DSGVO-konforme Website: die Checkliste für Unternehmen

Was macht eine Website DSGVO-konform?

Vor allem, dass sie nur die Daten verarbeitet, die nötig sind, und dass Besucher darüber informiert werden. In der Praxis sind es sieben Punkte, die bei fast jeder Firmenwebsite vorkommen:

Sieben Datenschutz-Punkte für Firmenwebsites

← Tabelle seitlich wischen →

Punkt	Was zu tun ist	Grundlage
Verschlüsselung	gesamte Website über HTTPS mit gültigem SSL-Zertifikat	Art. 32 DSGVO
Einwilligung	Statistik, Werbe-Pixel, Einbettungen erst nach Zustimmung laden	§ 25 TDDDG
Datenschutzerklärung	alle Dienste, Zwecke und Rechtsgrundlagen nennen	Art. 13 DSGVO
Schriften	Webfonts vom eigenen Server laden	LG München I, 3 O 17493/20
Formulare	nur nötige Felder, Hinweis auf Datenschutz	Art. 5 Abs. 1 lit. c DSGVO
Dienstleister	Verträge zur Auftragsverarbeitung mit Hoster, Formular-, Buchungs- und Newsletter-Dienst	Art. 28 DSGVO
Impressum	von jeder Seite erreichbar	§ 5 DDG

Das Impressum gehört streng genommen nicht zum Datenschutz, wird aber fast immer in einem Zug geprüft. Was hineingehört, steht im Ratgeber Was kostet eine Website in Frankfurt? im Abschnitt zu den Pflichtangaben.

Brauche ich einen Cookie-Banner?

Nur, wenn die Website Informationen auf dem Gerät des Besuchers speichert oder ausliest, die nicht unbedingt erforderlich sind. Die Regel steht nicht in der DSGVO, sondern im Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz:

„(1) Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. […] (2) Die Einwilligung nach Absatz 1 ist nicht erforderlich, […] 2. wenn die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf bereits in der Endeinrichtung des Endnutzers gespeicherte Informationen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.“

Für die Praxis heißt das: Eine schlanke Firmenwebsite ohne Statistik, Werbe-Pixel und eingebettete Fremddienste kommt ohne Banner aus. Sobald Google Analytics, ein Meta-Pixel oder eingebettete Videos dazukommen, braucht es eine echte Einwilligung, bei der „Ablehnen“ genauso leicht ist wie „Akzeptieren“, und die Dienste dürfen erst danach laden. Wir richten das als Zusatz für 69 € ein, inklusive Einbindung von Google Analytics oder Matomo.

Was muss in die Datenschutzerklärung?

Alles, was die Website tatsächlich mit personenbezogenen Daten macht. Die Pflicht dazu steht in Art. 13 DSGVO:

„Werden personenbezogene Daten bei der betroffenen Person erhoben, so teilt der Verantwortliche der betroffenen Person zum Zeitpunkt der Erhebung dieser Daten Folgendes mit: a) den Namen und die Kontaktdaten des Verantwortlichen sowie gegebenenfalls seines Vertreters; b) gegebenenfalls die Kontaktdaten des Datenschutzbeauftragten; c) die Zwecke, für die die personenbezogenen Daten verarbeitet werden sollen, sowie die Rechtsgrundlage für die Verarbeitung; […]“

Typische Abschnitte sind Hosting und Server-Logfiles, Kontaktformular, Terminbuchung, Statistik, eingebettete Karten oder Videos, Newsletter und Social-Media-Links. Ein Mustertext von einer anderen Website passt fast nie, weil er Dienste nennt, die Sie nicht nutzen, und andere vergisst. Wir schreiben die Datenschutzerklärung nicht selbst; wir geben Ihnen eine Liste der Dienste, die Ihre Website verwendet, damit Sie den Text mit einem seriösen Generator oder Ihrer Rechtsberatung erstellen können.

Darf ich Google Fonts, Google Maps und YouTube einbinden?

Ja, aber nicht ungefragt vom fremden Server. Beim Laden von Schriften, Karten oder Videos von externen Servern wird die IP-Adresse des Besuchers übertragen. Das Landgericht München I hat mit Urteil vom 20. Januar 2022 (Az. 3 O 17493/20) entschieden, dass die dynamische Einbindung von Google Fonts ohne Einwilligung unzulässig war, und dem Kläger 100 € Schadensersatz zugesprochen. Danach folgten viele Abmahnschreiben, deren Berechtigung umstritten ist.

Die einfache Lösung: Schriften lokal vom eigenen Server laden. So bauen wir alle neuen Websites. Karten und Videos binden wir mit einer Zwei-Klick-Lösung ein, die erst nach Zustimmung lädt, oder ersetzen sie durch ein Vorschaubild mit Link.

Brauche ich einen Vertrag mit meinem Hoster?

Ja, wenn der Hoster oder ein anderer Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa Formularanfragen, Buchungen oder Newsletter-Adressen. Die DSGVO verlangt dafür Dienstleister mit hinreichenden Garantien:

„Erfolgt eine Verarbeitung im Auftrag eines Verantwortlichen, so arbeitet dieser nur mit Auftragsverarbeitern, die hinreichend Garantien dafür bieten, dass geeignete technische und organisatorische Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit den Anforderungen dieser Verordnung erfolgt und den Schutz der Rechte der betroffenen Person gewährleistet.“

Bei unserem Hosting liegen die Websites auf Servern in Deutschland, mit SSL und täglichen Backups; einen Auftragsverarbeitungsvertrag schließen wir auf Wunsch. Für Buchungs- oder Newsletter-Dienste schließen Sie den Vertrag direkt mit dem jeweiligen Anbieter. Details zu Hosting und Laufzeiten stehen auf Domain & Hosting.

