DSGVO-konforme Website: die Checkliste

Die meisten Checklisten zu diesem Thema haben schon in der Überschrift einen Fehler: Für Cookies und für alles, was auf dem Gerät deiner Besucher passiert, gilt nicht die DSGVO, sondern § 25 des Telekommunikation-Digitale-Dienste- Datenschutz-Gesetzes. Das klingt nach Erbsenzählerei, entscheidet aber darüber, ob du ein Einwilligungsbanner brauchst oder nicht. Und es entscheidet anders, als die meisten denken.

Diese Checkliste sortiert die Pflichten nach dem Gesetz, aus dem sie kommen. Sie nennt an jeder Stelle, wie du den Punkt nachprüfst, statt ihn zu glauben. Und sie zeigt an unserer eigenen Website einen Fehler, den wir selbst gemacht haben und der genau in dieser Grauzone lag.

Vorweg das Nötige: Das hier ist die Sicht einer Agentur, die Websites baut und betreibt, keine Rechtsberatung. Für eine verbindliche Bewertung deines Einzelfalls ist eine Anwältin oder ein Anwalt für IT-Recht zuständig.

Welches Gesetz regelt eigentlich was?

Drei Regelwerke greifen ineinander, und wer sie auseinanderhält, spart sich die Hälfte der Diskussionen.

Die Reihenfolge ist wichtig. Erst § 25, dann die DSGVO. Wenn etwas auf dem Gerät gespeichert oder von dort ausgelesen wird, braucht das eine Einwilligung oder eine der zwei Ausnahmen. Erst danach stellt sich die zweite Frage, auf welcher Rechtsgrundlage die so gewonnenen Daten weiterverarbeitet werden.

Der Wortlaut ist kurz genug, um ihn einmal ganz zu lesen. § 25 Abs. 1 sagt: „Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.“ (Gesetzestext)

Zwei Dinge stehen darin, die oft übersehen werden. Erstens: Speichern ODER Zugriff. Das Cookie ist der eine Fall. Das Auslesen ist der andere, und der wird fast immer vergessen. Zweitens: Von personenbezogenen Daten ist keine Rede. § 25 greift auch dann, wenn nichts Persönliches dabei ist. Anonymisierung hilft an dieser Stelle also nicht.

Absatz 2 nennt genau zwei Ausnahmen: die reine Übertragung einer Nachricht, und was unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert. Der Warenkorb im Shop fällt darunter. Die Reichweitenmessung fällt nicht darunter, auch nicht, wenn sie dir wichtig ist.

Wann brauchst du ein Einwilligungsbanner?

Immer dann, wenn etwas gespeichert oder ausgelesen wird, das nicht unter die zwei Ausnahmen fällt. Konkret:

• Banner nötig: Google Analytics, Facebook-Pixel, YouTube-Einbettungen im Standardmodus, Google Maps, Google Fonts von Googles Servern, Werbenetzwerke, Chat-Widgets, Bewertungs-Widgets, A/B-Test-Werkzeuge.
• Kein Banner nötig: Session-Cookie für den Login, Warenkorb, Spracheinstellung, Cookie für die Einwilligungsentscheidung selbst, Sicherheitsmechanismen gegen Missbrauch von Formularen.
• Kommt darauf an: Reichweitenmessung. Genau darum geht der nächste Abschnitt.

Und wenn du ein Banner brauchst, dann eines, das die Anforderungen erfüllt. Die Datenschutzkonferenz der deutschen Aufsichtsbehörden hat dazu eine Orientierungshilfe für Anbieter digitaler Dienste veröffentlicht, Fassung 1.2 vom November 2024. Sie hieß früher „Orientierungshilfe für Telemedien“, der Name hat sich mit dem Digital Services Act geändert. Die drei Punkte, an denen die meisten Banner scheitern:

1. Ablehnen muss so einfach sein wie Zustimmen. Ein grüner Knopf „Akzeptieren“ neben einem grauen Textlink „Einstellungen“ ist es nicht.
2. Vorausgewählte Häkchen sind unwirksam. Auch dann, wenn man sie abwählen kann.
3. Ohne Entscheidung darf nichts laufen. Wer das Banner wegklickt oder scrollt, hat nicht zugestimmt.

