DSGVO für deine Website: 7 Dinge, die wirklich zählen

Kurz gesagt: DSGVO klingt nach Angst, ist aber machbar. Diese 7 Punkte decken das ab, was für eine normale Unternehmensseite wirklich zählt – auf dem Stand 2026, ohne Juristendeutsch.

1. Impressum – Pflicht nach § 5 DDG

Fast jede geschäftliche Website braucht ein Impressum. Rechtsgrundlage ist seit dem 14. Mai 2024 das Digitale-Dienste-Gesetz (DDG) – es hat das alte Telemediengesetz (TMG) abgelöst – ergänzt um § 18 Medienstaatsvertrag. Rein müssen mindestens: Name, Anschrift, Rechtsform, vertretungsberechtigte Person, Kontakt (E-Mail), dazu je nach Fall Register- und USt-ID-Nummer. Wichtig: mit einem Klick von jeder Unterseite erreichbar und klar als „Impressum" benannt.

2. Datenschutzerklärung – Art. 13 DSGVO

Die Datenschutzerklärung muss leicht auffindbar sein und verständlich erklären, welche Daten du zu welchem Zweck verarbeitest, auf welcher Rechtsgrundlage, wie lange du sie speicherst und welche Rechte Besucher haben. Auch sie muss mit einem Klick von jeder Unterseite erreichbar sein.

3. Cookie-Banner – § 25 TDDDG

Das frühere TTDSG heißt seit Mai 2024 TDDDG. Sein § 25 ist die Grundlage für jedes Cookie-Banner: Vor dem Setzen nicht notwendiger Cookies (Statistik, Marketing) brauchst du eine aktive Einwilligung. Technisch zwingend nötige Cookies (z. B. Login, Warenkorb) sind ausgenommen. Zwei Dinge, die 2025 mehrfach vor Gericht bestätigt wurden:

• Ein „Ablehnen"-Button muss auf der ersten Ebene sichtbar und optisch gleichwertig zum „Akzeptieren"-Button sein.
• Keine vorangekreuzten Kästchen, kein manipulatives Design (Dark Patterns). Wer „Ablehnen" versteckt, riskiert Abmahnungen und Bußgelder.

4. Kontaktformular – Datenminimierung

Frag nur die Daten ab, die du wirklich brauchst (Art. 5 DSGVO, Datenminimierung). Eine Einwilligungs-Checkbox plus Verweis auf die Datenschutzerklärung gehört dazu; Rechtsgrundlage ist meist Art. 6 Abs. 1 lit. b und f DSGVO. Nutzt du eine WhatsApp-Option, beschreib die Datenübermittlung an Meta ausdrücklich.

5. Google Fonts & externe Dienste – selbst hosten

Der Klassiker unter den Abmahnungen. Lädst du Google Fonts direkt von Googles Servern, wird die IP-Adresse deiner Besucher in die USA übertragen – das Landgericht München sprach dafür 2022 Schadenersatz zu. Die große Abmahnwelle ist zwar vorbei, und der BGH hat die Fragen im August 2025 dem EuGH vorgelegt – das Risiko einzelner Abmahnungen bleibt aber. Sichere Lösung: Schriften und Skripte lokal selbst hosten. Das Gleiche gilt für eingebettete Karten, Videos und Fonts von Drittanbietern – nur mit Einwilligung oder self-hosted.

6. SSL/TLS – Verschlüsselung (HTTPS)

Deine Seite muss über HTTPS laufen. Die Verschlüsselung der Datenübertragung ist eine technische Schutzmaßnahme nach Art. 32 DSGVO – und ohne das grüne Schloss verlierst du außerdem Vertrauen und Google-Ranking.

7. Betroffenenrechte & EU-Vertreter

Besucher haben Rechte auf Auskunft, Berichtigung, Löschung und Widerspruch (Art. 15–21 DSGVO) – nenne dafür einen Kontakt. Und ein oft übersehener Punkt: Sitzt das betreibende Unternehmen außerhalb der EU, brauchst du einen EU-Vertreter nach Art. 27 DSGVO mit echter EU-Adresse. Reine Staatsbürgerschaft reicht nicht.