DSGVO-Checkliste für KMU-Websites: Was du wirklich brauchst (ohne Juristendeutsch)
Eine DSGVO-konforme KMU-Website steht auf 10 Punkten: Impressum, Datenschutzerklärung, HTTPS, korrektem Cookie-Banner, lokal eingebundenen Fonts, abgesichertem Kontaktformular, AV-Verträgen, geprüften Drittdiensten, einem Verarbeitungsverzeichnis und (ab 20 Personen) einem Datenschutzbeauftragten. Die drei teuersten Fallen (Google Fonts, Cookie-Banner, AV-Verträge) sind in unter zwei Stunden behoben.
- Eine typische KMU-Website wird über 10 konkrete Pflichtpunkte DSGVO-konform, nicht über ein Jurastudium.
- Deutsche Aufsichtsbehörden verhängten 2025 rund 46,9 Millionen Euro Bußgeld in 249 Verfahren.
- Das LG München sprach einem Website-Besucher 100 Euro Schadensersatz zu, weil Google Fonts extern eingebunden waren (Az. 3 O 17493/20).
- Impressum, Datenschutzerklärung und HTTPS sind Basis-Pflicht auf jeder Seite, nicht nur auf der Startseite.
- Je weniger externe Dienste eine Website lädt, desto kleiner die Angriffsfläche für Datenschutz-Verstöße.
Warum ist DSGVO für deine Website überhaupt relevant?
DSGVO-konforme Website: Eine Website, die alle Pflichten der Datenschutz-Grundverordnung erfüllt. Für ein KMU sind das 10 Punkte, darunter Impressum, Datenschutzerklärung, HTTPS, ein korrekter Cookie-Banner, lokal eingebundene Fonts und AV-Verträge mit allen Dienstleistern.
Jede Website, die personenbezogene Daten verarbeitet, fällt unter die DSGVO, und das tut praktisch jede. Personenbezogene Daten sind nicht nur Name und E-Mail. Schon die IP-Adresse deiner Besucher zählt dazu. Sobald jemand deine Seite aufruft, verarbeitest du personenbezogene Daten.
Die Sanktionen treffen nicht nur Konzerne. Ein realistischer Blick auf die Zahlen:
- Bußgelder theoretisch bis 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes (je nachdem, was höher ist), Art. 83 DSGVO
- Gesamtvolumen 2025 in Deutschland: rund 46,9 Millionen Euro über 249 Bußgeldverfahren (CMS GDPR Enforcement Tracker)
- Abmahnkosten: ab etwa 170 EUR pro Fall, im Zuge der Google-Fonts-Welle gingen zehntausende Schreiben raus (Verbraucherzentrale)
- Schadensersatz: ab 100 EUR pro betroffenem Besucher (LG München, siehe Punkt 5)
Für ein kleines Unternehmen ist der realistische Schaden selten das Rekord-Bußgeld, sondern die Kombination aus Abmahnkosten, Anwaltsgebühren und Nacharbeit. Genau die lässt sich vermeiden.
Bußgeld verhängten deutsche Datenschutzbehörden allein 2025, verteilt auf 249 Verfahren.
Quelle: CMS Enforcement Tracker 2025Die gute Nachricht: Für eine typische KMU-Website sind die Anforderungen überschaubar und gut abzuarbeiten.
Die 10-Punkte-Checkliste: Was deine Website braucht
Hier ist die komplette Übersicht. Danach gehen wir jeden Punkt im Detail durch.
| Nr. | Pflichtpunkt | Aufwand | Risiko bei Verstoß |
|---|---|---|---|
| 1 | Impressum | 10 Min | Abmahnung (ab ca. 500 EUR) |
| 2 | Datenschutzerklärung | 30-60 Min | Bußgeld + Abmahnung |
| 3 | SSL-Verschlüsselung (HTTPS) | 5 Min | Bußgeld + Vertrauensverlust |
| 4 | Cookie-Banner | 15-30 Min | Bußgeld + Abmahnung |
| 5 | Google Fonts lokal einbinden | 15 Min | Schadensersatz (100 EUR/Besucher) |
| 6 | Kontaktformular absichern | 10 Min | Bußgeld |
| 7 | AV-Verträge abschließen | 30 Min | Bußgeld (Art. 28 DSGVO) |
| 8 | Externe Dienste prüfen | 20 Min | Bußgeld + Schadensersatz |
| 9 | Verzeichnis der Verarbeitungstätigkeiten | 60 Min | Bußgeld |
| 10 | Datenschutzbeauftragter (ab 20 MA) | variabel | Bußgeld |
Du willst eine Website, die wirklich Kunden bringt?
