DSGVO-konforme Website: Die komplette Checkliste 2026

Hinweis: Dieser Artikel gibt einen Überblick, ersetzt aber keine Rechtsberatung. Bei Unsicherheiten solltest du einen Anwalt konsultieren.

Die DSGVO ist seit 2018 in Kraft, und noch immer herrscht viel Verwirrung. Manche Website-Betreiber ignorieren das Thema komplett, andere übertreiben es mit nervigen Cookie-Bannern, die eigentlich gar nicht nötig wären.

In diesem Artikel zeige ich dir, was du wirklich brauchst, um rechtssicher zu sein – ohne Panikmache und ohne unnötigen Aufwand.

1. Impressum (Pflicht!)

Das Impressum ist keine DSGVO-Anforderung, sondern kommt aus dem Telemediengesetz (TMG). Trotzdem gehört es in diese Liste, weil es die häufigste Abmahnfalle ist.

Was rein muss:

Vollständiger Name (bei Einzelunternehmen) oder Firmenname
Anschrift (kein Postfach!)
E-Mail-Adresse
Telefonnummer (umstritten, aber empfohlen)
Umsatzsteuer-ID (falls vorhanden)
Handelsregister-Eintrag (falls vorhanden)
Verantwortlicher für den Inhalt nach §55 RStV

Wichtig: Das Impressum muss mit maximal 2 Klicks erreichbar sein. Ein Link im Footer auf jeder Seite reicht aus.

2. Datenschutzerklärung (Pflicht!)

Jede Website braucht eine Datenschutzerklärung. Diese muss erklären, welche Daten du sammelst und was du damit machst.

Was typischerweise rein muss:

Name und Kontaktdaten des Verantwortlichen
Welche Daten werden erhoben (z.B. IP-Adressen in Server-Logs)
Kontaktformular: Welche Daten werden gespeichert, wie lange
Hosting-Anbieter und wo die Server stehen
Eingebundene Drittanbieter (Google Fonts, Analytics, Maps...)
Rechte der Betroffenen (Auskunft, Löschung, Widerspruch)

Tipp: Nutze einen Datenschutz-Generator (z.B. von eRecht24 oder Datenschutz-Generator.de), aber lass das Ergebnis von jemandem prüfen, der sich auskennt.

3. Cookie-Banner: Wann du einen brauchst

Hier wird es interessant. Nicht jede Website braucht ein Cookie-Banner!

Kein Cookie-Banner nötig, wenn:

Du nur technisch notwendige Cookies nutzt (Session-Cookies)
Du keine externen Dienste einbindest (kein Google Analytics, keine YouTube-Videos)
Du Google Fonts lokal hostest (nicht von Google-Servern)
Du keine Tracking-Pixel verwendest

Cookie-Banner nötig, wenn:

Du Google Analytics oder ähnliche Tracking-Tools nutzt
Du Google Fonts von Google-Servern lädst
Du YouTube-Videos oder andere Embeds einbindest
Du Facebook Pixel, LinkedIn Insight Tag etc. verwendest
Du Werbung schaltest

Die einfachste Lösung: Verzichte auf unnötiges Tracking. Eine handcodierte Website ohne externe Dienste braucht oft gar kein Cookie-Banner.

4. Google Fonts: Das Abmahn-Risiko

2022 gab es eine Abmahnwelle wegen Google Fonts. Das Problem: Wenn du Google Fonts von Google-Servern lädst, wird die IP-Adresse deiner Besucher an Google in die USA übertragen – ohne deren Einwilligung.

Die Lösung ist einfach: Hoste Google Fonts lokal auf deinem Server. Dann werden keine Daten an Google übertragen.

So prüfst du, ob Google Fonts extern geladen werden:

1. Öffne deine Website in Chrome
2. Rechtsklick → "Untersuchen" (oder F12)
3. Gehe zum Tab "Network" (Netzwerk)
4. Lade die Seite neu
5. Suche nach "fonts.googleapis.com" oder "fonts.gstatic.com"
6. Wenn du Treffer findest → Fonts werden extern geladen

5. Google Analytics: Geht das noch?

Google Analytics ist seit den Schrems-II-Urteilen problematisch, weil Daten in die USA übertragen werden. Technisch kannst du es noch nutzen, aber:

Du brauchst ein Cookie-Banner mit echter Einwilligung (kein vorausgefülltes Häkchen)
Du musst IP-Anonymisierung aktivieren
Du musst es in der Datenschutzerklärung erwähnen
Das rechtliche Risiko bleibt

Alternativen:

Plausible Analytics – EU-gehostet, cookieless, DSGVO-konform
Fathom Analytics – Ähnlich wie Plausible
Matomo – Self-hosted, volle Kontrolle
Gar kein Analytics – Oft die beste Lösung für kleine Websites

Die DSGVO-Checkliste

Muss vorhanden sein:

Impressum (max. 2 Klicks erreichbar)
Datenschutzerklärung (vollständig und aktuell)
SSL-Verschlüsselung (https://)
Google Fonts lokal gehostet
Kontaktformular: Hinweis auf Datenverarbeitung

Falls Tracking/Cookies genutzt werden:

Cookie-Banner mit echtem Opt-in
"Ablehnen" genauso einfach wie "Akzeptieren"
Tracking erst NACH Einwilligung starten
Möglichkeit zum späteren Widerruf

Mein Tipp: Keep it simple

Die einfachste Art, DSGVO-konform zu sein, ist weniger zu tracken. Frag dich bei jedem externen Dienst:

Brauche ich das wirklich?
Was mache ich mit den Daten?
Gibt es eine datenschutzfreundlichere Alternative?

Eine schnelle, handcodierte Website ohne Google Analytics, ohne extern geladene Fonts und ohne Social-Media-Embeds braucht oft nur Impressum und Datenschutzerklärung – kein nerviges Cookie-Banner.

Hast du Fragen zur DSGVO-Konformität deiner Website? Lass uns sprechen – unsere Websites sind standardmäßig DSGVO-optimiert.