Leitfaden für DSGVO-konforme Websites 2026
Eine Website wird nicht erst durch eine Datenschutzerklärung DSGVO-konform. Entscheidend ist, welche Daten an welcher Stelle verarbeitet werden, wer darauf zugreift und ob Nutzer:innen eine wirksame Wahl haben. Dieser Leitfaden für DSGVO-konforme Websites richtet sich an Unternehmen, die Datenschutz nicht als nachträglichen Pflichttext behandeln, sondern als festen Bestandteil von Konzeption, Entwicklung und Betrieb verstehen wollen.
Gerade bei gewachsenen TYPO3- oder WordPress-Installationen liegt das Risiko oft im Detail: ein eingebundenes Analyse-Tool, ein externes Video, alte Formulare, ein nicht mehr gepflegtes Plugin oder ein Consent-Banner, das technisch keine echte Einwilligung steuert. Wer diese Punkte systematisch prüft, schafft eine tragfähige Grundlage für rechtssichere und wartbare Webprojekte.
Leitfaden für DSGVO-konforme Websites: der richtige Start
Der erste Schritt ist keine technische Einstellung, sondern eine Bestandsaufnahme. Erfassen Sie alle Datenflüsse auf Ihrer Website: Kontakt- und Bewerbungsformulare, Newsletter, Nutzerkonten, Shop-Funktionen, Terminbuchungen, eingebettete Karten, Videos, Schriften, Tracking, Chat-Lösungen und externe Marketingdienste. Auch Server-Logfiles, Sicherheitsdienste und CDN-Konfigurationen gehören dazu.
Für jede Verarbeitung sollten vier Fragen beantwortbar sein: Welche Daten werden erhoben? Zu welchem Zweck? Auf welcher Rechtsgrundlage? Wie lange werden sie gespeichert? Ergänzend ist zu klären, welche Dienstleister beteiligt sind und ob Daten in Länder außerhalb der EU oder des EWR übermittelt werden können.
Diese Übersicht ist mehr als Dokumentation. Sie zeigt, welche Funktionen tatsächlich geschäftlich notwendig sind und wo sich Risiken oder unnötige Abhängigkeiten vermeiden lassen. Nicht jede technisch mögliche Integration ist für eine Unternehmenswebsite sinnvoll.
Datenschutz beginnt bei Architektur und Zuständigkeiten
Datenschutz wird wesentlich einfacher, wenn Verantwortlichkeiten früh geklärt sind. Das Unternehmen bleibt in der Regel für die Datenverarbeitung auf seiner Website verantwortlich. Hosting-Anbieter, Newsletter-Systeme, Analyse-Plattformen oder Support-Dienstleister können als Auftragsverarbeiter eingebunden sein. Dafür müssen geeignete Verträge, insbesondere Vereinbarungen zur Auftragsverarbeitung, vorliegen.
Bei internationalen Anbietern reicht ein Vertrag allein nicht immer aus. Ob und unter welchen Bedingungen eine Datenübermittlung in Drittländer zulässig ist, hängt vom jeweiligen Dienst, den vertraglichen Garantien und der konkreten Konfiguration ab. Hier ist eine datenschutzrechtliche Prüfung sinnvoll, insbesondere wenn Marketing- oder Cloud-Plattformen personenbezogene Daten verarbeiten.
Auch intern braucht es klare Rollen. Marketing sollte nicht eigenständig Tracking-Skripte in den Tag Manager einspielen können, ohne dass Datenschutz und Technik die Folgen bewerten. Umgekehrt darf Datenschutz nicht nur als Freigabestelle am Projektende auftreten. Gute Prozesse verbinden Fachbereich, IT, Entwicklung und gegebenenfalls externe Rechtsberatung frühzeitig.
Einwilligung richtig steuern statt nur abfragen
Für viele nicht notwendige Technologien ist eine Einwilligung erforderlich. Dazu zählen häufig Marketing- und Analyse-Cookies, externe Medienplattformen, personalisierte Werbedienste und manche Chat- oder Kartenangebote. Solche Dienste dürfen nicht bereits beim ersten Seitenaufruf Daten übertragen, nur weil ein Banner eingeblendet wird.
