 250 Beschäftigten greift in der Praxis fast nie, weil sie nur gilt, wenn die Verarbeitung gelegentlich erfolgt — eine Website mit Kontaktformular und Newsletter verarbeitet aber regelmäßig.

Was hineingehört, ist überschaubar: je Verarbeitung der Zweck, die Kategorien der Betroffenen und der Daten, wer die Daten bekommt, die Löschfristen und eine allgemeine Beschreibung der Sicherheitsmaßnahmen. Für eine typische Unternehmenswebsite sind das meist vier bis sechs Einträge — Kontaktformular, Newsletter, Bewerbungen, Zugriffsprotokolle, gegebenenfalls Kundenkonto und Shop. Eine Tabellendatei genügt.

13. Auftragsverarbeitungsverträge

Für jeden Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet, braucht es einen Vertrag nach Art. 28 DSGVO. Betroffen sind mehr Anbieter, als die meisten erwarten:

• der Hoster — praktisch immer,
• Newsletter- und Mailversanddienste,
• Analyse- und Consent-Werkzeuge,
• Backup- und Cloud-Speicher,
• die Agentur, die die Seite betreut, sobald sie Zugriff auf echte Daten hat,
• Formular-, Buchungs- und Terminwerkzeuge.

Die meisten seriösen Anbieter stellen den Vertrag als Download oder zum Abschluss im Kundenkonto bereit. Wer keinen anbietet, ist ein Warnsignal. Wichtig ist auch, den abgeschlossenen Vertrag abzulegen — bei einer Prüfung wird er vorgelegt, nicht gesucht.

14. Löschfristen festlegen und einhalten

Daten dürfen nur so lange gespeichert werden, wie sie gebraucht werden. Häufig übersehen:

Der häufigste reale Verstoß ist nicht die fehlende Frist auf dem Papier, sondern das Kontaktformular-Postfach, in dem seit sechs Jahren jede Anfrage liegt.

15. Auf Auskunftsersuchen vorbereitet sein

Nach Art. 15 DSGVO kann jede Person fragen, welche Daten über sie gespeichert sind — und muss binnen eines Monats eine Antwort bekommen. Das kommt seltener vor als befürchtet, aber wenn es passiert, läuft die Frist ab dem Eingang, nicht ab dem Moment, in dem es jemandem auffällt.

Vorbereitung heißt hier praktisch: wissen, wo überall Daten liegen (Postfach, CRM, Newsletter-Werkzeug, Shop, Backups), und eine zuständige Person benennen. Wer das Verzeichnis aus Punkt 12 gepflegt hat, hat diese Liste bereits.

16. Datenpannen: die 72-Stunden-Frist kennen

Wird eine Datenpanne bekannt — ein gehackter Server, ein falsch adressierter Massenversand, ein verlorener Laptop —, muss sie in der Regel binnen 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO), sofern ein Risiko für die Betroffenen besteht. Bei hohem Risiko müssen zusätzlich die Betroffenen informiert werden.

Der Punkt gehört in diese Liste, weil die Frist kurz ist und im Ernstfall niemand Zeit hat, die Zuständigkeit erst zu recherchieren. Zwei Zeilen im Ordner reichen: welche Behörde, welcher Kontaktweg, wer entscheidet.

17. Datenschutzbeauftragte: brauchst du eine oder einen?

Pflicht wird es unter anderem, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind (§ 38 BDSG), oder wenn die Kerntätigkeit in umfangreicher Verarbeitung besonderer Datenkategorien besteht. Für die meisten kleinen Unternehmen greift das nicht — die übrigen Pflichten gelten trotzdem, sie werden nur intern erledigt.

Was daneben noch gilt: Barrierefreiheit

Rechtlich ein eigenes Thema, praktisch derselbe Betreiber und dieselbe Website: Seit Juni 2025 verlangt das Barrierefreiheitsstärkungsgesetz von vielen Anbietern, dass ihr digitales Angebot auch mit Screenreader, per Tastatur und mit starker Vergrößerung nutzbar ist. Wen es trifft und was konkret verlangt wird, steht im BFSG-Ratgeber.

Ein Punkt, an dem beide Themen zusammenlaufen, ist das Cookie-Banner: Es braucht eine gleichwertige Ablehnung (Datenschutz) und muss per Tastatur bedienbar sein, mit sichtbarem Fokus und ausreichendem Kontrast (Barrierefreiheit). Für die Prüfung nach BFSG und WCAG gibt es Barrierewerk — aus demselben Haus wie Apexly.

Zwei Themen neben der Website

Newsletter: Double-Opt-in und Nachweis

Für Werbe-E-Mails braucht es eine nachweisbare Einwilligung. Praktischer Standard ist das Double-Opt-in: Nach der Eintragung geht eine Bestätigungsmail heraus, erst der Klick darin schaltet frei. Wichtig ist, den Vorgang zu protokollieren — Zeitpunkt, IP-Adresse der Anmeldung, Zeitpunkt der Bestätigung. Ohne diesen Nachweis steht bei einer Beschwerde Aussage gegen Aussage.

Jede Werbemail braucht außerdem einen funktionierenden Abmeldelink, der ohne Anmeldung funktioniert.

Zugriffsprotokolle des Servers

Fast jeder Webserver protokolliert IP-Adressen. Das ist zulässig, aber es ist eine Verarbeitung — sie gehört in die Datenschutzerklärung, ins Verzeichnis, und sie braucht eine Löschfrist. Viele Standardkonfigurationen heben Protokolle ein Jahr lang auf; das lässt sich in der Regel gefahrlos auf ein bis zwei Wochen kürzen.

