DSGVO-Checkliste für Ihre Website: Was wirklich Pflicht ist – und was Sie sich sparen können

Eine Vorbemerkung in eigener Sache: Ich bin Webdesigner, kein Rechtsanwalt. Dieser Beitrag ist eine sorgfältig recherchierte Orientierungshilfe, keine Rechtsberatung im Einzelfall. Bei konkreter Unsicherheit hilft die Datenschutzaufsicht (in Baden-Württemberg der LfDI) oder ein Anwalt.

Stand: Juni 2026, geprüft gegen die aktuellen Gesetzestexte (TDDDG, DDG, DSGVO). Geschrieben von Andreas Breuninger, der selbst datensparsame Websites baut – Orientierung, keine Rechtsberatung.

Direkt springen: Die Checkliste · Brauche ich ein Cookie-Banner? · Statt X nimm Y · Nach Branche · Was jetzt tun? · Selbst prüfen

Worum es geht: Pflicht, Mythos und Datensparsamkeit

Praktisch jede geschäftliche Website braucht eine Datenschutzerklärung – aber längst nicht jede braucht ein Cookie-Banner, eine Einwilligungs-Checkbox oder ein Consent-Tool. Was Pflicht ist, hängt nicht von Ihrer Branche ab, sondern davon, was Ihre Seite technisch tut.

Der Grund, warum Datenschutz schon bei der schlichtesten Seite greift: Sobald Ihre Website online ist, verarbeitet sie personenbezogene Daten – mindestens die IP-Adresse jedes Besuchers, die der Webserver standardmäßig in den Logdateien protokolliert. IP-Adressen gelten nach der „Breyer"-Rechtsprechung des Europäischen Gerichtshofs (C-582/14) in aller Regel als personenbezogene Daten. Damit greift die Informationspflicht aus Art. 13 DSGVO – und deshalb braucht praktisch jede Seite eine Datenschutzerklärung.

Das ist aber auch schon der Kern der schlechten Nachricht. Der Rest der DSGVO-Anforderungen hängt davon ab, was Sie zusätzlich einbauen. Und genau hier liegt die zentrale Erkenntnis dieser Checkliste:

Diese Liste ist deshalb bewusst ehrlich – inklusive der Punkte, die Sie sich komplett sparen können. Im Folgenden zuerst der zeitliche Stand, dann die Checkliste zum Abhaken, dann jeder Punkt im Detail.

Rechtsstand 2026 in der Zeitleiste

Die Begriffe haben sich geändert, die Grundregeln nicht: Seit Mai 2024 heißt es TDDDG statt TTDSG und DDG statt TMG – wer noch die alten Kürzel liest, liest veraltete Ratgeber.

• Gesetz / Verordnung
• Gerichtsurteil
• Aufsicht & Praxis (2026)

Ausführliche Zeitleiste mit Aktenzeichen

1. 25.05.2018 Gesetz

   DSGVO wird in der ganzen EU anwendbar.

2. 2019 Gesetz

   Schwelle für den Datenschutzbeauftragten von 10 auf 20 Personen angehoben (§ 38 BDSG).

3. 28.05.2020 Urteil

   BGH: aktives Opt-in für Cookies nötig (I ZR 7/16).

4. 10.07.2023 Beschluss

   EU-US Data Privacy Framework tritt in Kraft – US-Transfer wieder möglich.

5. 14.05.2024 Gesetz

   DDG ersetzt TMG, TDDDG ersetzt TTDSG – nur umbenannt, Regeln gleich.

6. 19.03.2025 Urteil

   VG Hannover: Dark Patterns & Google Tag Manager im Cookie-Banner beanstandet.

7. 01.04.2025 Verordnung

   Einwilligungsverwaltungsverordnung (EinwV) in Kraft – freiwillige Consent-Dienste.

8. 28.08.2025 Urteil

   BGH legt dem EuGH Grundsatzfragen zu Google Fonts vor (VI ZR 258/24).

9. 03.09.2025 Urteil

   EU-Gericht weist Klage gegen das Data Privacy Framework ab – Rechtsmittel läuft („Schrems III").

10. 19.03.2026 Aufsicht · 2026

    EU-Aufsichtsbehörden starten die koordinierte Prüfaktion 2026 zu Transparenz-/Informationspflichten.

11. 02.04.2026 Praxis · 2026

    Google wird beim reCAPTCHA-Einsatz zum Auftragsverarbeiter statt eigener Verantwortlicher.

