DSGVO-konforme Website für kleine Unternehmen: das Wesentliche

25. Juni 2026 · von Jannik Jörns

„Ist meine Website eigentlich DSGVO-konform?" ist eine der häufigsten Fragen, die ich höre — und oft schwingt echte Sorge vor Abmahnungen mit. Die gute Nachricht zuerst: Für eine typische Website eines kleinen Unternehmens ist Datenschutz kein Hexenwerk. Es geht nicht darum, ein juristisches Bollwerk zu errichten, sondern um eine Handvoll nachvollziehbarer Grundregeln. Wer sie von Anfang an mitdenkt, hat den Großteil erledigt. Dieser Artikel sortiert die wichtigsten Bausteine — verständlich und praxisnah, nicht als Paragrafen-Wüste.

Hinweis: Dieser Beitrag ist eine allgemeine, technisch geprägte Orientierung und keine Rechtsberatung. Jeder Fall ist anders. Bei konkreten rechtlichen Fragen — etwa zu Formulierungen oder besonderen Datenarten — wenden Sie sich bitte an eine Anwältin, einen Anwalt oder einen Datenschutzbeauftragten.

Worum es bei der DSGVO eigentlich geht

Im Kern verlangt die Datenschutz-Grundverordnung Transparenz und Sparsamkeit: Menschen sollen wissen, welche Daten Sie über sie erheben, warum, und sie sollen die Kontrolle behalten. Für eine Website heißt das ganz praktisch, nur das zu sammeln, was wirklich gebraucht wird — und offen darüber zu informieren. Schon „personenbezogen" sind dabei mehr Daten, als viele denken: Eine IP-Adresse gehört dazu, also fällt selbst der bloße Aufruf einer Seite darunter. Genau deshalb beginnt sauberer Datenschutz nicht bei einem Cookie-Banner, sondern bei der Frage, was im Hintergrund überhaupt passiert.

Impressum: Pflicht, kurz und klar

Ein vollständiges Impressum ist für geschäftliche Websites Pflicht und muss von jeder Seite aus leicht erreichbar sein — üblicherweise über einen Link im Footer. Hinein gehören Name beziehungsweise Firmierung, eine ladungsfähige Anschrift (ein Postfach reicht nicht), eine schnelle Kontaktmöglichkeit wie E-Mail-Adresse und Telefonnummer sowie, je nach Tätigkeit, weitere Angaben wie die Umsatzsteuer-Identifikationsnummer. Das klingt formal, ist aber schnell erledigt — und ein fehlendes oder unvollständiges Impressum gehört zu den häufigsten und vermeidbarsten Abmahngründen überhaupt.

Die Datenschutzerklärung

Die Datenschutzerklärung erklärt verständlich, welche Daten Ihre Website verarbeitet und auf welcher Grundlage. Sie ist kein Textbaustein, den man einmal kopiert und vergisst — sie muss zu dem passen, was Ihre Seite tatsächlich tut. Sinnvoll abgedeckt sind in der Regel:

• Verantwortliche Stelle: wer hinter der Website steht und wie man Sie erreicht.
• Server-Logs und Hosting: dass beim Aufruf technische Daten wie die IP-Adresse kurz verarbeitet werden.
• Kontaktformular: welche Angaben Sie erheben und wofür Sie sie nutzen.
• Externe Dienste: alles, was Daten an Dritte gibt — etwa eingebundene Karten, Videos oder Schriften.
• Rechte der Betroffenen: Auskunft, Löschung, Widerspruch und der Hinweis auf die Aufsichtsbehörde.

Für die exakten Formulierungen sind Generatoren von Anwaltskanzleien oder eine individuelle juristische Prüfung der richtige Weg. Meine Aufgabe als Entwickler ist, die Technik so aufzustellen, dass die Erklärung am Ende auch der Wahrheit entspricht.

Das Kontaktformular: Einwilligung und Sparsamkeit

Das Kontaktformular ist auf den meisten KMU-Websites der zentrale Punkt, an dem Daten bewusst erhoben werden. Drei Dinge machen es sauber: Erstens Datensparsamkeit — fragen Sie nur ab, was Sie für die Antwort wirklich brauchen, nicht „weil das Feld halt da ist". Zweitens ein klarer Hinweis mit Verweis auf die Datenschutzerklärung, idealerweise als bewusste Bestätigung per Häkchen, dass die Angaben zur Bearbeitung der Anfrage verarbeitet werden. Drittens eine sichere, verschlüsselte Übertragung. Eine HTTPS-Verschlüsselung (das Schloss-Symbol im Browser) ist heute ohnehin selbstverständlich und gehört zu jeder seriösen Website dazu.

