"Ist meine Website eigentlich DSGVO-konform?" — diese Frage kommt bei uns fast immer erst, nachdem jemand eine Abmahnung bekommen hat oder einen Panik-Artikel gelesen hat. Dabei ist die Rechtslage für kleine Unternehmen überschaubarer, als viele denken. Hier ist die ehrliche Version: was wirklich Pflicht ist, was übertrieben wird — und die 8-Punkte-Checkliste für den Selbst-Check.
Die drei echten Pflichten
1. Impressum
Für jede gewerbliche Website Pflicht, egal wie klein das Unternehmen ist. Rein: vollständiger Name bzw. Firma, ladungsfähige Anschrift (kein Postfach!), E-Mail (idealerweise plus Telefon), bei Einzelunternehmen Vor- und Nachname, USt-IdNr. oder Steuernummer falls vorhanden. Reglementierte Berufe (Arzt, Anwalt, Architekt) brauchen zusätzlich die berufsrechtlichen Angaben.
Erreichbarkeit: maximal 2 Klicks von jeder Seite. Der Footer-Link ist Standard und völlig ausreichend.
2. Datenschutzerklärung
Pflicht, sobald personenbezogene Daten verarbeitet werden — und das passiert praktisch immer (IP-Adressen im Server-Log, Kontaktformular, Analytics). Die Erklärung muss beantworten: Wer ist verantwortlich? Welche Daten werden gesammelt, warum, wie lange? Welche Rechte hat der Besucher? Welche Drittanbieter bekommen Daten (Hosting, Analytics, Newsletter-Tool)?
2 bis 4 Seiten sind normal. Länger ist nicht besser — aktuell muss sie sein. Ein Generator-Text von 2018, der Tools erwähnt, die längst abgeschaltet sind, ist ein klassischer Abmahngrund.
3. Cookie-Banner — aber nur wenn nötig
Der größte Irrtum: "Jede Website braucht einen Cookie-Banner." Stimmt nicht.
Kein Banner nötig: rein technische Cookies (Login-Session, Warenkorb), Server-Logs, cookielose Analytics wie Plausible.
Banner Pflicht: Google Analytics (auch GA4), eingebettete YouTube-Videos, Google Maps, Facebook Pixel, Chat-Widgets.
Und wenn Banner, dann richtig: Ablehnen muss genauso einfach sein wie Zustimmen. "Weitersurfen = Einwilligung" ist seit 2022 nicht mehr zulässig.
Die 5 Fehler, die tatsächlich abgemahnt werden
- Google Fonts vom Google-CDN geladen. Dabei geht die Besucher-IP an Google — seit dem LG-München-Urteil 2022 ohne Einwilligung unzulässig. Fix: Schriftdateien lokal auf dem eigenen Server hosten. Dauert 20 Minuten.
- Kontaktformular ohne Datenschutzhinweis. Ein Satz plus Link zur Datenschutzerklärung direkt am Formular genügt.
- Google Analytics ohne funktionierenden Consent. GA4 ist einwilligungspflichtig. Wer keinen sauberen Banner will: Plausible ist die banner-freie Alternative.
- Veraltete Datenschutzerklärung (siehe oben).
- Kein AV-Vertrag mit dem Hoster. Seriöse Anbieter (Hetzner, All-Inkl, Strato) stellen den automatisch bereit — akzeptieren muss man ihn trotzdem selbst.
Was realistisch droht
Für kleine Unternehmen ist nicht die Datenschutzbehörde das Hauptrisiko, sondern die Abmahnung: Mitbewerber und spezialisierte Kanzleien suchen aktiv nach Verstößen. Typische Kosten: 500–2.000 €. Behördliche Bußgelder treffen Kleinunternehmen selten und fast nur nach Nutzer-Beschwerden.
Der 15-Minuten-Selbst-Check
- [ ] Impressum vorhanden und vollständig (Anschrift, E-Mail)?
- [ ] Impressum in max. 2 Klicks erreichbar?
- [ ] Datenschutzerklärung vorhanden?
- [ ] Alle aktuell genutzten Tools darin erwähnt?
- [ ] Google Fonts lokal gehostet (nicht via fonts.googleapis.com)?
- [ ] Cookie-Banner vorhanden, falls GA/Maps/YouTube im Einsatz — mit echter Ablehn-Option?
- [ ] Kontaktformular mit Datenschutzhinweis?
- [ ] AV-Vertrag mit dem Hosting-Provider akzeptiert?
8/8: entspannt weiterarbeiten. Unter 6: Handlungsbedarf — die häufigsten Punkte (Fonts, Banner, veraltete Erklärung) sind in einem Nachmittag behoben.
Ein schneller Praxis-Test für Punkt 5: Website öffnen, DevTools → Network → nach fonts.googleapis.com filtern. Taucht dort etwas auf, werden Fonts extern geladen.
Bei uns ist das übrigens kein Extra-Service, sondern Standard bei jedem Projekt: lokale Fonts, individuelle Datenschutzerklärung, Plausible statt GA, Banner nur wo nötig. Wie wir das umsetzen: acessio.de
Victor Knapp — acessio, Webdesign & Digitalisierung, Königstraße 35, 70173 Stuttgart.
Hinweis: Dieser Artikel ist keine Rechtsberatung. Bei konkreten Rechtsfragen bitte an eine Kanzlei für IT-Recht wenden.
Top comments (0)