Die DSGVO-Checkliste auf einen Blick

Die abhakbare Liste – sortiert nach „echte Pflicht", „empfohlen" und „kommt darauf an, was Ihre Seite lädt". Die Details zu jedem Punkt stehen in den Kapiteln darunter.

→ Jeder Punkt aus der gelben Liste, den Sie streichen können, weil Ihre Seite den Dienst gar nicht lädt, spart echte Arbeit.

Datenschutzerklärung: der eine Punkt, den jede Website braucht

Sobald Ihre Website online ist, verarbeitet sie personenbezogene Daten – mindestens die IP-Adresse in den Server-Logs. Deshalb braucht praktisch jede Website eine Datenschutzerklärung mit einem festen Katalog an Pflichtangaben nach Art. 13 DSGVO.

Was hineingehört (Art. 13 Abs. 1 und 2 DSGVO):

• Verantwortlicher mit Kontaktdaten – und, falls bestellt, der Datenschutzbeauftragte.
• Zwecke der Verarbeitung und je Zweck die passende Rechtsgrundlage (Art. 6); bei „berechtigtem Interesse" auch das konkrete Interesse.
• Empfänger oder Empfängerkategorien.
• Geplante Drittland-Übermittlung (z. B. USA) samt Garantie.
• Speicherdauer oder die Kriterien dafür.
• Betroffenenrechte: Auskunft (15), Berichtigung (16), Löschung (17), Einschränkung (18), Datenübertragbarkeit (20), Widerspruch (21).
• Widerrufsrecht der Einwilligung und Beschwerderecht bei einer Aufsichtsbehörde.
• Ob die Bereitstellung der Daten erforderlich ist, und ggf. Hinweise zu automatisierten Entscheidungen.

Pro Website-Funktion gehört eine eigene Rechtsgrundlage in die Erklärung. Eine pauschale Floskel „berechtigtes Interesse" ohne Zweck ist ein klassischer Mangel. Als Orientierung:

Zur Erreichbarkeit verlangt Art. 12 DSGVO eine „leicht zugängliche" Form: ein klar benannter Link (üblich im Footer), von jeder Unterseite erreichbar. Eine eigene, separate Seite ist üblich und empfohlen, aber gesetzlich nicht zwingend – verboten ist nur, die Datenschutzerklärung im Impressum zu verstecken.

Ein aktueller Grund, jetzt hinzuschauen (ohne Panik): 2026 prüfen europäische Aufsichtsbehörden im Rahmen einer koordinierten Aktion gezielt die Transparenz- und Informationspflichten (Art. 12–14 DSGVO) – also genau die Datenschutzerklärung. Kein Grund zur Sorge, aber ein guter Anlass, die eigene Erklärung einmal gegen die tatsächlich genutzten Dienste abzugleichen.

So bauen Sie Ihre Datenschutzerklärung (Generator vs. Muster)

Generatoren liefern ein brauchbares Gerüst, ersetzen aber nicht die Anpassung an die Dienste, die Ihre Seite wirklich nutzt – kreuzen Sie nur Bausteine an, die Sie tatsächlich einsetzen.

1. Bestandsaufnahme: Erst herausfinden, was Ihre Seite überhaupt lädt – am schnellsten mit dem Selbst-Check (F12 → Netzwerk). Erst dann wissen Sie, welche Bausteine Sie brauchen.
2. Gerüst holen: Ein seriöser Datenschutz-Generator liefert die formalen Bausteine. Das ist ein Ausgangspunkt, kein Freibrief.
3. Bausteine rein/raus. Rein: Verantwortlicher, Hosting/Server-Logs, Kontaktformular (falls vorhanden), jeder real genutzte Drittdienst, Betroffenenrechte. Raus: alle Muster-Bausteine für Analytics, Maps, Fonts, Newsletter, die Sie nicht einsetzen – der häufigste Fehler.
4. Aktuell halten: Bei jedem neuen Tool den passenden Baustein nachziehen.

Impressum: Pflicht ja – aber keine DSGVO-Pflicht

Das Impressum ist Pflicht für geschäftliche Websites, folgt aber aus § 5 DDG (Digitale-Dienste-Gesetz) – nicht aus der DSGVO. Das DDG hat am 14. Mai 2024 das TMG abgelöst; Verweise auf „§ 5 TMG" sind seitdem veraltet.