Was droht bei Verstößen gegen die DSGVO?

Im Ernstfall Bußgelder der Aufsichtsbehörde, Schadensersatzforderungen von Betroffenen und Abmahnungen. Die DSGVO setzt in Art. 83 Abs. 5 einen Rahmen von bis zu 20 Mio. Euro oder 4 % des weltweiten Jahresumsatzes; das ist eine Obergrenze für schwere Verstöße, kein typischer Betrag für kleine Betriebe. Für Unternehmen in Hessen ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit in Wiesbaden zuständig.

Realistischer als ein Bußgeld ist für kleine Betriebe die Abmahnung oder eine Beschwerde eines Besuchers. Beides lässt sich mit den Punkten oben weitgehend vermeiden. Wer unsicher ist, ob die bestehende Website Fremddienste lädt oder veraltete Plugins nutzt, kann sie mit unserer Website-Reparatur prüfen lassen; die Diagnose kostet 145 € und endet mit einem schriftlichen Befund. Rechtliche Bewertungen nehmen wir dabei nicht vor.

Was übernimmt Fly & Froth beim Datenschutz?

Die technische Seite, nicht die rechtliche. Bei neuen Websites setzen wir um: SSL, lokal eingebundene Schriften, Kontaktformulare mit wenigen Feldern und Datenschutzhinweis, Einwilligung vor Statistik und Einbettungen, Hosting in Deutschland, Impressum und Datenschutzerklärung als eigene, von jeder Seite erreichbare Seiten. Die Texte von Impressum und Datenschutzerklärung liefern Sie; für ihre inhaltliche Richtigkeit bleibt der Website-Betreiber verantwortlich.

Für Branchen mit besonders geschützten Daten gelten strengere Regeln; was das für Praxen bedeutet, steht in Website für Arzt- und Zahnarztpraxis. Ob Ihre Website zusätzlich barrierefrei sein muss, klärt Barrierefreie Website und BFSG.

Typische Ausgangslagen: drei Beispiele

So ordnen wir typische Fälle ein. Es sind Beispiele, keine einzelnen Kundengeschichten.

Neue Website ohne Statistik

Ausgangslage

Ein Handwerksbetrieb will eine schlanke Website mit Kontaktformular und braucht keine Besucherstatistik.

Vorgehen

Website mit lokal geladenen Schriften, Formular mit Pflichtangaben und Hinweis, Karte als Bild mit Link statt eingebettet. Kein Banner nötig.

Worauf es ankommt

Kommt später Statistik dazu, muss auch das Einwilligungs-Banner dazukommen und die Datenschutzerklärung ergänzt werden.

Bestehende Website mit Google Fonts und YouTube

Ausgangslage

Die Website lädt Schriften und Videos direkt von Google, das Banner hat nur einen „OK“-Knopf.

Vorgehen

Diagnose über die Website-Reparatur, danach Schriften lokal einbinden, Videos per Zwei-Klick-Lösung, Banner mit gleichwertigem „Ablehnen“.

Worauf es ankommt

Danach die Datenschutzerklärung an die tatsächlich genutzten Dienste anpassen.

Praxis mit Online-Terminbuchung

Ausgangslage

Patienten sollen online buchen, im Formular wurde bisher nach Beschwerden gefragt.

Vorgehen

Buchungsmaske auf Name, Kontakt und Terminart reduzieren, Vertrag zur Auftragsverarbeitung mit dem Buchungsdienst, Hinweis in der Datenschutzerklärung.

Worauf es ankommt

Gesundheitsdaten sind besonders geschützt. Medizinische Fragen gehören ins Telefonat oder die Sprechstunde.

Häufige Fragen

Brauche ich immer einen Cookie-Banner?

Nein. Eine Einwilligung ist nach § 25 TDDDG nötig, wenn Informationen auf dem Gerät gespeichert oder ausgelesen werden, die nicht unbedingt erforderlich sind, etwa für Statistik oder Werbung. Eine Website ohne solche Dienste braucht keinen Banner.

Darf ich Google Fonts verwenden?

Ja, wenn die Schriften lokal vom eigenen Server geladen werden. Das LG München I hat 2022 entschieden, dass die dynamische Einbindung ohne Einwilligung unzulässig war (Az. 3 O 17493/20).

Schreiben Sie auch die Datenschutzerklärung?

Nein. Wir setzen die Technik datensparsam um und sagen Ihnen, welche Dienste die Website nutzt. Den Text erstellen Sie mit einem seriösen Generator oder Ihrer Rechtsberatung; wir binden ihn ein.

Was kostet ein DSGVO-gerechtes Cookie-Banner?

Bei uns als Zusatz zur Website 69 € für Cookie-Consent mit Einbindung von Google Analytics oder Matomo. Wer keine Statistik oder Werbung einsetzt, braucht in der Regel kein Banner.

Wer ist in Hessen für Datenschutz zuständig?

Für Unternehmen in Hessen ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) in Wiesbaden die Aufsichtsbehörde.

Passende Seiten und Standorte

• Webdesign: alle Pakete · Domain & Hosting · Website-Reparatur · Website-Pflege
• Ratgeber: Website-Wartung: Was kostet sie? · WordPress oder individuelle Website?
• Webdesign in Ihrer Nähe: Frankfurt · Wiesbaden · Darmstadt · Bad Homburg · Karben

Sie sind unsicher, was Ihre Website nachlädt? Schreiben Sie uns per WhatsApp an +49 163 1474127 oder über das Anfrageformular. Mit der Adresse Ihrer Website und einer Liste der Dienste, die Sie nutzen, sagen wir Ihnen, welche Schritte sinnvoll sind.