Was heißt „cookielos“ wirklich?

Hier liegt die Stelle, an der viele Websites falsch liegen, und wir lagen bis vor Kurzem selbst daneben.

Die verbreitete Annahme lautet: Wer ohne Cookies misst, braucht keine Einwilligung. Das ist zur Hälfte richtig. § 25 greift bei Speichern und bei Zugriff, und die Grenze verläuft nicht zwischen Cookie und Nicht-Cookie, sondern hier:

Unsere eigene Website misst mit selbst gehostetem Matomo, und die Grundzählung läuft absichtlich ohne Cookies, damit auch abgelehnte Einwilligungen noch als Besuch zählen. Wie das gemeint ist, steht in unserem Beitrag zu Matomo ohne Cookies.

Am 3. September 2026 haben wir es zum ersten Mal richtig gemessen statt angenommen: ein Skript, das die Seite im Browser lädt, im Banner auf „Nur notwendige“ klickt und danach jeden Aufruf an den Zählserver ansieht. Ergebnis: keine Cookies, Antwortstatus 204, alles wie erwartet. Aber in zwei von zwei Aufrufen ging res=1280x900 mit, die Bildschirmauflösung. Matomo liest die standardmäßig aus, zusammen mit den Browser-Plugins, und bildet daraus einen kurzlebigen Besucherkennwert. Das ist ein Zugriff auf das Endgerät, und dafür hatten wir keine Rechtsgrundlage.

Behoben ist es mit einem einzigen Schalter, disableBrowserFeatureDetection, solange keine Zustimmung vorliegt. Mit Zustimmung schalten wir ihn wieder ein, dann ist er gedeckt. Danach dieselbe Messung noch einmal: keine Auflösung mehr in der Zähladresse, gezählt wird trotzdem.

Der Punkt daran ist nicht der Schalter. Der Punkt ist, dass im Quelltext nichts davon zu sehen war. Wer nur in die Konfiguration schaut, sieht „cookielos“ und hakt ab. Sichtbar wird es erst in der Adresse, die der Browser wirklich absendet.

Was gehört in die Datenschutzerklärung?

Artikel 13 DSGVO zählt es auf, und die Liste ist länger, als die meisten Generatoren ausgeben. Diese Punkte fehlen erfahrungsgemäß am häufigsten:

• Jeder eingesetzte Dienst mit Namen. Nicht „wir nutzen Analysedienste“, sondern welcher, wo er läuft und was er erhebt. Ein Dienst, der in der Erklärung fehlt, ist der klassische Befund.
• Die Rechtsgrundlage je Verarbeitung. Einwilligung, Vertrag oder berechtigtes Interesse. Bei berechtigtem Interesse gehört dazu, welches.
• Speicherdauer oder die Kriterien dafür. „So lange wie nötig“ genügt nicht.
• Empfänger und Drittlandtransfer. Wenn Daten in die USA gehen, muss das dort stehen, samt Grundlage.
• Das Widerspruchsrecht nach Artikel 21, wenn du dich auf berechtigtes Interesse stützt. Und es muss auch ausübbar sein, nicht nur erwähnt. Bei uns steht dafür ein Schalter unter Datenschutz.
• Kontakt zum Verantwortlichen, und falls benannt, zur Datenschutzbeauftragten.

Der häufigste Fehler ist kein fehlender Absatz, sondern ein veralteter. Die Erklärung wird einmal erstellt und dann nie wieder angefasst, während die Website drei neue Werkzeuge dazubekommt. Nimm dir einen festen Termin dafür, zweimal im Jahr reicht meistens.

Wo liegen deine Daten, und wer sieht sie?

Fünf Stellen, an denen im Alltag Daten abfließen, ohne dass es jemandem auffällt:

Schriften. Bindet dein Theme Google Fonts von Googles Servern ein, geht bei jedem Seitenaufruf die IP deiner Besucher an Google, bevor irgendjemand zugestimmt hat. Die Lösung ist banal: Schriften lokal ausliefern. Das ist nebenbei auch schneller, weil eine Verbindung zu einem fremden Server entfällt.

