DSGVO-konforme Website Checkliste 2025

Deine Website muss DSGVO-konform sein – und das gilt unabhängig davon, ob du ein kleines Unternehmen, Einzelunternehmer oder mittelständischer Betrieb bist. Diese DSGVO Website Checkliste enthält 15 konkrete Punkte, mit denen du deine Website rechtssicher gestaltest und teure Bußgelder sowie Abmahnungen vermeidest. Alles praxisnah erklärt, ohne Juristendeutsch.

DSGVO Website Checkliste: Das Wichtigste vorab

Bußgeld-Risiko: Verstöße gegen die DSGVO können bis zu 20 Millionen EUR oder 4% des weltweiten Jahresumsatzes kosten. Auch kleine Verstöße führen zu Abmahnungen.

Abmahnwellen: Google Fonts von Google-Servern zu laden führte zu tausenden Abmahnungen 2022/2023. Die Lösung: Fonts lokal hosten – kostenlos und rechtssicher.

Cookie-Banner Pflicht: Nutzer müssen VOR dem Setzen von Cookies einwilligen (Opt-in). "Alle akzeptieren" darf nicht prominenter sein als "Ablehnen". Cookie-Walls sind verboten.

AVV-Pflicht: Mit jedem Dienstleister, der personenbezogene Daten verarbeitet (Hosting, Analytics, Newsletter), muss ein Auftragsverarbeitungsvertrag abgeschlossen werden.

EU-Hosting empfohlen: Deutsche Hosting-Anbieter wie Hetzner, IONOS oder Netcup vermeiden die Drittland-Problematik und bieten maximale Rechtssicherheit.

Warum DSGVO-Konformität geschäftskritisch ist

Bei HEADON.pro entwickeln wir alle Webseiten standardmäßig DSGVO-konform – ohne Aufpreis.

Die 15-Punkte DSGVO-Compliance-Checkliste

1. SSL-Verschlüsselung (HTTPS)

SSL-Verschlüsselung ist die Grundvoraussetzung für jede datenschutzkonforme Webseite.

Was Sie tun müssen:

• SSL-Zertifikat installieren
• Alle HTTP-URLs zu HTTPS umleiten
• Mixed Content Warnings beheben
• HSTS-Header aktivieren

Tools zum Testen:

• SSL Labs Test - Umfassender SSL-Check
• SSL Server Test - Mixed Content finden

2. Impressum mit vollständigen Angaben

Pflichtangaben im Impressum:

• Vollständiger Name (bei GmbH: Geschäftsführer)
• Vollständige Anschrift (kein Postfach)
• Kontaktmöglichkeit (Telefon, E-Mail)
• Handelsregister-Nummer (falls vorhanden)
• Umsatzsteuer-ID (falls vorhanden)
• Zuständige Aufsichtsbehörde (bei regulierten Berufen)

Platzierung:

• Von jeder Seite aus maximal 2 Klicks erreichbar
• Deutlich als "Impressum" gekennzeichnet
• Im Footer verlinkt

3. Datenschutzerklärung (Pflicht!)

Die Datenschutzerklärung ist das Herzstück der DSGVO-Compliance.

Muss enthalten nach Art. 13, 14 DSGVO:

• Name und Kontakt des Verantwortlichen
• Kontakt des Datenschutzbeauftragten (falls vorhanden)
• Zweck und Rechtsgrundlage der Datenverarbeitung
• Empfänger der Daten (z.B. Hosting-Provider)
• Speicherdauer
• Rechte der Nutzer (Auskunft, Löschung, etc.)
• Widerrufsrecht bei Einwilligungen
• Beschwerderecht bei Aufsichtsbehörde

Für jedes Tool/Service separat erklären:

• Kontaktformular
• Google Analytics
• Google Fonts
• Newsletter-Tool
• Social Media Plugins
• Cookies

4. Cookie-Banner / Consent Management

Rechtliche Anforderungen:

• Einwilligung VOR dem Setzen von Cookies
• "Ablehnen"-Button genauso prominent wie "Akzeptieren"
• Keine "Cookie-Walls" (Webseite muss ohne Zustimmung nutzbar sein)
• Detaillierte Information über jeden Cookie
• Granulare Auswahl möglich (nicht nur "Alle akzeptieren")
• Einfacher Widerruf der Einwilligung

5. Kontaktformulare datenschutzkonform gestalten

Anforderungen:

