DSGVO-Checkliste für Ihre Firmenwebsite

Viele Unternehmenswebsites in Österreich und Deutschland erfüllen die DSGVO nur teilweise. Zwischen „Wir haben einen Cookie-Banner“ und einer wirklich datenschutzkonformen Website liegt mehr, als die meisten Geschäftsführer annehmen. Die Aufsichtsbehörden in EU und EWR haben seit 2018 Bußgelder in Milliardenhöhe verhängt, und die Verfahren treffen Unternehmen jeder Größe, nicht nur Konzerne. Wenn Ihre Website personenbezogene Daten von Besuchern verarbeitet, ist diese Checkliste für Sie.

Sie richtet sich an Inhaber und Geschäftsführer von KMU, vor allem im B2B-Bereich, die wissen wollen, was die DSGVO auf einer Website konkret verlangt. Wir zeigen, worauf es ankommt, welche Fehler häufig sind und wie Sie sie beheben.

Was „DSGVO-konform“ auf einer Website bedeutet

Datenschutz auf der Website ist kein einzelnes Häkchen, und ein Cookie-Banner auf der Startseite reicht nicht. Die Datenschutz-Grundverordnung (DSGVO), deren Text Sie unter anderem auf gdpr.eu nachlesen können, regelt, wie personenbezogene Daten erhoben, gespeichert, verarbeitet und weitergegeben werden. In Österreich wird sie durch das Datenschutzgesetz (DSG) ergänzt, in Deutschland durch das BDSG. Auf einer Website betrifft das mehr Stellen, als viele erwarten.

Personenbezogen sind alle Daten, mit denen sich eine Person direkt oder indirekt identifizieren lässt. Auf einer typischen Firmenwebsite sind das:

• IP-Adressen, die Ihr Webserver oder Ihr Analyse-Tool erfasst
• Namen und E-Mail-Adressen aus Kontaktformularen
• Verhaltensdaten aus Drittanbieter-Skripten (Google Analytics, LinkedIn Insight Tag, Facebook Pixel, HubSpot usw.)
• Sitzungsdaten in Cookies
• Funktion, Firmenname und andere Formularfelder, die sich einer Person zuordnen lassen

Für jede Kategorie personenbezogener Daten brauchen Sie eine Rechtsgrundlage. Sie müssen Nutzer klar und verständlich informieren, ihnen echte Wahlmöglichkeiten geben und all das im Fall einer Prüfung nachweisen können. Ein Cookie-Banner, der nur „Alle akzeptieren“ anbietet, erfüllt diesen Maßstab nicht.

Die Übersicht der Europäischen Kommission zum Datenschutz macht deutlich: Datenschutz ist eine laufende Pflicht und kein einmaliges Projekt. Ihre Website verarbeitet ständig Daten und muss entsprechend gepflegt werden.

Anforderungen an die Cookie-Einwilligung

Die Cookie-Einwilligung ist die sichtbarste Datenschutzpflicht auf einer Website und wird trotzdem oft falsch umgesetzt. Die rechtliche Grundlage für das Setzen und Auslesen von Cookies ist in Österreich § 165 Abs. 3 TKG 2021 (in Deutschland § 25 TDDDG). Was eine gültige Einwilligung ist, regelt die DSGVO. Aufsichtsbehörden in ganz Europa haben bereits Strafen gezielt wegen fehlerhafter Cookie-Banner verhängt, etwa bei vorab angehakten Kästchen oder versteckter Ablehnung.

Eine gültige Einwilligung muss diese Punkte erfüllen:

• Keine vorab angehakten Kästchen. Die Einwilligung verlangt eine aktive Handlung. Vorausgewählte Optionen sind keine gültige Einwilligung im Sinne von Art. 7 DSGVO.
• Auswahl nach Kategorien. Nutzer müssen Cookies je Kategorie annehmen oder ablehnen können. Ein einziger „Akzeptieren“-Knopf für alles, ohne gleichwertiges „Ablehnen“, ist nicht zulässig.
• Ablehnen so einfach wie Annehmen. Ist „Alle akzeptieren“ groß und farbig, „Alle ablehnen“ aber klein, grau oder versteckt, steht genau dieses Muster im Fokus der Behörden.
• Keine Cookies vor der Einwilligung. Nicht notwendige Cookies (Statistik, Marketing, Komfort) dürfen erst nach aktiver Zustimmung gesetzt werden. Das gilt auch für Skripte, die beim Seitenaufbau laden.
• Einwilligung dokumentieren. Ihr Consent-Tool (CMP) sollte festhalten, wann und wie zugestimmt wurde, damit Sie es im Streitfall belegen können.
• Widerruf einfach machen. Nutzer müssen ihre Entscheidung jederzeit ändern oder widerrufen können, genauso einfach, wie sie zugestimmt haben.

