DSGVO-konform in 2026: Was deine Website wirklich braucht
Cookie-Banner, Datenschutzerklärung, Auftragsverarbeitung — was ist Pflicht, was ist übertrieben und wo drohen tatsächlich Bußgelder?
Was braucht deine Website wirklich, um DSGVO-konform zu sein? Diese Checkliste zeigt dir, was tatsächlich Pflicht ist, was übertrieben ist — und wo Bußgelder drohen, wenn du es ignorierst.
Warum DSGVO immer noch relevant ist
Seit 2018 ist die DSGVO in Kraft — und viele Websites sind immer noch nicht konform. Bußgelder wurden in den letzten Jahren deutlich häufiger verhängt, auch gegen kleine Unternehmen. Die häufigsten Verstöße: fehlende oder fehlerhafte Cookie-Banner und die unerlaubte Weitergabe von Daten an US-Dienste.
Die Pflicht-Checkliste für jede Website
- →Impressum: Pflicht für jede geschäftliche Website in Deutschland, Österreich und der Schweiz. Vollständige Angaben laut TMG/UGB.
- →Datenschutzerklärung: Muss alle eingesetzten Dienste und Cookies einzeln benennen — Google Analytics, Fonts, Maps, Social-Embeds.
- →Cookie-Banner: Muss eine echte Wahlmöglichkeit bieten. 'Alles akzeptieren' darf nicht prominenter sein als 'Ablehnen'. Opt-in, nicht Opt-out.
- →SSL-Zertifikat: HTTPS ist Pflicht für jede Website, die personenbezogene Daten verarbeitet (also praktisch jede).
- →Auftragsverarbeitungsverträge (AVV): Für jeden externen Dienst, der Nutzerdaten verarbeitet (Hosting, Analytics, Newsletter-Tool).
Häufige Fehler, die Geld kosten
- →Google Fonts direkt einbinden: Seit dem EuGH-Urteil ist das ohne Einwilligung nicht erlaubt. Lösung: Fonts lokal hosten.
- →Google Analytics ohne Consent: Vor dem Cookie-Consent darf kein Tracking stattfinden. Viele Websites laden Analytics trotzdem sofort.
- →Kontaktformular ohne SSL: Daten werden unverschlüsselt übertragen — ein klarer DSGVO-Verstoß.
- →Veraltete Datenschutzerklärung: Neue Tools eingebunden, aber die Erklärung nicht aktualisiert? Verstoß.
Fazit
DSGVO-Konformität ist kein Hexenwerk, aber auch nichts, was man ignorieren sollte. Die gute Nachricht: Die meisten Punkte sind in 1–2 Tagen umgesetzt. Die schlechte Nachricht: Wer es nicht tut, riskiert Bußgelder von bis zu 20 Millionen Euro oder 4% des Jahresumsatzes — je nachdem, was höher ist.