Website DSGVO-konform erstellen: Schritt-für-Schritt-Anleitung für Unternehmen

Ein Kontaktformular, ein eingebettetes YouTube-Video, Google Fonts im Header – drei alltägliche Website-Elemente, drei potenzielle DSGVO-Verstöße. Wer eine Unternehmenswebsite betreibt, verarbeitet personenbezogene Daten, ob bewusst oder nicht. Dieser Leitfaden zeigt dir Schritt für Schritt, wie du deine Website von Grund auf datenschutzkonform aufbaust – praxisnah, ohne Juristendeutsch und mit einer Checkliste, die du direkt abarbeiten kannst.

Das Wichtigste in Kürze

• Auch kleine Unternehmenswebsites mit Kontaktformular oder Tracking unterliegen der DSGVO – Bußgelder können bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes betragen.
• Die dynamische Einbindung von Google Fonts ohne Einwilligung ist ein DSGVO-Verstoß – das LG München hat dafür bereits Schadensersatz zugesprochen.
• Tracking-Cookies erfordern seit dem BGH-Urteil von 2020 eine aktive Opt-in-Einwilligung, Dark Patterns im Cookie-Banner sind unzulässig.
• Jede Datenverarbeitung auf der Website braucht eine dokumentierte Rechtsgrundlage nach Art. 6 DSGVO – Standardvorlagen decken individuelle Plugins selten ab.
• Newsletter-Anmeldungen setzen ein Double-Opt-in-Verfahren voraus, Betroffenenanfragen müssen innerhalb eines Monats beantwortet werden.
• KMU in Berlin-Brandenburg können Förderprogramme nutzen, die auch die professionelle Umsetzung von DSGVO-Anforderungen auf der Website abdecken.

Lesezeit: 10 Minuten

Inhaltsverzeichnis

1. Warum DSGVO-Konformität für deine Website unverzichtbar ist
2. Datenschutzerklärung rechtssicher erstellen und einbinden
3. Cookie-Banner und Einwilligungsmanagement korrekt umsetzen
4. Impressumspflicht, SSL-Verschlüsselung und technische Grundlagen
5. Drittanbieter-Tools datenschutzkonform einbinden: Analytics, Schriftarten und Social Media
6. Kontaktformulare, Newsletter und Betroffenenrechte korrekt abbilden
7. DSGVO-Checkliste: Die wichtigsten Maßnahmen auf einen Blick
8. Professionelle Unterstützung für deine DSGVO-konforme Website

Warum DSGVO-Konformität für deine Website unverzichtbar ist

Ein Kontaktformular reicht aus, um dich in den Anwendungsbereich der DSGVO zu bringen. Die Frage ist nicht, ob du betroffen bist – sondern wie gut du aufgestellt bist.

Seit Mai 2018 gilt die DSGVO europaweit. Die Bußgeldrahmen sind drastisch: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. Das betrifft nicht nur Konzerne. Auch ein Einzelunternehmen mit einer simplen WordPress-Seite verarbeitet personenbezogene Daten, sobald ein Kontaktformular, ein Analysetool oder ein eingebettetes Video vorhanden ist.

Erfahrungsgemäß unterschätzen gerade kleinere Unternehmen den Umfang: IP-Adressen, die beim Seitenaufruf protokolliert werden, Cookie-Daten, E-Mail-Adressen aus Formularen – all das sind personenbezogene Daten im Sinne der Verordnung. Und die Aufsichtsbehörden schauen genau hin.

Die Berliner Beauftragte für Datenschutz und Informationsfreiheit (BlnBDI) gehört zu den aktivsten Aufsichtsbehörden in Deutschland. Fehlerhafte Cookie-Einwilligungen, fehlende Datenschutzerklärungen oder unerlaubte Drittanbieter-Einbindungen auf Websites regionaler Unternehmen werden regelmäßig beanstandet – mit entsprechenden Konsequenzen.

