DSGVO auf der Firmenwebsite – eine Checkliste für Unternehmer 2026

Die meisten Unternehmer behandeln die DSGVO auf einer Website wie eine Steuer auf fremde Ideen: etwas, das man irgendwann haben sollte, also wurde eine fertige Datenschutzerklärung aus dem Internet kopiert und vergessen. Das Problem: Eine Website verändert sich schneller als ein Dokument. Ein Analyse-Tool wurde hinzugefügt, jemand hat eine Karte eingebettet, im Formular ist ein neues Feld erschienen, und die Erklärung beschreibt noch den Stand von vor drei Jahren.

Die gute Nachricht: Eine DSGVO-konforme Website ist kein gigantisches Projekt. Es ist eine Liste von etwa zwanzig Punkten, die Sie an einem einzigen Nachmittag prüfen können. Dieser Artikel ist genau so eine Liste – geordnet danach, was in der Regel zuerst kaputt ist.

Ein wichtiger Hinweis: Dies ist eine praktische Ausarbeitung, keine Rechtsberatung. Für kompliziertere Fälle (sensible Daten, Verkauf an Verbraucher in mehreren Ländern, Profiling) lohnt es sich, einen Juristen oder einen Datenschutzbeauftragten zu konsultieren.

Was auf einer Website tatsächlich als personenbezogene Daten gilt

Beginnen wir mit dem, was die meisten überrascht. Personenbezogene Daten sind nicht nur Vor- und Nachname. Es ist jede Information, die eine Person direkt oder indirekt identifizierbar macht. Auf einer Firmenwebsite sind das:

• die E-Mail-Adresse und Telefonnummer aus einem Formular,
• die IP-Adresse des Besuchers,
• Kennungen in Cookies und ähnlichen Technologien,
• Daten aus einem Kundenkonto in einem Shop,
• der Inhalt einer über einen Chat gesendeten Nachricht,
• Sitzungsaufzeichnungen und Klickkarten, wenn Sie solche Tools nutzen.

Da eine IP-Adresse ein personenbezogenes Datum ist, bedeutet schon das Vorhandensein einer Seite auf einem Server, der Logs führt, die Verarbeitung von Daten. Es gibt also keine Seite „ohne DSGVO“. Es gibt nur Seiten, die sie im Griff haben, und solche, die nicht wissen, dass sie überhaupt etwas verarbeiten.

In der Praxis wird eine Dreiteilung verwendet: Daten, die Sie bewusst erheben (Formulare, Konten), Daten, die von Tools auf der Seite erhoben werden (Analytik, Werbung), und Daten, die von Infrastrukturanbietern erhoben werden (Hosting, CDN, Server-Logs). Erst wenn Sie eine solche Karte erstellt haben, wissen Sie, was beschrieben werden muss und mit wem Verträge zu schließen sind.

Die Datenschutzerklärung – was sie enthalten muss

Eine Datenschutzerklärung ist das Dokument, das die Informationspflicht nach den Artikeln 13 und 14 der DSGVO erfüllt. Der häufigste Fehler: Das Dokument ist als Text korrekt, passt aber nicht zur Seite.

Mindestinhalt:

1. Der Verantwortliche – der vollständige Firmenname, die Anschrift und die Kontaktdaten. Wenn Sie ein Einzelunternehmen führen, sind Sie der Verantwortliche.
2. Zwecke und Rechtsgrundlagen – getrennt für jeden Zweck: Beantwortung einer Anfrage, Auftragsabwicklung, Buchhaltung, Marketing, Analytik, Geltendmachung und Verteidigung von Ansprüchen. Jeder Zweck hat seine eigene Grundlage nach Artikel 6 der DSGVO.
3. Empfänger der Daten – Anbieter von Hosting, E-Mail, CRM, Analyse-Tools, das Buchhaltungsbüro.
4. Speicherfristen – konkrete, nicht „so lange wie nötig“.
5. Rechte der Nutzer – Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und das Recht auf Beschwerde bei der Aufsichtsbehörde (in Polen beim Präsidenten der UODO; in Deutschland bei der zuständigen Landesdatenschutzbehörde).
6. Übermittlungen außerhalb des EWR – wenn Sie Tools von außerhalb Europas nutzen, nennen Sie die Grundlage für die Übermittlung.
7. Cookies und ähnliche Technologien – eine Liste der Kategorien, Zwecke und der Verwaltung der Einwilligung (oft in einer separaten Cookie-Richtlinie).

Das lässt sich leicht prüfen: Öffnen Sie Ihre eigene Erklärung und beantworten Sie für jedes Tool auf der untenstehenden Liste, ob es dort beschrieben ist. Wenn nicht, ist das Dokument unvollständig.

Cookies und Einwilligung – so machen Sie es richtig

Die Regeln sind weniger kompliziert, als fertige Plugins suggerieren. Cookies und ähnliche Technologien lassen sich in zwei Gruppen einteilen.

