Viele Website-Betreiber fragen sich irgendwann: „Ist meine Website eigentlich DSGVO-konform?" Die ehrliche Antwort lautet meistens: teilweise. Die Datenschutz-Grundverordnung (DSGVO) betrifft praktisch jede Website, die Besucherdaten verarbeitet – und das tun fast alle, allein durch Server-Logfiles, Kontaktformulare oder eingebundene Drittanbieter-Dienste wie Google Maps oder Google Fonts.
Dieser Artikel zeigt Ihnen, wie Sie Ihre eigene Website systematisch auf die wichtigsten DSGVO-Anforderungen prüfen – ohne juristisches Fachvokabular, dafür mit konkreten, umsetzbaren Prüfschritten.
Warum die eigene Website auf DSGVO-Konformität prüfen?
Abmahnungen wegen fehlender oder fehlerhafter Datenschutzerklärungen, ungültiger Cookie-Banner oder unzulässig eingebundener Drittanbieter-Dienste sind in Deutschland keine Seltenheit. Neben dem finanziellen Risiko (Bußgelder nach Art. 83 DSGVO, Abmahnkosten) geht es auch um Vertrauen: Besucher, die einen schlampigen Umgang mit ihren Daten bemerken, springen ab – gerade im B2B- und Beratungsumfeld ein handfester Wettbewerbsnachteil.
🍪 Kostenloser Sofort-Check
Bevor wir ins Detail gehen: Sie können Ihre eigene Domain direkt hier auf der Seite kostenlos prüfen lassen. Jetzt kostenlos prüfen ↑
Rechtliche Grundlagen kurz erklärt
Drei Normen bilden das Rückgrat fast jeder Website-Prüfung:
- Art. 5 DSGVO formuliert die Grundprinzipien der Datenverarbeitung: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung. Wer mehr Daten sammelt oder länger speichert als für den Zweck nötig, verstößt bereits gegen diese Grundsätze – unabhängig von Einzelvorschriften.
- Art. 6 DSGVO verlangt für jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage: Einwilligung, Vertragserfüllung, berechtigtes Interesse oder gesetzliche Pflicht. Für Marketing-Tracking ist das in aller Regel die Einwilligung (lit. a).
- Art. 13 DSGVO schreibt vor, worüber die Datenschutzerklärung informieren muss: Verantwortlicher, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Betroffenenrechte.
Ergänzend regelt das TTDSG (§ 25) speziell den Zugriff auf Endgeräte – also den eigentlichen Cookie-Consent, unabhängig davon, ob die gespeicherten Informationen personenbezogen sind oder nicht.
Die wichtigsten Prüfpunkte im Überblick
1. Impressum
Nach § 5 TMG (bzw. inzwischen den entsprechenden Nachfolgeregelungen im Digitale-Dienste-Gesetz) muss praktisch jede geschäftsmäßige Website ein leicht erkennbares, unmittelbar erreichbares Impressum haben: Name, Anschrift, Kontaktmöglichkeit (i. d. R. E-Mail), bei Unternehmen ggf. Handelsregisternummer und Vertretungsberechtigte. Ein Impressum, das erst nach drei Klicks auffindbar ist, reicht nicht.
2. Datenschutzerklärung
Die Datenschutzerklärung muss vollständig darüber informieren, welche Daten zu welchem Zweck, auf welcher Rechtsgrundlage und wie lange verarbeitet werden (Art. 13 DSGVO) – inklusive aller eingebundenen Drittanbieter wie Analyse-Tools, Kartendienste oder E-Mail-Versanddienstleister.
3. Cookie-Consent nach TTDSG
Seit Inkrafttreten des Telekommunikation-Telemedien-Datenschutz-Gesetzes (TTDSG) im Dezember 2021 ist klar geregelt: Für alles, was nicht technisch zwingend notwendig ist (§ 25 Abs. 2 Nr. 2 TTDSG), braucht es eine aktive, informierte Einwilligung – bevor die entsprechenden Skripte laden. Ein Cookie-Banner, der zwar angezeigt wird, aber Analyse- oder Marketing-Cookies schon vor Klick setzt, ist unwirksam.
4. SSL-Verschlüsselung
Eine unverschlüsselte Verbindung (http statt https) ist heute nicht nur ein Google-Ranking-Nachteil, sondern auch aus Datenschutzsicht problematisch, sobald personenbezogene Daten übertragen werden – etwa über Kontaktformulare.
5. Kontaktformulare
Formulare sollten nur die Daten abfragen, die für die Bearbeitung wirklich nötig sind (Datenminimierung, Art. 5 Abs. 1 lit. c DSGVO), und einen Hinweis auf die Datenschutzerklärung enthalten.
