DSGVO für Websites: Checkliste & Pflichtangaben 2026

Die DSGVO (Datenschutz-Grundverordnung) gilt seit 2018 — und betrifft ausnahmslos jede Website. Trotzdem sind viele Websites auch 2026 noch nicht vollständig konform. Das kann teuer werden: Abmahnungen und Bußgelder sind keine Seltenheit.

In diesem Ratgeber zeige ich dir die 8 wichtigsten DSGVO-Pflichten, wie du ein Cookie-Banner richtig einrichtest und welche Fehler du unbedingt vermeiden solltest. Am Ende findest du eine Checkliste zum Abhaken.

Was ist die DSGVO und warum betrifft sie jede Website?

Die Datenschutz-Grundverordnung (DSGVO) ist eine EU-Verordnung, die den Umgang mit personenbezogenen Daten regelt. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierbare Person beziehen — und dazu gehören bereits IP-Adressen.

Das bedeutet: Sobald deine Website einen Besucher hat, verarbeitest du personenbezogene Daten. Dein Webserver speichert die IP-Adresse in Log-Dateien. Wenn du zusätzlich Kontaktformulare, Analytics oder Social-Media-Plugins nutzt, kommen weitere Daten hinzu.

Die 8 DSGVO-Pflichten für Website-Betreiber

Diese 8 Punkte musst du auf deiner Website umsetzen, um DSGVO-konform zu sein:

1. Impressum

Keine DSGVO-Pflicht im engeren Sinne, aber nach TMG/DDG gesetzlich vorgeschrieben und eng mit dem Datenschutz verknüpft. Dein Impressum muss vollständige Angaben zu Name, Anschrift, Kontaktdaten und ggf. Handelsregister enthalten. Es muss von jeder Seite mit maximal 2 Klicks erreichbar sein.

2. Datenschutzerklärung

Die Datenschutzerklärung ist das Herzstück der DSGVO-Compliance. Sie muss vollständig, verständlich und aktuell sein. Beschreibe alle Datenverarbeitungen auf deiner Website: Server-Logs, Kontaktformulare, Cookies, Analytics, eingebundene Drittdienste. Nenne jeweils die Rechtsgrundlage (Art. 6 DSGVO), den Zweck und die Speicherdauer.

3. SSL-Verschlüsselung

Eine SSL-Verschlüsselung (HTTPS) ist Pflicht, sobald personenbezogene Daten übertragen werden — also bei jedem Kontaktformular, Login oder Bestellprozess. In der Praxis sollte jede Website SSL nutzen. Google bevorzugt HTTPS-Seiten zudem im Ranking.

4. Cookie-Banner mit Opt-in

Technisch nicht-notwendige Cookies dürfen erst nach aktiver Einwilligung des Besuchers gesetzt werden. Ein simpler „OK"-Button reicht nicht. Der Besucher muss die Möglichkeit haben, einzelne Cookie-Kategorien zu akzeptieren oder abzulehnen. Ablehnen muss genauso einfach sein wie Akzeptieren.

5. Kontaktformulare absichern

Bei Kontaktformularen musst du auf die Datenverarbeitung hinweisen und auf die Datenschutzerklärung verlinken. Erfasse nur Daten, die du wirklich brauchst (Datensparsamkeit). Speichere die Formulardaten nicht länger als nötig.

6. Analytics DSGVO-konform einbinden

Google Analytics, Matomo & Co. dürfen nur mit Einwilligung (Cookie-Banner) oder in einer datenschutzkonformen Konfiguration eingesetzt werden. Bei Google Analytics 4 ist eine Einwilligung in der Regel erforderlich, da Daten an Google-Server übertragen werden. Alternativen wie Matomo (selbst gehostet) können ohne Einwilligung betrieben werden.

7. Social-Media-Plugins

Klassische Social-Media-Buttons (Facebook Like, Twitter Share) übertragen beim Laden der Seite bereits Daten an die Plattformen — ohne dass der Besucher klickt. Nutze stattdessen die Shariff-Lösung oder einfache Links zu deinen Social-Media-Profilen.

8. Newsletter nur mit Double-Opt-in

Für den Newsletter-Versand brauchst du eine nachweisbare Einwilligung. Das Double-Opt-in-Verfahren (Anmeldung + Bestätigungsmail) ist der Standard. Jeder Newsletter muss einen Abmeldelink enthalten.

