Website DSGVO-konform machen: Was müssen Unternehmen bei Cookie-Banner, Tracking und Kontaktformular beachten?

Welche Regeln gelten für eine Unternehmenswebsite?

Für den Datenschutz auf Websites sind im Kern zwei Gesetze maßgeblich, die ineinandergreifen:

• Die DSGVO regelt, ob und wie Sie personenbezogene Daten verarbeiten dürfen – dazu zählt schon die IP-Adresse eines Besuchers. Sie verlangt eine Rechtsgrundlage für jede Verarbeitung, eine verständliche Information der Besucher (die Datenschutzerklärung), Verträge mit Dienstleistern, die in Ihrem Auftrag Daten verarbeiten, und besondere Vorsicht, wenn Daten in Länder außerhalb der EU fließen.
• Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, bis Mai 2024 TTDSG) regelt in § 25, wann Sie Informationen auf dem Gerät eines Besuchers speichern oder auslesen dürfen – also Cookies, lokaler Speicher, Pixel und ähnliche Techniken. Grundsatz: nur mit Einwilligung. Ausnahme: Es ist unbedingt erforderlich, damit der Dienst funktioniert, den der Besucher ausdrücklich nutzen will, etwa ein Warenkorb oder das Speichern seiner Banner-Auswahl.

Wie ernst das Thema ist, zeigt der Rahmen: Die DSGVO erlaubt Bußgelder bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes. Für den Mittelstand sind solche Summen die Ausnahme. Häufiger sind drei andere Folgen: Beschwerden bei der Aufsichtsbehörde – für Unternehmen aus Rostock und Mecklenburg-Vorpommern ist das der Landesbeauftragte für Datenschutz und Informationsfreiheit in Schwerin –, Abmahnungen und Forderungen nach Schadensersatz. Bekanntestes Beispiel: 2022 sprach das Landgericht München I einem Websitebesucher 100 Euro Schadensersatz zu, weil eine Seite Google Fonts von Google-Servern geladen und so seine IP-Adresse ohne Einwilligung übermittelt hatte (Az. 3 O 17493/20). Danach rollte eine Welle von Abmahnschreiben durchs Land, viele davon rechtsmissbräuchlich – aber jede einzelne kostete die Betroffenen Zeit und Nerven.

Warum beginnt alles mit einer Bestandsaufnahme?

Weil Sie nur absichern können, was Sie kennen. Auf fast jeder Website, die wir neu übernehmen, finden wir Dienste, von denen der Betreiber nichts wusste: eine Schrift, die das Theme von Google nachlädt, ein YouTube-Video, das vor Jahren eingebettet wurde, ein Analyse-Code aus einer früheren Kampagne, eine Kartenansicht auf der Kontaktseite. Jede dieser Einbindungen baut beim Seitenaufruf eine Verbindung zu einem fremden Server auf – und überträgt dabei mindestens die IP-Adresse.

Typische Kandidaten auf Mittelstands-Websites sind:

• Analyse-Tools wie Google Analytics oder Hotjar,
• Werbe-Pixel wie Meta-Pixel, Google-Ads-Tag oder LinkedIn Insight Tag,
• Schriften von Google Fonts oder Adobe Fonts, die extern geladen werden,
• Karten von Google Maps auf Kontakt- oder Standortseiten,
• Videos von YouTube oder Vimeo,
• Chat-Fenster und KI-Assistenten von Drittanbietern,
• Formulare – Kontakt, Angebot, Bewerbung, Newsletter – samt Spam-Schutz wie Google reCAPTCHA,
• Widgets für Bewertungen, Terminbuchung oder Social-Media-Feeds.

Einen ersten Überblick verschaffen Sie sich selbst in einer halben Stunde: Öffnen Sie Ihre Website in einem privaten Browserfenster, klicken Sie im Banner noch nichts an und öffnen Sie mit der Taste F12 die Entwicklerwerkzeuge. Im Reiter „Netzwerk“ sehen Sie jede Verbindung, die Ihre Seite aufbaut. Taucht dort schon vor Ihrer Auswahl eine Adresse wie fonts.googleapis.com, google-analytics.com, facebook.net oder youtube.com auf, haben Sie Ihren ersten Handlungspunkt gefunden. Wiederholen Sie das auf Kontaktseite, Karriereseite und einer Seite mit Video.

