DSGVO-Checkliste 2026 — Website rechtssicher umsetzen

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist die europäische Verordnung zum Schutz personenbezogener Daten, die seit Mai 2018 gilt. Sie regelt, wie Unternehmen personenbezogene Daten erheben, verarbeiten und speichern duerfen.

Für Website-Betreiber bedeutet die DSGVO konkrete Pflichten: Von der Einholung von Cookie-Einwilligungen bis zur korrekten Datenschutzerklärung gibt es zahlreiche Anforderungen zu erfüllen. Ob Ihre Website diese erfüllt, klären Sie schnell mit unserem DSGVO-Compliance-Check.

Grundprinzipien der DSGVO

• Rechtmaessigkeit: Datenverarbeitung nur mit Rechtsgrundlage
• Zweckbindung: Nur für festgelegte Zwecke verarbeiten
• Datenminimierung: Nur notwendige Daten erheben
• Richtigkeit: Daten aktuell und korrekt halten
• Speicherbegrenzung: Nicht länger als nötig speichern
• Integrität & Vertraulichkeit: Angemessene Sicherheit
• Rechenschaftspflicht: Einhaltung nachweisen können

DSGVO-Grundlagen für Websites

Jede Website, die personenbezogene Daten verarbeitet - und das tun praktisch alle - muss DSGVO-konform sein. Personenbezogene Daten umfassen:

Was sind personenbezogene Daten?

Rechtsgrundlagen für die Verarbeitung

Jede Datenverarbeitung braucht eine Rechtsgrundlage (Art. 6 DSGVO). Die wichtigsten für Websites:

• Einwilligung (Art. 6 Abs. 1 lit. a):

  Für Cookies, Newsletter, Marketing. Muss freiwillig, informiert und eindeutig sein.

• Vertragserfullung (Art. 6 Abs. 1 lit. b):

  Für Bestellabwicklung, Kundenkonto, Lieferung.

• Berechtigte Interessen (Art. 6 Abs. 1 lit. f):

  Für technisch notwendige Cookies, Sicherheit, Logfiles. Interessenabwaegung erforderlich.

• Rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c):

  Für Aufbewahrungspflichten, Steuerdaten.

Cookie-Consent richtig umsetzen

§ 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 TTDSG) verlangt für nicht technisch notwendige Cookies eine vorherige, informierte und ausdrückliche Einwilligung. Die meisten Cookie-Banner, die man im Web sieht, sind leider nicht DSGVO-konform.

Anforderungen an Cookie-Einwilligungen

Häufige Fehler bei Cookie-Bannern

Empfohlene Cookie-Kategorien

• Notwendig: Technisch erforderlich, keine Einwilligung nötig
• Funktional: Spracheinstellungen, Präferenzen
• Statistik: Anonyme Nutzungsanalyse
• Marketing: Werbe-Tracking, Retargeting

Aktuelle Urteile & Abmahnrisiko (2025/2026)

Die Rechtsprechung hat den Druck auf Website-Betreiber zuletzt deutlich erhöht. Diese Entscheidungen sollten Sie kennen:

BGH: Konkurrenten dürfen DSGVO-Verstöße abmahnen

Mit den Urteilen vom 27. März 2025 (u.a. I ZR 186/17, nach Vorlage an den EuGH) hat der Bundesgerichtshof klargestellt: DSGVO-Verstöße können als Marktverhaltensverstöße über § 3a UWG von Mitbewerbern und Verbraucherschutzverbänden verfolgt werden — ohne Auftrag eines Betroffenen. Praktisch heißt das: Eine fehlende Datenschutzerklärung oder ein manipulatives Cookie-Banner kann eine kostenpflichtige Abmahnung der Konkurrenz auslösen.

VG Hannover: „Ablehnen" muss so einfach sein wie „Akzeptieren"

Das VG Hannover (Urteil vom 19. März 2025, Az. 10 A 5385/22) bestätigte eine Anordnung der niedersächsischen Datenschutzaufsicht: Ein Banner, das auf der ersten Ebene nur „Alle akzeptieren" und „Einstellungen" anbietet, holt keine wirksame Einwilligung ein. Ablehnen muss auf der ersten Ebene genauso leicht möglich sein wie Zustimmen; Farb- und Kontrast-Steuerung in Richtung „Akzeptieren" gilt als manipulativ. Wichtig außerdem: Auch der Google Tag Manager selbst erfordert nach dieser Entscheidung eine Einwilligung.

Millionenbußgelder für Schein-Ablehnen-Buttons

Die französische Aufsichtsbehörde CNIL verhängte am 1. September 2025 zwei der höchsten Cookie-Bußgelder Europas: 325 Mio. € gegen Google (u.a. Cookies ohne wirksame Einwilligung bei der Kontoerstellung) und 150 Mio. € gegen Shein — dort wurden Werbe-Cookies bereits vor jeder Banner-Interaktion gesetzt, und das Tracking lief selbst nach Klick auf „Alles ablehnen" weiter. In Deutschland verhängten die Aufsichtsbehörden 2025 nach Branchenauswertungen 249 Bußgelder mit einer Gesamtsumme von rund 46,9 Mio. € — häufigster Grund: Verarbeitung ohne Rechtsgrundlage, insbesondere bei Werbung und Tracking.

Datenschutzerklärung

Jede Website braucht eine Datenschutzerklärung, die von jeder Seite aus erreichbar sein muss (typischerweise im Footer). Sie muss vollständig, verständlich und aktuell sein.

Pflichtinhalte der Datenschutzerklärung

Formulare & Kontaktdaten

Überall, wo Sie personenbezogene Daten erheben, gelten besondere Anforderungen.