Ein Consent-Management-Tool muss die Einwilligung technisch durchsetzen. Das bedeutet: Skripte und externe Inhalte bleiben bis zur Zustimmung blockiert. Nutzer:innen müssen Kategorien nachvollziehen, eine Auswahl treffen, die Entscheidung später ändern und ebenso einfach ablehnen können wie zustimmen. Vorausgewählte Häkchen oder versteckte Ablehnoptionen sind keine belastbare Grundlage.
Die Anforderungen unterscheiden sich je nach eingesetztem Dienst. Ein technisch notwendiges Sicherheits-Cookie ist anders zu bewerten als ein Werbe-Pixel. Deshalb sind pauschale Kategorien nur begrenzt hilfreich. Entscheidend ist die konkrete Funktion, nicht der Name des Tools.
Externe Inhalte datensparsam einbinden
Videos, Karten oder Social-Media-Feeds sind typische Fehlerquellen. Wird ein Inhalt direkt von einer Drittplattform geladen, kann diese bereits beim Seitenbesuch technische Daten wie IP-Adresse, Browserinformationen oder Referrer erhalten. Eine Zwei-Klick-Lösung oder ein vorgeschalteter Platzhalter reduziert dieses Risiko: Erst nach Zustimmung wird der externe Inhalt nachgeladen.
Wo es fachlich vertretbar ist, sind datensparsame Alternativen oft die bessere Wahl. Ein statisches Vorschaubild, eine Wegbeschreibung als Text oder ein lokal gehostetes Video können Nutzerinteressen erfüllen, ohne zusätzliche Datenflüsse zu erzeugen. Das verbessert häufig auch Ladezeit und Barrierefreiheit.
Formulare: nur abfragen, was wirklich benötigt wird
Kontaktformulare gehören zu den wichtigsten Konversionspunkten einer Unternehmenswebsite. Sie sollten jedoch nur Felder enthalten, die für die Bearbeitung der Anfrage erforderlich sind. Bei einer allgemeinen Kontaktaufnahme sind Pflichtangaben wie Anrede, vollständige Postadresse oder Telefonnummer oft nicht notwendig.
Machen Sie transparent, wofür die Angaben verwendet werden. Verlinkte Datenschutzhinweise am Formular sind üblich, ersetzen aber keine saubere technische und organisatorische Umsetzung. Die Übertragung muss verschlüsselt erfolgen, Empfängeradressen und Mail-Routing müssen geprüft sein, und Formulardaten sollten nicht unbegrenzt in CMS-Datenbanken oder Postfächern liegen bleiben.
Besondere Aufmerksamkeit verdienen Bewerbungsformulare. Hier können sensible Informationen anfallen, und die Aufbewahrungsfristen sind anders zu bewerten als bei einer allgemeinen Vertriebsanfrage. Trennen Sie solche Prozesse technisch und organisatorisch klar von üblichen Kontaktformularen.
Datenschutzerklärung als Abbild der Realität
Eine Datenschutzerklärung muss verständlich beschreiben, welche Datenverarbeitungen auf der Website stattfinden. Dazu gehören unter anderem Verantwortliche, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer, Betroffenenrechte sowie Informationen zu eingesetzten Diensten und möglichen Drittlandtransfers.
Entscheidend ist die Übereinstimmung mit der tatsächlichen Website. Eine umfangreiche Vorlage hilft nicht, wenn sie Dienste erwähnt, die längst entfernt wurden, oder ein neues Analyse-Tool verschweigt. Deshalb sollte die Erklärung bei jedem Release geprüft werden, das Formulare, Tracking, externe Inhalte, Hosting oder Nutzerkonten verändert.
Datenschutztexte sind kein einmaliges Projektartefakt. Sie benötigen einen Pflegeprozess, genauso wie Inhalte, Sicherheitsupdates und technische Dokumentation.
