DSGVO auf der Firmen-Webseite: die 8 Punkte, die 2026 wirklich geprüft werden

Vorab in einem Satz: Die meisten kleinen Firmen-Webseiten verstoßen nicht aus Böswilligkeit gegen Datenschutzrecht, sondern aus Bequemlichkeit ihrer Baukästen und Vorlagen. Diese acht Punkte decken ab, was in der Praxis geprüft und abgemahnt wird. (Wir sind Digitalagentur, keine Rechtsanwälte — dieser Überblick ersetzt keine Rechtsberatung, macht Sie aber gesprächsfähig.)

1. Impressum — vollständig und von jeder Seite erreichbar

Pflicht nach § 5 DDG: Name und Rechtsform, Anschrift, schnelle Kontaktmöglichkeit, bei eingetragenen Firmen Register und Nummer, Umsatzsteuer-ID falls vorhanden. Fehlende oder versteckte Impressen gehören zu den am einfachsten abmahnbaren Fehlern überhaupt.

2. Datenschutzerklärung, die zur Seite passt

Nicht irgendein kopierter Generator-Text, sondern eine Erklärung, die beschreibt, was Ihre Seite tatsächlich tut: Welche Formulardaten erheben Sie? Wer hostet? Welche Drittdienste laufen? Eine Datenschutzerklärung, die Dienste nennt, die Sie gar nicht nutzen — oder Ihre echten verschweigt — ist schlimmer als gar keine Kosmetik.

3. Schriften lokal hosten

Der bekannteste Abmahn-Klassiker: Google Fonts, die beim Seitenaufruf vom Google-Server geladen werden und dabei die IP-Adresse der Besucher übertragen. Das Landgericht München hat dafür bereits 2022 Schadensersatz zugesprochen; es folgten Abmahnwellen. Die Lösung ist simpel: Schriften auf dem eigenen Server hosten. (So machen wir es auf dieser Seite — es gibt schlicht keinen Grund dagegen.)

4. SSL-Verschlüsselung

Ohne https ist jedes Kontaktformular ein Datenschutzproblem und die Browser-Warnung »Nicht sicher« ein Conversion-Killer. SSL-Zertifikate sind heute kostenlos — kein Grund für Ausnahmen.

5. Formulare: nur erheben, was nötig ist

Datenminimierung heißt: Pflichtfelder nur für Angaben, die Sie für die Bearbeitung wirklich brauchen; freiwillige Felder als freiwillig kennzeichnen; in der Datenschutzerklärung beschreiben, was mit den Daten passiert. Ein Geburtsdatum im Kontaktformular eines Malerbetriebs hat dort nichts verloren.

6. Cookie-Banner — oft gar nicht nötig

Die vielleicht kontraintuitivste Wahrheit: Ein Cookie-Banner ist nur Pflicht, wenn Sie einwilligungspflichtige Dinge tun — Tracking, Marketing-Cookies, Analyse-Dienste mit Drittanbietern. Eine Seite ohne Tracking braucht kein Banner. Das nervige Ding wegzulassen ist also keine Rechtslücke, sondern die Belohnung für sparsame Technik.

7. Auftragsverarbeitung mit dem Hoster

Ihr Hosting-Anbieter verarbeitet Besucherdaten für Sie — dafür braucht es einen Auftragsverarbeitungsvertrag (AVV). Bei seriösen Anbietern ist der mit wenigen Klicks abgeschlossen; er muss nur eben abgeschlossen sein.

8. Eingebundene Drittdienste kennen und benennen

Karten, Videos, Buchungs-Widgets, CDN-Bibliotheken: Alles, was von fremden Servern lädt, überträgt Besucherdaten dorthin und gehört in die Datenschutzerklärung — oder besser: auf den Prüfstand, ob es das wirklich braucht. Faustregel: Je weniger Fremd-Requests, desto kürzer die Datenschutzerklärung und desto kleiner das Risiko.

Das Prinzip hinter allen acht Punkten

Datenschutz auf der Webseite ist zu 80 % Technik-Hygiene: wenig Drittanbieter, sparsame Formulare, saubere Rechtstexte, die zur Realität passen. Genau so bauen wir — Rechtstexte und deren Pflege inklusive, damit das Thema bei Ihnen dauerhaft vom Tisch ist.