KI-WebSichtbar entdeckenWelche Punkte zuerst? Aufwand gegen Risiko
Nicht jeder Punkt ist gleich dringend. Die schnellste Wirkung erzielst du dort, wo geringer Aufwand auf hohes Verstoß-Risiko trifft. Diese vier Punkte gehören nach oben: lokale Fonts, Cookie-Banner, HTTPS und AV-Verträge. Sie sind zusammen an einem Vormittag erledigt und decken die häufigsten Abmahn- und Bußgeldgründe ab.
Danach folgen die dokumentationslastigen Punkte (Datenschutzerklärung, Verarbeitungsverzeichnis), die zwar Zeit kosten, aber selten spontan abgemahnt werden. Der Datenschutzbeauftragte ist für die meisten KMU gar kein Thema.
1. Impressum: In 10 Minuten erledigt
Das Impressum muss von jeder Seite deiner Website erreichbar sein, maximal zwei Klicks entfernt. Fehlt es oder ist es unvollständig, ist eine Abmahnung der häufigste Auslöser.
Was muss rein:
- Vollständiger Name und Anschrift des Unternehmens
- Rechtsform und Vertretungsberechtigte
- E-Mail-Adresse und Telefonnummer
- Umsatzsteuer-ID (falls vorhanden)
- Handelsregisternummer (falls vorhanden)
- Zuständige Aufsichtsbehörde (bei erlaubnispflichtigen Tätigkeiten)
- Berufsspezifische Angaben (z. B. Kammerzugehörigkeit bei Handwerkern)
2. Datenschutzerklärung: Was wirklich rein muss
Die Datenschutzerklärung ist das Herzstück der DSGVO-Konformität. Sie muss vollständig, aktuell und verständlich sein. Genau wie das Impressum muss sie von jeder Seite aus erreichbar sein (eigener Link im Footer).
Pflichtinhalte nach Art. 13 DSGVO:
- Name und Kontaktdaten des Verantwortlichen
- Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
- Zweck und Rechtsgrundlage der Datenverarbeitung
- Empfänger der Daten (z. B. Hosting-Anbieter, Newsletter-Dienst)
- Speicherdauer oder Kriterien für die Festlegung
- Hinweis auf Betroffenenrechte (Auskunft, Löschung, Widerspruch)
- Hinweis auf Beschwerderecht bei der Aufsichtsbehörde
- Info zu Cookies und Tracking-Tools (welche, warum, wie lange)
Der häufigste Fehler ist eine veraltete Erklärung. Wenn du ein neues Tool einbindest (etwa ein Buchungstool oder einen Newsletter-Dienst), muss die Datenschutzerklärung sofort mitwachsen.
3. SSL-Verschlüsselung: Kein HTTPS = kein Vertrauen
Deine Website muss über HTTPS erreichbar sein. Ohne SSL-Zertifikat zeigt der Browser eine Warnung ("Nicht sicher"), was Besucher sofort abschreckt. Zusätzlich ist die unverschlüsselte Übertragung personenbezogener Daten ein DSGVO-Verstoß.
Was du tun musst:
- SSL-Zertifikat aktivieren (bei den meisten Hostern kostenlos über Let's Encrypt)
- HTTP-zu-HTTPS-Weiterleitung einrichten
- Prüfen, ob alle Ressourcen (Bilder, Skripte) über HTTPS laden (Mixed Content vermeiden)
Kosten: 0 EUR. Let's Encrypt ist kostenlos und wird von nahezu jedem Hoster unterstützt.
4. Cookie-Banner: Ablehnen muss genauso einfach sein wie Akzeptieren
Seit dem TDDDG (ehemals TTDSG) brauchst du für nicht-essenzielle Cookies eine aktive Einwilligung. Ein bloßer Hinweis "Diese Website nutzt Cookies" reicht nicht. Der Besucher muss aktiv zustimmen, bevor Tracking-Cookies gesetzt werden.
Anforderungen an einen rechtskonformen Cookie-Banner:
- "Ablehnen" muss gleich prominent sein wie "Akzeptieren" (gleiche Größe, gleiche Farbe)
- Keine vorausgewählten Checkboxen
- Cookies dürfen erst nach Einwilligung gesetzt werden (Opt-in, nicht Opt-out)
- Einwilligung muss jederzeit widerrufbar sein
- Dokumentation der Einwilligungen (Consent-Log)
Was viele falsch machen:
- Der "Ablehnen"-Button ist grau, klein oder versteckt
- Cookies werden schon beim Seitenaufruf gesetzt, bevor der Besucher zugestimmt hat
- Es fehlt ein "Einstellungen ändern"-Link auf der Website
Tools wie Cookiebot, Borlabs Cookie oder Real Cookie Banner helfen bei der Umsetzung. Die Kosten reichen von 0 bis rund 39 EUR/Monat je nach Anbieter und Reichweite.
