Ratgeber für Unternehmenswebsites in Stuttgart & Ludwigsburg
DSGVO-konforme Website: Was wirklich Pflicht ist.
Welche Informationen Besucher bekommen müssen, wann ein Cookie-Banner nötig ist, warum Schriften lokal gehören und was bei Formularen und Dienstleistern gilt.
Datenschutz auf der Website wirkt kompliziert, folgt aber wenigen Grundregeln. Dieser Ratgeber erklärt sie mit Gesetzestext, Gerichtsentscheidungen und den Leitlinien der Datenschutzbehörden. Er ersetzt keine Rechtsberatung, zeigt aber, worauf es ankommt.
Das Wichtigste in Kürze
- Wer Daten erhebt, muss informieren: über Verantwortlichen, Zweck, Rechtsgrundlage, Empfänger und Speicherdauer.1
- Cookies und ähnliche Speicherungen brauchen eine Einwilligung, außer sie sind für den gewünschten Dienst unbedingt erforderlich.2
- Ein vorangekreuztes Kästchen ist keine wirksame Einwilligung.3
- Google Fonts von Google-Servern übertragen die IP-Adresse. Das LG München I sprach dafür 100 € Schadensersatz zu.4
- Bußgelder reichen bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.5
Was muss in die Datenschutzerklärung?
Wer personenbezogene Daten erhebt, muss die Betroffenen zum Zeitpunkt der Erhebung informieren. Art. 13 DSGVO regelt, was dazugehört.1 Auf einer Website geschieht das in der Datenschutzerklärung, die von jeder Seite aus erreichbar sein sollte.
| Angabe | Beispiel auf einer Website |
|---|---|
| Verantwortlicher mit Kontaktdaten | Ihr Unternehmen mit Anschrift und E-Mail |
| Datenschutzbeauftragter, falls vorhanden | Kontaktdaten des Beauftragten |
| Zwecke und Rechtsgrundlage | Beantwortung von Anfragen, Bereitstellung der Website |
| Empfänger | Hosting-Anbieter, Formular- oder Buchungsdienst |
| Übermittlung in Drittländer | Etwa an Dienste mit Sitz in den USA |
| Speicherdauer und Rechte | Löschfristen, Auskunft, Berichtigung, Widerruf, Beschwerde bei der Aufsichtsbehörde |
Quelle: Art. 13 DSGVO1. Das Impressum ist etwas anderes und folgt aus § 5 DDG6.
Wann brauche ich ein Cookie-Banner?
Ein Cookie-Banner brauchen Sie nur, wenn Sie eine Einwilligung einholen müssen. § 25 TDDDG erlaubt das Speichern von Informationen auf dem Gerät der Besucher oder den Zugriff darauf nur mit Einwilligung, außer es ist unbedingt erforderlich, damit Sie einen ausdrücklich gewünschten Dienst bereitstellen können.2 Die Datenschutzbehörden betonen, dass Banner nur eingesetzt werden sollten, wenn eine Einwilligung tatsächlich nötig ist.7
So prüfen Sie, ob Sie ein Banner brauchen
- BestandsaufnahmeWelche Cookies, Skripte und eingebetteten Dienste lädt die Seite?
- Unbedingt erforderlich?Etwa Warenkorb oder Spracheinstellung: keine Einwilligung nötig
- Sonst EinwilligungStatistik, Marketing, Karten, Videos: vor dem Laden einholen
- Ablehnen gleich leichtAblehnen auf der ersten Ebene so einfach wie Zustimmen
Für das Banner selbst nennen die Datenschutzbehörden klare Anforderungen: Ein Banner mit nur einem „OK“-Button ergibt keine eindeutige Einwilligung, die Zwecke müssen schon auf der ersten Ebene konkret benannt werden, und gibt es keinen triftigen Grund, Ablehnen nicht genauso einfach zu machen wie Zustimmen, werten die Behörden das als unzulässige Beeinflussung.7 Der Europäische Gerichtshof hat 2019 entschieden, dass ein vorangekreuztes Kästchen, das Besucher abwählen müssen, keine wirksame Einwilligung ist.3
Warum gehören Schriften auf den eigenen Server?
Werden Schriften wie Google Fonts beim Seitenaufruf von Google-Servern geladen, wird die IP-Adresse der Besucher an Google übertragen. Das Landgericht München I hat 2022 entschieden, dass das ohne Einwilligung das Persönlichkeitsrecht verletzt, weil sich die Schriften auch ohne Verbindung zu Google nutzen lassen. Der Websitebetreiber musste die Einbindung unterlassen und 100 € Schadensersatz zahlen.4 Die Lösung ist einfach: Schriften herunterladen und vom eigenen Server ausliefern.