Technisch notwendige Cookies, etwa ein Sitzungs-Cookie für den Login, brauchen keine Einwilligung. Alles andere schon. Erfüllt Ihr Banner diese Punkte nicht, ist das kein Schönheitsfehler, sondern eine Lücke mit echtem rechtlichem Risiko.

Was in die Datenschutzerklärung gehört

Die Datenschutzerklärung ist gesetzlich vorgeschrieben (Art. 13 DSGVO) und keine Formalität. Sie muss verständlich formuliert, von jeder Seite aus erreichbar sein und bestimmte Angaben enthalten. Viele Datenschutzerklärungen sind kopierte Vorlagen, die nicht zur tatsächlichen Verarbeitung passen, oder alte Texte aus der Zeit vor der DSGVO.

Mindestens enthalten sein müssen:

1. Name und Kontaktdaten des Verantwortlichen. Das ist Ihr Unternehmen: Firmenwortlaut, Anschrift und Kontaktdaten. Sitzt ein Unternehmen außerhalb der EU und verarbeitet Daten von Personen in der EU, braucht es unter Umständen einen Vertreter in der EU.
2. Kontaktdaten des Datenschutzbeauftragten. Nicht jedes Unternehmen braucht einen. Wenn doch (meist bei umfangreicher Verarbeitung oder sensiblen Daten), müssen seine Kontaktdaten genannt werden.
3. Zwecke und Rechtsgrundlage jeder Verarbeitung. Für jede Datenart geben Sie an, wozu Sie sie erheben und welche der sechs Rechtsgrundlagen aus Art. 6 DSGVO gilt: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe oder berechtigtes Interesse.
4. Empfänger und Übermittlungen. Geben Sie Daten an Dritte weiter (Auftragsverarbeiter, Analyse-Anbieter, CRM), müssen Sie das offenlegen. Bei Übermittlungen außerhalb des EWR nennen Sie die Garantien, etwa Standardvertragsklauseln oder einen Angemessenheitsbeschluss.
5. Speicherdauer. Wie lange bewahren Sie welche Daten auf? „So lange wie nötig“ reicht nicht. Nennen Sie konkrete Fristen oder die Kriterien, nach denen Sie sie festlegen.
6. Betroffenenrechte. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und, bei Einwilligung, das Recht auf Widerruf.
7. Beschwerderecht. Nutzer müssen erfahren, dass sie sich bei einer Aufsichtsbehörde beschweren können. In Österreich ist das die Datenschutzbehörde (DSB), in Deutschland die jeweilige Landesdatenschutzbehörde.
8. Ob die Angabe von Daten Pflicht ist und was passiert, wenn sie fehlt. Das betrifft vor allem Formulare und Vertragsverhältnisse.

Unsere eigene Datenschutzerklärung folgt diesem Aufbau und wird angepasst, sobald sich an unserer Datenverarbeitung etwas ändert. Diese Disziplin sollte auch für Ihre Website gelten.

Kontaktformulare und Datenerhebung

Kontaktformulare sind auf B2B-Websites eine der häufigsten Stellen, an denen Daten erhoben werden, und werden beim Datenschutz oft übersehen. Wer Ihr Formular ausfüllt, übermittelt personenbezogene Daten: mindestens Name und E-Mail-Adresse, oft auch Firma, Telefonnummer und eine Beschreibung des Anliegens.

Damit das rechtmäßig ist, brauchen Sie:

• Einen klaren Hinweis zum Zweck beim Formular. Nutzer müssen wissen, wofür sie ihre Daten angeben. Ein Satz wie „Wir verwenden Ihre Angaben nur zur Beantwortung Ihrer Anfrage und geben sie nicht an Dritte weiter“ plus Link zur Datenschutzerklärung genügt.
• Eine eigene Checkbox für Marketing. Wollen Sie Absender in einen Newsletter aufnehmen, brauchen Sie dafür eine separate, nicht angehakte Checkbox. Eine Anfrage abzuschicken ist keine Zustimmung zu Werbung.
• Keine unnötigen Felder. Datenminimierung ist ein Grundsatz der DSGVO. Fragen Sie nur ab, was Sie für den Zweck wirklich brauchen. Brauchen Sie keine Telefonnummer, fragen Sie nicht danach.
• Verschlüsselte Übertragung. Das Formular muss über HTTPS senden. Das ist heute Standard, aber gerade bei älteren WordPress-Installationen eine Prüfung wert.
• Auftragsverarbeitung klären. Wo landen die Daten? Gehen sie in ein CRM, ein Newsletter-Tool oder ein Support-System, brauchen Sie mit dem Anbieter einen Auftragsverarbeitungsvertrag (AVV, Art. 28 DSGVO), und der Anbieter gehört in die Datenschutzerklärung.
• Eine Löschfrist für Anfragen. Legen Sie fest, wie lange Sie Formularanfragen aufbewahren, und halten Sie es schriftlich fest. Alles ohne Grund unbegrenzt zu speichern, ist nicht zulässig.