Welche Punkte bergen typischerweise Abmahn- oder Bußgeldrisiken?

Die folgende Checkliste fasst zusammen, was wir bei Website-Checks im Mittelstand am häufigsten finden – und wie sich jeder Punkt technisch lösen lässt. Gehen Sie sie mit Ihrer Bestandsaufnahme Zeile für Zeile durch.

Besonders aufmerksam sollten Betriebe sein, deren Formulare sensible Angaben erfassen: Praxen, Pflegedienste und Therapeuten, bei denen Anfragen Gesundheitsdaten enthalten können. Für sie gelten nach Art. 9 DSGVO strengere Regeln – was wir für diese Branche umsetzen, lesen Sie auf unserer Seite Gesundheit, Pflege & Soziales.

Wie muss ein rechtskonformer Cookie-Banner aussehen?

Der Banner ist das sichtbarste Element des Datenschutzes – und der häufigste Fehler. Die Gerichte haben die Linie inzwischen klar gezogen: Der Europäische Gerichtshof (2019) und der Bundesgerichtshof (2020, „Planet49“) haben vorausgefüllte Häkchen als unwirksame Einwilligung eingestuft. Auch das Landgericht Rostock hat bereits 2020 einen Banner beanstandet, in dem alle Cookies vorausgewählt waren und der Zustimmungs-Knopf deutlich hervorstach (Az. 3 O 762/19). Daraus ergeben sich fünf Anforderungen:

1. Gleichwertige Wahl auf der ersten Ebene: „Alle ablehnen“ steht neben „Alle akzeptieren“ – gleich groß, gleich gut lesbar, ohne Umweg über „Einstellungen“.
2. Nichts lädt vor der Entscheidung: Analyse-, Marketing- und Einbettungsdienste starten erst nach Zustimmung. Das ist der Punkt, den Sie mit dem Netzwerk-Test oben selbst prüfen können.
3. Keine Vorauswahl: Nur technisch notwendige Kategorien dürfen voreingestellt sein.
4. Verständliche Information: Welche Dienste, wozu, welche Anbieter – in Sätzen, die ein Laie versteht.
5. Jederzeit widerrufbar: Ein Link wie „Datenschutz-Einstellungen“ im Fußbereich öffnet die Auswahl erneut.

Technisch erledigt das eine Consent-Management-Plattform oder eine sauber programmierte eigene Lösung. Wichtiger als das Werkzeug ist die Einstellung: Ein teures System mit falscher Konfiguration schützt Sie nicht.

Wie lassen sich Tracking und Werbung trotzdem messbar betreiben?

Die ehrliche Antwort: Mit sauberer Einwilligung sehen Sie weniger Daten als früher, denn ein Teil Ihrer Besucher lehnt ab. Messbar bleibt Ihr Marketing trotzdem – wenn Sie die Messung neu ordnen:

• Grundzahlen ohne Einwilligung: Eine cookiefreie, selbst gehostete Statistik mit gekürzten IP-Adressen zählt Besucher, aufgerufene Seiten und abgeschickte Formulare, ohne Daten an Dritte zu geben. Nach überwiegender Auffassung ist dafür keine Einwilligung nötig – stimmen Sie die konkrete Lösung trotzdem mit Ihrem Datenschutzbeauftragten ab.
• Werbe-Messung mit Einwilligung: Meta-Pixel und Google-Ads-Tag laden erst nach Zustimmung. Google setzt für personalisierte Werbung und Remarketing im Europäischen Wirtschaftsraum seit März 2024 den Einwilligungsmodus in Version 2 voraus. Bei Ablehnung schätzt Google fehlende Conversions über Modelle. Achtung: In der „erweiterten“ Variante sendet der Tag schon vor der Entscheidung einwilligungslose Signale – rechtlich umstritten. Die „einfache“ Variante, bei der vor der Zustimmung nichts geladen wird, ist der vorsichtigere Weg.
• Serverseitige Übertragung: Die Meta Conversions API oder serverseitiges Tagging machen die Messung zuverlässiger und geben Ihnen mehr Kontrolle darüber, welche Daten die Plattform erhält. An der Einwilligungspflicht ändern sie nichts.
• Eindeutige Ziele: Messen Sie, was zählt – abgeschickte Anfrage, Klick auf die Telefonnummer, Bewerbung. Wenige saubere Ziele sind aussagekräftiger als hundert halb erfasste Ereignisse.
• Kampagnen-Kennungen und Nachfragen: UTM-Parameter in Anzeigen-Links zeigen in Ihrer eigenen Statistik, woher Besucher kommen. Und die Frage „Wie sind Sie auf uns aufmerksam geworden?“ im Erstgespräch ergänzt jede Technik.

