Datenschutz auf der Website: Die Checkliste für Unternehmen

Pflichtangaben

• Impressum nach § 5 Digitale-Dienste-Gesetz (DDG) – das frühere Telemediengesetz gilt seit Mai 2024 nicht mehr. Verweise auf das „TMG“ sollten raus.
• Datenschutzerklärung, die zur Website passt: Jeder eingesetzte Dienst muss mit Zweck, Rechtsgrundlage und Speicherdauer beschrieben sein. Musterformulierungen für Dienste, die Sie gar nicht nutzen, verwirren nur.
• Beide Seiten müssen von jeder Unterseite aus mit einem Klick erreichbar sein.
• Der Link zur EU-Streitschlichtungsplattform ist seit dem 20. Juli 2025 überflüssig – die Plattform gibt es nicht mehr.

Verschlüsselung

Die gesamte Website gehört hinter HTTPS – nicht nur das Kontaktformular. Prüfen Sie, ob das Zertifikat automatisch verlängert wird und ob alte http://-Adressen sauber weiterleiten.

Cookies und Einwilligung

Seit dem Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG, früher TTDSG) gilt: Wer Informationen auf dem Endgerät speichert oder ausliest, braucht eine Einwilligung – außer es ist für den gewünschten Dienst unbedingt erforderlich. Für das Einwilligungs-Banner heißt das:

• „Ablehnen“ muss so einfach sein wie „Akzeptieren“, also auf derselben Ebene und gleich gut sichtbar.
• Keine vorangekreuzten Kästchen.
• Vor der Einwilligung wird nichts geladen, was einwilligungspflichtig ist.
• Die Einwilligung lässt sich jederzeit widerrufen, zum Beispiel über einen Link im Fußbereich.

Inhalte von fremden Servern

• Schriften: Google Fonts und andere Webfonts lokal einbinden. Das Landgericht München I hat 2022 einem Website-Besucher Schadensersatz zugesprochen, weil eine Website Google Fonts dynamisch nachlud.
• Karten und Videos: Google Maps, YouTube & Co. erst nach einem Klick laden (Zwei-Klick-Lösung) oder durch ein Bild mit Link ersetzen.
• Social-Media-Buttons: einfache Links statt eingebetteter Schaltflächen oder Feeds.
• Plugins prüfen: Viele WordPress-Plugins laden Skripte, Schriften oder Bilder von Hersteller-Servern nach.

Formulare

• Nur abfragen, was wirklich gebraucht wird; Pflichtfelder kennzeichnen.
• Hinweis auf die Datenschutzerklärung direkt am Formular. Eine Einwilligungs-Checkbox ist für eine normale Anfrage meist nicht nötig – Rechtsgrundlage ist die Bearbeitung Ihrer Anfrage.
• Spamschutz ohne Google reCAPTCHA, etwa mit versteckten Feldern und Zeitprüfung.
• Anfragen löschen, sobald sie erledigt sind und keine Aufbewahrungspflichten bestehen.

Statistik und Marketing

Besucherstatistiken mit Cookies oder Gerätekennungen brauchen in der Regel eine Einwilligung. Datensparsame Lösungen – etwa ein selbst betriebenes Matomo ohne Cookies und mit gekürzten IP-Adressen – sind eine gute Alternative; ob sie ohne Einwilligung auskommen, sollte Ihr Datenschutzbeauftragter im Einzelfall bewerten. Marketing-Pixel und Remarketing laufen grundsätzlich nur mit Einwilligung.

Verträge und Dokumentation

• Auftragsverarbeitungsvertrag mit dem Hoster und allen Dienstleistern, die personenbezogene Daten verarbeiten.
• Eintrag der Website-Verarbeitungen im Verzeichnis von Verarbeitungstätigkeiten.
• Bei Übermittlungen in Drittländer: Rechtsgrundlage prüfen, etwa das EU-US Data Privacy Framework.