Datenschutz ist kein einmaliges Projekt, das du einmal erledigst und dann abhakst. Jedes Plugin-Update, jede neue Funktion, jede Änderung am Tracking verändert die datenschutzrechtliche Bewertung deiner Website. Wer das als fortlaufenden Prozess begreift, schützt sich nicht nur vor Bußgeldern, sondern stärkt gleichzeitig das Vertrauen potenzieller Kunden – und das wirkt sich direkt auf die Conversion-Rate aus.

Datenschutzerklärung rechtssicher erstellen und einbinden

Die Datenschutzerklärung ist das zentrale Dokument deiner DSGVO-Compliance. Sie muss mehr leisten als eine Standardvorlage aus dem Baukasten.

Art. 13 und Art. 14 DSGVO definieren exakt, welche Informationspflichten du bei der Erhebung personenbezogener Daten erfüllen musst. Deine Datenschutzerklärung muss von jeder Unterseite aus mit maximal einem Klick erreichbar sein – typischerweise über einen persistenten Link im Footer. Und sie muss in verständlicher Sprache verfasst sein, nicht in Juristendeutsch.

Der häufigste Fehler: Unternehmen nutzen eine generische Vorlage und passen sie nicht an die tatsächlichen Datenverarbeitungen auf ihrer Website an. Jedes eingebundene Analysetool, jedes Kontaktformular, jeder Newsletter-Dienst, jedes eingebettete Video muss einzeln aufgeführt werden – inklusive der jeweiligen Rechtsgrundlage nach Art. 6 DSGVO.

• Name und Kontaktdaten des Verantwortlichen sowie ggf. des Datenschutzbeauftragten
• Zweck und Rechtsgrundlage jeder einzelnen Datenverarbeitung (Art. 6 Abs. 1 DSGVO)
• Empfänger oder Kategorien von Empfängern der personenbezogenen Daten
• Drittlandtransfers – insbesondere bei US-amerikanischen Diensten wie Analyse- oder E-Mail-Tools
• Speicherdauer oder Kriterien für die Festlegung der Dauer
• Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenportabilität
• Beschwerderecht bei der zuständigen Aufsichtsbehörde

Wichtig: Die Datenschutzerklärung ist nicht dasselbe wie das Impressum. Beide Dokumente sind Pflicht, erfüllen aber unterschiedliche rechtliche Anforderungen. Das Impressum regelt die Anbieterkennzeichnung nach TMG, die Datenschutzerklärung den Umgang mit personenbezogenen Daten nach DSGVO. Beide sollten separat verlinkt sein.

Bei eingebetteten Social-Media-Plugins besteht eine besondere Pflicht: Der EuGH hat in der Rechtssache C-673/17 entschieden, dass Website-Betreiber bei der Einbindung solcher Plugins eine gemeinsame Verantwortlichkeit mit dem Plattformanbieter tragen. Das muss in der Datenschutzerklärung abgebildet werden.

Cookie-Banner und Einwilligungsmanagement korrekt umsetzen

Das Cookie-Banner ist der erste Touchpoint, den Besucher mit deinem Datenschutzkonzept haben. Hier entscheidet sich, ob du rechtskonform arbeitest – oder ein Abmahnrisiko produzierst.

Der BGH hat im Mai 2020 (Az. I ZR 7/16) die Opt-in-Pflicht für Tracking-Cookies in Deutschland endgültig bestätigt. Vorausgewählte Häkchen oder ein schlichtes „Weiter surfen = Zustimmung“ sind seitdem definitiv unzulässig. Seit Dezember 2021 ergänzt das TTDSG in § 25 diese Regelung: Jeder Zugriff auf Informationen im Endgerät des Nutzers – also auch Cookies – erfordert eine informierte, aktive Einwilligung, sofern er nicht technisch zwingend notwendig ist.

Technisch notwendige Cookies – etwa Session-Cookies für den Warenkorb oder Cookies, die die Cookie-Einstellungen selbst speichern – benötigen keine Einwilligung. Sie müssen aber in der Datenschutzerklärung transparent aufgeführt werden.