Für Ihre Entscheidungen bedeutet das: Achten Sie auf Trends und Verhältnisse, nicht auf jede einzelne Zahl. Wie Sie Besucher mit Pixel und Einwilligung zurückholen, beschreibt unser Beitrag Retargeting für Unternehmen; welche Plattform zu Ihrem Betrieb passt, klärt Google Ads oder Meta Ads – was passt zum Mittelstand?

Was gilt für Chat-Fenster und KI-Assistenten?

Ein Chat oder eine KI-Assistentin auf der Website kann Anfragen deutlich erleichtern – Besucher schreiben dort aber oft mehr, als sie in ein Formular tippen würden. Deshalb gehören vier Dinge dazu: ein Anbieter mit Auftragsverarbeitungsvertrag und Verarbeitung in der EU, die schriftliche Zusicherung, dass Gesprächsinhalte nicht zum Training fremder Modelle genutzt werden, eine festgelegte Speicherdauer und ein kurzer Hinweis vor der ersten Eingabe, was mit den Angaben geschieht. Seit August 2026 verlangt zudem die EU-KI-Verordnung, dass Menschen erkennen können, dass sie mit einer KI sprechen. Wie KI-Dialog-Websites aufgebaut sind und wem sie nützen, erklären wir im Beitrag KI-Dialog-Website: Was ist das – und wem hilft sie wirklich?

Wie gehen Sie Schritt für Schritt vor?

1. Bestandsaufnahme (ein bis zwei Stunden): Alle Dienste mit dem Netzwerk-Test erfassen und in einer Liste festhalten – Dienst, Zweck, Anbieter, Serverstandort.
2. Aufräumen: Was niemand mehr nutzt, fliegt raus. Schriften lokal einbinden, Karten und Videos auf Zwei-Klick umstellen, reCAPTCHA ersetzen. Jeder entfernte Dienst ist ein Risiko weniger und macht die Seite meist auch schneller.
3. Einwilligung einrichten und testen: Banner nach den fünf Anforderungen konfigurieren, danach ablehnen und im Netzwerk-Reiter prüfen, dass wirklich nichts mehr lädt.
4. Verträge und Dokumente nachziehen: Auftragsverarbeitungsverträge mit allen Dienstleistern ablegen, Datenschutzerklärung an die bereinigte Liste anpassen, die Verarbeitungen ins Verzeichnis nach Art. 30 DSGVO aufnehmen.
5. Pflegen: Nach jedem neuen Plugin, Video oder Werbekonto die Prüfung wiederholen – und mindestens einmal im Jahr routinemäßig.

Für eine typische Firmenwebsite ist das in wenigen Arbeitstagen erledigt. Aufwendiger wird es nur, wenn ein veraltetes System Dienste fest einbaut, die sich nicht abschalten lassen – dann ist ein Relaunch oft die wirtschaftlichere Lösung. Wie wir Websites von Anfang an mit lokalen Schriften, Einwilligungsmanagement und schlanker Technik bauen, zeigt unsere Seite Websites & Anwendungen für den Mittelstand. Damit die Seite auch nach dem Livegang sauber bleibt, übernehmen wir in der Website-Betreuung und Wartung Updates, Prüfungen und Anpassungen – was in einen guten Wartungsvertrag gehört, steht im Beitrag Website-Wartung: Was gehört in einen Wartungsvertrag? Beispiele unserer Arbeit finden Sie in den Referenzen.