Sauber getrennt:

• Impressum = Anbieterkennzeichnung, Website-Recht (§ 5 DDG): Name, Anschrift, Kontakt usw.
• Datenschutzerklärung = Datenschutzrecht (Art. 13 DSGVO): Information über die Datenverarbeitung.

Beide gehören getrennt und von jeder Seite erreichbar. (Die Rechtsgrundlage im Impressum ausdrücklich zu nennen, ist nicht zwingend.)

Cookie-Banner: der größte Mythos

Ein Cookie-Banner ist NICHT für jede Website Pflicht. Eine Einwilligung nach § 25 TDDDG brauchen Sie nur für technisch nicht notwendige Cookies und Drittdienste. Eine datensparsame Seite ohne Tracker, externe Fonts, Videos oder Karten kommt oft ganz ohne Banner aus.

Die maßgebliche Norm heißt seit dem 14. Mai 2024 § 25 TDDDG (vorher § 25 TTDSG – inhaltlich praktisch unverändert). Sie verlangt eine Einwilligung, bevor etwas auf dem Endgerät gespeichert oder ausgelesen wird – also für Cookies und vergleichbare Techniken.

Die Ausnahme (§ 25 Abs. 2 TDDDG): nur „unbedingt erforderliche" Zugriffe. „Erforderlich" bemisst sich am Zweck des vom Nutzer gewünschten Dienstes, nicht daran, dass eine Software technisch Cookies setzt. Konkret: Analyse-, Marketing- und Tracking-Cookies sind nie technisch notwendig – sie brauchen immer eine Einwilligung. Ein Warenkorb oder eine Login-Session dagegen schon.

Wenn Ihre Seite keine solchen Dienste lädt, brauchen Sie kein Banner. Das ist der größte Mythos rund um die DSGVO.

Falls Sie doch eins brauchen, muss die Einwilligung wirksam sein:

• Aktives Opt-in – keine vorangekreuzten Kästchen (BGH, 28.05.2020, I ZR 7/16 „Cookie-Einwilligung II").
• Vorab, freiwillig, informiert, granular und ebenso leicht widerrufbar wie erteilbar (Art. 7 DSGVO).
• „Alle ablehnen" gleichwertig zu „Alle akzeptieren" – auf der ersten Ebene, gleiche Klickdistanz und Gewichtung.
• Keine Dark Patterns / kein Nudging. Das VG Hannover (19.03.2025, 10 A 5385/22) beanstandete u. a. einen irreführenden Schließen-Button „Akzeptieren & schließen ✕". (Erstinstanzlich, nicht rechtskräftig – aber ein klares Signal.)

Zwei verbreitete Missverständnisse:

• Schon der Google Tag Manager ist einwilligungspflichtig – nicht erst die geladenen Tags (VG Hannover, erstinstanzlich). Erst nach Einwilligung laden.
• EinwV und „Consent Mode v2" ersetzen kein Banner. Die Einwilligungsverwaltungsverordnung (seit 01.04.2025) sollte zentrale Einwilligungsdienste ermöglichen, ist aber freiwillig; der erste anerkannte Dienst kam erst im Oktober 2025, und sie gilt als praktisch wirkungslos. Googles Consent Mode v2 ist eine technische Google-Anforderung für Werbekunden, keine gesetzliche Pflicht.

Ob Ihre konkrete Seite ein Banner braucht, hängt vom Einzelfall ab; das hier ist Orientierung, keine verbindliche Rechtsauskunft.

Brauche ich ein Cookie-Banner? (Entscheidungshilfe)

Die Faustregel: Lädt Ihre Seite nur eigene, lokale Inhalte und höchstens technisch notwendige Cookies, brauchen Sie kein Banner – erst fremde Tracker, Embeds oder Analyse-Cookies machen es nötig. Das Schaubild führt in zwei Schritten zur Antwort.

Ausführliche Variante in drei Fragen (als Text)

1. Lädt Ihre Seite nur eigene, lokale Inhalte? (lokale Schriften, eigene Bilder, kein fremder Tracker, kein externes Embed) → Kein Banner nötig.
2. Setzt sie nur technisch notwendige Cookies? (Warenkorb, Login-Session, Spracheinstellung) → Kein Einwilligungs-Banner (§ 25 Abs. 2 TDDDG).
3. Lädt sie Drittdienste oder Tracker? (Analytics, Maps-Embed, YouTube, externe Fonts, Meta-Pixel, reCAPTCHA) → Einwilligung VOR dem Laden nötig – Banner mit gleichwertigem „Ablehnen" oder den Dienst weglassen/lokal lösen (dann entfällt das Banner).

