DSGVO-Checkliste für Websites: 12 Punkte

Diese Liste deckt ab, was bei einer normalen Unternehmenswebsite in der Praxis geprüft wird. Sie ersetzt keine Rechtsberatung — aber sie bringt dich von „irgendwie unsicher" zu einer Liste, die du konkret abarbeiten kannst.

Pflichtangaben

1. Impressum vollständig und erreichbar

Von jeder Seite mit maximal zwei Klicks erreichbar, klar als „Impressum" bezeichnet. Enthalten sein müssen unter anderem Name und ladungsfähige Anschrift (kein Postfach), E-Mail-Adresse und ein zweiter Kontaktweg, bei eingetragenen Unternehmen Register und Registernummer, bei Umsatzsteuerpflicht die USt-IdNr. Grundlage ist § 5 des Digitale-Dienste-Gesetzes (DDG), das seit Mai 2024 die entsprechenden Regelungen des TMG abgelöst hat.

2. Datenschutzerklärung, die zur Website passt

Ebenfalls von jeder Seite erreichbar. Entscheidend ist nicht die Länge, sondern die Übereinstimmung mit der Realität: Jeder eingesetzte externe Dienst muss genannt sein, und es darf kein Dienst genannt werden, den es auf der Seite gar nicht gibt. Beides kommt bei Mustertexten regelmäßig vor.

Einwilligung und externe Dienste

3. Kein Tracking vor der Einwilligung

Analyse- und Marketingdienste dürfen erst starten, nachdem zugestimmt wurde. Der häufigste Fehler: Das Banner erscheint, im Hintergrund läuft der Zähler aber schon. Prüfbar ist das daran, welche Anfragen der Browser vor dem ersten Klick verschickt.

4. Ablehnen so einfach wie Zustimmen

Wenn es einen gut sichtbaren „Alle akzeptieren"-Knopf gibt, muss „Ablehnen" auf derselben Ebene und ähnlich sichtbar sein. Ein Ablehnen, das erst über „Einstellungen" und drei weitere Klicks erreichbar ist, wird von Aufsichtsbehörden beanstandet.

5. Einwilligung widerrufbar

Es muss einen dauerhaft erreichbaren Weg geben, eine erteilte Einwilligung zurückzunehmen — üblich ist ein Link in der Fußzeile oder in der Datenschutzerklärung.

6. Externe Schriften und Karten lokal oder mit Einwilligung

Google Fonts, Google Maps, YouTube-Videos, reCAPTCHA und Skripte fremder CDNs übertragen die IP-Adresse des Besuchers an den jeweiligen Anbieter, oft in die USA. Schriften lassen sich lokal ausliefern (ausführliche Anleitung), Karten und Videos über eine Zwei-Klick-Lösung einbinden.

Technische Absicherung

7. HTTPS überall, HTTP leitet weiter

Ein gültiges Zertifikat reicht nicht, wenn die Seite parallel noch unverschlüsselt erreichbar ist. Die unverschlüsselte Adresse muss dauerhaft auf HTTPS weiterleiten.

8. Formulare verschlüsselt und sparsam

Kontakt- und Bewerbungsformulare gehören auf HTTPS-Seiten. Abgefragt werden sollte nur, was gebraucht wird — jedes Pflichtfeld muss sich begründen lassen. Ein Hinweis auf die Datenverarbeitung gehört ans Formular.

9. Cookies richtig gekennzeichnet

Cookies mit personenbezogenem Inhalt brauchen die Kennzeichen Secure und HttpOnly, dazu ein sinnvolles SameSite. Das ist keine reine Formalie: Ohne HttpOnly kann eingeschleustes JavaScript die Sitzung eines Nutzers auslesen.

10. Keine sensiblen Dateien öffentlich erreichbar

Konfigurationsdateien, Datenbank-Sicherungen und Versionsverwaltungs-Verzeichnisse haben im öffentlichen Bereich nichts verloren. Klassiker sind .env, backup.sql, wp-config.php.bak und ein erreichbares .git/-Verzeichnis. Wer dort Zugangsdaten findet, braucht keine Sicherheitslücke mehr.

11. Software mit Sicherheitsupdates

Serverdienste und Anwendungen ohne Herstellerunterstützung bekommen keine Sicherheitsupdates mehr. Besonders häufig: alte PHP-Versionen. PHP 7.4 wird seit Ende 2022 nicht mehr gepflegt, PHP 5 seit 2019 — trotzdem laufen viele Seiten noch damit.

Organisatorisches

12. Verzeichnis der Verarbeitungstätigkeiten und Auftragsverarbeitung

Auch kleine Unternehmen müssen ein Verzeichnis der Verarbeitungstätigkeiten führen. Für Dienstleister, die in deinem Auftrag Daten verarbeiten — Hoster, Newsletter-Anbieter, Analyse-Dienste — braucht es einen Auftragsverarbeitungsvertrag. Das lässt sich technisch nicht scannen, gehört aber in dieselbe Liste, weil es bei Prüfungen als Erstes verlangt wird.

Häufige Fragen

Brauche ich ein Cookie-Banner?

Nur, wenn deine Website Cookies oder ähnliche Techniken einsetzt, die nicht technisch notwendig sind — also Analyse, Marketing, eingebettete Videos. Eine Seite, die ausschließlich einen Sitzungs-Cookie für ein Login setzt, braucht kein Einwilligungsbanner.

Muss die Datenschutzerklärung von einem Anwalt kommen?

Nicht zwingend. Sie muss aber zu dem passen, was die Website tatsächlich tut. Der häufigste Fehler ist eine Mustererklärung, die Dienste nennt, die gar nicht eingesetzt werden — oder umgekehrt eingesetzte Dienste verschweigt.

Reicht ein Kontaktformular ohne Verschlüsselung?

Nein. Sobald personenbezogene Daten übertragen werden, ist eine verschlüsselte Verbindung Pflicht. Ohne HTTPS warnen Browser inzwischen ohnehin sichtbar.

Was ist der Unterschied zwischen DDG und DSGVO?

Das Digitale-Dienste-Gesetz regelt unter anderem die Impressumspflicht, die DSGVO den Umgang mit personenbezogenen Daten. Für Cookies und ähnliche Techniken gilt zusätzlich das TDDDG. In der Praxis müssen alle drei zusammen erfüllt sein.

Stand: 1. August 2026. Dieser Text erklärt technische Zusammenhänge und ist keine Rechtsberatung.