DSGVO-Checkliste für die Website: Was 2026 Pflicht ist

TMG und TTDSG gibt es nicht mehr: DDG und TDDDG

Am 14. Mai 2024 ist das Telemediengesetz (TMG) außer Kraft getreten. An seine Stelle trat das Digitale-Dienste-Gesetz (DDG), mit dem Deutschland den europäischen Digital Services Act umsetzt. Die Impressumspflicht steht seitdem in § 5 DDG.

Am selben Tag wurde das TTDSG umbenannt. Es heißt jetzt Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG). Die Regel für Cookies und ähnliche Techniken steht unverändert in § 25 TDDDG.

Inhaltlich hat sich an beiden Stellen wenig geändert. Wer aber im Impressum noch „Angaben gemäß § 5 TMG“ oder in der Datenschutzerklärung „§ 25 TTDSG“ schreibt, verweist auf Vorschriften, die es so nicht mehr gibt. Das ist schnell korrigiert und sollte als Erstes passieren.

Das Grundgerüst: Impressum und Datenschutzerklärung

Zwei Texte gehören auf praktisch jede geschäftliche Website.

Das Impressum nach § 5 DDG muss leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein. Dazu gehören unter anderem Name und Anschrift, bei Gesellschaften Rechtsform und Vertretungsberechtigte, eine E-Mail-Adresse und eine schnelle Kontaktmöglichkeit, das Handelsregister mit Nummer und, falls vorhanden, die Umsatzsteuer-Identifikationsnummer. Für bestimmte Berufe kommen Kammer und Berufsbezeichnung hinzu.

Die Datenschutzerklärung erfüllt die Informationspflichten aus Art. 13 DSGVO. Sie beschreibt in verständlicher Sprache:

• wer verantwortlich ist und wie man ihn erreicht,
• welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden,
• an wen Daten gehen, auch in Länder außerhalb der EU,
• wie lange sie gespeichert werden,
• welche Rechte Betroffene haben, etwa auf Auskunft, Berichtigung, Löschung und Widerspruch (Art. 15 bis 21 DSGVO), und dass sie sich bei einer Aufsichtsbehörde beschweren können.

Die Datenschutzerklärung muss zur Website passen. Eine Vorlage, die Dienste nennt, die Sie gar nicht nutzen, oder Dienste auslässt, die Sie nutzen, ist fehlerhaft.

Cookies und Einwilligung nach § 25 TDDDG

Die Regel ist klar: Informationen auf dem Gerät eines Besuchers zu speichern oder dort auszulesen, ist nur mit Einwilligung erlaubt. Das betrifft Cookies, aber auch vergleichbare Techniken. Ausgenommen ist nur, was unbedingt erforderlich ist, um den vom Nutzer gewünschten Dienst bereitzustellen, etwa ein Warenkorb oder die Speicherung einer Spracheinstellung.

Für eine wirksame Einwilligung gilt:

• Sie muss vorher eingeholt werden. Werkzeuge dürfen erst nach der Zustimmung laden.
• Sie muss aktiv erfolgen. Ein vorausgewähltes Kästchen genügt nicht, so der Europäische Gerichtshof im Urteil Planet49 vom 1. Oktober 2019.
• Sie muss informiert und für bestimmte Zwecke erteilt werden.
• Sie muss sich so einfach widerrufen lassen, wie sie erteilt wurde.

Wie die Aufsichtsbehörden das auslegen, beschreibt die Datenschutzkonferenz in ihrer Orientierungshilfe für Anbieter digitaler Dienste. Die aktuelle Fassung stammt vom November 2024.

Eine Website, die nur technisch notwendige Cookies setzt und keine Werkzeuge mit Zugriff auf das Gerät einbindet, braucht dafür keine Einwilligung. Dann entfällt auch das Cookie-Banner. Das ist oft die einfachste Lösung.

Eingebundene Dienste: Schriften, Karten, Videos

Viele Probleme entstehen nicht durch die eigene Seite, sondern durch Inhalte, die von fremden Servern nachgeladen werden. Beim Aufruf wird dabei die IP-Adresse des Besuchers an den Anbieter übertragen.

Das bekannteste Beispiel sind Google Fonts. Das Landgericht München I hat am 20. Januar 2022 entschieden, dass die Weitergabe der IP-Adresse an Google beim dynamischen Laden der Schriften ohne Einwilligung rechtswidrig war, und dem Kläger 100 € Schadensersatz zugesprochen (Az. 3 O 17493/20). Danach folgte eine Welle von Abmahnschreiben.