Kein Tracking ohne Einwilligung

Hier liegt der häufigste Stolperstein. Analyse- und Marketing-Werkzeuge — etwa Statistik-Dienste oder Werbe-Pixel — dürfen erst dann laden, wenn die Besucherin oder der Besucher aktiv zugestimmt hat. Eine voreingestellte Einwilligung oder ein „weiter heißt Zustimmung" reicht nicht: Es braucht eine echte, freiwillige Entscheidung, und Ablehnen muss genauso einfach sein wie Annehmen. Mein Rat an kleine Betriebe lautet meist: Brauchen Sie das Tracking überhaupt? Oft genügt eine schlanke, datensparsame Statistik, die ganz ohne personenbezogene Daten auskommt — dann erübrigt sich die ganze Diskussion, und die Seite bleibt schnell und sauber.

Das Google-Fonts-Problem

Ein klassischer Fall, der schon zu Abmahnwellen geführt hat: Schriftarten, die direkt von einem externen Server — etwa Google Fonts — nachgeladen werden. Beim Laden wird die IP-Adresse Ihrer Besucher an diesen Server übertragen, oft ohne dass jemand davon weiß. Die Lösung ist technisch einfach und für die Betroffenen unsichtbar: Schriften werden lokal mitgeliefert und vom eigenen Server der Website ausgeliefert. Dann verlassen keine Daten unbemerkt das Haus. Genauso behandle ich eingebettete Karten, Videos oder Social-Media-Bausteine — sie laden erst nach bewusster Zustimmung oder werden datensparsam eingebunden.

EU-Hosting und Auftragsverarbeitung

Wo Ihre Website liegt, ist kein Nebenschauplatz. Ein Hosting innerhalb der EU beziehungsweise Westeuropas macht den Datenschutz deutlich unkomplizierter, weil Datenübermittlungen in Drittländer und deren rechtliche Unsicherheiten gar nicht erst entstehen. Bei mir läuft Ihre Seite deshalb auf Infrastruktur in der EU, ohne Tracking und ohne Vendor-Lock-in.

Wichtig ist außerdem die Auftragsverarbeitung: Sobald ein Dienstleister in Ihrem Auftrag personenbezogene Daten verarbeitet — der Hoster, ein E-Mail-Versand, ein Formular-Dienst — braucht es dafür einen Auftragsverarbeitungsvertrag (AVV). Das klingt nach Bürokratie, ist aber Routine: Seriöse Anbieter stellen einen solchen Vertrag standardmäßig bereit. Ich achte bei der Auswahl der Bausteine von vornherein darauf, dass diese Verträge verfügbar und die Anbieter datenschutzfreundlich sind.

Cookie-Banner: nur, wenn nötig

Der nervige Banner ist zum Symbol für Datenschutz geworden — dabei ist er oft gar nicht erforderlich. Eine Einwilligung über ein Banner brauchen Sie für Cookies und Dienste, die nicht technisch zwingend sind, also vor allem für Tracking und Werbung. Wenn Ihre Website schlank gebaut ist, keine fremden Dienste ohne Zustimmung lädt und auf personenbezogenes Tracking verzichtet, können Sie sich den Banner in vielen Fällen ganz sparen. Das ist kein Trick, sondern die konsequente Folge einer datensparsamen Bauweise — und nebenbei deutlich angenehmer für Ihre Besucher.

Datenschutz von Anfang an, nicht als Pflaster

Der teuerste Weg ist, eine Website erst zu bauen und Datenschutz hinterher draufzukleben. Viel einfacher ist es, von der ersten Zeile an datensparsam zu denken: lokale Schriften, EU-Hosting, kein Tracking ohne Grund, ein sauberes Kontaktformular. Genau so arbeite ich — DSGVO und Barrierefreiheit nach BFSG und WCAG 2.1 AA sind bei mir Standard, kein Aufpreis. Das Ergebnis ist eine Website, bei der Sie ruhig schlafen können, statt vor jedem Abmahnschreiben zusammenzuzucken.

Häufige Fragen zum Datenschutz

So geht es weiter

Datenschutz und Barrierefreiheit gehen Hand in Hand — beides baue ich von Anfang an mit ein. Vertiefend lohnt der Blick auf das Thema barrierefreie Website nach BFSG sowie auf den Relaunch-Leitfaden mit Checkliste. Wer ich bin und wie ich arbeite, lesen Sie auf der Seite über Jannik. Oder Sie schreiben mir direkt: Im kostenlosen Erstgespräch schauen wir, was Ihre Website datenschutzkonform und sicher macht.