6. Drittanbieter-Dienste
Google Fonts, Google Maps, YouTube-Embeds, Facebook-Pixel, Google Analytics: Jeder dieser Dienste überträgt beim Laden Daten (mindestens die IP-Adresse) an den jeweiligen Anbieter – oft in die USA. Das ist der mit Abstand häufigste Fund bei automatisierten Prüfungen.
7. Auftragsverarbeitungsverträge (AVV)
Wer Dienstleister einsetzt, die in seinem Auftrag personenbezogene Daten verarbeiten (Hosting, E-Mail-Versand, Newsletter-Tools), braucht dafür einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
Der zeitliche Ablauf einer typischen Prüfung
Wie läuft eine solche Prüfung in der Praxis zeitlich ab? Bei einer klassischen kleinen Unternehmens-Website sieht ein realistischer Ablauf so aus: Zunächst der automatisierte Scan der Startseite (wenige Sekunden), gefolgt von einer manuellen Durchsicht der wichtigsten Unterseiten (Kontakt, ggf. Shop/Checkout) durch den Betreiber oder eine beauftragte Agentur (etwa 30–60 Minuten). Anschließend werden gefundene Probleme priorisiert – meist zuerst die technisch einfach zu behebenden Punkte wie Google Fonts oder ein falsch konfiguriertes Cookie-Banner, danach inhaltliche Anpassungen der Datenschutzerklärung. Für die reine technische Umsetzung der häufigsten Funde reichen in der Regel wenige Stunden Entwicklerzeit; für eine vollständige rechtliche Absicherung mit anwaltlicher Prüfung sollte man je nach Umfang der Website mit ein bis zwei Wochen Vorlaufzeit planen.
Besonderheiten bei Online-Shops und Buchungsplattformen
E-Commerce-Websites und Buchungsplattformen bringen zusätzliche Prüfpunkte mit: Zahlungsdienstleister (z. B. PayPal, Stripe, Klarna) verarbeiten sensible Zahlungsdaten und benötigen eigene Auftragsverarbeitungsverträge sowie eine gesonderte Erwähnung in der Datenschutzerklärung. Auch Bewertungsportale, Warenkorb-Wiederherstellungs-E-Mails („Cart Abandonment") und Produktempfehlungs-Engines verarbeiten häufig personenbezogene Daten in einer Weise, die über eine reine Cookie-Frage hinausgeht. Wer einen Online-Shop betreibt, sollte die hier vorgestellte Prüfung daher als Einstieg verstehen und für den Checkout-Prozess gezielt eine vertiefte, ggf. anwaltliche Prüfung ergänzen.
Praxisbeispiel: Der Online-Shop „Blumenversand Meier"
Ein fiktives, aber typisches Beispiel: Der inhabergeführte Online-Blumenversand „Blumenversand Meier" lässt seine Website prüfen. Das Ergebnis ist repräsentativ für viele kleine Shops:
- Impressum vorhanden, aber die Telefonnummer fehlt (nicht zwingend, aber empfehlenswert)
- Datenschutzerklärung erwähnt Google Analytics nicht, obwohl es aktiv eingebunden ist
- Der Cookie-Banner zeigt „Alle akzeptieren" / „Ablehnen", aber Google Analytics lädt bereits beim Seitenaufruf – unabhängig von der Auswahl
- Google Maps ist auf der Kontaktseite per iFrame eingebunden und lädt ebenfalls sofort
- Externe Google Fonts werden nachgeladen
Die Lösung war in diesem Fall überschaubar: ein technisch sauber konfiguriertes Cookie-Consent-Tool, das Skripte wirklich erst nach Zustimmung nachlädt, plus eine aktualisierte Datenschutzerklärung. Der Aufwand: wenige Stunden Entwicklerzeit.
🍪 Wie sieht es bei Ihrer Website aus?
Ähnliche Probleme finden sich bei den meisten kleinen und mittleren Websites. Lassen Sie es sich in 30 Sekunden zeigen. Jetzt kostenlos prüfen ↑
Häufige Fehler bei der DSGVO-Prüfung
In der Praxis wiederholen sich bestimmte Fehler auffällig oft:
- Cookie-Banner ohne technische Wirkung: Ein hübscher Banner, der aber keine Skripte blockiert, ist rechtlich wertlos.
- Veraltete Datenschutzerklärung: Neue Tools werden eingebunden, die Datenschutzerklärung aber nicht aktualisiert.
- Fehlende Rechtsgrundlage für Kontaktdaten-Speicherung: Newsletter-Anmeldungen ohne Double-Opt-In-Verfahren und Nachweis der Einwilligung.
- Externe Schriftarten und Karten „aus Gewohnheit": Viele Baukastensysteme binden Google Fonts und Google Maps standardmäßig ein, ohne dass der Betreiber es bewusst entschieden hat.
