Warum eine DSGVO-Checkliste 2026 wichtiger ist als je zuvor
Meta: 1,2 Milliarden Euro. Amazon: 746 Millionen Euro. TikTok: 345 Millionen Euro. Diese Bußgelder zeigen, dass die Datenschutzbehörden der EU es ernst meinen — doch auch kleine Unternehmen geraten zunehmend ins Visier. Die deutschen Datenschutzbehörden haben 2024 allein in Deutschland über 280 Bußgeldverfahren eingeleitet, von denen viele Unternehmen mit weniger als 50 Mitarbeitern betrafen.
Die gute Nachricht: Die meisten DSGVO-Verstöße auf Websites sind vermeidbar. Sie entstehen nicht aus böser Absicht, sondern aus Unwissenheit. Diese Checkliste führt Sie durch die sieben Kernbereiche, die jeder Website-Betreiber 2026 umgesetzt haben muss.
Bereich 1: Datenschutzerklärung
Die Datenschutzerklärung ist das Fundament Ihrer DSGVO-Konformität. Sie muss von jeder Seite Ihrer Website leicht erreichbar sein (üblicherweise im Footer) und alle Pflichtinformationen nach Art. 13 und 14 DSGVO enthalten.
Was muss drin stehen?
- Identität und Kontaktdaten des Verantwortlichen
- Kontaktdaten des Datenschutzbeauftragten (falls vorhanden)
- Zwecke und Rechtsgrundlagen der Datenverarbeitung
- Empfänger oder Kategorien von Empfängern der Daten
- Drittlandübermittlungen (z. B. USA-Transfers via Google, Stripe)
- Speicherdauer für jede Datenkategorie
- Betroffenenrechte (Auskunft, Löschung, Widerspruch etc.)
- Recht auf Beschwerde bei der Aufsichtsbehörde
✅ Richtig: Spezifische Angaben zu jedem eingesetzten Tool (Google Analytics, Mailchimp, Stripe etc.) mit Rechtsgrundlage und Speicherdauer.
❌ Typischer Verstoß: Eine generische Vorlage kopieren, die keine konkreten Tools nennt und keine Rechtsgrundlagen aufführt.
Unser Datenschutzerklärung-Generator erstellt eine DSGVO-konforme Erklärung, die Ihre spezifischen Tools und Verarbeitungszwecke berücksichtigt.
Bereich 2: Cookie-Einwilligung
Cookies sind der häufigste DSGVO-Streitpunkt. Die Anforderungen sind klar, werden aber regelmäßig verletzt.
Die Kernregeln für Cookie-Banner
- Keine vorausgefüllten Felder: Checkboxen für nicht notwendige Cookies dürfen nicht vorangehakt sein.
- Granulare Zustimmung: Benutzer müssen einzelne Cookie-Kategorien (Analytics, Marketing, Komfort) getrennt akzeptieren oder ablehnen können.
- Ablehnen muss genauso einfach sein wie Annehmen: Kein "Akzeptieren"-Button ohne gleichwertigen "Ablehnen"-Button.
- Keine Dark Patterns: Irreführendes Design (z. B. grüner "Akzeptieren"-Button, grauer "Ablehnen"-Link) ist unzulässig.
- Einwilligung widerrufen: Benutzer müssen ihre Zustimmung jederzeit widerrufen können, ebenso einfach wie sie gegeben wurde.
| Cookie-Typ | Einwilligung erforderlich? | Beispiele |
|---|---|---|
| Technisch notwendig | Nein | Session-Cookie, Login-Status |
| Präferenz/Komfort | Ja | Spracheinstellung, Cookie-Banner-Status |
| Statistik/Analytics | Ja | Google Analytics, Matomo (ohne Anonymisierung) |
| Marketing/Werbung | Ja | Facebook Pixel, Google Ads |
✅ Richtig: Cookie-Consent-Banner mit getrennten Kategorien, klarem Ablehnen-Button, Einwilligungsprotokoll.
❌ Typischer Verstoß: Analytics-Cookies bereits beim Seitenaufruf laden, bevor der Nutzer zugestimmt hat.
Bereich 3: Datensparsamkeit (Datenminimierung)
Artikel 5 Abs. 1 lit. c DSGVO verlangt, dass nur Daten erhoben werden, die für den jeweiligen Zweck tatsächlich notwendig sind.
