Ist meine Website DSGVO-konform, wenn sie ein Cookie-Banner hat?

Nicht automatisch. Ein Banner ersetzt keine Prüfung, was die Seite tut. Es muss ein echtes „Ablehnen“ auf derselben Ebene wie „Akzeptieren“ bieten, nichts darf vorausgewählt sein, und Dienste dürfen erst nach der Zustimmung laden. Viele Banner tun genau das nicht. Umgekehrt braucht eine Seite ohne Tracking, ohne fremde Schriften und ohne eingebettete Dienste gar kein Banner.

Sind Google Fonts auf der Website verboten?

Nicht verboten, aber das Laden von Google-Servern überträgt die IP-Adresse jedes Besuchers in die USA, bevor er zugestimmt hat. Dafür wurden 2022 gerichtlich 100 € Schmerzensgeld zugesprochen, und es folgten Tausende Abmahnschreiben. Die Lösung ist einfach: Die Schriftdateien werden auf den eigenen Server gelegt. Das ändert optisch nichts und dauert etwa eine Stunde.

Brauche ich als kleiner Betrieb einen Datenschutzbeauftragten?

In der Regel erst, wenn mindestens 20 Personen im Betrieb ständig mit personenbezogenen Daten am Computer arbeiten. Eine Praxis mit drei Mitarbeitern oder ein Handwerksbetrieb mit acht braucht keinen. Trotzdem sollte jemand im Betrieb wissen, was bei einer Auskunftsanfrage zu tun ist: Die Frist beträgt einen Monat.

Was kostet eine Abmahnung wegen der Website?

Die verschickten Forderungen wegen Google Fonts lagen meist bei 100 bis 200 € zuzüglich Anwaltskosten. Abmahnungen wegen fehlendem Impressum oder fehlender Datenschutzerklärung durch Wettbewerber können mehrere Hundert bis über tausend Euro kosten. Die Behebung der Punkte auf dieser Liste kostet bei einer bestehenden Seite meist wenige Stunden Arbeit.

Kann ich die Datenschutzerklärung aus einem Generator nehmen?

Ja, wenn Sie die Fragen darin ehrlich beantworten und danach prüfen, ob die Erklärung genau das beschreibt, was Ihre Seite tut. Ein Generator kann nicht wissen, ob Ihr Formular über Ihren Server läuft oder über einen US-Dienst. Die häufigsten Fehler sind Dienste, die genannt werden, aber nicht laufen, und Dienste, die laufen, aber nicht genannt werden.

Ist ein Kontaktformular DSGVO-konform?

Ja, wenn es verschlüsselt übertragen wird, nur die Angaben abfragt, die Sie für die Antwort brauchen, über Ihren eigenen Server oder einen EU-Anbieter mit Vertrag läuft und in der Datenschutzerklärung mit Zweck und Speicherdauer genannt wird. Ein Häkchen „Ich habe die Datenschutzerklärung gelesen“ ist nicht vorgeschrieben, ein Hinweis mit Link reicht.

Ist meine Website DSGVO-konform? Checkliste mit 12 Punkten

Warum das für kleine Betriebe wichtig ist

Nicht wegen der Behörde, die kommt bei einer Praxis in Marienberg selten vorbei. Sondern wegen Abmahnungen und Schmerzensgeld-Forderungen, die automatisiert verschickt werden. Bekanntestes Beispiel: Ein Gericht sprach 2022 einem Besucher 100 € zu, weil eine Website Schriften von Google-Servern lud und dabei seine IP-Adresse in die USA übertrug. Danach gingen Tausende Schreiben an Betriebe, deren Websites das ebenfalls taten. Die gute Nachricht: Eine Website, die keine fremden Dienste einbindet, hat die meisten dieser Punkte automatisch erledigt.