Karten. Eine eingebettete Google-Karte lädt beim Seitenaufruf. Entweder hinter die Einwilligung legen oder durch ein statisches Bild mit Link ersetzen. Für „so findest du uns“ reicht das zweite fast immer.

Videos. YouTube im Standardmodus setzt Cookies vor dem ersten Klick. Der erweiterte Datenschutzmodus hilft, ersetzt die Einwilligung aber nicht vollständig.

Formulare. Eine erste Anfrage enthält oft mehr, als man denkt. Wo landet sie, wird sie zusätzlich in der Datenbank gespeichert, und wie lange bleibt sie dort? Viele Formular-Plugins legen jede Nachricht dauerhaft ab, ohne dass es jemand eingestellt hätte.

E-Mail. Der Transportweg gehört dazu. Wer Anfragen per Mail bekommt, sollte wissen, ob unterwegs jemand mitlesen kann. Die Grundlagen dazu stehen in unserem Beitrag zu SPF, DKIM und DMARC.

Wie prüfst du das, statt es zu glauben?

Drei Prüfungen, die zusammen in einer halben Stunde zu machen sind und mehr finden als jeder Generator.

Erstens, die Netzwerkanalyse. Öffne deine Seite in einem frischen privaten Fenster, drücke F12, geh auf den Reiter „Netzwerk“ und lade neu, ohne im Banner etwas anzuklicken. Jeder Eintrag mit einer fremden Domain ist ein Kandidat. Wenn dort googleapis, googletagmanager, facebook oder ein Schriftenserver auftaucht, hast du einen Befund.

Zweitens, die Cookie-Liste. Im selben Fenster unter „Anwendung“ die Cookies ansehen, wieder ohne Zustimmung. Alles außer dem Cookie für die Einwilligungsentscheidung selbst und technisch nötigen Sitzungsdaten gehört dort nicht hin.

Drittens, der Abgleich mit der Erklärung. Nimm die Liste der Domains aus Schritt eins und suche jede in deiner Datenschutzerklärung. Was du nicht findest, fehlt.

Wichtig dabei: Ein privates Fenster ist Pflicht. Im normalen Fenster liegt deine eigene Zustimmung von letzter Woche noch im Speicher, und dann misst du den Zustand nach der Einwilligung, während du glaubst, den davor zu messen.

Was passiert, wenn es nicht stimmt?

Ehrlich: Der wahrscheinlichste Fall ist kein Bußgeld, sondern eine Beschwerde bei der Aufsichtsbehörde oder ein anwaltliches Schreiben. Beides kostet Zeit und Nerven, und beides beginnt fast immer mit genau den drei Prüfungen von oben, die jemand von außen an deiner Seite durchführt.

Wir nennen hier bewusst keine Bußgeldhöhen. Die Zahlen, die durch Ratgeber geistern, stammen aus Einzelfällen mit ganz anderen Sachverhalten, und sie sollen vor allem Angst machen. Der nüchterne Grund, das in Ordnung zu bringen, ist ein anderer: Die Punkte oben sind in wenigen Stunden erledigt, und danach muss man nicht mehr darüber nachdenken.

Womit fängst du an?

In dieser Reihenfolge, weil sie nach Aufwand gegen Wirkung sortiert ist:

1. Netzwerkanalyse im privaten Fenster, Liste der fremden Domains aufschreiben.
2. Schriften lokal ausliefern. Meist eine Stunde Arbeit, erledigt einen der häufigsten Befunde und macht die Seite schneller.
3. Karten und Videos hinter die Einwilligung legen oder ersetzen.
4. Banner prüfen: Ablehnen genauso einfach wie Zustimmen, nichts vorausgewählt, nichts läuft vor der Entscheidung.
5. Datenschutzerklärung gegen die Liste aus Schritt eins abgleichen.
6. Termin für die nächste Prüfung eintragen.

Wenn du bei Schritt eins schon nicht weiterkommst oder die Liste länger ist, als dir lieb ist: Wir sehen uns das an. Und weil dieser Beitrag mit einem eigenen Fehler angefangen hat, gleich noch der Hinweis auf zwei verwandte Pflichten, die oft im selben Aufwasch mitkommen, nämlich Barrierefreiheit nach dem BFSG und die Transparenzpflichten der KI-Verordnung.