• Technisch notwendig: Session-Cookies, Login-Cookies, Warenkorb-Cookies → keine Einwilligung nötig
• Funktional: Spracheinstellungen, Schriftgrößen-Präferenzen → Einwilligung empfohlen
• Statistik/Analyse: Google Analytics, Matomo mit Cookies → Einwilligung Pflicht
• Werbung/Targeting: Retargeting-Pixel, Werbenetzwerke → Einwilligung Pflicht

Ein rechtskonformes Cookie-Banner bietet eine echte Wahlmöglichkeit. Das bedeutet: „Alle akzeptieren“ und „Alle ablehnen“ müssen gleichwertig gestaltet sein – gleiche Größe, gleiche Farbgebung, gleiche Sichtbarkeit. Dark Patterns wie eine winzige „Ablehnen“-Option in grauer Schrift auf grauem Grund oder ein versteckter Link statt eines Buttons verstoßen gegen die DSGVO.

Nutze ein Consent-Management-Tool, das Einwilligungen revisionssicher dokumentiert. Damit kannst du jederzeit nachweisen, wann welcher Nutzer welchen Cookies zugestimmt hat. Ebenso wichtig: Der Widerruf muss genauso einfach sein wie die Erteilung. Ein dauerhaft sichtbarer Link im Footer – etwa „Cookie-Einstellungen ändern“ – ist die gängige Lösung.

Impressumspflicht, SSL-Verschlüsselung und technische Grundlagen

Neben der Datenschutzerklärung gibt es weitere technische und rechtliche Pflichten, die deine Website von Tag eins an erfüllen muss.

Ein vollständiges Impressum nach § 5 TMG ist für jede geschäftsmäßige Website Pflicht – und zwar unabhängig davon, ob du etwas verkaufst oder nur eine Firmenpräsenz betreibst. Es muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Erfahrungsgemäß gehören fehlende oder unvollständige Impressen zu den häufigsten Abmahnfallen für KMU.

• Vollständiger Name und Anschrift des Unternehmens (keine Postfachadresse)
• Rechtsform und Vertretungsberechtigte (z. B. Geschäftsführer bei GmbH)
• Kontaktdaten: E-Mail-Adresse und Telefonnummer (oder vergleichbar schneller Kommunikationsweg)
• Handelsregister-Eintrag mit Registergericht und Registernummer
• Umsatzsteuer-Identifikationsnummer (falls vorhanden)
• Berufsrechtliche Angaben bei reglementierten Berufen (Kammer, Berufsbezeichnung, Aufsichtsbehörde)

SSL/TLS-Verschlüsselung (erkennbar am HTTPS in der Browserleiste) ist bei Websites mit Kontaktformularen, Login-Bereichen oder jeder anderen Form der Dateneingabe gemäß Art. 32 DSGVO verpflichtend. Die Verschlüsselung gehört zu den „technischen und organisatorischen Maßnahmen“, die ein angemessenes Schutzniveau sicherstellen. Ohne HTTPS riskierst du nicht nur ein Bußgeld, sondern auch ein negatives Signal an Suchmaschinen und Nutzer.

Beim Hosting achte darauf, dass der Anbieter Server in der EU oder im EWR betreibt. Damit vermeidest du Drittlandtransfers, die zusätzliche rechtliche Anforderungen nach sich ziehen. Unternehmen in Berlin-Brandenburg haben hier den Vorteil, dass zahlreiche Rechenzentren in der Region verfügbar sind – ein bewusst regionaler Webdesign-Ansatz kann diesen Standortvorteil direkt integrieren.

Ein oft übersehener Punkt: Auftragsverarbeitungsverträge (AVV) nach Art. 28 DSGVO. Mit jedem Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet – Hoster, E-Mail-Service-Provider, Analyse-Anbieter, CRM-System – musst du einen AVV abschließen. Die meisten professionellen Anbieter stellen diese Verträge mittlerweile digital zur Verfügung. Prüfe trotzdem, ob du für jeden aktiven Dienst einen unterschriebenen AVV vorliegen hast.

