DSGVO-konforme Website: Checkliste mit Rechtsgrundlagen und Technik

Eine Website ist DSGVO-konform, wenn jede Verarbeitung personenbezogener Daten eine Rechtsgrundlage nach Art. 6 DSGVO hat, Besucher nach Art. 13 informiert werden, nicht notwendige Cookies und Drittdienste erst nach Einwilligung laden (§ 25 TDDDG), Dienstleister einen Vertrag nach Art. 28 DSGVO haben und Daten verschlüsselt übertragen werden.

Stand: 13. Oktober 2026. Grundlage sind der Text der DSGVO auf EUR-Lex, TDDDG, DDG und BDSG auf gesetze-im-internet.de, die Orientierungshilfe der Datenschutzkonferenz für digitale Dienste (November 2024) und ein Urteil des LG München I, abgerufen an diesem Tag. Die Quellen stehen am Ende. Dieser Artikel ersetzt keine Rechtsberatung.

Was „DSGVO-konform“ für eine Website heißt

Fast jede Website verarbeitet personenbezogene Daten, auch ohne Kontaktformular: Schon beim Aufruf überträgt der Browser die IP-Adresse. Das LG München I hat 2022 entschieden, dass die dynamische IP-Adresse für einen Websitebetreiber ein personenbezogenes Datum ist. Damit gilt für die Website die DSGVO.

Jede Verarbeitung braucht nach Art. 6 Abs. 1 DSGVO mindestens eine Rechtsgrundlage. Für Websites kommen vor allem vier in Frage; die Zuordnung der Beispiele ist eine Einschätzung und im Einzelfall zu prüfen:

Rechtsgrundlage	Wortlaut verkürzt	typisches Beispiel auf einer Website
Art. 6 Abs. 1 lit. a	Einwilligung für einen oder mehrere bestimmte Zwecke	Analyse-Tools, Werbung, eingebettete Videos
Art. 6 Abs. 1 lit. b	Erfüllung eines Vertrags oder vorvertragliche Maßnahmen auf Anfrage	Bestellung im Shop, Anfrage nach einem Angebot
Art. 6 Abs. 1 lit. c	Erfüllung einer rechtlichen Verpflichtung	Aufbewahrung von Rechnungsdaten
Art. 6 Abs. 1 lit. f	berechtigte Interessen, sofern die Interessen der betroffenen Person nicht überwiegen	Server-Logs zur Abwehr von Angriffen

Wichtig ist der zweite Halbsatz von lit. f: Das berechtigte Interesse trägt nur, wenn nicht die Interessen oder Grundrechte der betroffenen Person überwiegen, insbesondere wenn es sich um ein Kind handelt. Und nach Art. 5 Abs. 2 DSGVO musst du die Einhaltung nachweisen können („Rechenschaftspflicht“). Die Datenschutzkonferenz (DSK) folgert daraus, dass Verantwortliche vorab prüfen und dokumentieren müssen, auf welche Rechtsgrundlage sie eine Verarbeitung stützen.

Checkliste: DSGVO für Websites

Punkt	Vorschrift	was zu tun ist
Rechtsgrundlage je Verarbeitung	Art. 6 Abs. 1 DSGVO	für Logs, Formulare, Tools, Einbettungen festhalten
Datenschutzerklärung	Art. 13 DSGVO	Pflichtangaben, leicht auffindbar
Einwilligung für nicht notwendige Cookies und Zugriffe	§ 25 TDDDG	vor dem Setzen einholen, Ablehnen gleichwertig
Widerruf	Art. 7 Abs. 3 DSGVO	so einfach wie die Erteilung
Drittinhalte (Schriften, Videos, Karten)	Art. 6 DSGVO, § 25 TDDDG	lokal einbinden oder erst nach Einwilligung laden
Übermittlung in Drittländer	Kapitel V DSGVO	Angemessenheitsbeschluss oder Garantien prüfen
Vertrag mit Hoster und Dienstleistern	Art. 28 DSGVO	Auftragsverarbeitungsvertrag (AVV) abschließen
Verzeichnis von Verarbeitungstätigkeiten	Art. 30 DSGVO	führen, Ausnahme nach Abs. 5 prüfen
Verschlüsselung	Art. 32 DSGVO, § 19 Abs. 4 TDDDG	HTTPS für die ganze Website
Datenschutzbeauftragter	Art. 37 DSGVO, § 38 BDSG	ab in der Regel 20 Personen mit ständiger automatisierter Verarbeitung
Impressum (kein Datenschutzrecht, aber Pflicht)	§ 5 DDG	bei geschäftsmäßigen, in der Regel entgeltlichen Diensten