5. Google Fonts lokal einbinden: Die 100-EUR-pro-Besucher-Falle
Die Google-Fonts-Abmahnwelle hat tausende Website-Betreiber getroffen. Das Problem: Bindest du Google Fonts dynamisch ein (über fonts.googleapis.com), wird bei jedem Seitenaufruf die IP-Adresse des Besuchers an Google in die USA übertragen. Ohne Einwilligung ist das ein DSGVO-Verstoß.
Das LG München urteilte (Az. 3 O 17493/20): 100 EUR Schadensersatz für einen betroffenen Besucher, weil dessen IP-Adresse ohne Einwilligung an Google übertragen wurde. Auf Basis dieses Urteils folgte eine Abmahnwelle mit Forderungen um 170 EUR pro Fall.
Schadensersatz pro betroffenem Besucher sprach das LG München wegen extern eingebundener Google Fonts zu.
Quelle: LG München I, Az. 3 O 17493/20Spätere Gerichte stuften die massenhaften Abmahnungen als rechtsmissbräuchlich ein (u. a. LG Baden-Baden, AG Ludwigsburg). Das ändert nichts daran, dass die dynamische Einbindung technisch ein echter Verstoß bleibt. Der saubere Weg ist ohnehin der einfachere:
- Google Fonts herunterladen (fonts.google.com)
- Schriftarten lokal auf deinem Server speichern
- CSS anpassen, sodass die Fonts vom eigenen Server laden
- Testen, ob keine externen Aufrufe mehr stattfinden (Browser-Entwicklertools, Netzwerk-Tab)
Aufwand: rund 15 Minuten. Alternativ setzt du auf eine Website, die Fonts von Anfang an lokal einbindet. Die Schritt-für-Schritt-Anleitung steht im Beitrag Google Fonts lokal einbinden.
6. Kontaktformulare DSGVO-konform gestalten
Jedes Kontaktformular verarbeitet personenbezogene Daten (mindestens Name und E-Mail). Deshalb gehört direkt ans Formular ein Hinweis auf die Datenverarbeitung.
Checkliste für dein Kontaktformular:
- Hinweis auf den Zweck der Datenverarbeitung (z. B. "Wir nutzen deine Daten ausschließlich zur Bearbeitung deiner Anfrage")
- Link zur Datenschutzerklärung
- Checkbox mit Einwilligung (empfohlen, aber nicht immer zwingend, da Art. 6 Abs. 1 lit. b DSGVO greifen kann)
- Nur notwendige Felder als Pflichtfelder (Datensparsamkeit)
- SSL-Verschlüsselung für die Übertragung
7. Auftragsverarbeitungsverträge (AV-Verträge): Oft vergessen, meist nötig
AV-Vertrag (Auftragsverarbeitung): Ein Vertrag nach Art. 28 DSGVO, den du mit jedem Dienstleister schließt, der in deinem Auftrag personenbezogene Daten verarbeitet (Hoster, Newsletter-Tool, Analytics). Ohne ihn fehlt der Verarbeitung die Rechtsgrundlage.
Wenn ein externer Dienstleister personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen AV-Vertrag nach Art. 28 DSGVO. Fehlt er, ist die Verarbeitung ohne Rechtsgrundlage organisiert, was die Behörden sanktionieren können.
Wann brauchst du einen AV-Vertrag?
| Dienst | AV-Vertrag nötig? |
|---|---|
| Hosting-Anbieter (z. B. Strato, IONOS, Hetzner) | Ja |
| Newsletter-Tool (z. B. Mailchimp, Brevo) | Ja |
| Analytics (z. B. Google Analytics, Matomo Cloud) | Ja |
| Cookie-Consent-Tool (z. B. Cookiebot) | Ja |
| Buchungstool (z. B. Calendly, wenn Daten verarbeitet werden) | Ja |
| Reiner Zahlungsanbieter (z. B. PayPal, Stripe) | Nein (eigenverantwortlich) |
| Social-Media-Plugins (z. B. Facebook Like-Button) | Gemeinsame Verantwortlichkeit |
8. Externe Dienste: Google Maps, YouTube, Analytics und Co.
Jeder externe Dienst, der Daten an Dritte überträgt, muss in der Datenschutzerklärung stehen und braucht entweder eine Einwilligung oder eine Rechtsgrundlage.