Wie eine automatisierte Prüfung hilft
Ein automatisierter Scan kann in Sekunden prüfen, ob typische Drittanbieter-Dienste (Google Maps, YouTube, Facebook Pixel, Google Analytics, Google Fonts und weitere Tracker), ein erkennbares Cookie-Consent-Tool sowie Impressum und Datenschutzerklärung vorhanden sind. Das ersetzt keine anwaltliche Prüfung im Einzelfall, gibt aber in Minuten einen realistischen ersten Überblick – kostenlos und ohne Registrierung.
🍪 In 30 Sekunden zum Ergebnis
Testen Sie jetzt kostenlos, welche der genannten Punkte auf Ihrer eigenen Website zutreffen. Jetzt kostenlos prüfen ↑
Wie hoch können Bußgelder tatsächlich ausfallen?
Art. 83 DSGVO unterscheidet zwei Bußgeldrahmen: Verstöße gegen eher organisatorische Pflichten (u. a. Auftragsverarbeitung, Meldepflichten) können mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist (Abs. 4). Für schwerwiegendere Verstöße gegen die Grundprinzipien der Verarbeitung oder gegen die Betroffenenrechte (Abs. 5) verdoppelt sich der Rahmen auf bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. In der Praxis werden gegen kleine Unternehmen und Selbstständige deutlich moderatere Bußgelder verhängt, die sich an Schwere, Dauer und Vorsatz des Verstoßes sowie an der wirtschaftlichen Leistungsfähigkeit orientieren – dennoch zeigt allein der gesetzliche Rahmen, warum das Thema nicht auf die leichte Schulter genommen werden sollte.
Checkliste zum Ausdrucken
Für die schnelle Selbstprüfung eignet sich folgende Kurz-Checkliste:
- ☐ Impressum vollständig und in maximal zwei Klicks erreichbar
- ☐ Datenschutzerklärung nennt alle tatsächlich eingesetzten Dienste (nicht nur eine generische Vorlage)
- ☐ Cookie-Banner blockiert Analyse-/Marketing-Skripte technisch bis zur Zustimmung
- ☐ Website läuft vollständig über https
- ☐ Kontaktformulare fragen nur notwendige Felder ab
- ☐ Google Fonts, Google Maps, YouTube & Co. sind bekannt und bewusst eingebunden
- ☐ Für alle Dienstleister mit Datenzugriff liegt ein Auftragsverarbeitungsvertrag vor
Wer im Unternehmen ist eigentlich zuständig?
Gerade in kleinen und mittleren Unternehmen ist oft unklar, wer die Website-Prüfung eigentlich verantwortet. In der Praxis bewährt sich folgende Aufteilung: Die Geschäftsführung trägt die Gesamtverantwortung nach außen und entscheidet über Budget und Priorität. Wer die Website technisch betreut (interner Mitarbeiter, Agentur oder Freelancer) setzt die konkreten Maßnahmen um – vom lokalen Hosting der Schriftarten bis zur Consent-Tool-Konfiguration. Ist ein Datenschutzbeauftragter bestellt (verpflichtend ab in der Regel 20 Mitarbeitenden, die ständig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind, oder bei bestimmten sensiblen Verarbeitungen), sollte dieser die Ergebnisse einer Website-Prüfung stets mit begutachten und in das unternehmensweite Datenschutzkonzept einordnen.
Häufig gestellte Fragen
Reicht ein Cookie-Banner-Plugin, um DSGVO-konform zu sein?
Nein. Ein Plugin ist nur das Werkzeug – entscheidend ist die korrekte Konfiguration, also ob Skripte tatsächlich erst nach Zustimmung laden.
Wie oft sollte ich meine Website prüfen?
Nach jeder größeren Änderung (neues Tool, neues Theme, neue Kampagne) sowie mindestens einmal jährlich routinemäßig.
Gilt das auch für private oder gemeinnützige Websites?
Die DSGVO gilt grundsätzlich auch für Vereine und private Anbieter, sobald personenbezogene Daten verarbeitet werden – die Impressumspflicht kann bei rein privaten, nicht-geschäftsmäßigen Angeboten abweichen.
Was kostet eine professionelle DSGVO-Prüfung?
Das hängt stark vom Umfang der Website ab. Ein automatisierter Scan als erste Einschätzung ist kostenlos; eine vollständige anwaltliche Prüfung wird individuell nach Aufwand kalkuliert.
Fazit
Eine DSGVO-Prüfung der eigenen Website muss keine wochenlange Rechtsrecherche sein. Wer die genannten sieben Punkte systematisch durchgeht – Impressum, Datenschutzerklärung, Cookie-Consent, SSL, Kontaktformulare, Drittanbieter-Dienste und Auftragsverarbeitungsverträge –, deckt die häufigsten Problemfelder ab. Für die technische Bestandsaufnahme (welche Dienste lädt meine Startseite tatsächlich?) ist ein automatisierter Scanner der schnellste erste Schritt; für die rechtssichere Umsetzung im Einzelfall bleibt eine anwaltliche Beratung empfehlenswert.