DSGVO-konforme Website 2026: Die Checkliste für KMU

Seit die DSGVO 2018 in Kraft trat, wurden in Deutschland Tausende Abmahnungen und Bußgelder ausgesprochen. Viele KMU wissen nicht, was ihre Website datenschutzrechtlich leisten muss. Dabei ist DSGVO-Konformität kein juristisches Luxusproblem — sie ist Voraussetzung für Vertrauen, Ranking und rechtliche Sicherheit. Diese Checkliste gibt einen klaren Überblick über die wichtigsten Pflichten und zeigt, was konkret zu tun ist.

1. Datenschutzerklärung: Pflicht, kein Beiwerk

Jede Website, die personenbezogene Daten verarbeitet — und das tut fast jede — braucht eine aktuelle, vollständige und verständliche Datenschutzerklärung. Sie muss erklären: Welche Daten werden erhoben? Zu welchem Zweck? Wie lange werden sie gespeichert? Wer ist Verantwortlicher? Gibt es Drittanbieter wie Google, Facebook oder Stripe?

• Datenschutzerklärung muss von jeder Seite erreichbar sein (Footer-Link reicht)
• Muss bei jeder Änderung der Datenverarbeitung aktualisiert werden
• Separate Abschnitte für jedes Tool: Analytics, Kontaktformular, Newsletter, Chatbot
• Kein Juristendeutsch — verständliche Sprache ist gesetzliche Anforderung
• Auch Unterseiten, Landingpages und Shops brauchen eine verlinkbare Erklärung

Häufiger Fehler: Die Datenschutzerklärung wurde einmalig erstellt und seitdem nie aktualisiert. Sobald Sie ein neues Tool einbinden — einen Chatbot, ein Buchungssystem, ein Newsletter-Plugin — muss die Erklärung angepasst werden. Veraltete Erklärungen sind abmahnfähig.

2. Impressum: Vollständig und leicht auffindbar

Das Impressum ist für gewerbliche Websites Pflicht (§ 5 TMG). Es muss vollständige Angaben zu Name, Adresse, Kontaktmöglichkeit und gegebenenfalls Berufsbezeichnung oder Handelsregisternummer enthalten. Besonders häufige Fehler: fehlendes Impressum bei Instagram-Seiten oder fehlende Umsatzsteuer-ID bei Unternehmen, die diese führen müssen. Das Impressum muss von jeder Seite aus in maximal zwei Klicks erreichbar sein.

3. Cookie-Banner: Einwilligung vor dem Tracking

Technisch notwendige Cookies — Session, Login, Warenkorb — dürfen ohne Einwilligung gesetzt werden. Alle anderen Cookies für Analytics, Marketing oder Social Media dürfen erst nach aktiver Zustimmung des Nutzers geladen werden. Ein vorausgewähltes Häkchen genügt nicht als Einwilligung. Der Banner muss gleichwertige Ablehnen- und Akzeptieren-Optionen bieten.

Das sogenannte Dark Pattern — ein großer bunter Akzeptieren-Button und ein kaum sichtbarer Ablehnen-Link — ist abmahnfähig und wurde von Aufsichtsbehörden in mehreren EU-Ländern bereits sanktioniert. Die Einwilligung muss so einfach zu verweigern sein wie zu erteilen. Außerdem: Der Nutzer muss seine Einwilligung jederzeit widerrufen können — ein entsprechender Link im Footer ist Best Practice.

4. Google Analytics DSGVO-konform einsetzen

• IP-Anonymisierung in GA4 aktivieren (in GA4 standardmäßig aktiv, in UA manuell nötig)
• Auftragsverarbeitungsvertrag (AVV) mit Google abschließen — ohne AVV kein legaler Einsatz
• Datenschutzerklärung muss transparent über Analytics-Nutzung informieren
• Keine personenbezogenen Daten in Ereignisnamen oder URL-Parameter eintragen
• Cookies dürfen erst nach aktiver Zustimmung geladen werden — kein Pageview vor Consent
• Datenaufbewahrung in GA4 auf 14 Monate begrenzen (Einstellung unter Verwaltung)

Alternativen wie Matomo (selbst gehostet) oder Plausible (europäische Server) sind DSGVO-freundlicher und benötigen je nach Konfiguration keine Cookie-Einwilligung. Für viele KMU sind sie die einfachere und rechtssichere Wahl.

