DSGVO und revDSG: Checkliste für deine Unternehmenswebsite

Die meisten Datenschutzprobleme einer Website sieht man nicht. Ein Analytics-Skript lädt vor der Einwilligung. Eine Schrift kommt von einem Server in den USA. Ein Formular schickt Anfragen an ein Postfach, das niemand kennt. Jedes Detail für sich wirkt klein.

Diese Checkliste geht die Punkte durch, die wir bei Unternehmenswebsites am häufigsten finden. Sie gilt für Deutschland und die Schweiz. Sie ersetzt keine Rechtsberatung. Für den Einzelfall fragst du deine Datenschutzberatung.

Welche Regeln gelten

In Deutschland gilt die DSGVO. Für Cookies und ähnliche Techniken kommt § 25 TDDDG hinzu. Das Gesetz hieß bis 2024 TTDSG. Es verlangt eine Einwilligung, bevor nicht notwendige Informationen auf dem Gerät gespeichert oder ausgelesen werden.

In der Schweiz gilt seit dem 1. September 2023 das revidierte Datenschutzgesetz (revDSG). Es ähnelt der DSGVO in vielem, ist an einigen Stellen aber weniger streng. Richtet sich eine Schweizer Website auch an Nutzer in der EU, kann zusätzlich die DSGVO gelten. Das regelt Art. 3 Abs. 2 DSGVO. Viele Schweizer Firmen richten ihre Website deshalb gleich nach der DSGVO aus.

1. Ein Cookie-Banner, das wirklich blockiert

Ein Banner allein reicht nicht. Es muss nicht notwendige Dienste blockieren, bis jemand zustimmt. Prüf diese Punkte:

• „Ablehnen“ ist so leicht erreichbar wie „Alle akzeptieren“.
• Keine Häkchen sind vorausgewählt.
• Analytics, Werbe-Pixel und Einbettungen laden erst nach der Einwilligung.
• Besucher können ihre Wahl später ändern, etwa über einen Link im Footer.

Ob ein Banner blockiert, siehst du in den Entwicklerwerkzeugen deines Browsers. Öffne den Netzwerk-Tab und lade die Seite neu, ohne zuzustimmen. Jede Anfrage an Google, Meta oder LinkedIn ist dann ein Befund.

2. Schriften lokal einbinden

Viele Websites laden Schriften direkt von Google Fonts. Dabei geht die IP-Adresse jedes Besuchers an Google. Das Landgericht München hat das 2022 ohne Einwilligung als Verstoß gewertet. Danach folgten viele Abmahnungen.

Die Lösung ist einfach. Lade die Schriftdateien herunter und liefer sie vom eigenen Server aus. Next.js macht das mit next/font automatisch.

3. Analytics und Tracking

Google Analytics lässt sich mit Einwilligung einsetzen. Für die Übermittlung in die USA gibt es seit 2023 das EU-US Data Privacy Framework. Die Schweiz hat seit 2024 ein eigenes Gegenstück. Trotzdem braucht das Tool eine Einwilligung im Banner.

Eine Alternative sind Werkzeuge, die ohne Cookies auskommen und in der EU hosten. Sie zeigen Besuche, Quellen und Ziele ohne persönliche Profile. Welche Lösung passt, hängt davon ab, wie genau du Kampagnen messen musst. Mehr dazu liest du in Website ohne Anfragen.

4. Karten, Videos und Social-Plugins

Eingebettete Google-Karten, YouTube-Videos und Social-Media-Feeds übertragen beim Laden Daten. Lade diese Inhalte erst nach einem Klick. Bis dahin zeigt die Seite ein Vorschaubild mit kurzem Hinweis. Für YouTube gibt es zudem den Modus ohne Cookies unter youtube-nocookie.com.

5. Kontakt- und Anfrageformulare

• Frag nur ab, was du für die Antwort brauchst.
• Übertrag Formulare verschlüsselt über HTTPS.
• Wisse, wohin jede Anfrage geht und wer sie lesen kann.
• Lösch Anfragen, wenn du sie nicht mehr brauchst.
• Verlink unter dem Formular die Datenschutzerklärung.

Eine Einwilligungs-Checkbox ist für eine normale Anfrage meist nicht nötig. Die Verarbeitung dient dann der Antwort auf die Anfrage. Anders ist es bei Gesundheitsdaten oder einem Newsletter.

6. Hosting in der EU und Auftragsverarbeitung

Hoste die Website in der EU oder in der Schweiz. Das macht vieles einfacher. Für jeden Dienstleister, der in deinem Auftrag Daten verarbeitet, brauchst du einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Das betrifft Hosting, E-Mail-Versand, Formulardienste und Analytics.

Führ eine einfache Liste: Dienst, Zweck, Standort, Vertrag. Diese Liste brauchst du ohnehin für die Datenschutzerklärung. Bei unseren Projekten richten wir das Hosting in der EU ein, und die Konten laufen auf deinen Namen. Wem Domain und Hosting gehören sollten, liest du in Domain, Hosting und E-Mail.

7. Eine Datenschutzerklärung, die zur Website passt

Viele Datenschutzerklärungen stammen aus einem Generator und passen nicht mehr. Sie nennen Tools, die längst entfernt sind, und vergessen neue. Gleich die Erklärung mit deiner Liste aus Punkt 6 ab. Das revDSG verlangt ebenfalls eine Information der Betroffenen, etwa über Zweck, Empfänger und Länder.

8. Impressum und Barrierefreiheit

Zum rechtlichen Grundgerüst gehören auch Impressum und, je nach Angebot, Barrierefreiheit. Was ins Impressum gehört, liest du in Impressum in Deutschland und der Schweiz. Wann das BFSG gilt, steht in Barrierefreiheitsstärkungsgesetz.

Häufige Fragen