Analyse-Tools und Drittanbieter-Skripte

Hier haben auch sorgfältige Unternehmen oft Lücken, von denen sie nichts wissen. Google Analytics, LinkedIn Insight Tag, Meta Pixel, Hotjar, Intercom, Drift und ähnliche Tools erheben personenbezogene Daten. Binden Sie sie ohne passende Kontrolle ein, sind Sie für diese Verarbeitung (mit-)verantwortlich, egal was in den Bedingungen des Anbieters steht.

Gerade in Österreich ist das Thema bekannt: Die DSB hat Ende 2021 in einem Verfahren, das noyb angestoßen hatte, eine Google-Analytics-Einbindung als unzulässige Datenübermittlung in die USA eingestuft. Seit 2023 gibt es mit dem EU-US Data Privacy Framework wieder einen Angemessenheitsbeschluss. Die Pflicht zur Einwilligung vor dem Laden bleibt davon unberührt.

Die wichtigsten Punkte:

• Keine Analyse-Skripte vor der Einwilligung. Google Analytics 4 darf erst starten, wenn der Nutzer Statistik-Cookies akzeptiert hat. Nutzen Sie Google-Dienste, richten Sie den Consent Mode v2 ein. Er steuert, was Google vor und ohne Einwilligung erhält, und erlaubt eine Modellierung für Nutzer, die ablehnen.
• Serverseitiges Tagging. Wer Tags serverseitig verwaltet (über einen eigenen Proxy), gibt weniger Daten an Dritte weiter und kontrolliert besser, was den eigenen Server verlässt. Für B2B-Websites mit hohen Datenschutzanforderungen wird das zunehmend empfohlen.
• Speicherung und Verarbeitung in der EU. Stellen Sie Analyse-Tools wenn möglich auf EU-Verarbeitung ein. Alternativen mit EU-Hosting wie Matomo oder Plausible (beide auch selbst hostbar) ersparen Ihnen die Frage der Drittlandübermittlung ganz.
• Auftragsverarbeitungsverträge. Für jedes Tool, das in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie einen AVV. Google, Meta, LinkedIn und die meisten großen SaaS-Anbieter stellen ihn in den Einstellungen oder im Rechtsbereich bereit. Laden Sie ihn herunter und bewahren Sie ihn auf. Er gehört zu Ihrer Dokumentation.
• Alle Skripte im Tag Manager prüfen. Über Kampagnen und Testphasen sammeln sich auf vielen Websites Tracking-Skripte an. Prüfen Sie alles, was derzeit lädt, und entfernen Sie, was niemand mehr braucht.

Wenn Sie nicht wissen, welche Skripte gerade auf Ihrer Website laufen, helfen die Entwicklertools im Browser, Ghostery oder eine Prüfung im Google Tag Manager. Bei uns gehört das standardmäßig zur Entwicklung datenschutzkonformer Websites.

Die Checkliste

Gehen Sie Ihre Website mit dieser Liste durch. Jeder Punkt ist eine konkrete Anforderung. Was Sie nicht abhaken können, ist eine Lücke, die Sie schließen sollten.

Cookie-Einwilligung

1. Der Banner erscheint beim ersten Besuch, bevor nicht notwendige Cookies geladen werden
2. Der Banner bietet Kategorien (notwendig, Statistik, Marketing) als eigene Schalter
3. Nichts ist vorab angehakt oder vorab akzeptiert
4. „Alle ablehnen“ ist so sichtbar wie „Alle akzeptieren“
5. Die Einstellungen lassen sich jederzeit ändern (Link im Footer)
6. Ihr Consent-Tool speichert Einwilligungsnachweise

Datenschutzerklärung

1. Die Datenschutzerklärung ist im Footer verlinkt und von jeder Seite aus erreichbar
2. Der Verantwortliche ist mit vollständigen Angaben genannt
3. Jede Datenart hat einen Zweck und eine Rechtsgrundlage
4. Alle Empfänger sind genannt
5. Übermittlungen außerhalb des EWR sind mit den Garantien angegeben
6. Für jede Datenart ist eine Speicherdauer angegeben
7. Alle Betroffenenrechte sind aufgeführt, mit Hinweis, wie man sie ausübt
8. Die Erklärung trägt ein Datum und wird mindestens einmal im Jahr geprüft

Kontaktformulare und Anfragen

1. Jedes Formular hat einen Zweckhinweis und einen Link zur Datenschutzerklärung
2. Die Marketing-Einwilligung ist eine eigene, nicht angehakte Checkbox
3. Es gibt nur notwendige Felder (Datenminimierung)
4. Alle Formulare senden über HTTPS
5. Mit jeder Plattform, die Formulardaten erhält, besteht ein AVV
6. Die Löschfrist für Anfragen ist festgelegt und wird eingehalten