Sichere Technik ist ein Teil des Datenschutzes
Die DSGVO verlangt angemessene technische und organisatorische Maßnahmen. Welche Maßnahmen angemessen sind, hängt von Art, Umfang und Risiko der Verarbeitung ab. Für die meisten Unternehmenswebsites gehören ein aktuelles CMS, gepflegte Erweiterungen, verschlüsselte Verbindungen, sichere Passwörter, rollenbasierte Zugriffe, regelmäßige Backups und ein nachvollziehbares Update-Konzept zur Basis.
Bei TYPO3, WordPress und individuellen Anwendungen sollte klar dokumentiert sein, wer Updates einspielt, wie Sicherheitsmeldungen bewertet werden und wie sich Änderungen vor dem Livegang testen lassen. Veraltete Extensions oder nicht mehr wartbare Eigenentwicklungen erhöhen nicht nur das Sicherheitsrisiko. Sie erschweren auch die langfristige Datenschutz- und Compliance-Arbeit.
Ein durchdachtes Rechtekonzept ist besonders bei größeren Redaktionen relevant. Nicht jede Person benötigt Zugriff auf Formulareingänge, Nutzerkonten oder Systemkonfigurationen. Weniger Berechtigungen bedeuten weniger Fehlermöglichkeiten und eine bessere Nachvollziehbarkeit.
Betrieb, Löschung und Nachweisbarkeit planen
DSGVO-Konformität zeigt sich im laufenden Betrieb. Prüfen Sie regelmäßig, ob Tracking-Dienste, Tags und Plugins noch benötigt werden. Kontrollieren Sie Consent-Protokolle, Berechtigungen, Backups und Speicherfristen. Bei Relaunches oder Migrationen sollte vorab festgelegt werden, welche personenbezogenen Daten überhaupt übernommen werden dürfen und welche Altbestände gelöscht oder anonymisiert werden müssen.
Eine praxistaugliche Kontrollroutine umfasst mindestens diese Punkte:
- Neue externe Dienste und Skripte vor der Veröffentlichung bewerten.
- Consent-Banner und blockierte Inhalte nach Updates technisch testen.
- Datenschutzerklärung und Verzeichnis der Verarbeitungstätigkeiten bei Änderungen aktualisieren.
- CMS, Erweiterungen und Serverkomponenten nach einem festen Wartungsplan aktualisieren.
- Zuständigkeiten für Auskunfts-, Lösch- und Sicherheitsanfragen verbindlich festlegen.
Je komplexer die Website, desto sinnvoller ist ein dokumentierter Freigabeprozess. Er verhindert, dass einzelne Kampagnen, Landingpages oder Tracking-Anforderungen die bisherige Datenschutzarchitektur unbemerkt unterlaufen.
Wann externe Prüfung sinnvoll ist
Technische Umsetzung und rechtliche Bewertung sind unterschiedliche Disziplinen. Eine Webagentur kann Datenflüsse sichtbar machen, Consent-Lösungen sauber integrieren, Formulare datensparsam gestalten und CMS-Prozesse wartbar aufsetzen. Die abschließende Beurteilung von Rechtsgrundlagen, Verträgen oder Drittlandtransfers sollte bei komplexen Fällen durch qualifizierte Datenschutz- oder Rechtsberatung erfolgen.
Besonders empfehlenswert ist diese Zusammenarbeit bei Shops, Bewerberportalen, Gesundheitsdaten, umfangreichem Tracking, internationalen Konzernstrukturen oder kundenindividuellen Webanwendungen. Hier reicht ein Standard-Setup selten aus.
Eine datenschutzgerechte Website entsteht nicht durch möglichst viele Hinweise und Checkboxen. Sie entsteht, wenn Technik, Inhalte und Prozesse dieselbe klare Frage beantworten: Welche Daten brauchen wir wirklich, und wie gehen wir verantwortungsvoll damit um? Wer das bei jeder Weiterentwicklung mitdenkt, reduziert Risiken und schafft zugleich eine Website, der Kund:innen und Geschäftspartner langfristig vertrauen können.
