Website DSGVO-konform machen: die Punkte, die wirklich zählen
Pflicht sind vier Dinge: ein vollständiges Impressum, eine Datenschutzerklärung, die verschlüsselte Übertragung per HTTPS und eine echte Einwilligung, bevor nicht notwendige Cookies oder externe Dienste geladen werden. Der häufigste Fehler ist ein Banner, das zwar fragt, aber Analyse- und Werbedienste bereits vorher startet – dann ist die Einwilligung wertlos. Dieser Beitrag erklärt die Technik dahinter und ersetzt keine Rechtsberatung.
Die vier Grundlagen
Das Impressum verlangt in Österreich § 5 des E-Commerce-Gesetzes: Firmenwortlaut, Anschrift, eine erreichbare E-Mail-Adresse, Firmenbuchnummer und Gericht, UID sowie die zuständige Aufsichtsbehörde. Die Datenschutzerklärung muss auflisten, welche Daten zu welchem Zweck verarbeitet werden und an wen sie fließen. HTTPS ist heute Standard und kostenlos. Und die Einwilligung: Alles, was nicht für den Betrieb der Seite technisch nötig ist, darf erst nach aktivem Zustimmen geladen werden.
Pflicht
- Vollständiges Impressum nach § 5 ECG
- Datenschutzerklärung, die zur echten Website passt
- Verschlüsselte Übertragung per HTTPS
- Einwilligung, bevor nicht notwendige Dienste laden
- Schriften und Karten vom eigenen Server
- Löschfrist für Anfragen aus dem Formular
Nicht erforderlich
- Cookie-Banner bei rein technisch notwendigen Cookies
- Kostenpflichtige Prüfsiegel und Zertifikate
- Einwilligung für technisch notwendige Cookies
- Sperre, die ohne Zustimmung gar nichts anzeigt
- Voreingestellte Häkchen im Einwilligungsdialog
Übersicht zur technischen Umsetzung, keine Rechtsberatung. Im Zweifel und bei besonderen Datenarten gehört der Fall zu einer Anwältin oder einem Anwalt.
Cookie-Banner: der Unterschied zwischen aussehen und sein
Ein Banner erfüllt seinen Zweck nur, wenn Ablehnen genauso einfach ist wie Zustimmen – gleichwertige Schaltflächen auf derselben Ebene, nicht ein bunter Zustimmen-Knopf und ein grauer Link. Voreingestellte Häkchen sind unzulässig, die Einwilligung muss aktiv erfolgen. Entscheidend ist aber der technische Teil: Das Skript des Analyse- oder Werbedienstes darf erst nach der Zustimmung in die Seite geladen werden. Wer das prüfen will, öffnet die Entwicklerwerkzeuge des Browsers, lädt die Seite neu und sieht im Netzwerk-Reiter nach, welche fremden Adressen bereits vor jedem Klick angefragt wurden.
Der Klassiker: extern eingebundene Schriften
Werden Schriften direkt von einem Server in den USA nachgeladen, wird dabei die IP-Adresse des Besuchers übertragen – ohne Einwilligung. Ein deutsches Gericht hat dazu 2022 Schadenersatz zugesprochen, und daraufhin ging eine Abmahnwelle durch den deutschsprachigen Raum. Die Lösung ist einfach und kostet nichts: Schriftdateien herunterladen und vom eigenen Server ausliefern. Dasselbe Prinzip gilt für eingebettete Karten, Videos und Schaltflächen sozialer Netzwerke – jedes dieser Elemente lädt beim Aufruf Daten zu Dritten.
Analyse und Statistik
Reichweitenmessung ist zulässig, wenn eingewilligt wurde – oder wenn ein Werkzeug eingesetzt wird, das ohne Cookies und ohne personenbezogene Kennungen auskommt. Es gibt Anbieter mit Servern in der EU, die genau darauf ausgelegt sind. Wer bei Google Analytics bleibt, sollte IP-Kürzung aktivieren, die Aufbewahrungsdauer begrenzen, den Auftragsverarbeitungsvertrag abschließen und den Consent Mode korrekt einbinden – und den Dienst tatsächlich erst nach Zustimmung starten.
Kontaktformular und E-Mail
Ein Formular braucht einen Hinweis, wozu die Daten verwendet werden, und darf nur abfragen, was für die Antwort nötig ist – ein Pflichtfeld für die Telefonnummer ist bei einer schriftlichen Anfrage schwer begründbar. Die Übertragung muss verschlüsselt sein. Und es braucht eine Antwort auf die Frage, wie lange Anfragen gespeichert bleiben: Ohne Löschfrist sammeln sich Jahre an Daten an, für die es keinen Zweck mehr gibt. Eine Aufbewahrungsfrist und ein automatisches Löschen dahinter erledigen das dauerhaft.
Was Sie nicht brauchen
Kein Cookie-Banner, wenn die Seite ausschließlich technisch notwendige Cookies setzt – dann genügt der Hinweis in der Datenschutzerklärung. Keine kostenpflichtige Zertifizierung, die ein Prüfsiegel verkauft; rechtliche Sicherheit entsteht dadurch nicht. Und keine Panik vor jeder Abmahnschlagzeile: Die tatsächlich riskanten Punkte sind die oben genannten, und sie lassen sich in wenigen Stunden abarbeiten.
Häufige Fragen
Gilt die DSGVO auch für kleine Betriebe?
Ja, unabhängig von der Größe. Erleichterungen gibt es lediglich bei der Pflicht zum Verarbeitungsverzeichnis, und auch die greifen selten, weil sie an regelmäßiger Verarbeitung scheitern.
Reicht eine Datenschutzerklärung aus einem Generator?
Als Grundgerüst ja, aber sie muss angepasst werden. Generatoren listen Dienste auf, die Sie gar nicht einsetzen, und übersehen jene, die Sie einsetzen – eine Erklärung, die nicht zur tatsächlichen Website passt, ist selbst ein Mangel.
Was droht bei Verstößen?
In der Praxis selten Behördenstrafen für kleine Websites, häufiger Abmahnungen und Schadenersatzforderungen. Der wahrscheinlichste Fall sind eingebettete externe Dienste ohne Einwilligung – genau der Punkt, der sich am schnellsten beheben lässt.
Wie sieht das in Ihrem Fall aus?
Im kostenlosen Erstgespräch bekommen Sie eine konkrete Einschätzung zu Aufwand, Kosten und Reihenfolge – bezogen auf Ihren Betrieb, nicht auf einen Durchschnitt.
Erstgespräch vereinbarenWeiterlesen
Was kostet eine Website? Ein ehrlicher Überblick für Österreich
Von 0 € im Baukasten bis fünfstellig – warum die Spanne so groß ist und woran Sie erkennen, was Sie brauchen.
KI im Unternehmen: wofür sie taugt und wofür nicht
Die Grenze verläuft nicht entlang der Technik, sondern entlang der Frage: Was passiert, wenn das Ergebnis falsch ist?
Was kostet individuelle Software? Und wann lohnt sie sich?
Warum niemand ohne Gespräch eine Zahl nennen kann – und welche vier Faktoren den Preis tatsächlich bestimmen.