Die zwölf Punkte

1. Impressum vorhanden und vollständig

Prüfen: Von jeder Unterseite mit einem Klick erreichbar? Name, Anschrift, E-Mail, Telefon, Umsatzsteuer-ID (falls vorhanden), bei Kammerberufen Kammer und Berufsbezeichnung? Das Impressum ist keine DSGVO-Pflicht, sondern kommt aus § 5 des Digitale-Dienste-Gesetzes, wird aber in denselben Abmahnungen geprüft. Was hineingehört.

2. Datenschutzerklärung passt zur Seite

Prüfen: Steht in ihr, was die Seite tatsächlich tut, und nichts anderes? Typische Fehler: Sie nennt Google Analytics, das gar nicht mehr läuft, oder verschweigt das Kontaktformular, das läuft. Sie muss Verantwortlichen, Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und Ihre Rechte als Besucher nennen (Art. 13 DSGVO). Eine Vorlage aus dem Netz ist nur so gut wie die Angaben, die Sie darin gemacht haben.

3. Verschlüsselung: das Schloss im Browser

Prüfen: Beginnt die Adresse mit https und zeigt der Browser ein Schloss, auch wenn Sie die Seite ohne „www“ und mit http aufrufen? Dann leitet alles sauber auf die verschlüsselte Version um. Ohne Verschlüsselung gehen Formulardaten im Klartext durchs Netz, das verstößt gegen die Sicherheitspflicht aus Art. 32 DSGVO. Das Zertifikat ist bei deutschen Hostern im Paket enthalten.

4. Schriften lokal statt von Google

Prüfen: Seite öffnen, Rechtsklick, „Seitenquelltext anzeigen“, nach fonts.googleapis.com oder fonts.gstatic.com suchen. Treffer heißt: Jeder Besucher meldet sich mit seiner IP-Adresse bei Google, bevor er Ihre Seite sieht. Das war der Auslöser der Abmahnwelle. Lösung: die Schriftdateien auf den eigenen Server legen. Dauert eine Stunde, ändert optisch nichts.

5. Cookie-Einwilligung nur, wo sie nötig ist, und dann richtig

Prüfen: Setzt die Seite Cookies oder lädt sie Dienste, die nicht technisch nötig sind: Statistik, Werbe-Tracking, Videos, Karten? Dann braucht sie vor dem Laden eine echte Einwilligung nach § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes: „Ablehnen“ so leicht erreichbar wie „Akzeptieren“, nichts vorausgewählt, nichts geladen, bevor jemand zugestimmt hat. Ein Banner, das nur „OK“ anbietet, ist wertlos. Und umgekehrt: Wer nichts davon einsetzt, braucht kein Banner. Meine Websites laufen so.

6. Statistik und Tracking: brauchen Sie das wirklich?

Prüfen: Läuft Google Analytics, ein Facebook-Pixel, ein Tag-Manager? Fragen Sie sich ehrlich, wann Sie zuletzt in die Auswertung geschaut haben. Die meisten kleinen Betriebe: nie. Dann raus damit; die Seite wird schneller, das Banner entfällt. Wer Zahlen braucht, nimmt ein Werkzeug ohne Cookies mit Servern in der EU oder die Zahlen aus der Google Search Console, die ohne Tracking auskommt.

7. Kontaktformular: sparsam, verschlüsselt, erklärt

Prüfen: Fragt das Formular nur, was Sie für die Antwort brauchen? Läuft es über Ihren eigenen Server oder über einen US-Dienst wie einen Formular-Baukasten? Steht es in der Datenschutzerklärung? Ein Pflichtfeld für die Telefonnummer, wenn Sie per Mail antworten könnten, ist schon zu viel. Bei Praxen gilt zusätzlich: keine Diagnosen abfragen, das gehört ins Gespräch.

8. Vertrag mit dem Hoster

Prüfen: Haben Sie mit Ihrem Hosting-Anbieter einen Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)? Der Hoster verarbeitet für Sie die Besucherdaten, das muss vertraglich geregelt sein. Bei deutschen Anbietern ist der Vertrag im Kundenmenü mit einem Klick abzuschließen, viele Betriebe haben ihn nie angeklickt. Gleiches gilt für Newsletter-Dienste und Formular-Anbieter.

