Datenschutz für die Website: was die DSGVO von Gründern verlangt

Inhalt dieser Seite

Was bedeutet Datenschutz für deine Website?

Datenschutz für die Website bedeutet, dass du jede Verarbeitung personenbezogener Daten deiner Besucher auf eine Rechtsgrundlage stützt, transparent darüber informierst, sie technisch absicherst und dokumentierst.

Personenbezogene Daten sind nach Art. 4 Nr. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Dazu zählen Name sowie E-Mail-Adresse im Kontaktformular, aber auch IP-Adressen, Cookie-Kennungen und Bestelldaten. Eine Website ganz ohne personenbezogene Daten gibt es praktisch nicht.

Den Einstieg mit Impressum, Datenschutzerklärung im Überblick sowie den Grundsätzen der DSGVO findest du im Ratgeber Impressum und Datenschutz. Hier geht es um die Fragen, die beim Aufbau oder Umbau deiner Website konkret auftauchen.

Welche Rechtsgrundlage brauchst du wofür?

Für jede Datenverarbeitung auf deiner Website brauchst du eine Rechtsgrundlage aus Art. 6 Abs. 1 DSGVO, und welche passt, hängt vom konkreten Zweck ab, nicht vom eingesetzten Werkzeug.

Verarbeitung	Typische Rechtsgrundlage	Hinweis
Auslieferung der Website, Server-Protokolle	berechtigtes Interesse (lit. f)	Speicherdauer kurz halten und festlegen.
Kontaktformular für Anfragen	Vertragsanbahnung (lit. b) oder berechtigtes Interesse (lit. f)	Nur Pflichtfelder, die du wirklich brauchst.
Bestellung im Shop	Vertrag (lit. b)	Rechnungsdaten unterliegen steuerlichen Aufbewahrungs­pflichten (lit. c).
Newsletter	Einwilligung (lit. a)	Einwilligung nachweisbar dokumentieren, mehr unter Newsletter und DSGVO.
Statistik, Marketing, eingebettete Videos	meist Einwilligung (lit. a), zusätzlich § 25 TDDDG	Erst nach Zustimmung laden, siehe Cookie-Banner und Einwilligung.

Beim berechtigten Interesse musst du abwägen, ob die Interessen der Besucher überwiegen. Je stärker ein Dienst Nutzer über Websites hinweg verfolgt, desto eher brauchst du eine Einwilligung. Halte deine Abwägung kurz schriftlich fest.

Was muss in die Datenschutzerklärung?

Die Datenschutzerklärung muss nach Art. 13 DSGVO für jede Verarbeitung auf deiner Website Verantwortlichen, Zweck, Rechtsgrundlage, Empfänger, Drittlandbezug, Speicherdauer und die Rechte der Betroffenen verständlich beschreiben.

• Name und Kontaktdaten des Verantwortlichen, gegebenenfalls des Datenschutz­beauftragten.
• Zwecke und Rechtsgrundlagen, bei berechtigtem Interesse auch das konkrete Interesse.
• Empfänger oder Kategorien von Empfängern, also auch Hosting, Shop-System oder Newsletter-Tool.
• Übermittlung in Drittländer und die Grundlage dafür.
• Speicherdauer oder die Kriterien dafür.
• Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch, Datenübertragbarkeit sowie Widerruf einer Einwilligung.
• Beschwerderecht bei einer Aufsichtsbehörde.

Die Angaben müssen zu dem passen, was deine Website tatsächlich tut. Die Datenschutzkonferenz weist in ihrer Orientierungshilfe für digitale Dienste ausdrücklich darauf hin, dass Banner und Datenschutzerklärung übereinstimmen müssen. Wer einen Dienst entfernt oder ergänzt, passt beides gleichzeitig an.

Wann brauchst du einen Vertrag zur Auftragsverarbeitung?

Einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO brauchst du mit jedem Dienstleister, der personenbezogene Daten deiner Website-Besucher oder Kunden in deinem Auftrag und nach deinen Weisungen verarbeitet.

Auftragsverarbeitung ist die Verarbeitung personenbezogener Daten durch einen Dienstleister, der dabei an deine Weisungen gebunden ist und die Daten nicht für eigene Zwecke nutzt. Typische Beispiele auf der Website:

• Webhosting und Baukasten: Der Anbieter speichert deine Website samt Formulareingaben. Worauf du bei der Auswahl achtest, steht unter Webhosting für Gründer.
• Shop-System und Zahlungsabwicklung: Teils Auftragsverarbeitung, teils eigene Verantwortung des Zahlungs­dienstleisters. Prüfe die Vertragsunterlagen des Anbieters.
• Newsletter-Versand, Terminbuchung, Chat: In der Regel Auftragsverarbeitung.
• Agentur oder Freelancer mit Zugriff: Wer deine Website wartet und dabei Daten sehen kann, braucht ebenfalls einen solchen Vertrag.

Große Anbieter stellen ihre Verträge meist im Kundenkonto zum Abschluss bereit. Lade sie herunter und lege sie ab. Fehlt ein solcher Vertrag ganz, ist das ein Warnsignal bei der Anbieterwahl.

