DSGVO-Checkliste für Unternehmenswebsites 2026

Datenschutz auf einer Website ist kein einmaliges Dokument, sondern das Zusammenspiel aus Technik, eingesetzten Diensten und verständlichen Informationen. Diese Checkliste hilft Ihnen, die wichtigsten Punkte strukturiert zu prüfen.

Sie ersetzt keine Beratung für Ihren konkreten Betrieb. Besonders bei Gesundheitsdaten, Beschäftigtendaten, Profilbildung, Werbung oder internationalen Datenübermittlungen sollte eine fachkundige Stelle die Umsetzung bewerten.

1. Verantwortliche Stelle klar benennen

Besucher müssen erkennen können, wer die Website betreibt und für die Datenverarbeitung verantwortlich ist. Prüfen Sie:

• vollständiger Name oder Unternehmensname
• ladungsfähige Anschrift
• erreichbare E-Mail-Adresse
• weitere gesetzlich erforderliche Angaben im Impressum
• bei Bedarf Angaben zum Datenschutzbeauftragten

Impressum und Datenschutzerklärung erfüllen unterschiedliche Aufgaben und sollten getrennt, dauerhaft und von jeder Unterseite erreichbar sein.

2. Tatsächliche Datenflüsse erfassen

Eine Datenschutzerklärung kann nur stimmen, wenn bekannt ist, welche Daten die Website wirklich verarbeitet. Erstellen Sie eine Liste aller Bausteine:

• Hosting und Server-Protokolle
• Kontakt- und Bewerbungsformulare
• Terminbuchung
• Analyse und Reichweitenmessung
• Newsletter
• Karten, Videos und Social-Media-Einbettungen
• Zahlungs- oder Shopfunktionen
• Chat, Bewertungen und externe Schriftdateien
• Sicherheitsdienste und Spam-Schutz

Prüfen Sie die Website zusätzlich im Netzwerkbereich der Browser-Entwicklerwerkzeuge. So werden auch Verbindungen sichtbar, die durch Themes, Erweiterungen oder eingebettete Inhalte entstehen.

3. Zweck und Rechtsgrundlage festlegen

Für jede Verarbeitung sollte dokumentiert sein:

• Welche Daten werden verarbeitet?
• Zu welchem konkreten Zweck?
• Wie lange werden sie benötigt?
• Wer erhält sie?
• Welche Rechtsgrundlage wird herangezogen?

Mögliche Grundlagen nennt Art. 6 DSGVO, etwa die Erfüllung eines Vertrags, vorvertragliche Maßnahmen, gesetzliche Pflichten, berechtigte Interessen oder eine Einwilligung. Welche Grundlage passt, hängt vom Einzelfall ab.

4. Einwilligungen und Zugriffe auf Endgeräte prüfen

§ 25 TDDDG betrifft das Speichern von Informationen in Endgeräten und den Zugriff auf dort gespeicherte Informationen. Grundsätzlich ist eine Einwilligung erforderlich, sofern keine gesetzliche Ausnahme greift.

Prüfen Sie deshalb nicht nur klassische Cookies, sondern auch andere Speicher- oder Ausleseverfahren. Wenn eine Einwilligung notwendig ist:

• optionale Dienste vor der Entscheidung blockieren
• Zwecke verständlich erklären
• Ablehnen und Zustimmen gleichwertig ermöglichen
• Einwilligungen nachweisbar verwalten
• einen späteren Widerruf ermöglichen

Mehr dazu lesen Sie im Beitrag Wann eine Website einen Cookie-Banner braucht.

5. Datenschutzerklärung an die Technik anpassen

Die Informationspflichten aus Art. 13 DSGVO verlangen unter anderem Angaben zu Zwecken, Rechtsgrundlagen, Empfängern, Speicherdauer und Betroffenenrechten.

Vermeiden Sie einen allgemeinen Mustertext, der Dienste nennt, die gar nicht eingesetzt werden. Prüfen Sie die Erklärung nach jeder technischen Änderung erneut.

6. Formulare datensparsam gestalten

Kontaktformulare sollten nur Angaben abfragen, die zur Bearbeitung der Anfrage benötigt werden. Sinnvolle Prüfungen sind:

• Pflichtfelder auf das Notwendige beschränken
• verschlüsselte Übertragung über HTTPS
• Empfänger und Weiterleitung dokumentieren
• Schutz gegen automatisierte Einsendungen datensparsam wählen
• Löschfristen für erledigte Anfragen festlegen
• externe Formulardienste in der Datenschutzerklärung nennen

Bei besonders sensiblen Angaben ist ein gewöhnliches Kontaktformular meist nicht der passende Übertragungsweg.

