Einführung: Was eine DSGVO konforme Website ausmacht
Einhundert Euro. So viel musste ein Website Betreiber einem einzigen Besucher zahlen, weil seine Seite eine Schriftart von Google nachlud, ohne vorher zu fragen. Das Landgericht München I sprach dem Kläger den Betrag wegen der unerlaubten Weitergabe seiner IP-Adresse zu. Ein kleiner Verstoß, eine reale Rechnung. Genau hier beginnt das Thema DSGVO-Website.
Auf einen Blick:
- Die Datenschutz-Grundverordnung gilt seit dem 25. Mai 2018 einheitlich für alle im EU-Raum aktiven Unternehmen (IHK München).
- Cookies und Tracker dürfen erst nach der Einwilligung der Nutzer gesetzt werden (§ 25 TDDDG).
- Für dynamisch eingebundene Google Fonts ohne Einwilligung wurden 100 Euro Schadensersatz je Besucher zugesprochen (LG München I, Az. 3 O 17493/20).
- Bei TDDDG-Verstößen drohen Geldbußen von bis zu 300.000 Euro (IHK München).
- Bei DSGVO-Verstößen sind Bußgelder von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes möglich (Art. 83 DSGVO).
Eine DSGVO konforme Website ist eine Seite, die Besucher transparent darüber informiert, welche personenbezogenen Daten sie zu welchem Zweck verarbeitet, die Cookies und externe Dienste erst nach einer Einwilligung lädt und die eine vollständige, rechtssichere Datenschutzerklärung als eigene Unterseite bereithält. Sie erfüllt damit die Vorgaben der DSGVO und des TDDDG.
Klingt nach Paragraphen. In der Praxis ist es Handwerk. Wer die Stellschrauben kennt, bringt das Thema Datenschutz in wenigen Schritten in Ordnung, ohne Jurastudium. Dieser Praxis Check richtet sich an kleine Betriebe, Selbstständige und Vereine ohne eigenes Datenschutzteam. Wir bauen seit über 15 Jahren professionelles Webdesign aus Göttingen und sehen beim Umgang mit Ihren Daten die immer gleichen Fallen.
Warum Datenschutz auf der Website kein Papiertiger ist
Viele Betriebe behandeln Datenschutz als lästige Pflichtübung. Das ist verständlich und teuer. Die Datenschutzgrundverordnung verpflichtet jeden Betreiber einer Website, der personenbezogene Daten verarbeiten will, zur Transparenz. Webseitenbetreiber müssen offenlegen, wie sie mit Nutzerdaten umgehen. Und schon eine IP Adresse zählt dazu.
Wer die Regeln ignoriert, riskiert zwei Dinge. Erstens Abmahnungen durch Mitbewerber oder spezialisierte Kanzleien. Zweitens ein Bußgeld durch die Aufsichtsbehörden, das die Verarbeitung Ihrer personenbezogenen Daten teuer macht. Art. 83 DSGVO setzt den Rahmen für die schwersten Fälle hoch an: Geldbußen von bis zu 20 000 000 EUR oder im Fall eines Unternehmens von bis zu 4 % seines gesamten weltweit erzielten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
Solche Summen treffen Konzerne, nicht den Friseur um die Ecke. Für kleine Betriebe ist die Abmahnung das realere Risiko. Eine nicht korrekte Datenschutzerklärung oder ein Cookie-Banner ohne echte Wahl reicht oft schon. Wie eine rechtssichere Datenschutzerklärung gelingt, erklären wir im Leitfaden zur Datenschutzerklärung.
Datenschutz auf der Website ist deshalb kein Papiertiger.
Hotspot 1: Cookies und Tracking
Der häufigste Stolperstein sind Cookies. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG) ist hier eindeutig. Es schreibt vor: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.
Übersetzt: Setzen Sie Cookies auf Ihrer Website, brauchen Sie vorab die Zustimmung der Besucher der Website. Tracking- und Marketing-Cookies dürfen erst laden, nachdem der Nutzer aktiv zugestimmt hat. Ein Cookie-Banner, das nur informiert oder bei dem das Häkchen schon gesetzt ist, genügt nicht. Nötig ist eine echte Wahl, mit einem gleich großen Ablehnen-Knopf neben dem Akzeptieren.
Ein Cookie-Banner ohne echte Ablehnen-Option ist wie eine Tür mit einem Schild „Bitte eintreten“, die sich nicht abschließen lässt. Nur technisch notwendige Cookies, etwa für den Warenkorb, sind ohne Einwilligung erlaubt. Für alle anderen Tools brauchen Sie ein sauberes Consent-Management, das die Skripte erst nach dem Klick freigibt.