• Checkbox: "Ich habe die Datenschutzerklärung gelesen" (aktiv anklicken)
• Link zur Datenschutzerklärung direkt beim Formular
• SSL-verschlüsselte Übertragung
• Nur notwendige Pflichtfelder
• Hinweis auf Speicherdauer
• Hinweis auf Widerrufsrecht

6. Google Analytics datenschutzkonform einbinden

Anforderungen:

• Nur nach Einwilligung (Cookie-Banner)
• IP-Anonymisierung aktiv
• Auftragsverarbeitungsvertrag (AVV) mit Google
• In Datenschutzerklärung erwähnen
• Opt-Out-Möglichkeit anbieten

7. Google Fonts datenschutzkonform einbinden

Problem: Google Fonts von Google-Servern = Datenübertragung in die USA

Lösung: Fonts lokal hosten

Schritte zur lokalen Einbindung:

1. Fonts von Google Fonts herunterladen
2. Auf eigenem Server hochladen
3. Via CSS einbinden

8. Social Media Plugins korrekt einbinden

Problem: Facebook Like-Button, Twitter Share-Button etc. tracken Nutzer automatisch

Lösung: 2-Klick-Lösung oder einfache Share-Links

Vorteile einfacher Share-Links:

• Kein Tracking
• Keine Einwilligung nötig
• Schnellere Ladezeiten
• Volle Kontrolle über Design

9. YouTube-Videos datenschutzkonform einbetten

Noch besser: 2-Klick-Lösung mit Vorschaubild

1. Zeige YouTube-Thumbnail
2. Nutzer klickt → Hinweis auf Datenübertragung
3. Bestätigung → Video wird geladen

10. Newsletter-Anmeldung: Double-Opt-In Pflicht

Double-Opt-In Prozess:

1. Nutzer trägt E-Mail ein
2. Bestätigungs-Mail wird versendet
3. Nutzer klickt Bestätigungslink
4. Erst jetzt ist Anmeldung aktiv

Dokumentation speichern:

• Zeitpunkt der Anmeldung
• IP-Adresse (umstritten, Anwalt fragen)
• Bestätigungszeitpunkt
• Inhalt des Opt-Ins

DSGVO-konforme Newsletter-Anbieter:

• Brevo (ehemals Sendinblue) - EU-Server
• CleverReach - Deutsche Server
• Rapidmail - DSGVO-konform
• Newsletter2Go - EU-Hosting
• Mailchimp - nur mit EU-Hosting Option

11. Hosting-Anbieter in EU wählen

Empfohlene deutsche Hosting-Anbieter:

• Hetzner - Preis-Leistungs-Sieger
• IONOS - Größter deutscher Anbieter
• Netcup - Günstig und zuverlässig
• All-Inkl - Beliebt für WordPress
• Mittwald - Premium-Support

12. Auftragsverarbeitungsverträge (AVV) abschließen

AVV benötigt für:

• Hosting-Anbieter
• Newsletter-Tools
• Analytics-Tools
• CRM-Systeme
• Payment-Provider
• Cloud-Speicher
• Chatbot-Anbieter
• Kalender-Tools
• Support-Ticket-Systeme

Was der AVV regelt:

• Art und Zweck der Datenverarbeitung
• Technische und organisatorische Maßnahmen (TOMs)
• Pflichten des Auftragsverarbeiters
• Haftungsfragen
• Subunternehmer-Regelungen

13. Nutzerrechte ermöglichen

Nutzer haben umfassende Rechte nach DSGVO:

Technische Umsetzung:

• Kontaktformular für Anfragen bereitstellen
• Prozesse für Löschung/Auskunft definieren
• Fristen einhalten (max. 30 Tage)
• Identität prüfen bei Auskunft
• Dokumentation der Anfragen

14. Keine Daten an Drittländer ohne Garantien

Regeln für Drittland-Transfer:

• Nur mit Angemessenheitsbeschluss
• Oder Standardvertragsklauseln
• Oder explizite Einwilligung nach Information

Betroffene Services:

• US-Hosting-Anbieter
• Mailchimp (ohne EU-Option)
• US-Cloud-Storage
• Google Workspace
• Microsoft 365

15. Verzeichnis von Verarbeitungstätigkeiten führen

Pflicht für:

• Unternehmen mit 250+ Mitarbeitern
• ODER bei regelmäßiger Datenverarbeitung
• ODER bei besonderen Datenkategorien

Inhalt des Verzeichnisses:

• Zweck der Verarbeitung
• Kategorien von Daten
• Empfänger der Daten
• Löschfristen
• Technische Maßnahmen

Für kleine Websites: Was ist wirklich Pflicht?