Cookie-Banner richtig einrichten

Das Cookie-Banner ist der sichtbarste Teil der DSGVO-Compliance. Hier ein Vergleich der beliebtesten Lösungen:

DSGVO-Checkliste für deine Website

Nutze diese Checkliste, um deine Website Punkt für Punkt DSGVO-konform zu machen.

• Impressum vorhanden und vollständig (Name, Anschrift, Kontakt, Registernr.)
• Impressum von jeder Seite mit max. 2 Klicks erreichbar
• Datenschutzerklärung vorhanden und vollständig
• Datenschutzerklärung von jeder Seite mit max. 2 Klicks erreichbar
• Alle Datenverarbeitungen in der Datenschutzerklärung aufgeführt
• Rechtsgrundlage für jede Verarbeitung angegeben (Art. 6 DSGVO)
• Speicherdauer für alle Daten dokumentiert
• Hinweis auf Betroffenenrechte (Auskunft, Löschung, Widerspruch etc.)
• SSL-Zertifikat aktiv (HTTPS)
• Kein Mixed Content (alle Ressourcen über HTTPS)
• Cookie-Banner implementiert mit echtem Opt-in
• Ablehnen genauso einfach wie Akzeptieren
• Technisch nicht-notwendige Cookies werden vor Einwilligung blockiert
• Cookie-Banner zeigt alle Cookie-Kategorien einzeln
• Cookie-Einstellungen nachträglich änderbar
• Google Fonts lokal gehostet (nicht von Google-Servern laden)
• YouTube-Videos mit erweitertem Datenschutz eingebettet (youtube-nocookie.com)
• Google Maps nur mit Einwilligung laden oder als statisches Bild
• Social-Media-Buttons ohne Tracking (Shariff oder einfache Links)
• Kontaktformular: Hinweis auf Datenverarbeitung + Link zur Datenschutzerklärung
• Kontaktformular: Nur notwendige Felder (Datensparsamkeit)
• Newsletter: Double-Opt-in implementiert
• Newsletter: Abmeldelink in jeder E-Mail
• Analytics: Einwilligung über Cookie-Banner oder cookieless Tracking
• Analytics: IP-Anonymisierung aktiviert (falls verfügbar)
• Auftragsverarbeitungsvertrag (AV-Vertrag) mit allen Dienstleistern abgeschlossen
• AV-Vertrag mit Hosting-Anbieter
• AV-Vertrag mit E-Mail-Provider
• AV-Vertrag mit Analytics-Anbieter
• AV-Vertrag mit Newsletter-Tool
• Verzeichnis der Verarbeitungstätigkeiten erstellt
• Alte/ungenutzte Plugins und Tools entfernt
• Regelmäßiger DSGVO-Check eingeplant (mindestens jährlich)

Häufige DSGVO-Fehler und Abmahn-Risiken

Diese Fehler sehe ich bei Website-Checks am häufigsten — und sie können richtig teuer werden:

• Google Fonts extern eingebunden: Das Laden von Google Fonts von Google-Servern überträgt IP-Adressen in die USA. Seit dem LG München-Urteil (2022) ein beliebtes Abmahnziel. Lösung: Fonts lokal hosten.
• YouTube ohne Datenschutz-Modus: Standard-YouTube-Embeds setzen Cookies und laden Tracker. Nutze youtube-nocookie.com oder lade Videos erst nach Klick.
• Kein AV-Vertrag mit Dienstleistern: Mit jedem Dienstleister, der Zugang zu personenbezogenen Daten hat (Hosting, E-Mail, Analytics), brauchst du einen Auftragsverarbeitungsvertrag.
• Cookie-Banner nur mit „OK"-Button: Ein Banner ohne echte Wahlmöglichkeit ist rechtswidrig. Besucher müssen Cookies ablehnen können — genauso einfach wie akzeptieren.
• Veraltete Datenschutzerklärung: Die Datenschutzerklärung passt nicht mehr zu den tatsächlich eingesetzten Tools. Jede Änderung an der Website erfordert ein Update.
• Kontaktformular ohne Hinweis: Beim Kontaktformular fehlt der Hinweis auf die Datenverarbeitung und der Link zur Datenschutzerklärung.

Website DSGVO-konform machen?

Ich prüfe deine Website und setze alle DSGVO-Anforderungen professionell um: DSGVO-Check anfragen oder kostenlos beraten lassen.