Notwendige – ohne sie funktioniert die Seite nicht: Sitzung, Warenkorb, Sicherheit, Speichern der Cookie-Entscheidung. Sie erfordern keine Einwilligung, müssen aber beschrieben werden.

Optionale – Analytik, Marketing, Personalisierung, eingebettete Inhalte. Sie erfordern eine Einwilligung, die sein muss:

• vorherig – das Skript darf nicht laufen, bevor der Nutzer eingewilligt hat,
• freiwillig – keine Blockade von Inhalten und keine Einwilligungsschranken,
• spezifisch – getrennt für einzelne Zwecke,
• widerrufbar – so einfach, wie sie erteilt wurde.

Ein Banner ist korrekt, wenn der Button „Ablehnen“ so sichtbar ist wie „Akzeptieren“. Ein Banner, bei dem die Ablehnung drei Klicks in den Einstellungen erfordert, die Zustimmung aber einen, ist in der Praxis erzwungene Einwilligung.

Für Google-Tools gibt es außerdem Consent Mode v2, der Google ein Signal übermittelt, ob der Nutzer in Analytik und Werbung eingewilligt hat. Für Werbekampagnen, die sich an Nutzer in Europa richten, ist er eine praktische Voraussetzung, denn ohne ihn verlieren Sie einen Teil der Messung und der Remarketing-Funktionen.

Formulare – Informationsklausel und Einwilligungen

Ein Kontaktformular ist der am häufigsten genutzte Mechanismus zur Datenerhebung und der am häufigsten schlecht beschriebene.

Die Informationsklausel sollte vor dem Absenden sichtbar sein, in gekürzter Form mit einem Link zur vollständigen Erklärung. Sie muss kein Häkchen sein. Ein Beispiel, das funktioniert:

Verantwortlich für Ihre Daten ist [Firmenname]. Wir verwenden die Daten aus dem Formular, um Ihre Nachricht zu beantworten – die Grundlage ist unser berechtigtes Interesse und Maßnahmen vor Vertragsschluss. Die Einzelheiten und Ihre Rechte beschreiben wir in unserer Datenschutzerklärung.

Eine Einwilligung erscheint nur dort, wo sie nötig ist – in der Regel für einen Newsletter und Marketing. Die Regeln:

• ein separates Häkchen, standardmäßig nicht gesetzt,
• eine konkrete Beschreibung dessen, wozu Sie einwilligen,
• keine Kopplung an das Absenden einer gewöhnlichen Anfrage,
• ein Nachweis der Einwilligung (Datum, Wortlaut, IP-Adresse oder Kennung).

Datenminimierung ist ein leicht umzusetzender Grundsatz: Fragen Sie nicht nach einer Telefonnummer, wenn Sie ohnehin per E-Mail antworten; fragen Sie nicht nach einer Adresse, wenn Sie nichts versenden. Je weniger Felder, desto weniger Daten sind zu schützen – und, erfreulicherweise, desto höher die Conversion des Formulars. Wie Sie das Formular selbst aufbauen, beschreiben wir im Artikel über Conversion-Formulare.

Externe Tools – das stille Problem

Hier kommt es am häufigsten zu Verstößen, weil sie im Hintergrund und ohne Wissen des Inhabers stattfinden.

Eine praktische Regel: Jede externe Anfrage, die eine IP-Adresse an einen Dritten sendet, ist eine Datenverarbeitung und muss eine Grundlage, eine Beschreibung und einen Vertrag mit dem Anbieter haben.

Auftragsverarbeitungsverträge und Dienstleister

Wenn ein Dienstleister in Ihrem Auftrag Daten verarbeitet (Hosting, ein Mailing-System, ein CRM, ein Formular-Tool, Online-Buchhaltung), benötigen Sie mit ihm einen Auftragsverarbeitungsvertrag nach Artikel 28 der DSGVO. Bei den meisten großen Anbietern ist das ein Standard-Zusatz, der im Kundenbereich akzeptiert wird – Sie müssen ihn nur finden und annehmen. Es lohnt sich, eine einfache Tabelle zu führen: Anbieter, Zweck, Land der Verarbeitung, Datum des Vertragsabschlusses.

Eine eigene Frage sind Übermittlungen außerhalb des Europäischen Wirtschaftsraums. Prüfen Sie bei US-Anbietern, ob sie am Data Privacy Framework teilnehmen oder Standardvertragsklauseln verwenden. Dieser Bereich hat sich in den letzten Jahren mehrfach geändert, sehen Sie daher einmal im Jahr in die Dokumentation des Anbieters.