Die häufigsten Problemfälle:
- Google Analytics: Nur mit Cookie-Einwilligung und AV-Vertrag. Alternative: Matomo (selbst gehostet) oder Plausible.
- Google Maps: Überträgt die IP-Adresse an Google. Lösung: nur nach Einwilligung laden oder ein statisches Kartenbild verwenden.
- YouTube-Videos: Die Standard-Einbindung setzt Cookies. Lösung: "youtube-nocookie.com" verwenden oder eine Zwei-Klick-Lösung (erst Vorschaubild, Video lädt nach Klick).
- Social-Media-Buttons: Facebook, Instagram und Co. tracken Besucher. Lösung: einfache Links statt eingebetteter Buttons.
Die Faustregel: Jeder externe Aufruf (Script, Font, Karte, Video) ist ein potenzieller Datenschutz-Punkt. Je weniger externe Dienste, desto kleiner die Angriffsfläche. Das ist einer der Gründe, warum statische Websites ohne WordPress deutlich datenschutzfreundlicher sind.
9. Verzeichnis der Verarbeitungstätigkeiten: Klingt schlimmer als es ist
Nach Art. 30 DSGVO dokumentierst du, welche personenbezogenen Daten du wo, wie und warum verarbeitest. Das klingt nach Bürokratie, ist für eine einfache Website aber in einer Stunde erledigt.
Was du dokumentieren solltest:
- Welche Daten du erhebst (z. B. IP-Adressen, E-Mail über das Kontaktformular)
- Warum du sie erhebst (Zweck)
- Auf welcher Rechtsgrundlage (z. B. berechtigtes Interesse, Einwilligung)
- An wen du sie weitergibst (z. B. Hosting-Anbieter)
- Wie lange du sie speicherst
- Welche Schutzmaßnahmen du triffst (z. B. SSL, Passwortschutz)
10. Datenschutzbeauftragter: Ab wann Pflicht?
Einen Datenschutzbeauftragten brauchst du laut § 38 BDSG, wenn mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Für die meisten KMU mit einer einfachen Website ist das nicht der Fall.
Ausnahmen: Wenn du besonders sensible Daten verarbeitest (Gesundheitsdaten, religiöse Überzeugungen) oder Daten geschäftsmäßig zur Übermittlung erhebst, kann die Pflicht auch unter 20 Personen greifen.
Wie sieht eine saubere Website neben einer abmahngefährdeten aus?
Der Unterschied ist selten dramatisch, aber im Detail messbar. Zwei Websites, gleiche Branche, unterschiedliche Sorgfalt:
Abmahngefährdet
- Google Fonts laden live von Google-Servern
- Cookie-Banner mit grauem, kleinem "Ablehnen"
- Tracking-Cookies schon vor der Einwilligung gesetzt
- Keine AV-Verträge mit Hoster und Newsletter-Tool
- Datenschutzerklärung zwei Jahre alt, neue Tools fehlen
Sauber aufgesetzt
- Fonts liegen lokal auf dem eigenen Server
- "Ablehnen" gleich groß und sichtbar wie "Akzeptieren"
- Cookies erst nach aktiver Zustimmung (Opt-in)
- AV-Verträge abgeschlossen und abgelegt
- Datenschutzerklärung aktuell, jährlich geprüft
Bonus: 5-Minuten-Schnelltest für deine Website
Bevor du alles im Detail prüfst, mach diesen Schnelltest:
- Rufe deine Website auf. Steht "https://" in der Adresszeile? Wenn nicht: SSL fehlt.
- Scrolle zum Footer. Siehst du Links zu "Impressum" und "Datenschutz"? Wenn nicht: nachbessern.
- Öffne die Browser-Entwicklertools (F12, Reiter "Netzwerk") und lade die Seite neu. Siehst du Aufrufe zu fonts.googleapis.com? Dann sind die Google Fonts nicht lokal.
- Klicke auf "Datenschutz". Steht da mehr als eine halbe Seite? Werden alle genutzten Dienste erwähnt? Ist das Datum aktuell?
- Prüfe den Cookie-Banner. Ist "Ablehnen" genauso groß und sichtbar wie "Akzeptieren"?
Bist du bei einem Punkt unsicher, lies den passenden Abschnitt oben noch einmal.
Die drei häufigsten DSGVO-Fehler bei KMU-Websites
Fehler 1: Google Fonts dynamisch einbinden. Immer noch der häufigste Verstoß. Die Lösung dauert 15 Minuten und nimmt der Abmahnwelle die Angriffsfläche.