Cookies und Einwilligung: wann ein Banner Pflicht ist

Die Regel für Cookies steht nicht in der DSGVO, sondern in § 25 TDDDG. Nach Abs. 1 ist jede Speicherung von Informationen auf dem Gerät des Nutzers und jeder Zugriff darauf nur mit Einwilligung zulässig, auf Grundlage klarer und umfassender Informationen. Laut DSK erfasst das nicht nur Cookies, sondern zum Beispiel auch Local- und Session-Storage; auch das aktive Auslesen von Geräteeigenschaften per JavaScript für einen Fingerprint wertet sie als Zugriff.

Abs. 2 nennt zwei Ausnahmen. Keine Einwilligung ist nötig,

1. wenn der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder
2. wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann, etwa den Warenkorb oder die Anmeldung.

Daraus folgt nach dem Wortlaut: Ein Banner ist nur das Mittel, um eine Einwilligung einzuholen. Setzt eine Website ausschließlich unbedingt erforderliche Cookies und lädt keine einwilligungsbedürftigen Dienste, braucht sie für diese Zwecke keine Einwilligung. Sobald Analyse, Werbung oder eingebettete Fremdinhalte dazukommen, ist die Einwilligung vorher einzuholen.

Wie die Abfrage aussehen muss, beschreibt die Orientierungshilfe der DSK für digitale Dienste (November 2024):

• Ablehnen so leicht wie Zustimmen. Verdeckt die Abfrage Inhalte und ist das Ablehnen mit mehr Aufwand verbunden, etwa mehr Klicks, fehlt es laut DSK regelmäßig an der Freiwilligkeit. Gibt es ohne sachlichen Grund keine Ablehnungsmöglichkeit mit demselben Aufwand auf der ersten Ebene, wertet die DSK das als treuwidrige Beeinflussung.
• Konkrete Zwecke auf der ersten Ebene. Gibt es dort einen Knopf, mit dem für mehrere Zwecke eingewilligt wird, müssen auch dort konkrete Angaben zu allen Zwecken stehen. Ein Satz wie „Um Ihnen ein besseres Nutzungserlebnis bieten zu können, verwenden wir Cookies“ ist laut DSK zu unbestimmt.
• Widerruf auf demselben Weg. Nach Art. 7 Abs. 3 DSGVO muss der Widerruf so einfach sein wie die Erteilung. Die DSK hält einen Widerruf nur per E-Mail oder Kontaktformular für unzulässig, ebenso wenn man ihn erst in der Datenschutzerklärung suchen muss.

Google Fonts und andere Drittinhalte

Bindet eine Website Inhalte von fremden Servern ein, überträgt der Browser beim Laden die IP-Adresse an deren Betreiber. Die DSK nennt als typische Drittinhalte Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos, Fotos und Inhalte sozialer Netzwerke; für die damit verbundene Offenlegung ist eine Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO erforderlich.

Das bekannteste Beispiel ist das Urteil des LG München I vom 20.01.2022 (3 O 17493/20). Eine Website hatte Google Fonts vom Google-Server geladen und so die dynamische IP-Adresse eines Besuchers ohne dessen Einwilligung an Google weitergegeben. Ein berechtigtes Interesse nach Art. 6 Abs. 1 lit. f verneinte das Gericht, weil sich Google Fonts auch nutzen lässt, ohne dass beim Aufruf eine Verbindung zu einem Google-Server entsteht. Es verurteilte die Beklagte zur Unterlassung und zu 100 Euro Schadensersatz nach Art. 82 DSGVO. Das ist die Entscheidung eines Landgerichts in einem Einzelfall.

Die technische Folgerung ist einfach: Schriftarten, Icons und Skripte, wo möglich, selbst hosten. Für Videos und Karten bietet sich nach Einschätzung eine Zwei-Klick-Lösung an, die den fremden Inhalt erst nach einem Klick lädt; die Einwilligung muss dann vor dem Laden eingeholt werden.