7. Auftragsverarbeiter und Verträge prüfen

Hosting-, Newsletter-, Analyse- oder Formulardienste können personenbezogene Daten im Auftrag verarbeiten. Prüfen Sie, ob ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO erforderlich ist und ob die technischen und organisatorischen Maßnahmen des Anbieters zu Ihrem Einsatz passen.

Dokumentieren Sie außerdem Unterauftragnehmer und Speicherorte. Eine Produktwerbung mit dem Wort „datenschutzkonform“ ersetzt diese Prüfung nicht.

8. Übermittlungen in Drittländer dokumentieren

Werden Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, sind zusätzliche Anforderungen zu prüfen. Relevant können Angemessenheitsbeschlüsse, geeignete Garantien und ergänzende Schutzmaßnahmen sein.

Auch ein europäischer Vertragspartner kann Dienste oder Unterauftragnehmer außerhalb Europas einsetzen. Maßgeblich ist der tatsächliche Datenfluss.

9. Externe Schriften und Einbettungen kontrollieren

Schriftdateien lassen sich häufig lokal ausliefern. Dadurch entfällt beim Seitenaufruf die Verbindung zu einem externen Schriftserver. Eine Anleitung finden Sie unter Google Fonts lokal einbinden.

Videos, Karten und Social-Media-Beiträge sollten nicht unbemerkt Daten übertragen. Mögliche Lösungen sind Vorschaubilder mit bewusster Aktivierung, datensparsame Einbettungsvarianten oder einfache externe Links.

10. Analyse bewusst konfigurieren

Bei Reichweitenmessung kommt es auf die konkrete Konfiguration an. Prüfen Sie:

• Werden Cookies oder andere Kennungen verwendet?
• Wird die IP-Adresse gekürzt?
• Läuft der Dienst auf eigener Infrastruktur oder bei einem Dritten?
• Welche Daten werden gespeichert und wie lange?
• Ist eine Einwilligung nötig?
• Ist eine Widerspruchsmöglichkeit vorgesehen?

„Cookie-frei“ ist nicht automatisch gleichbedeutend mit „ohne weitere Prüfung einsetzbar“.

11. Technische Sicherheit pflegen

Datenschutz verlangt auch angemessene Sicherheit. Für Websites gehören dazu je nach Risiko:

• HTTPS auf allen Seiten
• regelmäßige Aktualisierungen
• sichere Zugänge und Mehrfaktor-Authentifizierung
• begrenzte Benutzerrechte
• wiederherstellbare Sicherungen
• Schutz vor missbräuchlichen Anfragen
• ein Verfahren für Sicherheitsvorfälle

Eine Sicherung ist erst dann belastbar, wenn die Wiederherstellung gelegentlich getestet wird.

12. Prozesse für Auskunft und Löschung festlegen

Unternehmen sollten wissen, wo Daten liegen und wie Anfragen von betroffenen Personen bearbeitet werden. Legen Sie Zuständigkeiten, Identitätsprüfung, Fristen und Löschwege fest. Dazu gehören auch Daten in E-Mail-Postfächern, Formularsystemen, Newsletterdiensten und Sicherungen.

Kompakte Prüfliste

• Verantwortliche Stelle und Kontaktangaben vollständig
• Impressum und Datenschutzerklärung von jeder Seite erreichbar
• alle externen Dienste und Datenflüsse erfasst
• Zweck, Rechtsgrundlage und Speicherdauer dokumentiert
• notwendige Verträge zur Auftragsverarbeitung vorhanden
• Drittlandübermittlungen geprüft
• optionale Dienste vor Einwilligung blockiert
• Formulare auf notwendige Angaben reduziert
• Schriften und Einbettungen kontrolliert
• Analyse passend konfiguriert und beschrieben
• Aktualisierungen, Zugänge und Sicherungen organisiert
• Verfahren für Auskunft, Berichtigung und Löschung vorhanden

Umsetzung bei TTT Digital

TTT Digital bindet Schriften lokal ein, liefert Seiten verschlüsselt aus und nutzt eine eigene Matomo-Instanz ohne Analyse-Cookies. Welche weiteren Maßnahmen erforderlich sind, richtet sich nach den Funktionen der jeweiligen Kundenwebsite. Rechtstexte und spezielle Branchenanforderungen sollten bei Bedarf individuell geprüft werden.

Offizielle Grundlagen

• Datenschutz-Grundverordnung bei EUR-Lex
• § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
• Orientierungshilfen der Datenschutzkonferenz
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit

Stand: 4. August 2026. Diese Checkliste dient der allgemeinen Information und ersetzt keine Rechtsberatung.