Drittanbieter-Tools datenschutzkonform einbinden: Analytics, Schriftarten und Social Media

Jedes externe Script, jede eingebundene Schriftart und jedes Social-Media-Widget erzeugt Datenflüsse – oft ohne dass du es merkst. Hier passieren die meisten DSGVO-Fehler.

Das LG München hat im Januar 2022 (Az. 3 O 17493/20) ein Urteil gefällt, das in der Branche für Aufsehen gesorgt hat: Die dynamische Einbindung von Google Fonts – also das Laden der Schriftarten direkt von Google-Servern – ohne vorherige Einwilligung stellt einen DSGVO-Verstoß dar. Dem Kläger wurden 100 Euro Schadensersatz zugesprochen. Was nach wenig klingt, hat eine Abmahnwelle ausgelöst, bei der tausende Websites betroffen waren.

Die Lösung ist technisch unkompliziert: Lade Webfonts lokal herunter und binde sie direkt über dein Stylesheet ein. Damit wird keine Verbindung zu externen Servern aufgebaut, und die IP-Adresse des Nutzers bleibt geschützt. Dasselbe Prinzip gilt für andere extern eingebundene Ressourcen wie Icon-Bibliotheken oder JavaScript-Frameworks.

Bei Analysetools hast du zwei Wege: Entweder holst du eine informierte, aktive Einwilligung über dein Consent-Management ein – oder du setzt auf datenschutzfreundlichere Alternativen, die ohne Cookies arbeiten und Daten ausschließlich anonymisiert auswerten. Tools wie Matomo (selbst gehostet) oder Plausible bieten solche Optionen. Der EU-US Data Privacy Framework erleichtert seit Juli 2023 zwar den Datentransfer in die USA, entbindet aber nicht von der Einwilligungspflicht bei Tracking.

Für Social-Media-Buttons empfehlen wir das Zwei-Klick-Verfahren oder eine Shariff-Lösung. Dabei wird beim ersten Seitenaufruf nur ein statisches Bild angezeigt. Erst wenn der Nutzer aktiv auf den Button klickt, wird die Verbindung zum sozialen Netzwerk hergestellt. So verhinderst du, dass allein der Seitenbesuch bereits Daten an Dritte überträgt.

Jede Einbindung eines Drittanbieters gehört ins Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO. Dieses Verzeichnis ist nicht optional – es ist Pflicht für jeden Verantwortlichen und muss auf Anfrage der Aufsichtsbehörde vorgelegt werden können. Erfahrungsgemäß verschaffen sich Unternehmen, die dieses Verzeichnis sauber pflegen, einen deutlichen Vorteil bei Audits und Auskunftsanfragen.

Kontaktformulare, Newsletter und Betroffenenrechte korrekt abbilden

Kontaktformulare und Newsletter gehören zu den wichtigsten Conversion-Elementen auf einer Unternehmenswebsite. Datenschutzrechtlich sind sie aber auch die sensibelsten.

Der Grundsatz der Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO) besagt: Frage nur die Daten ab, die für den jeweiligen Zweck tatsächlich erforderlich sind. Bei einem Kontaktformular für eine allgemeine Anfrage bedeutet das: Name und E-Mail als Pflichtfelder reichen. Telefonnummer, Firmenname oder Anschrift dürfen optional sein, aber nicht als Pflichtfeld deklariert werden, wenn sie für die Beantwortung der Anfrage nicht nötig sind.

Für Newsletter-Anmeldungen ist das Double-Opt-in-Verfahren der empfohlene Standard in Deutschland – bestätigt durch die BGH-Rechtsprechung. Der Ablauf: Der Nutzer gibt seine E-Mail-Adresse ein, erhält eine Bestätigungsmail und muss dort aktiv einen Link klicken, um die Anmeldung abzuschließen. Erst nach diesem zweiten Schritt darf der Versand beginnen. Dokumentiere jeden Schritt mit Zeitstempel und IP-Adresse – das ist dein Nachweis im Streitfall.