Hotspot 2: Externe Schriften und eingebettete Dienste
Hier liegt die berühmteste Falle im Datenschutzrecht. Bindet Ihre Seite Google Fonts dynamisch ein, also direkt von den Servern von Google, dann wird bei jedem Abruf der Website die IP Adresse des Besuchers in die USA übertragen. Ohne Einwilligung ist das unzulässig.
Das Landgericht München I urteilte dazu am 20. Januar 2022 und sah den Eingriff so erheblich, dass ein Schadensersatzanspruch gerechtfertigt ist.
100 Euro für eine Schriftart, das löste damals eine Welle von Abmahnungen aus.
Eine dynamisch geladene Schrift ist wie ein Bote, der bei jedem Besuch heimlich die Adresse Ihres Gastes notiert und nach Übersee schickt. Die Lösung ist simpel: Schriften lokal einbinden, also auf dem eigenen Server hosten. Dasselbe Prinzip gilt für eingebettete YouTube-Videos, Karten oder Schriften aus anderen Quellen. Lokal hosten oder erst nach Einwilligung laden.
Ihre Website rechtssicher und schnell
- Cookie-Banner und Consent sauber eingerichtet
- Schriften und Dienste datensparsam lokal eingebunden
- Kontaktformular mit Einwilligung und SSL
- Feste Festpreise, persönlicher Ansprechpartner aus Göttingen
Hotspot 3: Kontaktformular und Newsletter
Sobald Sie ein Kontaktformular anbieten, erheben Sie personenbezogene Daten. Name, E-Mail-Adresse, oft eine Telefonnummer. Das Formular muss deshalb über eine verschlüsselte SSL-Verbindung laufen und eine Checkbox zur Einwilligung enthalten, die nicht vorausgewählt ist.
Reicht ein Häkchen? Nein. Rechtsgrundlage ist hier die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO. In der Datenschutzerklärung müssen Sie zusätzlich erklären, zu welchem Zweck Sie die Daten verarbeiten und wie lange die Daten gespeichert werden. Aus unserer Projektpraxis: Viele DSGVO-konforme Kontaktformulare scheitern nicht am Formular, sondern am fehlenden Speicherkonzept dahinter.
Beim Newsletter wird es strenger. Hier gilt das Double-Opt-In als Standard: Der Abonnent bestätigt seine Anmeldung per Klick in einer E-Mail. Erst danach dürfen die Daten verarbeitet werden. Jede Einwilligung muss sich jederzeit widerrufen lassen, etwa über einen Abmelde-Link am Ende des Newsletters.
Hotspot 4: Hosting, Hoster und Auftragsverarbeitung
Ihr Hoster speichert die Daten der Besucher Ihrer Website, etwa in den Server-Logfiles. Diese dürfen Sie auf Grundlage Ihres berechtigten Interesses nach Art. 6 Abs. 1 lit. f DSGVO kurz vorhalten. Rechtlich ist der Hoster ein Auftragsverarbeiter. Sie brauchen mit ihm einen Vertrag zur Auftragsverarbeitung, kurz AV-Vertrag. Seriöse Anbieter stellen den mit wenigen Klicks bereit. Fehlt er, ist das ein typischer Abmahngrund.
Heikler wird der Standort. Liegen die Server bei einer Niederlassung in der EU, sind Sie auf der sicheren Seite. Nutzen Sie US-Dienste oder einen US-Hoster, müssen Sie genauer hinsehen. Seit dem 10. Juli 2023 erlaubt der EU-US Data Privacy Framework den Datentransfer in die USA wieder, sofern sich der Dienstleister dort zertifiziert hat. Prüfen Sie das, bevor Sie einen externen Dienstleister einbinden.
Und genau das ist der Punkt: Datenschutz endet nicht an Ihrer Seite. Jedes Tool, jeder Hoster, jeder eingebundene Dienst verlängert die Kette. Ein deutscher oder europäischer Hoster nimmt Ihnen einen Großteil dieser Sorgen ab.
Hotspot 5: Die Datenschutzerklärung richtig erstellen
Die Datenschutzerklärung für Ihre Website ist das Pflichtdokument schlechthin. Sie gehört als eigene Unterseite ins Menü, von jeder Seite mit einem Klick erreichbar, direkt neben das Impressum. Mit ihr informieren Sie die Nutzer, wie Ihre Website personenbezogene Daten verarbeitet. Jeder, der Daten erheben kann, wird eine Datenschutzerklärung benötigen. Wer eine Datenschutzerklärung für Ihre Website erstellen lässt, beginnt mit einer Bestandsaufnahme aller Tools und Plugins. Wie Impressum und Datenschutz zusammenspielen, beleuchtet unser eigener Beitrag.