✅ Richtig: Kontaktformular mit Name, E-Mail und Nachricht — mehr ist für eine Anfrage nicht erforderlich.
❌ Typischer Verstoß: Kontaktformular, das Telefonnummer, Geburtsdatum und Adresse abfragt, obwohl für die Beantwortung einer E-Mail nur die E-Mail-Adresse benötigt wird.
Prüfen Sie jedes Formular auf Ihrer Website: Ist jedes Pflichtfeld wirklich notwendig? Können Sie optionale Felder als optional markieren oder ganz streichen?
Bereich 4: Rechtsgrundlagen der Verarbeitung
Für jede Datenverarbeitung auf Ihrer Website müssen Sie eine der sechs DSGVO-Rechtsgrundlagen festlegen und dokumentieren:
| Rechtsgrundlage | Wann anwendbar | Website-Beispiel |
|---|---|---|
| Einwilligung (Art. 6 Abs. 1 lit. a) | Nutzer stimmt aktiv zu | Newsletter-Anmeldung, Analytics-Cookies |
| Vertragserfüllung (lit. b) | Verarbeitung für Vertrag notwendig | Bestellabwicklung, Kundendaten |
| Rechtliche Verpflichtung (lit. c) | Gesetzliche Pflicht besteht | Rechnungsaufbewahrung, Steuerbelege |
| Lebenswichtige Interessen (lit. d) | Selten relevant für Websites | Notfallsituationen |
| Öffentliches Interesse (lit. e) | Behörden, gemeinnützige Org. | Öffentliche Stellen |
| Berechtigtes Interesse (lit. f) | Nach Abwägung berechtigt | Betrugsprävention, Direktmarketing an Bestandskunden |
✅ Richtig: Für jeden Verarbeitungszweck ist eine Rechtsgrundlage dokumentiert.
❌ Typischer Verstoß: "Berechtigtes Interesse" als Auffangbecken für alle Verarbeitungen nutzen, ohne eine tatsächliche Abwägung vorzunehmen.
Bereich 5: Auftragsverarbeiter und AVV
Wenn Sie Drittanbieter auf Ihrer Website einsetzen, die personenbezogene Daten in Ihrem Auftrag verarbeiten, handelt es sich um Auftragsverarbeiter. Mit jedem müssen Sie einen Auftragsverarbeitungsvertrag (AVV) abschließen.
Häufige Auftragsverarbeiter für Websites
| Dienst | Kategorie | AVV vorhanden? |
|---|---|---|
| Google Analytics | Analytics | Ja (in den Google-Einstellungen aktivieren) |
| Google Workspace | E-Mail, Dokumente | Ja (Data Processing Amendment) |
| Mailchimp | Newsletter | Ja (Data Processing Addendum) |
| Stripe | Zahlungen | Ja (automatisch mit Nutzungsbedingungen) |
| Cloudflare | CDN, Sicherheit | Ja (Data Processing Addendum) |
| WordPress.com / Hosting | Webhosting | Beim Hoster anfragen |
| Hotjar | Heatmaps | Ja (in den Einstellungen aktivieren) |
✅ Richtig: Liste aller Auftragsverarbeiter geführt, AVV mit jedem abgeschlossen oder über Online-Tool aktiviert.
❌ Typischer Verstoß: Drittanbieter einsetzen, ohne zu wissen, dass ein AVV erforderlich ist — und keine Verträge geschlossen zu haben.
Bereich 6: Betroffenenrechte
Die DSGVO räumt Nutzern umfangreiche Rechte ein, auf die Sie reagieren müssen:
| Recht | Grundlage | Frist | Ihre Pflicht |
|---|---|---|---|
| Auskunftsrecht | Art. 15 | 30 Tage | Auskunft über gespeicherte Daten erteilen |
| Recht auf Berichtigung | Art. 16 | 30 Tage | Falsche Daten korrigieren |
| Recht auf Löschung ("Recht auf Vergessenwerden") | Art. 17 | 30 Tage | Daten löschen, wenn keine Grundlage mehr besteht |
| Recht auf Einschränkung | Art. 18 | 30 Tage | Verarbeitung einschränken |
| Recht auf Datenportabilität | Art. 20 | 30 Tage | Daten in maschinenlesbarem Format herausgeben |
| Widerspruchsrecht | Art. 21 | Unverzüglich | Verarbeitung auf Basis berechtigten Interesses stoppen |
✅ Richtig: Dedizierte E-Mail-Adresse (z. B. [email protected]) für Betroffenenanfragen, Prozess zur Bearbeitung innerhalb von 30 Tagen.