Kontaktformular & Spamschutz: Checkbox-Mythos und reCAPTCHA

Ein Kontaktformular braucht in der Regel KEINE Einwilligungs-Checkbox (Art. 6 Abs. 1 lit. b oder f) – und für den Spamschutz brauchen Sie nicht zwingend Google: Ein serverseitiger Honeypot hält Bots fern, ohne einen einzigen Drittdienst zu laden.

Worauf es beim Formular ankommt:

• Keine Pflicht-Checkbox – Fachleute raten sogar davon ab.
• Datenminimierung (Art. 25, Art. 5): nur nötige Pflichtfelder.
• HTTPS für die Übertragung.
• Klarer Hinweis mit Link zur Datenschutzerklärung.
• Keine besonderen Daten (Art. 9, z. B. Gesundheitsdaten) über ein einfaches Formular – relevant für Arztpraxen.
• Newsletter ist anders: Der braucht ein Double-Opt-In.

Und reCAPTCHA? Google reCAPTCHA greift auf das Endgerät zu und überträgt Daten an Google – damit ist es grundsätzlich einwilligungspflichtig nach § 25 TDDDG, nicht „technisch notwendig". Eine wichtige 2026-Änderung, ehrlich eingeordnet: Seit dem 2. April 2026 ist Google beim reCAPTCHA-Einsatz nur noch weisungsgebundener Auftragsverarbeiter (statt eigener Verantwortlicher) – das erleichtert die Vertragslage (AVV), beseitigt aber nicht die Einwilligungspflicht, den US-Transfer und die Frage, ob das Tool überhaupt erforderlich ist.

Die datensparsame Reihenfolge:

1. Serverseitiger Honeypot oder Zeit-Token – ein verstecktes Feld, das nur Bots ausfüllen. Kein Drittdienst, keine Einwilligung, kein US-Transfer. Für die allermeisten kleinen Formulare reicht das.
2. Falls wirklich ein sichtbares Captcha nötig ist: Friendly Captcha (Anbieter aus Deutschland, cookielos) statt Google. (Cloudflare Turnstile und hCaptcha sind technisch schlanker als reCAPTCHA, werden aber von US-Unternehmen betrieben – also ebenfalls mit US-Transfer.)

Drittdienste & US-Transfer: Fonts, Maps, YouTube, Analytics & Co.

Jeder extern nachgeladene Dienst überträgt beim Seitenaufruf die IP-Adresse Ihrer Besucher an einen fremden Server – das ist nicht „technisch erforderlich" und braucht grundsätzlich eine Einwilligung. Die einfachste Lösung: lokal hosten oder per Zwei-Klick einbinden. Dann entfällt das Problem ganz.

Die wichtigsten Dienste im Ampel-Überblick:

Google Fonts – Rechtsstand 2026. Das LG München I sprach am 20.01.2022 (3 O 17493/20) 100 € Schadensersatz zu, weil eine Seite Google Fonts dynamisch lud und ungefragt die Besucher-IP übertrug. Einordnung: erstinstanzliches Einzelfallurteil, kein fester „Tarif"; die folgende Abmahnwelle galt teils als rechtsmissbräuchlich, und der BGH hat am 28.08.2025 (VI ZR 258/24) Grundsatzfragen dem EuGH vorgelegt – die Entscheidung steht aus. Die praktische Empfehlung bleibt: lokal hosten, dann fließt nichts ab.

US-Transfer & Data Privacy Framework. Transfers in die USA sind seit dem Angemessenheitsbeschluss vom 10.07.2023 zulässig – aber nur an Anbieter, die unter dem EU-US Data Privacy Framework zertifiziert sind (prüfbar auf dataprivacyframework.gov). Das Framework ist juristisch angegriffen: Das EU-Gericht wies eine Klage am 03.09.2025 ab, ein Rechtsmittel zum EuGH läuft („Schrems III"). Eine Einwilligung bleibt für die Einbindung trotzdem nötig.

