DSGVO auf der eigenen Website: sieben Punkte, die häufig fehlen

Vorbemerkung: Dieser Beitrag ist eine strukturierte Checkliste und keine Rechtsberatung. Datenschutzerklärung, Impressum, Einwilligungslösung und Verträge mit Dienstleistern gehören vor einem Launch von einer im IT-Recht spezialisierten Kanzlei geprüft. Der Aufwand dafür ist gering im Verhältnis zum Abmahnrisiko.

Warum betrifft das auch kleine Websites?

Weil die häufigsten Verstöße keine Grauzone sind, sondern übersehene Standardfehler, und weil sie sich von außen automatisiert feststellen lassen. Eine Website mit fünf Unterseiten ist davon genauso betroffen wie ein Onlineshop.

• Schriften vom Google-Server
• Cookie-Banner ohne echtes Ablehnen
• Fehlende AV-Verträge
• Datenschutzerklärung passt nicht zur Seite
• Unvollständiges Impressum
• Formulare erheben zu viel
• Kein Verarbeitungsverzeichnis

1. Schriften werden vom Google-Server geladen

Bindet eine Seite Schriften über das Google-Fonts-CDN ein, wird beim Aufruf die IP-Adresse der Besucherin an einen Server außerhalb der EU übertragen, ohne Einwilligung. Genau das war in Deutschland bereits Gegenstand von Abmahnungen.

Die Lösung kostet nichts: Schriftdateien auf dem eigenen Server ablegen und per @font-face einbinden. Die Seite wird dadurch sogar schneller. Dasselbe gilt für Bibliotheken, Icon-Sätze und Karten-Dienste.

2. Der Cookie-Banner hat kein gleichwertiges „Ablehnen“

Ein Banner mit einem großen „Alle akzeptieren“-Knopf und einem versteckten Textlink für die Ablehnung ist nach der gängigen Auslegung unzulässig. Ablehnen muss auf derselben Ebene und mit vergleichbarer Gestaltung möglich sein.

Praktische Konsequenz: Wer kein einwilligungspflichtiges Tracking einsetzt, braucht auch keinen Banner. Cookiefreie Reichweitenmessung reicht für die meisten mittelständischen Websites, und erspart die gesamte Diskussion.

3. Es fehlen Auftragsverarbeitungsverträge

Mit jedem Dienstleister, der personenbezogene Daten im Auftrag verarbeitet, also Hoster, Mailversand, Formulardienst, Kalender-Tool und Analyse-Werkzeug, muss ein Vertrag zur Auftragsverarbeitung bestehen. Das gilt unabhängig von der Unternehmensgröße.

Die Verträge liegen bei den meisten Anbietern als Standarddokument bereit. Der häufigste Fehler ist schlicht, dass es nie jemand gemacht hat.

4. Die Datenschutzerklärung passt nicht zur Seite

Eine aus einem Generator übernommene Erklärung, die Dienste aufzählt, die gar nicht eingesetzt werden, oder die tatsächlich eingesetzten verschweigt, ist schlechter als keine, weil sie die eigene Unkenntnis dokumentiert.

Sinnvoller Ablauf: erst auflisten, was die Seite tatsächlich tut, dann die Erklärung darauf aufbauen und anwaltlich prüfen lassen, nicht umgekehrt.

5. Das Impressum ist unvollständig

Bei einer GmbH gehören Firmierung, Anschrift, Vertretungsberechtigte, Registergericht, Handelsregisternummer und Umsatzsteuer-Identifikationsnummer hinein, sowie eine Kontaktmöglichkeit für unmittelbare Kommunikation.

Häufig fehlen Registergericht und Registernummer, oder das Impressum ist nicht aus dem Fuß jeder Seite erreichbar.

6. Formulare erheben mehr als nötig

Datensparsamkeit ist keine Empfehlung, sondern Grundsatz: Es dürfen nur die Daten erhoben werden, die für den Zweck erforderlich sind. Ein Kontaktformular, das Telefonnummer, Anschrift und Geburtsdatum als Pflichtfelder verlangt, ist schwer zu begründen.

Für eine Kontaktanfrage genügen Name, E-Mail, Unternehmen und Nachricht, dazu die Einwilligungs-Checkbox mit verlinkter Datenschutzerklärung. Der Nebeneffekt: Kürzere Formulare werden häufiger abgeschickt.

7. Es gibt kein Verzeichnis der Verarbeitungstätigkeiten

Dieses interne Dokument ist für die meisten Unternehmen verpflichtend und wird auf Anfrage der Aufsichtsbehörde vorgelegt. Es ist nicht öffentlich, sein Fehlen fällt aber genau dann auf, wenn es unangenehm ist.

Für einen Betrieb mit Website, Mailversand und Buchhaltung ist das ein überschaubares Dokument. Der Aufwand liegt im Erstellen, nicht im Pflegen.

Was ist mit Barrierefreiheit?

Das Barrierefreiheitsstärkungsgesetz gilt seit Juni 2025. Ob es für einen konkreten Betrieb verpflichtend ist, hängt von Unternehmensgröße und angebotener Leistung ab und gehört anwaltlich geprüft.

Unabhängig davon ist WCAG 2.2 AA ein sinnvoller Standard: Tastaturbedienbarkeit, Kontraste, sichtbare Fokus-Anzeige, kein Zusatzaufwand, wenn es von Anfang an mitgebaut wird.

Was ist der pragmatische erste Schritt?

Eine Bestandsaufnahme dessen, was die eigene Seite technisch tatsächlich tut: welche externen Server beim Aufruf kontaktiert werden, welche Daten Formulare erheben und wo diese landen. Alles Weitere folgt aus dieser Liste.

Diese Prüfung ist Teil unseres kostenlosen Website-Audits. Sie ersetzt keine anwaltliche Beratung, zeigt aber, welche der sieben Punkte offen sind.