DSGVO auf der Firmen-Webseite: die 8 Punkte, die 2026 wirklich geprüft werden
Das Wichtigste in Kürze
- Pflicht auf jeder Firmen-Webseite: vollständiges Impressum nach § 5 DDG, eine Datenschutzerklärung, die zur Seite passt, SSL-Verschlüsselung und ein Auftragsverarbeitungsvertrag mit dem Hoster.
- Geprüft wird von außen nach innen: erst Impressum und Datenschutzerklärung, dann der Quelltext — extern geladene Google Fonts bleiben der Abmahn-Klassiker, seit das Landgericht München 2022 Schadensersatz zugesprochen hat.
- Ein Cookie-Banner ist nur bei einwilligungspflichtigem Tracking Pflicht — eine Seite ohne Tracking braucht keins.
- Faustregel: Je weniger Drittanbieter-Requests, desto kürzer die Datenschutzerklärung und desto kleiner das Risiko; das Rechtssicherheits-Abo (17 €/Monat netto) prüft und aktualisiert die Rechtstexte laufend bei Rechtsänderungen.
Das Wichtigste zuerst: Pflicht auf jeder Firmen-Webseite sind ein vollständiges Impressum nach § 5 DDG, eine Datenschutzerklärung, die beschreibt, was die Seite tatsächlich tut, SSL-Verschlüsselung und ein Auftragsverarbeitungsvertrag mit dem Hoster. Dazu kommen sparsame Formulare und lokal gehostete Schriften — extern geladene Google Fonts sind der bekannteste Abmahn-Klassiker, seit das Landgericht München dafür 2022 Schadensersatz zugesprochen hat. Ein Cookie-Banner ist dagegen nur nötig, wenn die Seite einwilligungspflichtiges Tracking einsetzt; eine Seite ohne Tracking braucht keins. (Zur Einordnung: Wir sind Digitalagentur, keine Rechtsanwälte — dieser Überblick ersetzt keine Rechtsberatung, macht Sie aber gesprächsfähig.)
Die meisten kleinen Firmen-Webseiten verstoßen dabei nicht aus Böswilligkeit gegen Datenschutzrecht, sondern aus Bequemlichkeit ihrer Baukästen und Vorlagen. Das Problem: Genau diese Bequemlichkeitsfehler sind von außen leicht zu erkennen. Wer fremde Webseiten gezielt auf solche Fehler durchsieht — und das kann ein Wettbewerber ebenso sein wie eine Aufsichtsbehörde nach einer Beschwerde —, geht erfahrungsgemäß von außen nach innen vor: erst das, was ohne Werkzeug sichtbar ist, dann der Quelltext, zuletzt das, was hinter der Fassade liegt. Diese Reihenfolge gehen wir jetzt durch — sie ist zugleich die beste Prüfliste für Ihre eigene Seite.
Was wird auf einer Firmen-Webseite zuerst geprüft?
Das Impressum — weil dafür zwei Klicks genügen und die Rechtslage eindeutig ist. § 5 DDG verlangt Name und Rechtsform, Anschrift, eine schnelle Kontaktmöglichkeit, bei eingetragenen Firmen Register und Nummer sowie die Umsatzsteuer-ID, falls vorhanden. Fehlt davon etwas oder ist das Impressum nur über Umwege zu finden, gehört das zu den am einfachsten abmahnbaren Fehlern überhaupt — der Mangel lässt sich dokumentieren, ohne dass jemand Ihre Technik anfassen müsste.
Der zweite Klick gilt der Datenschutzerklärung, und zwar nicht der Frage, ob eine da ist, sondern ob sie zur Seite passt. Ein typischer Fall: Ein Handwerksmeister hat beim Start seiner Seite einen Generator-Text eingesetzt und ihn seither nicht mehr angerührt. Inzwischen sind ein Kontaktformular und ein Karten-Widget dazugekommen, von denen die Erklärung nichts weiß — dafür erwähnt sie ein Analyse-Tool, das nie eingebaut wurde. Eine Datenschutzerklärung, die Dienste nennt, die Sie gar nicht nutzen, oder Ihre echten verschweigt, ist schlimmer als gar keine: Der Widerspruch zwischen Text und Wirklichkeit ist der einfachste Beleg dafür, dass hier länger niemand hingesehen hat.
Der Blick in den Quelltext: SSL, Schriften und fremde Server
Danach wird es technisch, aber nicht anspruchsvoll. Ob eine Seite per https verschlüsselt ist, zeigt das Schloss-Symbol im Browser. Ohne SSL ist jedes Kontaktformular ein Datenschutzproblem — und die Browser-Warnung »Nicht sicher« schreckt nebenbei genau die Kunden ab, die die Seite gewinnen soll. SSL-Zertifikate sind heute kostenlos, für Ausnahmen gibt es keinen Grund mehr.