Weitere typische Drittdienste, kurz eingeordnet:

• Buchungstools (z. B. Calendly): speichern auf US-Servern und setzen beim Einbetten Cookies. Calendly ist zwar unter dem Data Privacy Framework zertifiziert, das Embed braucht aber dennoch eine Einwilligung oder Zwei-Klick. Datensparsamer: EU-Tools (Cituro, meetergo, selbst gehostetes Cal.com) – oder schlicht ein Mailto-/Telefon-Link.
• Google-Bewertungs-Widgets: übertragen die Besucher-IP an Google und laden Namen/Profilbilder Dritter → Einwilligung. Datensparsam: Bewertungen serverseitig abrufen und statisch ausliefern.
• Chat-/WhatsApp-Widgets: laden Drittcode und setzen oft Cookies → Einwilligung + AVV; in der Datenschutzerklärung muss die Meta-Verarbeitung transparent stehen. Für kleine Betriebe reicht meist Mailto/Telefon/eigenes Formular.
• Newsletter: mit einem EU-Anbieter (z. B. CleverReach/Oldenburg, rapidmail/Freiburg, Brevo/DE+FR) lässt sich der AVV (Art. 28) sofort abschließen – mit Double-Opt-In.

Auftragsverarbeitungsverträge (AVV). Mit jedem Dienstleister, der auf personenbezogene Daten zugreifen könnte, brauchen Sie einen AVV nach Art. 28 DSGVO – nicht nur mit dem Hoster.

Statt X nimm Y: datensparsame Tool-Alternativen

Für fast jeden bequemen US-Drittdienst gibt es eine datensparsame Alternative, die das Problem gar nicht erst entstehen lässt – meist lokal oder aus der EU.

Zwei ehrliche Hinweise, damit es kein Pseudo-Siegel wird:

• „Ohne Banner" gilt nur bei sauberer Konfiguration. Matomo, Plausible & Co. laufen nur dann ohne Einwilligung, wenn sie cookielos und ohne Zugriff aufs Endgerät konfiguriert sind (§ 25 TDDDG).
• Auch OpenStreetMap-Kacheln übertragen die Besucher-IP an Dritt-Server. Wirklich sorgenfrei ist nur ein statisches Kartenbild oder ein eigener Kartenserver. „Keine Cookies" heißt eben nicht „kein Datenabfluss".

Fotos von Mitarbeitern, Kunden und Mitgliedern

Personenfotos sind personenbezogene Daten: Wer erkennbare Mitarbeiter, Kunden oder Vereinsmitglieder auf der Website zeigt, braucht in der Regel die Einwilligung jeder abgebildeten Person – am besten schriftlich, mit Widerrufsrecht.

Das wird in fast jeder DSGVO-Liste vergessen, betrifft aber jedes Team-, Referenz- und Vereinsfoto. Die Eckpunkte:

• Doppelter Rahmen: Recht am eigenen Bild (§ 22 KunstUrhG) und DSGVO (Art. 6 Abs. 1 lit. a). Bei Mitarbeitenden ist die saubere Grundlage eine freiwillige, schriftliche Einwilligung (§ 26 Abs. 2 BDSG) – das reine Arbeitsverhältnis genügt nicht.
• Jederzeit widerrufbar (Art. 7 Abs. 3 DSGVO): Bei Widerruf oder Ausscheiden das Foto entfernen. Schriftlich festhalten, wofür (Zweck, Umfang, Dauer).
• Kinder/Jugendliche: Es entscheiden die Sorgeberechtigten; ältere Jugendliche wirken in der Regel mit.
• Ausnahmen (§ 23 KunstUrhG): Personen als reines Beiwerk, Versammlungen/Aufzüge, Zeitgeschehen – hier ist nicht immer eine Einwilligung nötig.

Branchen-konkret: das Vereins-Mannschaftsfoto, das Handwerker-Referenzfoto mit Kunde im Bild, das Praxis-Team auf der Über-uns-Seite – überall gilt: vorher fragen, schriftlich festhalten.

DSGVO nach Branche: Handwerk, Praxis, Verein, Onlineshop

Welche Pflichten Sie wirklich treffen, hängt davon ab, was Ihre Seite tut – hier vier typische Profile, an denen Sie Ihren eigenen Fall ablesen können.

🔨 Handwerker (reine Info-Seite)

Typische Seite: Leistungen, Referenzen, Kontakt. Pflicht: Datenschutzerklärung (Hosting/Logs) + Impressum (DDG) + HTTPS. Was wegfällt: kein Cookie-Banner, keine Checkbox – wenn Schriften lokal und kein Tracker. Anfahrt als statisches Kartenbild. Stolperfalle: Google Fonts, die unbemerkt vom CDN laden.

