DSGVO-Checkliste für Website-Betreiber

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist ein EU-weites Gesetz, das regelt, wie Unternehmen personenbezogene Daten erheben, speichern und verarbeiten dürfen. Sie gibt betroffenen Personen weitreichende Rechte — etwa auf Auskunft, Berichtigung und Löschung ihrer Daten — und verpflichtet Unternehmen im Gegenzug zu Transparenz und einer nachvollziehbaren Rechtsgrundlage für jede Verarbeitung. Verstöße können von den Datenschutz-Aufsichtsbehörden mit empfindlichen Bußgeldern geahndet werden.

Für Website-Betreiber ist die DSGVO deshalb kein einmaliges Projekt, sondern ein laufendes Thema — jedes neue Tool, jedes eingebundene Formular und jeder Tracking-Pixel wirft dieselbe Frage auf: Ist das sauber, oder brauchen wir Einwilligung? Wir haben eine Checkliste zusammengestellt, an der du dich orientieren kannst.

Was dich im Artikel erwartet

Datenschutzbeauftragter
SSL-Zertifikat
Google Analytics
Google Maps, Google Fonts
Newsletter-Anmeldung
Kontaktformular
Social-Media-Buttons

Datenschutzbeauftragter

Wann ist ein Datenschutzbeauftragter Pflicht?

Ob dein Unternehmen einen Datenschutzbeauftragten benötigt, hängt vor allem von der Anzahl der Personen ab, die regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten befasst sind. Nach § 38 BDSG greift die Pflicht, sobald mindestens 20 Personen ständig damit beschäftigt sind — mitgezählt werden auch Teilzeitkräfte, Auszubildende, Praktikant:innen und Freelancer, die entsprechend eingesetzt werden.

Unabhängig von dieser Zahl kann ein Datenschutzbeauftragter trotzdem Pflicht sein, wenn dein Unternehmen eine umfangreiche systematische Überwachung von Personen betreibt (z. B. Profiling) oder in großem Umfang besonders sensible Daten verarbeitet — etwa Gesundheits- oder biometrische Daten (Art. 37 DSGVO).

Ein Hinweis vorab: Die Bundesregierung hat Ende 2025 angekündigt, die 20-Personen-Schwelle in § 38 BDSG bis Ende 2026 abzuschaffen. Solange kein entsprechendes Gesetz in Kraft getreten ist, gilt aber weiterhin die aktuelle Regelung — und die Pflichten aus Art. 37 DSGVO (Profiling, besondere Datenkategorien) bleiben davon ohnehin unberührt.

Was muss ein Datenschutzbeauftragter können?

Die DSGVO verlangt „berufliche Qualifikation und Fachwissen auf dem Gebiet des Datenschutzrechts und der Datenschutzpraxis“ (Art. 37 Abs. 5). Das lässt sich auf unterschiedlichen Wegen erwerben — etwa über Fortbildungen bei IHKs oder spezialisierten Anbietern, einschlägige Berufserfahrung oder eine Kombination aus beidem. Wichtig ist, dass die Fachkunde im Zweifel nachweisbar ist.

Pflichten

Das Unternehmen über datenschutzrechtliche Pflichten aufklären und deren Einhaltung überwachen.
Ansprechpartner:in für Behörden, Kund:innen, Mitarbeitende und Geschäftsführung bei Fragen zum Umgang mit Nutzer- und Kundendaten sein.
Bei Datenschutz-Folgenabschätzungen beraten und unterstützen.
Das Verarbeitungsverzeichnis führen.
Verschwiegenheit über die Identität Betroffener wahren, sofern diese nicht ausdrücklich davon befreien.

Rechte

Kündigungsschutz (für intern angestellte Datenschutzbeauftragte).
Weisungsfreiheit bei der Erfüllung der Aufgabe — eine Benachteiligung deswegen ist unzulässig.

SSL-Zertifikat

Die Kommunikation zwischen Nutzer:in und Server muss verschlüsselt sein, damit sie nicht von Dritten mitgelesen werden kann. Ein SSL-Zertifikat (heute technisch korrekt: TLS, der Name „SSL“ hat sich aber als Sammelbegriff gehalten) sorgt genau dafür — erkennbar am Schloss-Symbol und https:// in der Adresszeile.

HTTPS ist mittlerweile kein Nice-to-have mehr, sondern Standard: Browser markieren unverschlüsselte Seiten aktiv als „Nicht sicher“, und auch Suchmaschinen werten HTTPS als Rankingfaktor. Ohne gültiges Zertifikat verlierst du also nicht nur das Vertrauen deiner Besucher:innen, sondern auch Sichtbarkeit.

Zusammenfassend:

SSL-/TLS-Zertifikat beschaffen (viele Hoster stellen kostenlose Zertifikate, z. B. via Let’s Encrypt, automatisch bereit).
Zertifikat korrekt einbinden und regelmäßige Verlängerung sicherstellen.