Die Lösung ist einfach: Schriften auf dem eigenen Server ablegen. Dann fließen keine Daten an Dritte. Ähnlich bei Karten und Videos: Laden Sie sie erst, wenn der Besucher aktiv zustimmt, etwa über einen Klick auf ein Vorschaubild.

Für jeden Dienstleister, der personenbezogene Daten in Ihrem Auftrag verarbeitet, etwa Hosting, Formular-Dienst oder Newsletter, brauchen Sie einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Sitzt der Anbieter außerhalb der EU, gelten zusätzlich die Regeln für Drittlandübermittlungen (Art. 44 ff. DSGVO). Für die USA gibt es derzeit den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, sofern der Anbieter dort zertifiziert ist.

Die DSGVO-Checkliste für die Website in zwölf Punkten

1. Impressum nach § 5 DDG, von jeder Seite mit einem Klick erreichbar.
2. Keine Verweise mehr auf TMG oder TTDSG.
3. Datenschutzerklärung, die genau die Dienste nennt, die Sie tatsächlich nutzen.
4. Verschlüsselte Verbindung (HTTPS) auf allen Seiten, besonders bei Formularen (Art. 32 DSGVO).
5. Einwilligung vor dem Laden aller nicht notwendigen Cookies und Werkzeuge.
6. Ablehnen und Widerrufen so einfach wie Zustimmen.
7. Schriften lokal statt von fremden Servern.
8. Karten und Videos erst nach aktiver Zustimmung laden.
9. Formulare mit wenigen Pflichtfeldern und einem Hinweis zur Datenverarbeitung (Art. 5 und 13 DSGVO).
10. Verträge zur Auftragsverarbeitung mit Hosting und allen weiteren Dienstleistern.
11. Speicherfristen festlegen: Wie lange bleiben Anfragen im Postfach und im CRM?
12. Zuständigkeit klären: Wer beantwortet eine Auskunftsanfrage innerhalb der gesetzlichen Frist von einem Monat (Art. 12 Abs. 3 DSGVO)?

Gehen Sie diese Liste nicht nur einmal durch. Websites verändern sich: Ein neues Werkzeug kommt hinzu, ein Video wird eingebunden, ein Dienstleister wechselt. Jede dieser Änderungen kann Impressum, Datenschutzerklärung oder Einwilligung betreffen. Bewährt hat sich eine feste Prüfung einmal im Jahr und zusätzlich bei jeder größeren Änderung an der Seite. Halten Sie das Ergebnis kurz schriftlich fest. So können Sie bei einer Nachfrage zeigen, was Sie geprüft haben und wann.

Häufige Fehler und was sie kosten können

• Ein Cookie-Banner, das nichts blockiert. Die Werkzeuge laden sofort, das Banner ist nur Dekoration.
• Ein Banner, das zur Zustimmung drängt, etwa mit einem großen „Alle akzeptieren“ und einer versteckten Ablehnung. Eine Einwilligung muss freiwillig sein.
• Veraltete Vorlagen für Impressum und Datenschutzerklärung.
• Eingebundene Dienste, von denen im Betrieb niemand mehr weiß, etwa ein altes Statistik-Skript.

Die Folgen reichen von Abmahnungen über Schadensersatzforderungen nach Art. 82 DSGVO bis zu Bußgeldern der Aufsichtsbehörden. Der Rahmen nach Art. 83 DSGVO liegt bei bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. Die Höhe im Einzelfall richtet sich nach Art. 83 Abs. 2 DSGVO unter anderem nach Art, Schwere und Dauer des Verstoßes und danach, ob er vorsätzlich oder fahrlässig geschah.

Vieles davon lässt sich schon beim Bau einer Website vermeiden: lokale Schriften, wenige eingebundene Dienste, schlanke Formulare. Wie wir Websites aufbauen, lesen Sie auf unserer Seite zum Webdesign.

Keine Rechtsberatung. Dieser Beitrag gibt den Stand von Oktober 2026 wieder und ersetzt keine Prüfung Ihres Einzelfalls. Für verbindliche Auskünfte wenden Sie sich an eine Kanzlei oder Ihre Steuerberatung.