Bei Diensten aus den USA kommt die Übermittlung in ein Drittland hinzu. Für Unternehmen, die am EU-US Data Privacy Framework teilnehmen, besteht ein Angemessenheitsbeschluss der EU-Kommission vom 10. Juli 2023; die Kommission führt die USA in diesem Umfang in ihrer Liste. Das Gericht der EU hat eine Klage gegen den Beschluss am 3. September 2025 abgewiesen (Rechtssache T-553/23); gegen dieses Urteil ist beim Gerichtshof der EU ein Rechtsmittel anhängig (Rechtssache C-703/25 P). Ob ein Anbieter teilnimmt, musst du im Einzelfall prüfen. Datenschutzrechtlich am wenigsten aufwendig ist nach Einschätzung ein Hoster mit Sitz und Rechenzentrum in der EU; eine Übersicht bietet der Vergleich Hetzner-Alternativen.

Datenschutzerklärung: Pflichtangaben nach Art. 13

Werden Daten bei der betroffenen Person erhoben, muss der Verantwortliche zum Zeitpunkt der Erhebung informieren. Art. 13 DSGVO verlangt unter anderem:

Angabe	Absatz
Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Vertreters	Abs. 1 lit. a
Kontaktdaten des Datenschutzbeauftragten, falls vorhanden	Abs. 1 lit. b
Zwecke und Rechtsgrundlage jeder Verarbeitung	Abs. 1 lit. c
bei lit. f: die verfolgten berechtigten Interessen	Abs. 1 lit. d
Empfänger oder Kategorien von Empfängern	Abs. 1 lit. e
Absicht einer Übermittlung in ein Drittland und die Grundlage dafür	Abs. 1 lit. f
Speicherdauer oder die Kriterien dafür	Abs. 2 lit. a
Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit	Abs. 2 lit. b
Recht, eine Einwilligung jederzeit zu widerrufen	Abs. 2 lit. c
Beschwerderecht bei einer Aufsichtsbehörde	Abs. 2 lit. d

Die Pflicht entfällt nach Art. 13 Abs. 4 nur, soweit die Person die Informationen bereits hat. Generatoren für Datenschutzerklärungen helfen beim Formulieren; nach Einschätzung ist die häufigste Schwachstelle aber nicht der Text, sondern dass er nicht zu dem passt, was die Website technisch tatsächlich tut.

Hosting, AVV und Verzeichnis

Speichert ein Hoster, ein Newsletter-Dienst oder ein Formular-Anbieter personenbezogene Daten in deinem Auftrag, ist er Auftragsverarbeiter. Nach Art. 28 Abs. 3 DSGVO braucht es dann einen Vertrag, der unter anderem Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen festlegt. Er ist nach Abs. 9 schriftlich abzufassen, was auch elektronisch geschehen kann. Wer Websites für Kunden betreibt und dabei Zugriff auf deren Daten hat, kann nach Einschätzung selbst Auftragsverarbeiter sein; was das für Wartungsverträge bedeutet, steht im Artikel Wartungsvertrag Software.

Wann du als SaaS-Anbieter selbst einen AVV anbieten musst und was in die Liste der Unterauftragsverarbeiter gehört, erklärt der Ratgeber AVV für SaaS.

Ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO muss grundsätzlich jeder Verantwortliche führen. Die Ausnahme in Abs. 5 für Unternehmen mit weniger als 250 Beschäftigten ist eng: Sie gilt nicht, wenn die Verarbeitung ein Risiko für die Rechte der Betroffenen birgt, nicht nur gelegentlich erfolgt oder besondere Datenkategorien einschließt. Bei einer Website, die laufend Kontaktanfragen verarbeitet, erfolgt die Verarbeitung nach Einschätzung nicht nur gelegentlich.

Einen Datenschutzbeauftragten müssen nichtöffentliche Stellen nach § 38 Abs. 1 BDSG benennen, soweit sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen, unabhängig davon in bestimmten Fällen wie einer nötigen Datenschutz-Folgenabschätzung.