Art. 15 bis Art. 21 DSGVO regeln die Betroffenenrechte: Auskunft, Berichtigung, Löschung („Recht auf Vergessenwerden“), Einschränkung der Verarbeitung, Datenportabilität und Widerspruch. Anfragen müssen innerhalb eines Monats beantwortet werden. Das klingt komfortabel – wird aber eng, wenn du keine klaren internen Prozesse dafür aufgesetzt hast.

Unsere Empfehlung: Benenne auf deiner Website einen klar identifizierbaren Ansprechpartner für Datenschutzanfragen – idealerweise mit eigener E-Mail-Adresse (z. B. datenschutz@deinefirma.de). Richte intern eine Vorlage ein, mit der du Anfragen strukturiert beantworten kannst, und definiere Verantwortlichkeiten. So vermeidest du Fristüberschreitungen, die selbst als DSGVO-Verstoß gelten.

Wenn deine Website für Sprachsuche optimiert ist oder andere innovative Funktionen bietet, entstehen möglicherweise zusätzliche Datenverarbeitungen. Prüfe bei jeder neuen Funktion, ob die Datenschutzerklärung aktualisiert werden muss.

DSGVO-Checkliste: Die wichtigsten Maßnahmen auf einen Blick

Damit du den Überblick behältst, haben wir alle Pflichtmaßnahmen in einer kompakten Checkliste zusammengefasst. Arbeite sie Punkt für Punkt ab – und wiederhole die Prüfung mindestens einmal jährlich.

DSGVO-Pflichtmaßnahmen für Unternehmenswebsites

Die Pflicht zur Benennung eines Datenschutzbeauftragten greift gemäß § 38 BDSG, sobald mindestens 20 Personen im Unternehmen regelmäßig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Aber auch unterhalb dieser Schwelle kann eine freiwillige Benennung sinnvoll sein – sie zeigt Professionalität gegenüber Kunden und Aufsichtsbehörden.

Dokumentiere alle Maßnahmen sorgfältig. Die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt, dass du jederzeit nachweisen kannst, welche Schutzmaßnahmen du getroffen hast. Ein strukturiertes Datenschutz-Audit – mindestens jährlich oder bei jeder wesentlichen Website-Änderung – ist dafür unerlässlich.

Gute Nachricht für KMU in Berlin-Brandenburg: Förderprogramme wie der Digitalbonus oder vergleichbare Landesmittel können auch für die professionelle Umsetzung von Datenschutzmaßnahmen auf der Website genutzt werden. Erfahrungsgemäß lassen sich so bis zu 50 % der Kosten refinanzieren – eine Chance, die viele Unternehmen nicht kennen.

Professionelle Unterstützung für deine DSGVO-konforme Website

DSGVO-Compliance ist kein reines Rechtsthema. Sie braucht das Zusammenspiel von Webentwicklung, Datenschutz-Know-how und Digitalstrategie.

Die Herausforderung: Eine technisch saubere Cookie-Implementierung erfordert Entwickler-Know-how. Die rechtliche Bewertung einzelner Datenverarbeitungen braucht juristisches Verständnis. Und die Frage, welche Tracking-Daten du für deine Funnel-Optimierung wirklich brauchst, ist eine strategische Entscheidung. Wer diese Disziplinen nicht verzahnt, produziert entweder Datenschutz-Lücken oder eine Website, die zwar konform, aber conversion-schwach ist.

Branchenspezifische Anforderungen kommen hinzu: Ein E-Commerce-Shop mit Shopify oder Shopware hat andere Datenschutz-Anforderungen als eine Handwerker-Website mit Terminbuchung. Ein Gesundheitsdienstleister verarbeitet besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Maßgeschneiderte Lösungen sind hier kein Luxus, sondern Pflicht.