Kontaktformulare

• Nur notwendige Felder als Pflichtfeld (Datenminimierung)
• Hinweis auf Datenschutzerklärung (verlinkt)
• SSL/TLS-Verschlüsselung (HTTPS)
• Keine vorausgefüllten Checkboxen für Marketing
• Klare Information über Zweck der Datenerhebung

<!-- Beispiel: DSGVO-konformes Kontaktformular -->
<form action="/contact" method="POST">
  <label for="name">Name *</label>
  <input type="text" id="name" name="name" required>

  <label for="email">E-Mail *</label>
  <input type="email" id="email" name="email" required>

  <label for="message">Nachricht *</label>
  <textarea id="message" name="message" required></textarea>

  <!-- Keine vorausgefüllte Checkbox! -->
  <label>
    <input type="checkbox" name="privacy" required>
    Ich habe die <a href="/datenschutz/">Datenschutzerklärung</a>
    gelesen und stimme der Verarbeitung meiner Daten zu. *
  </label>

  <button type="submit">Absenden</button>
</form>

Newsletter-Anmeldung

• Double-Opt-in erforderlich (Bestätigungsmail)
• Nur E-Mail als Pflichtfeld
• Klarer Hinweis auf Abmeldemöglichkeit
• Protokollierung der Einwilligung (IP, Zeitstempel)

Analytics & Tracking

Website-Analyse ist wichtig, aber die meisten gängigen Tools erfordern eine Einwilligung. Es gibt jedoch DSGVO-freundliche Alternativen.

Google Analytics

Google Analytics 4 erfordert weiterhin eine Cookie-Einwilligung. Der Datentransfer in die USA ist seit dem EU-US Data Privacy Framework (2023, vom EuG im September 2025 bestätigt) für DPF-zertifizierte Anbieter wie Google grundsätzlich zulässig — ohne Einwilligung darf GA4 aber dennoch nicht laden. Wer Google Ads einsetzt, braucht zusätzlich den Consent Mode v2 mit allen vier Parametern (ad_storage, analytics_storage, ad_user_data, ad_personalization) — unvollständige Setups verlieren still Conversion- und Remarketing-Daten. Google hat zudem eine Frist zum 15. Juni 2026 gesetzt, bis zu der Konfigurationen aktualisiert sein müssen (ad_storage steuert dann auch YouTube-Tracking). Empfohlene Maßnahmen:

• Einwilligung vor dem Setzen von Cookies einholen (Consent Mode ersetzt das Banner nicht)
• Consent Mode v2 mit allen vier Parametern korrekt implementieren
• IP-Anonymisierung aktivieren
• Auftragsverarbeitungsvertrag mit Google abschließen
• In Datenschutzerklärung ausführlich beschreiben
• Drittlandtransfer transparent machen

DSGVO-freundliche Alternativen

Hosting & Drittanbieter

Ihr Hosting-Anbieter und eingebundene Drittanbieter-Dienste sind potenzielle Schwachstellen für die DSGVO-Compliance.

Hosting-Anforderungen

• Auftragsverarbeitungsvertrag (AVV) mit dem Hoster
• Bevorzugt EU-basiertes Hosting (kein US-Cloud)
• SSL/TLS-Verschlüsselung (HTTPS)
• Regelmaessige Backups
• Technische und organisatorische Maßnahmen (TOMs) dokumentiert

Problematische Drittanbieter

Diese Dienste erfordern besondere Aufmerksamkeit:

• Google Fonts: Laden Sie Fonts lokal (kein Google-Request)
• YouTube/Vimeo: 2-Klick-Lösung oder lokales Hosting
• Social Media Buttons: Shariff oder 2-Klick-Lösung
• Maps: OpenStreetMap statt Google Maps, oder erst nach Klick
• CDNs: EU-basierte CDNs bevorzugen

Datenschutzfreundliche Drittanbieter und lokale Einbindungen berücksichtigen wir bei jedem Projekt von Grund auf — mehr dazu auf unserer Seite Webdesign.

DSGVO-Checkliste für Websites

Nutzen Sie diese Checkliste, um Ihre Website auf DSGVO-Compliance zu prüfen:

Ausblick: Digital Omnibus — Cookie-Regeln wandern in die DSGVO

Am 19. November 2025 hat die EU-Kommission das „Digital Omnibus"-Paket vorgeschlagen. Für Websites relevant: Die Cookie-Regeln der ePrivacy-Richtlinie sollen in die DSGVO integriert werden (neuer Art. 88a) — mit ausdrücklichen einwilligungsfreien Ausnahmen u.a. für technisch notwendige Zwecke und aggregierte Reichweitenmessung. Art. 88b würde Websites verpflichten, maschinenlesbare Einwilligungssignale aus dem Browser zu respektieren, und ein erneutes Nachfragen nach einer Ablehnung für mindestens 6 Monate untersagen.

Wichtig: Das ist Stand Juli 2026 ein Gesetzgebungsvorschlag, kein geltendes Recht. Für die Praxis ändert sich noch nichts — aber wer heute ein sauberes Consent-Setup baut, ist auf browserbasierte Einwilligungssignale vorbereitet.

Fazit

DSGVO-Compliance ist keine einmalige Aufgabe, sondern ein fortlaufender Prozess. Halten Sie Ihre Website aktuell, prüfen Sie regelmäßig eingebundene Dienste, und dokumentieren Sie Ihre Maßnahmen.

Bei Wender Media entwickeln wir von Anfang an DSGVO-konforme Websites. Sprechen Sie uns an, wenn Sie Ihre bestehende Website prüfen oder eine neue Website entwickeln lassen moechten.