Technik: HTTPS, Formulare, Logs

• HTTPS überall. Anbieter geschäftsmäßiger digitaler Dienste müssen nach § 19 Abs. 4 TDDDG, soweit technisch möglich und wirtschaftlich zumutbar, ihre Systeme nach dem Stand der Technik schützen; als Vorkehrung nennt das Gesetz insbesondere ein als sicher anerkanntes Verschlüsselungsverfahren. Art. 32 Abs. 1 DSGVO nennt Verschlüsselung ausdrücklich als Maßnahme.
• Formulare sparsam. Nur Felder als Pflicht, die für die Anfrage nötig sind; das folgt aus dem Grundsatz der Datenminimierung in Art. 5 Abs. 1 lit. c DSGVO. Für eine Anfrage nach einem Angebot kommt Art. 6 Abs. 1 lit. b als Rechtsgrundlage in Betracht.
• Logs begrenzen. IP-Adressen in Server-Logs sind personenbezogene Daten. Speicherdauer festlegen, in der Datenschutzerklärung nennen und alte Logs automatisch löschen.

Weitere Sicherheitsmaßnahmen, etwa Security-Header und der Schutz von Formularen, beschreibt Web Security für Entwickler.

Website selbst prüfen: welche fremden Server werden geladen?

Viele Online-Checks zeigen nur einen Ausschnitt. Ein eigener Test mit einem echten Browser zeigt, welche fremden Hosts eine Seite beim ersten Aufruf kontaktiert, also bevor jemand etwas angeklickt hat. Das Skript nutzt Playwright (npm i -D playwright und npx playwright install chromium):

// drittanbieter.mjs: listet beim ersten Aufruf einer Seite fremde Hosts und Cookies
import { chromium } from 'playwright';

const ziel = new URL(process.argv[2]);
const browser = await chromium.launch();
const seite = await browser.newPage();
const fremde = new Set();

seite.on('request', (anfrage) => {
  const host = new URL(anfrage.url()).hostname;
  if (host && host !== ziel.hostname && !host.endsWith('.' + ziel.hostname)) fremde.add(host);
});

await seite.goto(ziel.href, { waitUntil: 'networkidle' });
console.log('Fremde Hosts:', [...fremde].sort());
const cookies = await seite.context().cookies();
console.log('Cookies:', cookies.map((c) => `${c.name} (${c.domain})`));
await browser.close();

Aufruf mit node drittanbieter.mjs https://deine-seite.de/. Mit Playwright 1.63 an einer Testseite geprüft, die Google Fonts vom Google-Server lädt: Das Skript meldet fonts.googleapis.com und fonts.gstatic.com. Taucht vor jeder Einwilligung ein fremder Host oder ein nicht notwendiges Cookie auf, gehört er auf den Prüfstand. Das Skript ersetzt keine rechtliche Prüfung, findet aber die häufigsten technischen Fehler.

Bußgelder und Schadensersatz

Art. 83 DSGVO sieht zwei Stufen vor: bis zu 10 Millionen Euro oder, bei Unternehmen, 2 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahres, etwa bei Verstößen gegen die Pflichten aus Art. 25 bis 39 (darunter Auftragsverarbeitung, Verzeichnis und Sicherheit), und bis zu 20 Millionen Euro oder, bei Unternehmen, 4 Prozent, unter anderem bei Verstößen gegen die Grundsätze und die Einwilligung (Art. 5, 6, 7) und gegen die Betroffenenrechte (Art. 12 bis 22); jeweils gilt der höhere Betrag. Daneben hat nach Art. 82 Abs. 1 jede Person, der wegen eines Verstoßes ein materieller oder immaterieller Schaden entstanden ist, Anspruch auf Schadenersatz, wie im Münchner Google-Fonts-Fall.

Was sich ändern könnte

Die EU-Kommission hat 2025 Änderungen an der DSGVO vorgeschlagen, darunter am 19. November 2025 die „Digital-Omnibus-Verordnung“ (COM(2025) 837), die unter anderem die DSGVO und die ePrivacy-Richtlinie 2002/58/EG ändern soll. EUR-Lex führt beide Vorschläge (COM(2025) 501 und COM(2025) 837) als vorgeschlagene Änderungen; die aktuelle konsolidierte Fassung der DSGVO ist weiterhin die vom 4. Mai 2016. Bis eine Änderung beschlossen ist und gilt, bleiben § 25 TDDDG und die DSGVO in der heutigen Fassung maßgeblich. Ob für eine Website zusätzlich Pflichten zur Barrierefreiheit gelten, klärt der Artikel Barrierefreie Website nach BFSG.