🩺 Arztpraxis (mit Kontakt-/Rückruf-Formular)

Zusätzlich: Gesundheitsdaten (Art. 9) – keine Symptome/Diagnosen über ein einfaches Formular abfragen. Schweigepflicht (§ 203 StGB): IT-/Hosting-Dienstleister müssen ausdrücklich zur Verschwiegenheit verpflichtet werden – ein normaler AVV allein genügt nicht. Entlastung: Eine einzelne kleine Praxis gilt in der Regel nicht als „umfangreiche" Verarbeitung – also meist kein Datenschutzbeauftragter und keine Datenschutz-Folgenabschätzung (ErwG 91).

👥 Verein (Mitglieder & Fotos)

Gleiche Pflichten wie ein Unternehmen – Ehrenamt befreit nicht. Mitgliederdaten brauchen eine Rechtsgrundlage, Personenfotos eine Einwilligung (siehe oben), Helfer sind auf Vertraulichkeit zu verpflichten. Das Verarbeitungsverzeichnis (Art. 30) gilt auch hier; einen Datenschutzbeauftragten braucht ein Verein nicht allein wegen seines Status.

🛒 Onlineshop

Hier ist real eher mehr nötig als bei einer Visitenkarten-Seite: Der Warenkorb-Cookie ist technisch notwendig (dafür kein Banner), aber Zahlungsdienstleister und Versand bedeuten AVV und ggf. US-Transfer, und für Rechnungen gilt die gesetzliche Aufbewahrung (Art. 6 Abs. 1 lit. c). Ein Shop braucht außerdem oft Tracking fürs Marketing – und dann ein sauberes Banner.

Technik & Sicherheit: HTTPS und Datensparsamkeit

Art. 32 DSGVO verlangt angemessene technische Maßnahmen. Für eine kleine Firmen-Website ist der Aufwand überschaubar – HTTPS ist aber nicht verhandelbar. Wer Schriften und Skripte lokal hostet, erfüllt Datenschutz durch Architektur statt durch Tool-Pflaster.

Das Pflichtprogramm:

• HTTPS erzwingen. Gültiges TLS-Zertifikat (ein kostenloses Let's-Encrypt-Zertifikat genügt), automatische Weiterleitung von HTTP auf HTTPS, moderne Verschlüsselung (mindestens TLS 1.2/1.3 nach BSI-Mindeststandard). Aber: HTTPS verschlüsselt nur die Übertragung – es macht Ihre Seite nicht automatisch DSGVO-konform.
• Privacy by Design & Default (Art. 25). Nur nötige Daten, keine vorausgewählten Häkchen, Drittdienste standardmäßig aus.
• Datensparsame Server-Logs. IP kürzen oder kurz aufbewahren – verbreitete Praxis sind rund 7 Tage, bis etwa 30 gelten als vertretbar (Art. 6 Abs. 1 lit. f).
• Backups mit getestetem Restore.
• Keine externen CDN-Skripte/Webfonts – und das vor dem Start prüfen.

Hier zahlt sich eine handcodierte Seite ohne CMS doppelt aus: kleinere Angriffsfläche, weniger Update-Pflicht, weniger Plugins, die heimlich Daten zu Fremd-Servern schicken (mehr dazu im Ratgeber Website ohne WordPress).

Hinter den Kulissen: Verzeichnis, Datenschutzbeauftragter, Fristen

Hinter der Website laufen Pflichten, die nichts mit der Datenschutzerklärung zu tun haben: ein internes Verarbeitungsverzeichnis (fast immer Pflicht), ggf. ein Datenschutzbeauftragter, Fristen für Auskunft und Löschung sowie die 72-Stunden-Meldepflicht bei Datenpannen.

• Verzeichnis von Verarbeitungstätigkeiten (Art. 30). Faktisch fast immer Pflicht; die Ausnahme für Betriebe unter 250 Mitarbeitenden greift kaum, weil die Verarbeitung nicht „nur gelegentlich" erfolgt. Es ist ein internes Dokument – es wird nicht veröffentlicht und gehört nicht in die Datenschutzerklärung.
• Datenschutzbeauftragter (§ 38 BDSG). Pflicht in der Regel erst ab 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind. Unabhängig davon kann Art. 37 DSGVO greifen (umfangreiche sensible Daten). Hinweis: Die Bundesregierung hat in der Modernisierungsagenda vom 04.12.2025 angekündigt, diese 20-Personen-Pflicht bis Ende 2026 abzuschaffen – Stand Juni 2026 ist das nicht in Kraft, die 20-Personen-Grenze gilt weiter.
• Datenschutz-Folgenabschätzung (Art. 35) nur bei voraussichtlich hohem Risiko – eine einzelne kleine Praxis oder ein Handwerksbetrieb löst sie in der Regel nicht aus.
• Betroffenenrechte binnen 1 Monat beantworten (Art. 12 Abs. 3), Verlängerung um max. 2 Monate möglich.
• Datenpannen binnen 72 Stunden an die Aufsichtsbehörde melden (Art. 33), bei hohem Risiko auch an die Betroffenen (Art. 34). Keine Kleinbetriebs-Ausnahme.