Dann die Frage, die ganze Abmahnwellen ausgelöst hat: Woher lädt die Seite ihre Schriften? Google Fonts, die beim Aufruf direkt vom Google-Server kommen, übertragen dabei die IP-Adresse der Besucher — das Landgericht München hat dafür bereits 2022 Schadensersatz zugesprochen. Für Prüfer ist der Punkt so ergiebig, weil er sich automatisiert in Sekunden feststellen lässt — und weil viele Baukästen die Schriften standardmäßig extern laden. Die Lösung ist simpel: Schriften auf den eigenen Server legen. So machen wir es auf dieser Seite — es gibt schlicht keinen Grund dagegen.
Derselbe Blick zeigt alles Übrige, was von fremden Servern lädt: die eingebettete Karte beim Gastronomen, das eingebundene Video, das Buchungs-Widget, die Skript-Bibliotheken des Baukastens. Jede dieser Einbindungen überträgt Besucherdaten an Dritte und gehört deshalb in die Datenschutzerklärung — oder besser auf den Prüfstand, ob es sie überhaupt braucht.
Formulare, Verträge, Banner: was hinter der Fassade liegt
Nicht alles ist von außen sichtbar. Formulare zum Beispiel werden an der Datenminimierung gemessen: Pflichtfelder nur für Angaben, die Sie für die Bearbeitung wirklich brauchen, freiwillige Felder als freiwillig gekennzeichnet — und in der Datenschutzerklärung steht, was mit den Daten passiert. Ein Geburtsdatum im Kontaktformular eines Malerbetriebs hat dort nichts verloren. Und wo es sensibler zugeht, etwa im Termin-Formular einer Praxis, lohnt der kritische Blick auf jedes einzelne Feld umso mehr.
Ebenfalls unsichtbar, aber Pflicht: der Auftragsverarbeitungsvertrag (AVV) mit Ihrem Hoster — bei digitalen Werkzeugen wie Terminbuchung oder Formularen gilt dasselbe, denn der verarbeitet Besucherdaten in Ihrem Auftrag. Von außen kann diesen Vertrag niemand sehen — fragt aber eine Aufsichtsbehörde nach, gehört er zu den Unterlagen, die Sie vorlegen können sollten. Bei seriösen Anbietern ist er mit wenigen Klicks abgeschlossen; er muss nur eben abgeschlossen sein.
Bleibt das Cookie-Banner, die vielleicht kontraintuitivste Wahrheit dieser Liste: Es ist nur Pflicht, wenn Ihre Seite einwilligungspflichtige Dinge tut — Tracking, Marketing-Cookies, Analyse-Dienste mit Drittanbietern. Eine Seite ohne Tracking braucht kein Banner. Wer das nervige Ding weglassen kann, hat also keine Rechtslücke gefunden, sondern wird für sparsame Technik belohnt.
Die acht Punkte als kompakte Prüfliste
Zum Abhaken für die eigene Seite:
- Impressum vollständig und von jeder Seite erreichbar
- Datenschutzerklärung, die beschreibt, was die Seite tatsächlich tut
- Schriften lokal auf dem eigenen Server gehostet
- SSL-Verschlüsselung (https) aktiv
- Formulare fragen nur ab, was für die Bearbeitung nötig ist
- Cookie-Banner nur bei einwilligungspflichtigem Tracking
- Auftragsverarbeitungsvertrag mit dem Hoster geschlossen
- Alle Drittdienste bekannt, benannt — oder entfernt
Das Prinzip hinter allen acht Punkten
Liest man die Prüfgeschichte rückwärts, fällt ein Muster auf: Datenschutz auf der Webseite ist zum größten Teil Technik-Hygiene. Wenig Drittanbieter, sparsame Formulare, Rechtstexte, die zur Realität passen — wer so baut, hat eine kürzere Datenschutzerklärung, braucht oft gar kein Cookie-Banner und bietet wenig Angriffsfläche. Die Faustregel dahinter: Je weniger Fremd-Requests, desto kürzer die Datenschutzerklärung und desto kleiner das Risiko. Genau so bauen wir — Impressum, Datenschutzerklärung und Cookie-Banner sind beim Aufbau inklusive. Und weil sich Rechtslage und Technik weiterentwickeln, prüft und aktualisiert auf Wunsch das Rechtssicherheits-Abo für 17 €/Monat netto (Details auf der Preisseite) die Rechtstexte laufend bei Rechtsänderungen, damit Sie das Thema nicht selbst nachhalten müssen. Falls Sie den Aufbau vergeben: Ob ein Anbieter diese acht Punkte auf der eigenen Webseite sauber umsetzt, ist eines der 8 Kriterien, an denen Sie eine gute Webdesign-Agentur erkennen.