Was gilt, wenn Daten in die USA oder andere Drittländer gehen?

Daten dürfen nach Art. 44 ff. DSGVO nur in Drittländer außerhalb der EU und des EWR fließen, wenn ein Angemessenheitsbeschluss der EU-Kommission oder geeignete Garantien wie Standarddatenschutzklauseln das Schutzniveau absichern.

Für die USA hat die EU-Kommission am 10. Juli 2023 einen Angemessenheitsbeschluss zum EU-US-Datenschutzrahmen erlassen. Er gilt für US-Unternehmen, die sich nach diesem Rahmen zertifiziert haben. Das Gericht der Europäischen Union hat eine Klage dagegen am 3. September 2025 abgewiesen (Rechtssache T-553/23) und bestätigt, dass die USA zum Zeitpunkt des Beschlusses ein angemessenes Schutzniveau gewährleisteten. Gegen das Urteil wurde Rechtsmittel zum Gerichtshof eingelegt, eine endgültige Entscheidung steht damit noch aus.

1. Datenflüsse erkennen. Welche Dienste auf deiner Website übertragen Daten an Anbieter außerhalb der EU, auch über Unterauftragnehmer?
2. Grundlage prüfen. Ist der US-Anbieter nach dem Datenschutzrahmen zertifiziert? Wenn nicht, bietet er Standarddatenschutzklauseln an?
3. Informieren. Drittlandübermittlung und ihre Grundlage gehören in die Datenschutzerklärung.
4. Alternativen abwägen. Wo ein Dienst mit Servern in der EU gleich gut funktioniert, sparst du dir Aufwand und Risiko.
5. Beobachten. Ändert sich die Rechtslage, etwa durch eine Entscheidung des Gerichtshofs, musst du schnell umstellen können.

Wie gestaltest du Kontaktformular und Analyse datensparsam?

Ein datensparsames Kontaktformular fragt nur ab, was für die Antwort nötig ist, überträgt verschlüsselt und löscht Anfragen nach festgelegter Zeit, während Analyse-Werkzeuge möglichst wenig erheben, wo nötig erst nach Einwilligung.

• Pflichtfelder auf das Nötige beschränken, meist einen Kontaktweg für die Antwort und die Nachricht selbst. Alles andere bleibt freiwillig.
• Verschlüsselte Übertragung über HTTPS als Teil der technischen Sicherheit nach Art. 32 DSGVO.
• Anfragen nicht unbegrenzt im Postfach liegen lassen, Löschroutine festlegen.
• Keine Formularinhalte zusätzlich an Drittanbieter schicken, ohne dass das in der Datenschutzerklärung steht.
• Bei Statistik prüfen: Reicht eine Lösung, die ohne Zugriff auf das Endgerät auskommt? Wenn nicht, erst nach Einwilligung laden.
• Schriften, Karten und Videos möglichst lokal einbinden oder erst nach Klick nachladen.

Technische Sicherheit hört beim Formular nicht auf. Updates, Backups sowie sichere Zugänge erklärt der Ratgeber Website pflegen und absichern.

Welche Dokumentation brauchst du für Verzeichnis, Auskunft und Datenpannen?

Für den Datenschutz deiner Website brauchst du ein Verzeichnis der Verarbeitungstätigkeiten, einen festen Ablauf für Anfragen von Betroffenen sowie einen Plan, wie du eine Datenpanne erkennst, bewertest und meldest.

Pflicht	Was gilt
Verzeichnis (Art. 30 DSGVO)	Liste deiner Verarbeitungen mit Zweck, Datenkategorien, Empfängern, Löschfristen und Schutzmaßnahmen. Die Ausnahme für unter 250 Beschäftigte greift nicht bei nicht nur gelegentlicher Verarbeitung.
Auskunft (Art. 15 DSGVO)	Antwort unverzüglich, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO), Verlängerung nur mit Begründung.
Datenpanne (Art. 33 DSGVO)	Meldung an die Aufsicht unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden, außer es besteht voraussichtlich kein Risiko. Dokumentation immer.
Datenschutz­beauftragter (§ 38 BDSG)	In der Regel erst ab 20 Personen, die ständig mit automatisierter Verarbeitung beschäftigt sind, in besonderen Fällen schon früher.

Firmenkompass macht keine Rechtsberatung und schreibt keine Datenschutzerklärungen. Wir helfen dir aber, deine Website so aufzubauen, dass möglichst wenige Dienste im Spiel sind und du jederzeit weißt, welche Daten wohin gehen. Ohne Gutschein unterstützen dich das Website-Coaching und die laufende Website-Wartung.

Wenn du aus der Arbeitslosigkeit gründest, baust du im AVGS Gründercoaching deine Website in Modul 7 Website erstellen auf, inklusive Struktur für Datenschutzerklärung und Einwilligung. Bei Bewilligung des Gutscheins entstehen dir keine eigenen Kosten, die Agentur für Arbeit oder das Jobcenter entscheidet im Einzelfall. Melde dich für ein kostenloses Erstgespräch.

Fragen dazu? Dein CoachChristian BerglerCoach für Website und E-Commerce