Technische Sicherheit als Teil der DSGVO

DSGVO-Konformität besteht nicht nur aus Dokumenten. Artikel 32 verlangt angemessene technische Maßnahmen. Für eine Firmenwebsite bedeutet das mindestens Folgendes:

• HTTPS auf der gesamten Seite, mit automatischer Weiterleitung,
• Updates des CMS, der Plugins und der Bibliotheken,
• starke Passwörter und Zwei-Faktor-Authentifizierung für das Admin-Panel,
• Backups außerhalb des Produktionsservers,
• eingeschränkter Zugriff – ein Konto für jede Person, keine gemeinsamen Passwörter,
• Schutz der Formulare vor Spam und Missbrauch,
• ein Plan für die Reaktion auf Vorfälle: wer was tut und in welcher Zeit, wenn es zu einem Datenleck kommt.

Die Pflicht, eine Verletzung binnen 72 Stunden der Aufsichtsbehörde zu melden, gilt, wenn die Verletzung ein Risiko für die Rechte und Freiheiten von Personen mit sich bringen kann. Es ist gut, das Verfahren vorab vorzubereiten, statt es mitten im Vorfall zu suchen. Die technische Seite der Sicherheit beschreiben wir ausführlicher im Artikel über technisches SEO, der HTTPS und Sicherheit als Ranking-Signal behandelt.

Rechte der Personen – wie Sie Anfragen bearbeiten

Ein Nutzer hat das Recht zu fragen, welche Daten Sie über ihn verarbeiten, deren Berichtigung oder Löschung zu verlangen und der Werbung zu widersprechen. Sie haben einen Monat Zeit zu antworten. Das größte Problem ist nicht die Anfrage selbst, sondern dass niemand weiß, wo die Daten liegen.

Ein einfaches Setup, das die meisten Situationen löst:

• ein Kontakt-Postfach für Datenschutzangelegenheiten (z. B. die in der Datenschutzerklärung angegebene Adresse),
• eine Liste der Speicherorte: CRM, E-Mail, Tabellen, das Rechnungssystem, das Mailing-Tool,
• eine fertige Antwortvorlage und ein Verfahren zur Identitätsprüfung,
• ein Register der Anfragen mit Datumsangaben.

Dasselbe Register ist bei einer Kontrolle nützlich, denn es zeigt, dass das Verfahren in der Praxis funktioniert und nicht nur auf dem Papier.

Die häufigsten Fehler auf polnischen Firmenwebsites

Bei der Durchsicht der Websites kleiner und mittlerer Unternehmen wiederholen sich immer wieder dieselben Muster:

1. Eine von einem anderen Unternehmen kopierte Erklärung – mit fremdem Namen, fremder Anschrift oder der Beschreibung von Tools, die auf der Seite nicht vorkommen.
2. Ein Banner ohne echte Skript-Blockade – die Entscheidung des Nutzers ändert nichts.
3. Erzwungene Einwilligungen – ein Häkchen für alles.
4. Keine Klausel unter dem Formular – nur ein Link im Footer, den niemand sieht.
5. Externe Schriftarten und Karten, die ohne Einwilligung geladen werden.
6. Keine Auftragsverarbeitungsverträge mit Dienstleistern.
7. Veraltete Dokumente – eine Erklärung von 2018, seit dem Start unverändert.
8. Kein Vorfallverfahren – erst mitten in einem Leck zeigt sich, dass niemand weiß, was zu tun ist.

Eine Checkliste zum Ausdrucken

So gehen Sie es in der Praxis an

Wenn Sie bei null anfangen, kommt es auf die Reihenfolge an. Zuerst die Datenkarte, denn ohne sie lässt sich kein Dokument korrekt verfassen. Dann technische Korrekturen (externe Ressourcen, Analyse-Skripte, HTTPS), denn sie erzeugen das reale Risiko. Zuletzt die Dokumente, die den tatsächlichen Stand beschreiben.

Für Unternehmen, die eine Website bauen oder neu aufsetzen, ist der günstigste Weg, die DSGVO von Anfang an einzuplanen: lokale Schriftarten, datenschutzfreundliche Analytik, Formulare mit klarer Klausel und ein in das Design integriertes Einwilligungs-Banner. Eine nachträgliche Ergänzung kostet immer mehr. Wenn Sie sich fragen, was eine solide Website überhaupt kostet, lesen Sie, wovon der Preis einer Website abhängt, und wenn Sie die Inhalte einer Seite von Grund auf planen – was eine Firmenwebsite enthalten sollte.

DSGVO-Konformität ist kein Zustand, den man einmal erreicht. Sie ist eine Gewohnheit: Ein neues Tool auf der Seite bedeutet die Aktualisierung der Erklärung, ein neuer Dienstleister einen Vertrag, ein neues Formular eine Klausel. Unternehmen, die das etablieren, gewinnen über die Konformität hinaus einen Vorteil – ihre Website weckt mehr Vertrauen, und genau darauf kommt es im Online-Verkauf an.