Häufige Fragen zu Datenschutz und Webseiten-Pflichten
Braucht jede Webseite ein Cookie-Banner?
Nein. Ein Cookie-Banner ist nur Pflicht, wenn die Webseite einwilligungspflichtige Techniken einsetzt — Tracking, Marketing-Cookies oder Analyse-Dienste mit Drittanbietern. Eine Firmen-Webseite, die darauf verzichtet, braucht kein Banner — Besucher kommen dann sogar ohne Klick-Hürde zum Inhalt. In der Praxis zeigt sich oft, dass kleine Webseiten ihr Banner nur haben, weil der Baukasten es mitliefert — nicht, weil die Seite es bräuchte. Prüfen Sie deshalb zuerst, was tatsächlich lädt, und entscheiden Sie dann über das Banner.
Sind extern geladene Google Fonts abmahnfähig?
Das Risiko ist real: Das Landgericht München hat bereits 2022 Schadensersatz zugesprochen, weil extern eingebundene Google Fonts beim Seitenaufruf die IP-Adresse der Besucher an Google übertragen — es folgten Abmahnwellen. Betroffen sind vor allem Seiten aus Baukästen und Vorlagen, die Schriften standardmäßig vom Google-Server laden. Die Lösung kostet nichts an Gestaltung: dieselben Schriften lokal auf dem eigenen Server hosten. Ob Ihre Seite betroffen ist, verrät ein Blick in den Quelltext oder in die Netzwerk-Ansicht des Browsers.
Wer prüft, ob eine Webseite die DSGVO einhält?
Zuständig sind die Datenschutz-Aufsichtsbehörden der Bundesländer; sie werden häufig auf Beschwerden hin tätig. In der Praxis kommen Beanstandungen bei kleinen Firmen-Webseiten aber oft nicht von Behörden, sondern als Abmahnung — und die konzentriert sich auf Fehler, die von außen ohne Aufwand belegbar sind: fehlendes oder unvollständiges Impressum, extern geladene Schriften, eine Datenschutzerklärung, die nicht zur Seite passt. Genau deshalb lohnt es sich, die eigene Webseite in derselben Reihenfolge zu prüfen, in der es andere tun würden.
Gilt das Barrierefreiheitsstärkungsgesetz (BFSG) für meine Webseite?
Seit dem 28.06.2025 gilt das BFSG für viele Dienstleistungen, die sich an Verbraucher richten — etwa wenn über die Webseite online gebucht, bestellt oder bezahlt werden kann. Ob Ihre Seite darunterfällt, hängt vom Einzelfall ab: von der Art der Leistung, der Zielgruppe und der Unternehmensgröße. Wer betroffen ist oder es werden könnte, muss das Thema laufend im Blick behalten — dafür gibt es bei uns das BFSG-Monitoring für 25 €/Monat netto: Wir prüfen Ihre Seite laufend automatisch und melden Handlungsbedarf, bevor er zum Problem wird.
Brauche ich einen Datenschutzbeauftragten?
In der Regel erst, wenn mindestens 20 Personen im Unternehmen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind — für die meisten kleinen Betriebe also nicht. Ausnahmen gelten bei besonders sensiblen Datenverarbeitungen, etwa in Teilen des Gesundheitsbereichs. Wichtig: Auch ohne Datenschutzbeauftragten gelten alle übrigen DSGVO-Pflichten dieser Prüfliste uneingeschränkt — die Schwelle betrifft nur die Frage, ob eine benannte Person sie intern überwachen muss.
Was kostet ein Verstoß realistisch?
Eine seriöse Pauschalzahl gibt es nicht — Zahlen, die Ihnen Angst machen sollen, sind meist Verkaufsrhetorik. Realistisch besteht das Risiko bei kleinen Firmen-Webseiten aus zwei Posten (was eine Webseite regulär kostet, steht hier): den Kosten einer Abmahnung (gegnerische Anwaltsgebühren plus die Bindung durch eine Unterlassungserklärung, die jeden Wiederholungsfall teuer macht) und je nach Fall Schadensersatzforderungen einzelner Betroffener, wie beim Google-Fonts-Urteil. Bußgelder der Aufsichtsbehörden kommen bei kleinen Betrieben seltener vor, sind aber möglich. Die günstigste Variante bleibt in jedem Fall, die acht Punkte vorher zu schließen.
Sie möchten Ihre Webseite auf die acht Punkte prüfen lassen? Im Erstgespräch sagen wir Ihnen klar, wo Handlungsbedarf besteht — und wo keiner ist. Kostenloses Erstgespräch — oder direkt anrufen: +49 30 21923807.
Kostenloses Erstgespräch