Fehler 2: Cookie-Banner mit Trick-Design. Der Akzeptieren-Button groß und bunt, der Ablehnen-Button klein und grau. Das ist ein Verstoß und wird von Aufsichtsbehörden aktiv verfolgt.
Fehler 3: Keine AV-Verträge. Hosting, Analytics und Newsletter-Dienst laufen, aber mit keinem gibt es einen AV-Vertrag. Drei offene Punkte auf einmal.
„Die meisten Abmahnungen, die ich sehe, entstehen nicht aus bösem Willen, sondern aus einem Template, das im Hintergrund eine externe Schrift oder ein Tracking-Skript lädt. Wer seine Website von Anfang an ohne unnötige Fremd-Aufrufe baut, hat 80 Prozent der DSGVO-Themen automatisch gelöst."
Niklaas Zander, Gründer KI-WebSichtbar
DSGVO-konform ohne Kopfschmerzen: Geht das?
Ja. Wenn deine Website von Anfang an richtig aufgebaut ist, hast du mit DSGVO im Alltag kaum noch zu tun. Die meisten Probleme entstehen durch Baukästen und Templates, die externe Dienste standardmäßig einbinden, ohne dass du es merkst.
Statische Websites haben hier einen klaren Vorteil: keine Datenbank, keine Plugins, keine externen Aufrufe (wenn sauber gebaut). Das bedeutet weniger Angriffsfläche für Datenschutzprobleme, und nebenbei kürzere Ladezeiten, was auch für Google und die neue KI-Suche zählt.
Bei KI-WebSichtbar ist Datenschutz ab Werk Standard: lokale Fonts, korrektes Impressum, Datenschutzerklärung und SSL gehören zum Setup. Zum Festpreis ab 1.499 EUR netto.
Kostenlose Erstberatung buchenFAQ: Häufige Fragen zur DSGVO für Websites
Brauche ich für meine Website eine Datenschutzerklärung?
Ja, ausnahmslos. Jede Website, die von Personen aus der EU aufgerufen werden kann, braucht eine Datenschutzerklärung. Selbst ohne Kontaktformular verarbeitet dein Hoster IP-Adressen. Das muss dokumentiert sein.
Reicht ein einfacher Cookie-Hinweis?
Nein. Seit dem TDDDG (ehemals TTDSG) brauchst du eine aktive Einwilligung für nicht-essenzielle Cookies. Ein Banner mit nur "OK" oder "Verstanden" ist nicht rechtskonform. Es muss eine echte Wahl zwischen Akzeptieren und Ablehnen geben.
Was kostet ein DSGVO-Verstoß?
Der Rahmen reicht theoretisch bis 20 Millionen Euro. In der Praxis liegen Strafen für KMU meist deutlich niedriger, dazu kommen Abmahnkosten (ab ca. 170 EUR) und Schadensersatzansprüche. 2025 verhängten deutsche Behörden insgesamt rund 46,9 Millionen Euro über 249 Verfahren.
Kann ich Google Analytics noch nutzen?
Ja, aber nur mit Cookie-Einwilligung, AV-Vertrag und korrekter Konfiguration (IP-Anonymisierung, begrenzte Speicherdauer). Datenschutzfreundlichere Alternativen sind Matomo (selbst gehostet) oder Plausible.
Brauche ich einen Datenschutzbeauftragten?
Nur wenn mindestens 20 Personen in deinem Unternehmen ständig mit automatisierter Datenverarbeitung beschäftigt sind (§ 38 BDSG). Für die meisten KMU mit weniger als 20 Mitarbeitern ist das nicht erforderlich.
Was sind AV-Verträge und brauche ich die?
AV-Verträge (Auftragsverarbeitungsverträge) schließt du mit jedem Dienstleister ab, der in deinem Auftrag personenbezogene Daten verarbeitet: Hoster, Newsletter-Tool, Analytics-Tool. Ohne AV-Vertrag fehlt der Verarbeitung die vertragliche Grundlage nach Art. 28 DSGVO.
Sind Social-Media-Buttons ein DSGVO-Problem?
Ja, wenn sie Tracking-Code laden (etwa der Facebook Like-Button). Die sichere Lösung: einfache Text-Links zu deinen Profilen statt eingebetteter Buttons. Kein Tracking, kein Problem.
Wie oft muss ich meine Datenschutzerklärung aktualisieren?
Immer dann, wenn sich etwas ändert: neues Tool eingebunden, Hoster gewechselt, Newsletter-Dienst hinzugefügt. Zusätzlich empfiehlt sich eine jährliche Prüfung, ob alle Angaben noch stimmen.
