DSGVO-konforme Website: Was EU-Unternehmen 2026 wissen müssen

Die Datenschutz-Grundverordnung (DSGVO) ist seit 2018 in Kraft und gilt unmittelbar in allen 27 EU-Mitgliedstaaten. Für Website-Betreiber im Binnenmarkt ist sie seit Jahren Alltag — und trotzdem zeigen sich in der Praxis immer wieder dieselben Schwachstellen. Wer die wichtigsten Pflichten versteht, kann den größten Teil der Risiken mit vertretbarem Aufwand abdecken.

Drei zentrale Bausteine

Eine DSGVO-konforme Website ruht auf drei Bausteinen, die ineinandergreifen.

Datenschutzerklärung: Sie ist Pflicht für jede Website, die personenbezogene Daten verarbeitet — und das ist im Binnenmarkt praktisch jede. Die Erklärung muss verständlich formuliert sein, alle Erhebungszwecke benennen, die Rechtsgrundlage für jede Verarbeitung angeben und Auskunft über Speicherdauer, Empfänger und Betroffenenrechte geben. Generische Vorlagen aus dem Internet sind ein Anfang, aber kein Ersatz für eine auf den konkreten Betrieb zugeschnittene Erklärung.

Impressum: Jedes Unternehmen mit Auftritt im Binnenmarkt braucht ein vollständiges Impressum nach den nationalen Vorschriften. In Deutschland greift TMG, in Österreich ECG und UGB, in Frankreich die Loi pour la Confiance dans l’Économie Numérique. Fehlende oder unvollständige Impressen gehören seit Jahren zu den häufigsten Abmahngründen.

Rechtsgrundlage für Cookies und Tracking: Wer nicht-essentielle Cookies setzt, braucht eine vorherige Einwilligung. Die ePrivacy-Verordnung, die diese Anforderung EU-weit harmonisieren soll, ist noch nicht in Kraft. Bis dahin gilt das, was der Europäische Gerichtshof 2019 im Planet49-Urteil bestätigt hat: Einwilligung ist erforderlich, sie muss vor dem Setzen erfolgen, und sie muss so einfach widerrufbar sein wie erteilt.

Drei häufige Schwachstellen

In der Praxis zeigen sich auf vielen Websites dieselben Probleme — und die meisten lassen sich mit kleinen Korrekturen beheben.

Google Fonts extern geladen: Ein Klassiker, der seit Jahren zu Abmahnungen führt. Werden Schriftarten direkt von fonts.googleapis.com geladen, überträgt die Website die IP-Adresse der Besucherinnen und Besucher an Google — ohne Einwilligung, ohne Rechtsgrundlage. Die Lösung: Schriftarten lokal hosten. Viele moderne Website-Generatoren bieten das als Standardeinstellung an.

Eingebettete Drittanbieter-Inhalte: YouTube-Videos, Google Maps, Social-Media-Buttons, Typeform-Formulare. All diese Einbindungen übertragen Daten an externe Anbieter, oft schon beim Laden der Seite. Die Empfehlung: Drittanbieter-Inhalte erst nach Einwilligung laden, durch datenschutzfreundliche Alternativen ersetzen oder ganz auf sie verzichten.

Kontaktformulare mit US-Anbietern: Wer ein Formular mit Diensten wie Formspree oder einem US-basierten Mailversandtool betreibt, überträgt personenbezogene Daten in Drittländer. Mit dem EU-US Data Privacy Framework gibt es seit 2023 einen Angemessenheitsbeschluss — aber der bietet keinen Rundumschutz. Wo immer möglich, sollten Daten auf Servern innerhalb des Binnenmarkts bleiben.

Aufsicht und Sanktionen: ein Blick über die Grenzen

Die Aufsichtsbehörden der Mitgliedstaaten arbeiten zusammen, und Bußgelder sind in den letzten Jahren spürbar gestiegen. Die irische Aufsichtsbehörde verhängte gegen ein großes US-Technologieunternehmen ein Bußgeld von 1,2 Milliarden Euro für grenzüberschreitende Datenverarbeitung. Niederländische, französische und deutsche Behörden haben ebenfalls substanzielle Strafen ausgesprochen.

Wichtig für KMU: Die Aufsicht richtet sich nicht nur gegen die Großen. Auch kleine Betriebe können belangt werden, insbesondere wenn Beschwerden von Betroffenen vorliegen. In der Praxis verhängen die Behörden Strafen meist verhältnismäßig — aber der Aufwand einer Prüfung allein ist für kleine Unternehmen oft schon belastend.

Cross-Border: was beim Verkauf in mehrere EU-Länder zu beachten ist

Wer im Binnenmarkt grenzüberschreitend aktiv ist, steht vor zusätzlichen Fragen. Welche Aufsichtsbehörde ist zuständig? Grundsätzlich die Behörde des Landes, in dem die Hauptniederlassung sitzt. Welche Sprachversionen der Datenschutzerklärung brauche ich? Mindestens die Sprachen der Märkte, die aktiv bedient werden. Welche lokalen Sonderregeln gelten? Einige Mitgliedstaaten haben über die DSGVO hinausgehende Anforderungen, etwa beim Beschäftigtendatenschutz.

Wer Waren über den EU-weiten One-Stop-Shop (OSS) für Mehrwertsteuer abwickelt, sollte den Datenfluss dieses Verfahrens ebenfalls in der Datenschutzerklärung dokumentieren.

Drei Schritte, die in einem Nachmittag umsetzbar sind

1. Bestandsaufnahme der Drittanbieter: Welche externen Dienste lädt die Website? Diese Liste ist die Grundlage für jede weitere Maßnahme.
2. Schriftarten und Tracker prüfen: Werden Google Fonts extern geladen? Laufen Tracking-Skripte ohne Einwilligung? Beides lässt sich oft mit einer Konfigurationsänderung beheben.
3. Datenschutzerklärung aktualisieren: Alle aktiven Drittanbieter müssen namentlich genannt werden. Wer hier lügt oder weglässt, riskiert nicht nur Sanktionen, sondern vor allem den Verlust des Vertrauens seiner Kundinnen und Kunden.

Datenschutz ist mehr als Pflichterfüllung. Eine Website, die mit personenbezogenen Daten sorgfältig umgeht, gewinnt an Glaubwürdigkeit — und macht sich unabhängig von kurzfristigen Trends bei Tracking und Werbung. Wer die Grundlagen sauber aufsetzt, kann spätere regulatorische Änderungen mit deutlich weniger Aufwand nachziehen.