Abmahnung & Bußgeld: Was wirklich droht (ohne Panik)

Der Bußgeldrahmen klingt dramatisch, ist aber der Höchstwert für Großkonzerne. Für einen Handwerksbetrieb, eine Praxis oder einen Verein ist ein DSGVO-Bußgeld die Ausnahme. Das größere reale Risiko waren rechtsmissbräuchliche Abmahnwellen – und die lassen sich technisch sauber vermeiden.

• Art. 83 DSGVO: bis 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (der höhere Wert). Das ist der Höchstrahmen für schwere Verstöße – die tatsächliche Höhe richtet sich nach Verhältnismäßigkeit, Schwere und Umsatz. Für kleine Betriebe bedeutet das in der Praxis sehr niedrige Beträge, eher Hinweise und Auflagen.
• Die Realität in Zahlen: 2025 wurden in Deutschland rund 249 Bußgelder mit zusammen etwa 46,9 Mio. € verhängt – davon allein 45 Mio. € gegen ein einziges Großunternehmen. Bußgelder gegen kleine Betriebe sind sehr selten.
• Abmahnungen durch Mitbewerber sind möglich (EuGH „Lindenapotheke", C-21/23; BGH 2025) – aber nur bei Verstößen mit Marktbezug, nicht bei jedem Formfehler.
• Schadensersatz (Art. 82) kennt keine Bagatellgrenze, setzt aber einen konkreten Schaden voraus; der bloße Verstoß genügt nicht.

Die häufigsten realen Auslöser bei kleinen Betrieben sind banal: eine fehlende oder veraltete Datenschutzerklärung, dynamisch geladene Drittdienste und fehlende AVV – alle drei durch eine datensparsame Seite vermeidbar.

Warum eine datensparsame Website es Ihnen leichter macht

Jeder Drittdienst, den Sie weglassen, ist ein Punkt weniger auf dieser Checkliste: kein AVV, keine Drittland-Prüfung, oft kein Cookie-Banner, weniger Abmahnfläche. Genau das ist der Vorteil einer handcodierten Seite mit lokalen Assets gegenüber Baukasten- und WordPress-Seiten voller Plugins.

Datenschutz lässt sich auf zwei Wegen erreichen: durch immer mehr Werkzeuge, die nachträglich Probleme verwalten (Cookie-Tool, Consent-Plugin, Scanner) – oder durch eine Architektur, die die Probleme gar nicht erst entstehen lässt. Ich baue bewusst nach dem zweiten Prinzip:

• Lokale Schriften statt Google-CDN → kein US-Transfer, kein Abmahnrisiko.
• Statisches Kartenbild statt Google-Maps-Tracker → keine Einwilligung nötig.
• Honeypot statt reCAPTCHA → kein Google im Formular.
• Cookielose, selbst gehostete Statistik → oft gar kein Cookie-Banner.
• Wenige bis keine Drittdienste → kürzeres Verzeichnis, schlankere Datenschutzerklärung, weniger AVVs.

Das ist kein Zufallsprodukt, sondern eine Entscheidung beim Bauen. Als fester Ansprechpartner in Donaueschingen baue ich Seiten für Handwerksbetriebe, Praxen und Vereine im Schwarzwald-Baar-Kreis so, dass Datenschutz von Anfang an mitgedacht ist. Derselbe Architektur-Gedanke gilt übrigens für die Barrierefreiheit: Worauf es beim BFSG ankommt, lesen Sie im Ratgeber Muss meine Website barrierefrei sein?

Was jetzt tun? Ihre Schritt-für-Schritt-Roadmap

Nach dem Lesen brauchen Sie keine zwölf parallelen Pflichten, sondern eine Reihenfolge – fangen Sie mit dem Selbst-Check an, der die meisten Probleme auf einen Schlag sichtbar macht.