Viele Selbstständige und kleine Unternehmen fragen sich, ob die DSGVO wirklich für sie gilt. Die Antwort ist eindeutig: Ja. Sobald deine Website personenbezogene Daten verarbeitet – und das tut sie spätestens durch ein Kontaktformular, Google Analytics oder einen Newsletter – greift die DSGVO vollständig.

Das bedeutet nicht, dass du jede Enterprise-Anforderung umsetzen musst. Für eine kleine Website mit Kontaktformular und ohne Shop brauchst du im Wesentlichen:

1. SSL-Zertifikat (HTTPS)
2. Vollständiges Impressum (§ 5 TMG)
3. Datenschutzerklärung nach Art. 13 DSGVO
4. DSGVO-konformer Cookie-Banner, wenn du Tracking verwendest
5. Google Fonts lokal hosten
6. AVV mit deinem Hosting-Anbieter

Wenn du auf Google Analytics verzichtest und stattdessen ein datenschutzfreundliches Tool wie Matomo oder Plausible nutzt, brauchst du oft sogar keinen Cookie-Banner. Das vereinfacht die Website deutlich – und verbessert die Nutzererfahrung.

Wenn du gerade eine neue Website planst, findest du im Website erstellen lassen Guide alle Schritte Schritt für Schritt.

Häufige DSGVO-Fehler vermeiden

Tools & Ressourcen für DSGVO-Compliance

DSGVO-Check Tools

Rechtstexte-Generatoren

DSGVO-Checkliste: Quick Reference

DSGVO und Website-Relaunch: Worauf du achten musst

Wenn du deine Website neu entwickeln lässt oder einen Relaunch planst, ist jetzt der richtige Zeitpunkt, DSGVO-Konformität von Anfang an einzubauen. Nachträgliche Korrekturen kosten mehr Zeit und Geld.

Die wichtigsten Punkte beim Relaunch:

• Hosting-Entscheidung: Wähle einen EU-basierten Anbieter. Deutsche Server bei Hetzner, IONOS oder Netcup sind die sicherste Wahl.
• Analytics von Anfang an datenschutzfreundlich: Entscheide dich früh für Matomo oder Plausible statt Google Analytics. Spart den Cookie-Banner und schützt deine Nutzer.
• Fonts im Design-System lokal: Lass deinen Entwickler Fonts von Anfang an lokal einbinden, nicht von Google-Servern laden.
• Formulare mit Datenschutz-Checkbox: Jedes Kontaktformular braucht einen aktiven Consent-Checkbox.
• AVV vor Launch: Schließe Auftragsverarbeitungsverträge mit deinem Hosting-Anbieter ab, bevor die Website live geht.

Du planst gerade einen Relaunch? Schau dir unseren Website Relaunch Guide an – dort findest du auch, was eine rechtssichere Website kostet.

Häufig gestellte Fragen (FAQ)

Was kostet DSGVO-Compliance für meine Website?

DIY mit kostenlosen Tools: 0-200 EUR (eigene Zeitinvestition ~8-20 Stunden). Professionelle Umsetzung durch Agentur: 500-2.000 EUR einmalig. Cookie-Banner-Tools: 0-250 EUR/Monat (Cookiebot, Borlabs). Premium Rechtstexte: 100-200 EUR/Jahr (eRecht24). Im Vergleich zu möglichen Bußgeldern ist das eine sinnvolle Investition.

Gilt die DSGVO auch für kleine Websites und Einzelunternehmer?

Ja! Die DSGVO gilt für alle, die personenbezogene Daten verarbeiten – unabhängig von Unternehmensgröße. Sobald Sie ein Kontaktformular haben, Analytics nutzen oder Newsletter versenden, müssen Sie DSGVO-konform sein. Es gibt keine Ausnahmen für "kleine" Websites.

Muss ich Google Fonts wirklich lokal hosten?

Dringend empfohlen! Das Laden von Google-Servern überträgt IP-Adressen in die USA – ohne Einwilligung problematisch. Mehrere Abmahnwellen 2022/2023 haben das bestätigt. Lokales Hosten ist kostenlos, schneller (Performance-Vorteil) und 100% rechtssicher.