Was gehört in die Inhalte der Datenschutzerklärung? Sie muss für jeden Vorgang dieselben Fragen beantworten: wer verantwortlich ist, welche Daten zu welchem Zweck verarbeitet werden, auf welcher Rechtsgrundlage und wie lange. Dazu kommen die Betroffenenrechte nach Art. 15 DSGVO. Nutzer haben das Recht, Auskunft, Berichtigung und die Löschung ihrer personenbezogenen Daten zu verlangen, dazu die Einschränkung der Verarbeitung. Auch einen externen Datenschutzbeauftragten müssen Sie nennen, falls Sie einen benötigen.
Für die Erstellung gibt es zwei Wege. Ein Datenschutz Generator hilft Ihnen, schnell und kostenlos eine dsgvo-konforme Datenschutzerklärung zu erstellen. Diesen Grundtext müssen Sie pflegen und auf dem aktuellen Stand halten, denn Datenschutzhinweise veralten, sobald Sie ein neues Tool einbauen. Wer sicher gehen will, lässt die rechtskonforme Datenschutzerklärung anwaltlich prüfen. Bieten Sie Inhalte der Website in englischer Sprache an, brauchen Sie die Erklärung zusätzlich auf Englisch. Am saubersten ist es, eine Website von Anfang an rechtssicher aufsetzen zu lassen, statt später zu flicken.
Häufige Fehler und unsere Position aus der Praxis
In über 15 Jahren und zahlreichen Website-Projekten sehen wir dieselben Fehler immer wieder. Dynamisch geladene Google Fonts. Ein Cookie-Banner, das vorab schon alles akzeptiert. Der fehlende AV-Vertrag mit dem Hoster. Eine kopierte Datenschutzerklärung, die Tools nennt, die gar nicht im Einsatz sind.
Was die meisten Ratgeber übersehen: Eine kopierte Datenschutzerklärung ist gefährlicher als gar keine. Sie wirkt vollständig, beschreibt aber eine fremde Seite. Wer fremde Datenschutzerklärungen einfach kopiert, riskiert eine Erklärung, die nicht zur eigenen Technik passt und im Streitfall sofort auffällt. Abmahnungen stützen sich dabei oft auf das Gesetz gegen den unlauteren Wettbewerb.
Unsere Position: Datenschutz ist kein einmaliges Dokument, sondern wie der TÜV fürs Auto. Einmal bestanden heißt nicht für immer sicher. Jede neue Funktion, jedes neue Plugin verändert, welche Daten Ihre Website verarbeitet. Planen Sie eine kurze Kontrolle pro Jahr ein, und das Thema bleibt beherrschbar.
Fazit
Eine DSGVO konforme Website ist kein Hexenwerk.
Sie ist die Summe aus fünf sauber gelösten Hotspots: Cookies mit echter Einwilligung, lokal eingebundene Schriften und Dienste, ein verschlüsseltes Kontaktformular, ein Hoster mit AV-Vertrag und eine ehrliche Datenschutzerklärung, die zu Ihrer Technik passt.
Das Ziel ist ein konkretes Bild. Sie öffnen morgens das Postfach und finden eine Anfrage über Ihr Kontaktformular, keine Abmahnung von einer fremden Kanzlei. Sie wissen, dass Ihr Cookie-Banner fragt, bevor es lädt, und dass Ihre Schriften vom eigenen Server kommen. Dieses ruhige Gewissen ist der eigentliche Wert einer rechtssicheren Seite. Den Rest erledigt ein Partner, der die Technik im Griff hat.
Anhang: Ihre DSGVO Checkliste für die Website
Gehen Sie diese Punkte einmal durch. Jeder Haken, der fehlt, ist eine offene Baustelle.
Kontakt aufnehmen
Sie möchten Ihre Website DSGVO konform aufstellen, ohne sich durch Paragraphen zu wühlen? Schreiben Sie uns, wir melden uns innerhalb von 24 Stunden:
Häufige Fragen zur DSGVO konformen Website
Disclaimer: Alle genannten Beträge, Fristen und rechtlichen Einordnungen sind allgemeine Erfahrungs- und Informationswerte aus der Agentur-Praxis und können je nach Einzelfall, Anbieter und Rechtsentwicklung abweichen. Diese Inhalte ersetzen keine fachjuristische Beratung.