❌ Typischer Verstoß: Keine erkennbare Möglichkeit, Datenschutzanfragen zu stellen, oder Anfragen einfach ignorieren.
Bereich 7: Datenpannenmeldung (Data Breach Notification)
Artikel 33 DSGVO verpflichtet Sie, Datenschutzverletzungen innerhalb von 72 Stunden bei der zuständigen Aufsichtsbehörde zu melden, wenn ein Risiko für Betroffene besteht.
Was ist ein meldepflichtiger Vorfall?
- Website-Hack mit Zugriff auf Nutzerdaten
- Versehentliche E-Mail mit Kundendaten an falschen Empfänger
- Verlust eines Laptops mit unverschlüsselten Kundendaten
- Datenbankfehler, der private Nutzerdaten öffentlich zugänglich macht
Die 72-Stunden-Frist beginnt, sobald Sie von dem Vorfall erfahren.
✅ Richtig: Interner Notfallplan für Datenpannen, klare Verantwortlichkeiten, Kontaktdaten der zuständigen Aufsichtsbehörde vorliegen.
❌ Typischer Verstoß: Vorfall intern besprechen und hoffen, dass ihn niemand bemerkt. Das ist sowohl illegal als auch riskant — Aufsichtsbehörden erfahren oft von Dritten von Vorfällen.
DSGVO-Checkliste: Ihre Website auf einen Blick
| Bereich | Maßnahme | Status |
|---|---|---|
| Datenschutzerklärung | Vollständig, alle Tools genannt, leicht erreichbar | ✅ / ❌ |
| Cookie-Einwilligung | Banner ohne vorausgefüllte Felder, granulare Zustimmung | ✅ / ❌ |
| Datensparsamkeit | Formulare auf Minimum reduziert | ✅ / ❌ |
| Rechtsgrundlagen | Für jede Verarbeitung dokumentiert | ✅ / ❌ |
| Auftragsverarbeiter | AVV mit allen Drittanbietern geschlossen | ✅ / ❌ |
| Betroffenenrechte | Prozess und Kontaktmöglichkeit vorhanden | ✅ / ❌ |
| Datenpannenmeldung | Notfallplan existiert, Behördenkontakt bekannt | ✅ / ❌ |
Bekannte Bußgeldbeispiele als Warnung
Die folgenden Fälle zeigen, dass DSGVO-Verstöße für Unternehmen jeder Größe teuer werden können:
- Meta (Facebook): 1,2 Milliarden Euro (2023) — illegale Datenübermittlung in die USA ohne ausreichende Schutzmaßnahmen
- Amazon: 746 Millionen Euro (2021) — Cookie-Tracking ohne ausreichende Einwilligung
- TikTok: 345 Millionen Euro (2023) — Verarbeitung von Kinderdaten ohne ausreichende Schutzmaßnahmen
- Google (Frankreich): 150 Millionen Euro (2022) — Cookie-Ablehnung zu kompliziert gestaltet
- Österreichische Datenschutzbehörde gegen österreichischen Website-Betreiber: 10.000 Euro (2022) — Google Analytics ohne ausreichende DSGVO-Maßnahmen
Beachten Sie: Das letzte Beispiel zeigt, dass auch kleine Betreiber nicht verschont bleiben.
Nächste Schritte
Erstellen Sie jetzt mit unserem Datenschutzerklärung-Generator eine DSGVO-konforme Erklärung für Ihre Website. Ergänzen Sie sie mit einem Cookie-Banner-Generator, der die technischen Anforderungen an granulare Einwilligung und Widerrufsrecht automatisch umsetzt.
DSGVO-Konformität ist kein einmaliges Projekt — sie erfordert regelmäßige Überprüfung, besonders wenn Sie neue Tools einsetzen oder Ihre Website überarbeiten. Planen Sie mindestens eine jährliche Datenschutz-Überprüfung in Ihren Kalender ein.