Wie erkenne ich ob meine Website DSGVO-konform ist?

Checkliste: SSL-Zertifikat aktiv (https://)? Cookie-Banner mit echtem Opt-in? Google Fonts lokal gehostet? Datenschutzerklärung vollständig? Impressum auffindbar? AVVs mit allen Dienstleistern? Tools wie Webbkoll oder CookieMetrix scannen Ihre Website automatisch auf Probleme.

Reicht ein Cookie-Banner-Plugin für DSGVO-Compliance?

Nein, ein Cookie-Banner ist nur ein Teil der DSGVO-Compliance. Sie brauchen zusätzlich: vollständige Datenschutzerklärung, korrektes Impressum, AVVs mit Dienstleistern, lokal gehostete Google Fonts, SSL-Verschlüsselung, und dokumentierte Einwilligungen bei Newsletter-Anmeldungen.

Welche Analytics-Alternative ist DSGVO-freundlicher als Google Analytics?

Cookie-freie Alternativen ohne Einwilligung: Matomo (self-hosted, kostenlos), Plausible (ab 9 EUR/Monat), Fathom (ab 14 USD/Monat), Simple Analytics (ab 19 EUR/Monat). Diese Tools sind privacy-friendly, DSGVO-konform und können ohne Cookie-Banner genutzt werden – ein großer UX-Vorteil.

Muss ich auf meiner Website ein Datenschutzbeauftragter angeben?

Nicht zwingend. Ein Datenschutzbeauftragter ist verpflichtend, wenn du mehr als 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigst oder besondere Kategorien von Daten (z.B. Gesundheitsdaten) verarbeitest. Für kleine Websites und Einzelunternehmen genügt der Kontakt des Verantwortlichen in der Datenschutzerklärung.

Gilt die DSGVO auch für Webseiten ohne Online-Shop?

Ja, uneingeschränkt. Schon ein einfaches Kontaktformular, bei dem Name und E-Mail-Adresse eingegeben werden, löst die DSGVO-Pflichten aus. Auch serverseitige Logs (IP-Adressen) gelten als personenbezogene Daten. Es gibt keine Größenschwelle oder Umsatzgrenze.

Wie oft muss ich meine Datenschutzerklärung aktualisieren?

Immer dann, wenn du neue Tools einbindest oder bestehende Services änderst. Mindestens einmal jährlich solltest du prüfen, ob alle eingesetzten Drittanbieter noch korrekt aufgeführt sind. Bei Änderungen gesetzlicher Grundlagen (neue EuGH-Urteile, geänderte Standardvertragsklauseln) ist eine sofortige Aktualisierung nötig.

Was ist der Unterschied zwischen DSGVO und ePrivacy-Richtlinie?

Die DSGVO regelt den Umgang mit personenbezogenen Daten allgemein. Die ePrivacy-Richtlinie (Cookies-Richtlinie) regelt speziell die Nutzung von Cookies und elektronischer Kommunikation. In Deutschland ist die ePrivacy-Richtlinie im TTDSG umgesetzt. Für Websites relevant: Die Pflicht zum Cookie-Opt-in kommt aus dem TTDSG, nicht aus der DSGVO direkt – das ändert aber nichts an der praktischen Anforderung.

Fazit: DSGVO-Compliance ist machbar

Die DSGVO mag komplex erscheinen, aber mit systematischer Herangehensweise ist Compliance erreichbar:

HEADON.pro: DSGVO-konforme Webseiten als Standard

Bei uns ist DSGVO-Konformität kein Extra-Feature, sondern Standard:

Kostenloses Erstgespräch vereinbaren oder direkt Webseiten-Projekt starten

---

Sie suchen professionelle Unterstützung in Ihrer Region? Als Digitalagentur im Main-Tauber-Kreis entwickeln wir DSGVO-konforme Webseiten für Unternehmen in Lauda-Königshofen, Bad Mergentheim und Wertheim. Rechtssicherheit von Anfang an.

---

Weiterführende Ressourcen

• Website erstellen lassen: Der komplette Guide
• Website-Kosten 2025: Transparente Preisübersicht
• Website Relaunch Guide
• Local SEO Guide für kleine Unternehmen
• Core Web Vitals optimieren
• Webentwicklung bei HEADON.pro
• Bundesbeauftragter für Datenschutz (BfDI)
• eRecht24: DSGVO-Informationen
• LfDI Baden-Württemberg: Praxishilfen