In welcher Reihenfolge man das abarbeitet

Wer bei null anfängt, sollte nicht oben beginnen, sondern beim Verhältnis von Aufwand und Wirkung:

1. Zuerst das, was in Minuten geht und sofort wirkt: HTTPS-Weiterleitung (7), öffentlich erreichbare Dateien wegräumen (10), Schriften lokal ausliefern (6).
2. Dann das mit dem höchsten Beanstandungsrisiko: Tracking vor Einwilligung (3) und der Ablehnen-Knopf (4). Das sind die Punkte, die von außen jeder sieht.
3. Dann die Texte: Impressum (1) und Datenschutzerklärung (2) mit der tatsächlichen Technik abgleichen — erst jetzt, weil sich durch die Schritte davor geändert hat, was überhaupt eingesetzt wird.
4. Dann die Software: PHP- und Anwendungsversionen (11). Braucht einen Testlauf und lässt sich nicht nebenbei machen.
5. Zuletzt die Papierarbeit: Verzeichnis (12), Verträge (13), Fristen (14). Wichtig, aber sie schützt niemanden vor einem Angriff — deshalb nicht zuerst.

Ein häufiger Fehler ist die umgekehrte Reihenfolge: erst wochenlang an einer perfekten Datenschutzerklärung feilen, während die Seite noch Schriften aus den USA lädt und die Datenbanksicherung öffentlich herumliegt.

Die häufigsten Befunde in der Praxis

Aus unseren eigenen Messungen über mehrere tausend deutsche Websites — sortiert danach, wie oft sie auftreten, nicht danach, wie schwer sie wiegen:

1. Datenschutzerklärung nennt Dienste, die es nicht gibt, oder umgekehrt. Der mit Abstand häufigste Befund, und der am leichtesten zu behebende.
2. Fehlende Sicherheitskopfzeilen. Kein Datenschutzverstoß im engeren Sinn, aber der erste Eindruck bei jeder technischen Prüfung.
3. Externe Schriften. Rund jede zehnte Seite lädt sie noch direkt bei Google.
4. Banner ohne gleichwertige Ablehnung.
5. Veraltete PHP- oder Anwendungsversionen.
6. Sitzungs-Cookies ohne HttpOnly — unauffällig, aber der Unterschied zwischen „jemand kann Skripte einschleusen“ und „jemand übernimmt Konten“.

Auffällig ist, dass die Reihenfolge wenig mit dem zu tun hat, worüber am meisten geschrieben wird. Über Cookie-Banner wird viel diskutiert; die häufigste Abweichung ist eine Datenschutzerklärung, die nie an die Website angepasst wurde.

Häufige Fragen

Brauche ich ein Cookie-Banner?

Nur, wenn deine Website Cookies oder ähnliche Techniken einsetzt, die nicht technisch notwendig sind — also Analyse, Marketing, eingebettete Videos. Eine Seite, die ausschließlich einen Sitzungs-Cookie für ein Login setzt, braucht kein Einwilligungsbanner.

Muss die Datenschutzerklärung von einem Anwalt kommen?

Nicht zwingend. Sie muss aber zu dem passen, was die Website tatsächlich tut. Der häufigste Fehler ist eine Mustererklärung, die Dienste nennt, die gar nicht eingesetzt werden — oder umgekehrt eingesetzte Dienste verschweigt.

Reicht ein Kontaktformular ohne Verschlüsselung?

Nein. Sobald personenbezogene Daten übertragen werden, ist eine verschlüsselte Verbindung Pflicht. Ohne HTTPS warnen Browser inzwischen ohnehin sichtbar.

Was ist der Unterschied zwischen DDG und DSGVO?

Das Digitale-Dienste-Gesetz regelt unter anderem die Impressumspflicht, die DSGVO den Umgang mit personenbezogenen Daten. Für Cookies und ähnliche Techniken gilt zusätzlich das TDDDG. In der Praxis müssen alle drei zusammen erfüllt sein.

Brauche ich wirklich ein Verzeichnis der Verarbeitungstätigkeiten?

Ja, in aller Regel. Die Ausnahme für Betriebe unter 250 Beschäftigten gilt nur, wenn die Verarbeitung gelegentlich erfolgt — eine Website mit Kontaktformular und Newsletter verarbeitet regelmäßig. Für eine typische Unternehmenswebsite sind es vier bis sechs Einträge, eine Tabellendatei genügt.

Wie lange darf ich Server-Protokolle aufheben?

Eine feste Frist nennt das Gesetz nicht; üblich und gut begründbar sind sieben bis vierzehn Tage. Viele Standardkonfigurationen heben Protokolle ein Jahr lang auf — das lässt sich meist gefahrlos kürzen und sollte in der Datenschutzerklärung stehen.

Womit fange ich an, wenn ich bei null stehe?

Mit dem, was in Minuten geht und sofort wirkt: HTTPS-Weiterleitung, öffentlich erreichbare Dateien wegräumen, Schriften lokal ausliefern. Danach das, was von außen jeder sieht — Tracking vor der Einwilligung und der Ablehnen-Knopf. Die Papierarbeit kommt zum Schluss, weil sie niemanden vor einem Angriff schützt.

Für Unternehmen ab einer gewissen Größe kommt seit Dezember 2025 das NIS2-Umsetzungsgesetz dazu — was daraus die Website betrifft, steht im NIS2-Ratgeber.

Stand: 6. August 2026. Dieser Text erklärt technische Zusammenhänge und ist keine Rechtsberatung.