Recht & Sicherheit
DSGVO-Checkliste für Ihre Website: Cookie-Banner, Formulare, Tracking
Von David Osman · · 7 Min. Lesezeit
Kurz gesagt
- Nicht jede Website braucht ein Cookie-Banner – aber jede, die nicht technisch notwendige Dienste einbindet.
- Die häufigsten Fehler sind eingebettete externe Dienste wie Schriftarten, Karten und Videos, die Daten ohne Einwilligung übertragen.
- Formulare brauchen Datensparsamkeit, einen Hinweis auf die Datenschutzerklärung und eine verschlüsselte Übertragung.
- Diese Checkliste ist eine technische Orientierung und ersetzt keine Rechtsberatung.
Datenschutz auf der eigenen Website wirkt aus der Ferne unübersichtlich, ist in der Praxis aber gut abzuarbeiten. Die folgende Checkliste ordnet die Punkte nach dem, was in Prüfungen am häufigsten auffällt. Sie ersetzt keine rechtliche Beratung – sie hilft Ihnen, mit einer sortierten Liste ins Gespräch zu gehen.
1. Externe Dienste erfassen
Der wichtigste erste Schritt: eine Bestandsaufnahme, welche Dienste Ihre Website beim Aufruf lädt. Typische Kandidaten sind Web-Schriftarten, Kartendienste, Videoeinbindungen, Bewertungs-Widgets, Chatbots, Analyse- und Werbe-Tools.
- Werden Schriftarten von einem externen Server geladen? Besser lokal einbinden.
- Wird eine Karte direkt eingebettet? Erst nach Klick oder Einwilligung laden.
- Sind Videos direkt eingebunden? Auf eine datenschutzfreundliche Variante oder Vorschaubild-Lösung umstellen.
- Laufen Analyse- oder Werbeskripte bereits vor der Einwilligung? Das ist der klassische Fehler.
2. Cookie-Banner richtig einsetzen
- Kein Banner nötig, wenn ausschließlich technisch notwendige Cookies zum Einsatz kommen.
- Ablehnen muss genauso einfach sein wie Zustimmen – gleiche Ebene, vergleichbare Gestaltung.
- Keine Vorauswahl von optionalen Kategorien.
- Nicht notwendige Dienste dürfen erst nach der Einwilligung geladen werden.
- Die Einwilligung muss widerrufbar sein, etwa über einen dauerhaft erreichbaren Link.
- Die Entscheidung sollte dokumentiert werden.
3. Datenschutzerklärung aktuell halten
Die Datenschutzerklärung muss von jeder Seite aus erreichbar sein und die tatsächlich eingesetzten Dienste beschreiben – nicht eine Standardauswahl aus einem Generator. Prüfen Sie sie immer dann erneut, wenn ein neues Tool, ein Formular oder ein Chatbot hinzukommt.
- Verantwortliche Stelle mit vollständigen Kontaktdaten.
- Zwecke, Rechtsgrundlagen und Speicherdauer je Verarbeitung.
- Alle eingesetzten Dienste und Empfänger, inklusive Drittlandübermittlung.
- Betroffenenrechte und Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde.
4. Formulare prüfen
- Nur Felder abfragen, die Sie wirklich benötigen – Pflichtfelder deutlich kennzeichnen.
- Hinweis auf die Datenschutzerklärung direkt am Formular.
- Übertragung ausschließlich verschlüsselt über HTTPS.
- Spam-Schutz möglichst datensparsam lösen; externe Dienste sind hier begründungsbedürftig.
- Klären, wohin die Nachrichten gehen und wie lange sie aufbewahrt werden.
5. Technische Grundlagen
- Gültiges SSL-Zertifikat und automatische Weiterleitung auf HTTPS.
- Vertrag zur Auftragsverarbeitung mit dem Hosting-Anbieter.
- Server-Logdateien mit begrenzter Speicherdauer.
- Aktuelle Software-Stände – Sicherheitslücken sind auch ein Datenschutzthema.
- Vollständiges Impressum mit Angaben nach dem Digitale-Dienste-Gesetz.
Typische Stolperfallen
| Stolperfalle | Warum sie problematisch ist |
|---|---|
| Extern geladene Web-Schriftarten | Überträgt die IP-Adresse der Besucher ohne Einwilligung an Dritte |
| Analyse startet vor der Einwilligung | Die Einwilligung läuft ins Leere, weil die Verarbeitung schon begonnen hat |
| Generierte Datenschutzerklärung ohne Anpassung | Beschreibt Dienste, die es nicht gibt – und verschweigt die, die es gibt |
| Kontaktformular ohne Datenschutzhinweis | Fehlende Transparenz bei einer eindeutig personenbezogenen Verarbeitung |
| Kein Widerrufsweg für Cookies | Die Einwilligung muss jederzeit ebenso einfach zurückziehbar sein |
Häufige Fragen
Braucht jede Website ein Cookie-Banner?
Nein. Wer ausschließlich technisch notwendige Cookies verwendet und keine externen Dienste ohne Einwilligung lädt, benötigt kein Einwilligungsbanner. Sobald Analyse-, Werbe- oder eingebettete Drittdienste hinzukommen, ändert sich das.
Reicht eine generierte Datenschutzerklärung aus?
Ein Generator ist ein guter Ausgangspunkt, ersetzt aber nicht die Anpassung an die tatsächlich eingesetzten Dienste. Genau diese Lücke fällt bei Prüfungen und Abmahnungen zuerst auf.
Ist Google Analytics zulässig?
Der Einsatz ist grundsätzlich möglich, setzt aber eine wirksame vorherige Einwilligung, korrekte Konfiguration und eine passende Beschreibung in der Datenschutzerklärung voraus. Ohne Einwilligung darf das Tool nicht laden.
Ersetzt ein DSGVO-Website-Check die Rechtsberatung?
Nein. Ein Check zeigt die technisch und organisatorisch auffälligen Punkte und macht sie verständlich. Die rechtliche Bewertung im Einzelfall gehört zu einem Anwalt oder Datenschutzbeauftragten.
Ich sehe mir die datenschutzrelevanten Punkte Ihrer Website strukturiert an und erkläre verständlich, was zu tun ist.
Zum DSGVO-Website-CheckLassen Sie uns kurz sprechen
Ein kurzes Erstgespräch klärt meist mehr als lange E-Mails. Schreiben Sie mir oder rufen Sie einfach an.