9. Eingebettete Karten, Videos, Social-Buttons

Prüfen: Lädt die Seite eine Google-Karte, ein YouTube-Video, einen Facebook- oder Instagram-Kasten direkt beim Öffnen? Dann überträgt sie Daten an diese Anbieter, bevor jemand zugestimmt hat. Lösung: Vorschaubild zeigen und den Dienst erst auf Klick laden, mit Hinweis. Oder die Karte als Link auf Google Maps statt als Einbettung, das reicht für die Anfahrt völlig.

10. Newsletter mit doppelter Bestätigung

Prüfen: Bekommt jemand, der sich einträgt, zuerst eine Mail mit Bestätigungslink, bevor er im Verteiler landet? Ohne dieses Double-Opt-In können Sie im Streitfall nicht nachweisen, dass die Person das wollte. Der Anbieter sollte Server in der EU haben und den Vertrag aus Punkt 8 anbieten. Ein Abmeldelink in jeder Mail ist Pflicht.

11. Server-Logdateien und Speicherdauer

Prüfen: Der Server protokolliert jeden Aufruf mit IP-Adresse. Das ist erlaubt (berechtigtes Interesse an Sicherheit), muss aber in der Datenschutzerklärung stehen, mit Speicherdauer. Bei den meisten Hostern sind es sieben bis vierzehn Tage; das sollte in Ihrer Erklärung so stehen und nicht „30 Tage“ aus der Vorlage.

12. Rechte der Besucher und Zuständigkeit im Betrieb

Prüfen: Wissen Sie, was Sie tun, wenn jemand Auskunft verlangt, welche Daten Sie über ihn haben? Die Frist beträgt einen Monat. Ab 20 Personen, die ständig mit personenbezogenen Daten arbeiten, brauchen Sie einen Datenschutzbeauftragten; darunter nicht, aber jemand im Betrieb sollte die Anfragen kennen. Ein Verzeichnis der Verarbeitungstätigkeiten ist auch für kleine Betriebe in der Regel Pflicht, weil die Verarbeitung nicht nur gelegentlich stattfindet; für eine Website und ein Kundenverzeichnis ist es eine Seite lang.

Die Checkliste zum Abhaken

Impressum vollständig, von jeder Seite ein Klick
Datenschutzerklärung beschreibt genau diese Seite
https überall, Umleitung von http und ohne www
Keine Schriften von Google-Servern
Kein Cookie-Banner nötig, oder eines mit echtem „Ablehnen“ und nichts vorab geladen
Statistik nur, wenn Sie sie nutzen, dann ohne Cookies und in der EU
Formular sparsam, verschlüsselt, ohne US-Dienst, in der Erklärung genannt
Auftragsverarbeitungsvertrag mit Hoster, Newsletter- und Formular-Anbieter
Karten, Videos, Social-Kästen erst auf Klick
Newsletter mit Double-Opt-In und Abmeldelink
Logdateien mit echter Speicherdauer in der Erklärung
Jemand im Betrieb kennt die Auskunftsfrist von einem Monat

Wie das bei meinen Websites gelöst ist

Schriften liegen auf dem eigenen Server, es läuft keine Statistik und kein Tracking, das Kontaktformular arbeitet ohne US-Dienste, Karten werden als Link oder erst auf Klick geladen. Deshalb kommen die Seiten ohne Cookie-Banner aus. Impressum und Datenschutzerklärung schreibe ich passend zu genau dem, was die Seite tut, und den Vertrag mit dem Hoster richten wir beim Live-Gang gemeinsam ein. Das ist im Festpreis enthalten, nicht als DSGVO-Zusatzpaket. Was das kostet · Kostenlosen Erstentwurf anfordern

Ist meine Website DSGVO-konform? —Die Checkliste mit zwölf Punkten, die Sie selbst prüfen können.