Google Analytics

Seit der Umstellung von Universal Analytics auf Google Analytics 4 (GA4) hat sich hier einiges geändert. GA4 speichert IP-Adressen grundsätzlich nicht dauerhaft und verarbeitet sie standardmäßig ohne die letzten Stellen — die frühere manuelle „IP-Anonymisierung“ per Code-Zusatz entfällt damit als eigener Schritt.

Was sich dafür verschärft hat: Analytics-Cookies dürfen erst nach aktiver Einwilligung gesetzt werden, nicht nur mit einer nachträglichen Opt-out-Möglichkeit. Das ergibt sich aus DSGVO und TTDSG in Verbindung mit der Rechtsprechung des EuGH (Planet49-Urteil). Technisch setzt du das über eine Consent-Banner-Lösung (Cookie-Management-Plattform) um, die Google Analytics erst nach Zustimmung lädt — idealerweise mit Unterstützung für Googles Consent Mode, damit auch eingeschränkte, cookielose Signale korrekt verarbeitet werden.

Zusammenfassend:

Auftragsverarbeitungsvertrag (AVV) mit Google abschließen.
Consent-Banner einsetzen, das Tracking erst nach aktiver Einwilligung lädt.
Aufbewahrungsdauer der Nutzerdaten in Analytics festlegen.
Datenschutzerklärung um Google Analytics und die eingesetzten Cookies ergänzen.
Widerrufsmöglichkeit der Einwilligung jederzeit anbieten.

Google Maps, Google Fonts

Bindest du Google Fonts direkt von Googles Servern ein, fragt der Browser bei jedem Seitenaufruf dort die Schriftdatei ab — und überträgt dabei die IP-Adresse der Besucher:innen an Google, ohne dass eine Rechtsgrundlage dafür vorliegt. Genau das hat 2022 zu einer bundesweiten Abmahnwelle geführt (unter anderem nach einem Urteil des LG München I). Die zuverlässige Lösung: Google Fonts lokal auf dem eigenen Server einbinden, statt sie extern nachzuladen.

Bei Google Maps gilt dasselbe Prinzip. Statt die Karte beim Seitenaufruf automatisch zu laden, empfiehlt sich eine 2-Klick-Lösung: Zunächst wird nur eine Vorschau angezeigt, die eigentliche Karte lädt erst, nachdem Besucher:innen aktiv zugestimmt haben.

Zusammenfassung:

Google Fonts lokal statt über Googles Server einbinden.
Google Maps per 2-Klick-Lösung erst nach aktiver Zustimmung laden.

Newsletter gehören nach wie vor zu den effektivsten Marketing-Kanälen — gerade weil man sie im Gegensatz zu Social-Media-Reichweite nicht „mieten“ muss. Datenschutzrechtlich ist die Anmeldung aber ein eigener Stolperstein: Ohne sauberen Prozess ist jede versendete Mail potenziell abmahnfähig.

Zusammenfassung:

Pflicht-Checkbox mit Verweis auf die Datenschutzerklärung integrieren (kein vorausgefülltes Häkchen).
Double-Opt-in-Verfahren nutzen: Erst nach Bestätigung über einen Link in der Bestätigungsmail ist die Anmeldung wirksam — das ist gleichzeitig der Nachweis der Einwilligung.
In jeder Newsletter-Mail einen funktionierenden Abmeldelink bereitstellen.
Keine Mails ohne vorliegende, nachweisbare Zustimmung versenden.

Kontaktformular

Wer ein Kontaktformular ausfüllt, muss vorher wissen, wofür seine Daten verwendet werden und dass sie jederzeit auf Anfrage gelöscht werden können. In der Praxis reicht dafür meist ein kurzer Hinweistext mit Link zur Datenschutzerklärung direkt über dem „Senden“-Button.

Zusammenfassung:

Formular nur über eine verschlüsselte (HTTPS-)Verbindung anbieten.
E-Mail-Versand über eine gesicherte SMTP-Verbindung sicherstellen.
Link zur Datenschutzerklärung direkt am Formular platzieren.
Klar benennen, welche Daten erhoben werden und wie lange sie aufbewahrt bleiben.
Auftragsverarbeitungsvertrag (AVV) mit Hoster und E-Mail-Anbieter abschließen.

Klassische Social-Media-Plugins laden häufig schon beim Seitenaufruf Inhalte vom jeweiligen Netzwerk nach — und übertragen damit Nutzerdaten, bevor überhaupt ein Klick stattgefunden hat. Auch hier hilft eine 2-Klick-Lösung: Erst aktiviert ein Klick die Verbindung zum Netzwerk, erst der zweite Klick teilt tatsächlich den Inhalt.

Zusammenfassung:

Social-Media-Buttons über eine 2-Klick-Lösung einbinden statt über direkt eingebettete Plugins.

Diese Checkliste bildet die wichtigsten Stolperstellen ab, ersetzt aber keine individuelle Rechtsberatung — bei konkreten Fragen zu deiner Website lohnt sich im Zweifel der Blick eines Fachanwalts oder deines Datenschutzbeauftragten. Angaben ohne Gewähr.