1. Selbst-Check (F12): Was lädt meine Seite ungefragt von fremden Servern?
2. Drittdienste eliminieren/lokalisieren: Fonts lokal, Maps → statisch, Analytics → cookielos, reCAPTCHA → Honeypot. Das beseitigt die meisten Pflichten auf einmal.
3. Pflicht-Basis schaffen: Datenschutzerklärung + Impressum (DDG) + HTTPS.
4. Banner-Frage klären: Brauchen Sie nach Schritt 2 überhaupt noch eins? (siehe Entscheidungshilfe)
5. AVVs einsammeln: Hoster, Newsletter, Formular-/Buchungstool.
6. Internes regeln: Verarbeitungsverzeichnis, Prozess für Auskunft/Löschung, 72-Stunden-Datenpanne.
7. Aktuell halten: bei jeder neuen Funktion die Datenschutzerklärung nachziehen.

So prüfen Sie Ihre Seite selbst

Mit dem Browser sehen Sie in unter einer Minute, ob Ihre Website ungefragt Daten an fremde Server schickt – die häufigste versteckte DSGVO-Falle.

1. Öffnen Sie Ihre Website und drücken Sie F12 (Entwicklertools).
2. Wechseln Sie auf den Tab „Netzwerk" / „Network".
3. Laden Sie die Seite neu (F5) – bevor Sie irgendein Cookie-Banner anklicken.
4. Schauen Sie die Liste durch. Fremde Domains wie fonts.googleapis.com, googletagmanager.com, google-analytics.com, maps.google.com, youtube.com oder recaptcha.net bedeuten: Ihre Seite lädt ungefragt von Dritten.

Das Ziel einer sauber datensparsamen Seite: null ungefragte externe Verbindungen beim ersten Aufruf.

Kostenlose Helfer, ehrlich eingeordnet:

• Webbkoll (webbkoll.5july.net) – laienverständlicher Datenschutz-Scanner, prüft Drittanfragen, Cookies, HTTPS und Sicherheits-Header mit Erklärungen; selbst datensparsam (keine IP-Speicherung).
• uBlock Origin und Privacy Badger (EFF) – Browser-Erweiterungen, die Tracker aus Besuchersicht sichtbar machen.
• Kostenlose Cookie-Scanner geben eine grobe Ersteinschätzung – sie prüfen je nach Tool aber nur einen Teil der Seite und sind keine Compliance-Garantie.

Ehrliche Grenze: Scanner finden technische Drittverbindungen, ersetzen aber keine rechtliche Einzelfallbewertung.

Glossar: Begriffe kurz erklärt

Die wichtigsten Begriffe dieser Checkliste in je ein, zwei Sätzen – ohne Fachchinesisch.

DSGVO

Datenschutz-Grundverordnung der EU; das zentrale Gesetz dafür, wie personenbezogene Daten verarbeitet werden dürfen (seit 25.05.2018).

TDDDG

Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz; löste am 14.05.2024 das TTDSG ab und regelt in § 25 die Cookie-Einwilligung.

DDG

Digitale-Dienste-Gesetz; ersetzt seit 14.05.2024 das TMG und enthält in § 5 die Impressumspflicht.

AVV

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO mit jedem Dienstleister, der in Ihrem Auftrag Daten verarbeitet.

Verantwortlicher vs. Auftragsverarbeiter

Verantwortlicher entscheidet über Zweck und Mittel (meist Sie); der Auftragsverarbeiter (z. B. Hoster) handelt nur auf Weisung.

Data Privacy Framework (DPF)

seit 10.07.2023 die Grundlage für Datentransfers an zertifizierte US-Anbieter; juristisch angegriffen („Schrems III").

TOM

technische und organisatorische Maßnahmen nach Art. 32 (z. B. HTTPS, Backups, Zugriffsschutz).

Personenbezogene Daten

alle Angaben zu einer identifizierbaren Person, ausdrücklich auch die IP-Adresse.

Einwilligung

freiwillige, informierte, vorab und aktiv erteilte Zustimmung (Art. 6 Abs. 1 lit. a); kein vorangekreuztes Kästchen, jederzeit widerrufbar.

DSFA

Datenschutz-Folgenabschätzung nach Art. 35; nur bei voraussichtlich hohem Risiko Pflicht.

Häufige Fragen

So entstand diese Checkliste (Methodik)

Diese Checkliste ist gegen die Primärquellen geprüft und auf den Stand 2026 gebracht – damit Sie sich darauf verlassen können, dass hier nicht mehr „TMG" oder „TTDSG" steht.