Quellen und Stand

Alle Angaben wurden am 13. Oktober 2026 geprüft an:

• Verordnung (EU) 2016/679 (DSGVO), Text auf EUR-Lex und Dokumentinformationen mit Änderungsvorschlägen
• § 25 TDDDG und § 19 TDDDG
• § 38 BDSG
• § 5 DDG
• Datenschutzkonferenz: Orientierungshilfe für Anbieter:innen von digitalen Diensten (November 2024)
• LG München I, Urteil vom 20.01.2022, 3 O 17493/20
• EU-Kommission: Angemessenheitsbeschlüsse
• Gericht der EU: Urteil vom 03.09.2025, T-553/23
• Gerichtshof der EU: Rechtssache C-703/25 P
• EUR-Lex: Vorschlag COM(2025) 837, Digital-Omnibus-Verordnung
• Playwright: Library

Dieser Artikel gibt den Wortlaut der Vorschriften und die Auffassung der Aufsichtsbehörden wieder und ersetzt keine Rechtsberatung im Einzelfall.

Häufige Fragen

Was braucht eine Website, um DSGVO-konform zu sein?

Eine Rechtsgrundlage nach Art. 6 DSGVO für jede Verarbeitung, eine Datenschutzerklärung mit den Angaben aus Art. 13, eine Einwilligung vor nicht notwendigen Cookies und Drittdiensten nach § 25 TDDDG, Auftragsverarbeitungsverträge mit Hoster und Dienstleistern, in der Regel ein Verzeichnis der Verarbeitungstätigkeiten (Art. 30) und HTTPS. Dazu kommt bei geschäftsmäßigen Seiten das Impressum nach § 5 DDG.

Braucht jede Website einen Cookie-Banner?

Nein. Nach § 25 Abs. 2 TDDDG ist keine Einwilligung nötig, wenn Speicherung oder Zugriff unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Eine Website, die nur solche Cookies nutzt und keine einwilligungsbedürftigen Dienste lädt, braucht nach dem Wortlaut kein Einwilligungsbanner. Mit Analyse, Werbung oder Fremdinhalten ändert sich das.

Muss es im Cookie-Banner einen Ablehnen-Button geben?

Das Gesetz schreibt keinen bestimmten Knopf vor, die Einwilligung muss aber freiwillig sein. Verdeckt die Abfrage Inhalte des Angebots, fehlt es nach Auffassung der Datenschutzkonferenz regelmäßig an der Freiwilligkeit, wenn das Ablehnen mehr Aufwand erfordert als das Zustimmen. Das Fehlen einer gleichwertigen Ablehnung auf der ersten Ebene ohne sachlichen Grund wertet sie als treuwidrig.

Darf man Google Fonts auf einer Website verwenden?

Ja, wenn die Schriften selbst gehostet werden, sodass der Browser keine Verbindung zu Google aufbaut. Das LG München I hat 2022 das Laden von Google-Servern ohne Einwilligung als unzulässige Weitergabe der IP-Adresse gewertet, weil die lokale Einbindung möglich ist, und 100 Euro Schadenersatz zugesprochen.

Braucht eine Website ohne Cookies eine Datenschutzerklärung?

In aller Regel ja. Schon beim Aufruf werden IP-Adressen verarbeitet, etwa in Server-Logs, und darüber muss nach Art. 13 DSGVO informiert werden. Die Pflicht hängt nicht an Cookies, sondern an der Verarbeitung personenbezogener Daten.

Wie lässt sich prüfen, ob eine Website DSGVO-konform ist?

Technisch zuerst: Welche fremden Server lädt die Seite und welche Cookies setzt sie, bevor jemand einwilligt? Das zeigt das Netzwerk-Panel der Entwicklerwerkzeuge oder ein Skript wie oben. Danach Datenschutzerklärung, Verträge mit Dienstleistern und Verzeichnis mit dem tatsächlichen Stand abgleichen. Eine rechtliche Prüfung ersetzt das nicht.