Analyse und Drittanbieter-Skripte

1. Analyse-Skripte laden erst nach der Einwilligung
2. Bei Google-Diensten ist der Consent Mode v2 eingerichtet
3. AVVs für alle Analyse- und Marketing-Tools sind heruntergeladen und abgelegt
4. Alle aktiven Skripte und Tags wurden in den letzten sechs Monaten geprüft
5. Nicht genutzte Tracking-Skripte sind entfernt
6. Wo möglich ist EU-Verarbeitung eingestellt, oder es kommen EU-Tools zum Einsatz

Technische und rechtliche Grundlagen

1. Die gesamte Website läuft über HTTPS mit gültigem SSL-Zertifikat
2. Es gibt ein Impressum mit den Pflichtangaben nach § 5 ECG und der Offenlegung nach § 25 MedienG, bei eingetragenen Unternehmen samt Firmenbuchnummer und Firmenbuchgericht (§ 14 UGB); in Deutschland gilt § 5 DDG
3. Für Seiten mit Bestellung oder Vertragsabschluss gibt es AGB
4. Es gibt einen Ablauf, um Auskunftsanfragen innerhalb eines Monats zu beantworten (Art. 12 DSGVO)
5. Es gibt einen dokumentierten Ablauf für Datenpannen, einschließlich der Meldung an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO)

So setzen wir Datenschutz in jedem Projekt um

Datenschutz ist bei FASANNET kein Zusatzmodul. Er gehört zu jeder Website, die wir gestalten und entwickeln. Eine Website, die gegen die DSGVO verstößt, ist ein Risiko für unsere Kunden, und solche Risiken wollen wir nicht bauen.

Zu jedem Projekt gehören:

• Cookie-Einwilligung, wo die Website sie braucht, mit richtigen Kategorien und echtem Blockieren vor der Zustimmung
• Ein Aufbau der Datenschutzerklärung, abgestimmt auf die tatsächliche Datenverarbeitung des Kunden
• Kontaktformulare mit Datenschutzhinweis und nur den nötigen Feldern
• Google Consent Mode v2, wenn die Website Google Analytics oder Google Ads nutzt, damit Daten nur mit Einwilligung erhoben werden
• Eine Prüfung aller geplanten Drittanbieter-Einbindungen vor dem Livegang, samt der nötigen AVVs
• HTTPS als Grundvoraussetzung, dazu die passenden Security-Header für die eingesetzte Technik

Für B2B-Unternehmen ist das besonders wichtig. Ihre Kunden und Interessenten sehen bei Datenschutz oft genauer hin als Privatpersonen. Eine fehlerhafte Website schadet dem Ruf, nicht nur vor der Behörde. Wenn der Einkauf oder die Rechtsabteilung eines größeren Interessenten Ihre Website prüft, fällt das auf.

Wir arbeiten mit Unternehmen in Österreich, Deutschland und ganz Europa. Den Rahmen kennen wir: DSGVO und DSG mit der Datenschutzbehörde in Wien, in Deutschland BDSG und die Landesdatenschutzbehörden, in der Schweiz das revidierte Datenschutzgesetz, das seit September 2023 gilt. Ob neue Website oder Prüfung der bestehenden: Wir schauen uns an, welche Datenflüsse in Ihrer Branche üblich sind.

Die nächsten Schritte

Haben Sie beim Durchgehen der Checkliste Lücken gefunden, ordnen Sie sie nach Risiko. Fehlerhafte Cookie-Banner, fehlende oder lückenhafte Datenschutzerklärungen und Analyse-Skripte, die vor der Einwilligung laden, nehmen die Behörden immer wieder ins Visier. Beginnen Sie dort.

Wurde Ihre Website vor mehr als zwei Jahren gebaut und seither nicht auf Datenschutz geprüft, gibt es sehr wahrscheinlich mindestens eine wesentliche Lücke. Sie sauber zu schließen, kostet weit weniger, als auf eine Beschwerde bei der DSB oder ein Verfahren reagieren zu müssen.

Datenschutz ist auch kein Grund für eine schlechtere Website. Eine gut gestaltete Einwilligung respektiert die Nutzer. Eine klare, lesbare Datenschutzerklärung schafft Vertrauen. Beides sollte eine professionell gebaute Website ohnehin haben.

Was eine datenschutzkonforme, professionell gestaltete Firmenwebsite kostet, erklären wir in unserem Ratgeber zu den Kosten einer Firmenwebsite.

Sie wollen eine Website, um die Sie sich beim Datenschutz keine Sorgen machen müssen? Starten Sie Ihr Projekt mit FASANNET, und wir planen den Datenschutz vom ersten Tag an mit.

Dieser Artikel ist eine allgemeine Information und keine Rechtsberatung.