Bei gewusst-wo Berlin Brandenburg verbinden wir Webentwicklung, SEO und Datenschutzberatung zu einer konsistenten Lösung – als Teil der Mediamagneten-Familie mit einem klaren Fokus auf Barrierefreiheit und Inklusion, die ab 2025 ohnehin zusätzliche Anforderungen an Websites stellt. Wir prüfen nicht nur, ob dein Cookie-Banner korrekt funktioniert, sondern ob deine gesamte digitale Präsenz über alle Touchpoints hinweg rechtskonform aufgestellt ist.

Ein kostenloses Erstgespräch ist der schnellste Weg, den aktuellen Stand deiner DSGVO-Konformität einzuschätzen. Wir identifizieren die kritischsten Lücken, priorisieren die nächsten Schritte und beraten dich auch zu verfügbaren Fördermitteln, die du für die Umsetzung nutzen kannst. Ruf uns an unter +49 (0) 30 55629791 oder schreib uns an info@gewusst-wo.berlin.

DSGVO-Umsetzungs-Checkliste für deine Website

Phase 1: Sofortmaßnahmen (Woche 1)

• [ ] Datenschutzerklärung erstellen oder aktualisieren – alle Datenverarbeitungen individuell erfassen
• [ ] Impressum auf Vollständigkeit nach § 5 TMG prüfen
• [ ] SSL/TLS-Zertifikat aktivieren (HTTPS erzwingen)
• [ ] Google Fonts und andere externe Ressourcen lokal einbinden
• [ ] Cookie-Banner mit Opt-in implementieren – Ablehnen-Button gleichwertig gestalten

Phase 2: Verträge und Dokumentation (Woche 2–4)

• [ ] AVV mit Hosting-Anbieter abschließen
• [ ] AVV mit allen weiteren Dienstleistern abschließen (E-Mail-Versand, Analytics, CRM)
• [ ] Verzeichnis der Verarbeitungstätigkeiten erstellen
• [ ] Internen Prozess für Betroffenenanfragen definieren (Verantwortliche, Vorlagen, Fristen)
• [ ] Prüfen, ob ein Datenschutzbeauftragter benannt werden muss (§ 38 BDSG)

Phase 3: Funktionen und laufende Pflege (fortlaufend)

• [ ] Newsletter-Anmeldung auf Double-Opt-in umstellen und Dokumentation sicherstellen
• [ ] Kontaktformulare auf Datenminimierung prüfen – nur Pflichtfelder, die wirklich nötig sind
• [ ] Social-Media-Einbindungen auf Zwei-Klick-Lösung umstellen
• [ ] Jährliches Datenschutz-Audit einplanen
• [ ] Bei jeder Website-Änderung prüfen: Sind Datenschutzerklärung und Verarbeitungsverzeichnis aktuell?

Tipp: Speichern Sie diese Checkliste als Screenshot!

Fazit: Praxisorientierter Leitfaden, der Unternehmen in Berlin-Brandenburg befähigt, ihre Website von Anfang an datenschutzkonform aufzubauen, ohne juristische Vorkenntnisse vorauszusetzen.

DSGVO-Konformität ist kein juristisches Beiwerk, das du nach dem Website-Launch irgendwann nachholst. Sie ist ein integraler Bestandteil jeder professionellen digitalen Präsenz – und ein echtes Differenzierungsmerkmal gegenüber Wettbewerbern, die das Thema schleifen lassen. Wer Datenschutz sauber umsetzt, signalisiert Professionalität, stärkt das Vertrauen der Nutzer und reduziert rechtliche Risiken auf ein Minimum.

Ihre nächsten Schritte:

1. Prüfe deine Website mit der Checkliste oben – starte mit den Sofortmaßnahmen in Phase 1.
2. Identifiziere alle Drittanbieter-Dienste auf deiner Website und prüfe, ob für jeden ein AVV vorliegt.
3. Vereinbare ein kostenloses Erstgespräch mit uns, um den DSGVO-Status deiner Website professionell einschätzen zu lassen.

Ruf uns an unter +49 (0) 30 55629791 oder schreib an info@gewusst-wo.berlin – wir machen deine Website rechtssicher und zukunftsfähig.

Häufig gestellte Fragen