5. Kontaktformulare rechtssicher gestalten

Jedes Kontaktformular muss einen Datenschutzhinweis mit aktiver Checkbox enthalten: 'Ich habe die Datenschutzerklärung gelesen und stimme der Verarbeitung meiner Daten zum Zweck der Kontaktaufnahme zu.' Ohne diese Checkbox ist das Formular rechtswidrig. Weitere Pflichten: Formularinhalte dürfen nicht in öffentlich zugänglichen Logs gespeichert werden und müssen verschlüsselt übertragen werden (HTTPS). Eingehende Anfragen sind nach spätestens 6 Monaten zu löschen, sofern kein Auftrag zustande kommt.

6. SSL-Zertifikat und HTTPS

HTTPS ist seit 2018 de facto Pflicht — Google markiert HTTP-Seiten als 'Nicht sicher' und bestraft sie im Ranking. Ein kostenloses SSL-Zertifikat ist über Let's Encrypt verfügbar und in den meisten Hosting-Paketen bereits enthalten. Wichtig: Alle internen Links, Bilder und eingebundenen Ressourcen müssen ebenfalls über HTTPS geladen werden — sogenannte Mixed-Content-Warnungen sind ein häufiger und leicht übersehener Fehler.

Prüfen Sie regelmäßig, ob Ihr Zertifikat gültig ist. Abgelaufene SSL-Zertifikate sind nicht nur ein DSGVO-Risiko, sondern schrecken Besucher sofort ab — Browser zeigen eine rote Warnmeldung. Tools wie SSL Labs (ssllabs.com) prüfen Ihr Zertifikat kostenlos und zeigen Schwachstellen auf.

7. Drittanbieter: Jedes Tool im Blick behalten

• Google Fonts: Lokal hosten statt von Google-Servern laden — IP-Übertragung ohne Einwilligung ist unzulässig (LG München, 2022)
• YouTube-Videos: Nur mit erweitertem Datenschutzmodus einbetten (youtube-nocookie.com)
• Facebook-Pixel und Meta-Tags: Nur nach expliziter Einwilligung laden
• WhatsApp-Schaltfläche: Datenschutzhinweis in der Erklärung notwendig
• Chatbots: Datenspeicherung, Verarbeitungszweck und Drittanbieter transparent kommunizieren
• Kalender-Tools (Calendly, Cal.com): AVV abschließen, in Datenschutzerklärung benennen
• Zahlungsanbieter (Stripe, PayPal): Eigene Datenschutzabschnitte erforderlich

8. Verzeichnis von Verarbeitungstätigkeiten (VVT)

Unternehmen ab 250 Mitarbeitern sind verpflichtet, ein Verzeichnis aller Datenverarbeitungstätigkeiten zu führen. Für kleinere Unternehmen gilt dies ebenfalls, wenn die Verarbeitung ein hohes Risiko für Betroffene darstellt oder regelmäßig besondere Kategorien personenbezogener Daten verarbeitet werden. Das VVT ist kein öffentliches Dokument, muss aber bei Prüfungen durch Aufsichtsbehörden vorgelegt werden können.

Haftung und Bußgelder bei Verstößen

Bußgelder können bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes betragen — je nachdem, welcher Betrag höher ist. Für KMU sind Abmahnungen von Mitbewerbern und Abmahnvereinen oft das unmittelbarere Risiko: Kosten zwischen 1.000 und 5.000 Euro pro Abmahnung sind keine Seltenheit. Besonders rund um Google Fonts wurden 2022 und 2023 massenhaft Abmahnungen verschickt, nachdem das LG München die Einbindung ohne Einwilligung als rechtswidrig einstufte.

Neben finanziellen Folgen drohen Reputationsschäden: Kunden, die erfahren, dass ihre Daten unzulässig verarbeitet wurden, verlieren das Vertrauen dauerhaft. DSGVO-Konformität ist deshalb kein bürokratischer Aufwand, sondern Vertrauensaufbau — besonders in Branchen mit sensiblen Kundendaten wie Medizin, Recht oder Finanzen.

Sofort-Checkliste für Ihre Website

• Datenschutzerklärung vorhanden, aktuell und von jeder Seite erreichbar?
• Impressum vollständig und in maximal zwei Klicks erreichbar?
• Cookie-Banner mit echten Ablehnen-Optionen und gleichwertiger Darstellung?
• Google Fonts lokal gehostet oder mit Einwilligung geladen?
• Kontaktformular mit Datenschutz-Checkbox und HTTPS-Übertragung?
• AVV mit Google Analytics, Mailchimp, Stripe und weiteren Drittanbietern abgeschlossen?
• SSL-Zertifikat gültig, kein Mixed Content?
• YouTube-Videos nur über youtube-nocookie.com eingebettet?