Was gilt für Karten, Videos und Social Media?
Eingebettete Karten, Videos oder Social-Media-Beiträge laden Inhalte von fremden Servern. Dabei werden wie bei den Schriften mindestens IP-Adressen übertragen4, oft werden zusätzlich Cookies gesetzt, die eine Einwilligung brauchen.2 Unsere Empfehlung: Karten und Videos erst nach einem Klick laden oder ein Vorschaubild mit Link zum Dienst zeigen.
Was gilt für Kontaktformulare?
Wer über ein Formular Daten erhebt, muss direkt am Formular erkennbar machen, wofür die Daten verwendet werden, und auf die Datenschutzerklärung verweisen.1 Fragen Sie nur ab, was Sie für die Antwort brauchen, und übertragen Sie Formulare verschlüsselt über HTTPS. Die DSGVO verlangt geeignete technische Maßnahmen zum Schutz der Daten.1 Besonders sensibel sind Gesundheitsdaten, etwa bei Praxen. Mehr dazu im Ratgeber Website für Physiotherapie.
Was gilt für Hosting und Dienstleister?
Wenn ein Dienstleister personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa Ihr Hosting-Anbieter oder ein Buchungsdienst, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.1 Bei Diensten aus den USA ist zu prüfen, ob sie am EU-US-Datenschutzrahmen teilnehmen. Für teilnehmende Unternehmen hat die EU-Kommission am 10. Juli 2023 ein angemessenes Schutzniveau festgestellt, Daten können dann ohne zusätzliche Garantien übermittelt werden.8
Was droht bei Verstößen?
Die DSGVO sieht Bußgelder und Schadensersatz vor. Für schwere Verstöße liegt die Obergrenze bei 20 Millionen Euro oder 4 Prozent des weltweiten Vorjahresumsatzes, je nachdem, welcher Betrag höher ist.5 Betroffene können außerdem materiellen und immateriellen Schadensersatz verlangen.1 Wie das konkret aussehen kann, zeigt das Google-Fonts-Urteil mit 100 € Schadensersatz.4
Checkliste für Ihre Website
Häufige Fragen
Quellen
Es sind ausschließlich Primärquellen: Gesetzestexte, Gerichte und Behörden, die Dokumentation der Anbieter selbst sowie Originalstudien. Abgerufen und geprüft am 13. Oktober 2026. Dieser Ratgeber ersetzt keine Rechtsberatung.
- Verordnung (EU) 2016/679: Datenschutz-Grundverordnung (DSGVO). Amtsblatt der EU, EUR-Lex. eur-lex.europa.eu/eli/reg/2016/679/oj
- Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG): § 25 Schutz der Privatsphäre bei Endeinrichtungen. gesetze-im-internet.de. gesetze-im-internet.de/ttdsg/__25.html
- Gerichtshof der Europäischen Union: Pressemitteilung Nr. 125/19 zum Urteil C-673/17 (Planet49). 1. Oktober 2019. curia.europa.eu/site/upload/docs/application/pdf/2019-10/cp190125de.pdf
- Landgericht München I: Endurteil vom 20.01.2022, Az. 3 O 17493/20 (Google Fonts). veröffentlicht auf gesetze-bayern.de. gesetze-bayern.de/Content/Document/Y-300-Z-BECKRS-B-2022-N-612
- Europäischer Datenschutzausschuss (EDSA): Leitlinien 04/2022 für die Berechnung von Geldbußen im Sinne der DSGVO. Version 2.1, angenommen 2023. edpb.europa.eu/system/files/2024-01/edpb_guidelines_042022_calculationofadministrativef…
- Digitale-Dienste-Gesetz (DDG): § 5 Allgemeine Informationspflichten. gesetze-im-internet.de. gesetze-im-internet.de/ddg/__5.html
- Datenschutzkonferenz (DSK): Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten. Version 1.2, November 2024. datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf
- Europäische Kommission: Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen (Data Privacy Framework). Pressemitteilung vom 10. Juli 2023. ec.europa.eu/commission/presscorner/detail/de/ip_23_3721
„Datenschutz ist bei uns kein Nachtrag, sondern Teil jedes Projekts. Im kostenlosen Vorentwurf zeigen wir, wie Ihr neuer Auftritt aussehen kann."
Ertugrul Yavuz, CLOBS® Gründer
Zum kostenlosen Vorentwurf →