Datenschutz-Grundverordnung. Allein das Wort lässt viele Selbständige die Augen verdrehen oder in blinde Panik verfallen. Beides ist falsch. Die DSGVO ist für jemanden mit einer einfachen Dienstleister-Website überschaubar. Es gibt ein paar konkrete Dinge, die du brauchst. Und es gibt eine Menge Zeug, das Abmahnanwälte gerne einsetzen, das du aber mit dem richtigen Aufbau gar nicht erst zum Problem werden lässt.
Warum das Thema für dich relevant ist
Die DSGVO gilt seit Mai 2018. Sie gilt für jeden, der eine Website betreibt und dabei personenbezogene Daten verarbeitet. Das tust du praktisch immer, sobald du ein Kontaktformular, eine E-Mail-Adresse oder Google Analytics auf deiner Seite hast. Selbst ein simples Server-Logfile mit IP-Adressen fällt darunter.
Abmahnungen wegen DSGVO-Verstößen gibt es. Sie sind teuer. Und die häufigsten Ursachen sind vermeidbar, oft sind es Kleinigkeiten wie eingebundene Google Fonts oder ein Kontaktformular ohne Datenschutzhinweis.
Was du auf jeden Fall brauchst
Impressum
Das Impressum gehört auf jede geschäftliche Website. Was genau darin stehen muss, hängt von deiner Tätigkeit ab — ein Anwalt oder ein guter Impressums-Generator hilft dabei. Was ich technisch sicherstelle: dass es vorhanden ist und von jeder Seite aus erreichbar. Den rechtlichen Inhalt verantworte ich nicht.
Datenschutzerklärung
Hier greift die DSGVO direkt. Du musst transparent erklären, welche Daten du sammelst, warum, auf welcher Rechtsgrundlage und was damit passiert. Das klingt aufwändig, ist aber für eine einfache Website schnell gemacht, solange du weißt, was auf deiner Seite wirklich läuft.
Pflichtangaben in der Datenschutzerklärung:
- Wer du bist (Name, Adresse, als Verantwortlicher)
- Welche Daten du erhebst (Server-Logs, Kontaktformular, Newsletter etc.)
- Auf welcher Grundlage (Einwilligung, berechtigtes Interesse, Vertragserfüllung)
- Wie lange die Daten gespeichert werden
- Ob Daten an Dritte weitergegeben werden
- Die Rechte der Betroffenen (Auskunft, Löschung, Widerspruch)
Die häufigsten Fehler und wie du sie vermeidest
Google Fonts direkt von Google laden
Das ist der Klassiker. Viele Websites laden Schriften direkt über einen Google-Server; dabei wird die IP-Adresse des Besuchers an Google übermittelt. Das ist ohne Einwilligung nicht DSGVO-konform. Die Lösung ist simpel: Schriften lokal auf dem eigenen Server hosten. Kein Verbindungsaufbau zu Google, kein Problem.
Ich mache das bei allen Projekten standardmäßig. Es ist keine große Sache technisch, aber sie wird erschreckend oft vergessen.
Google Analytics ohne Einwilligung
Google Analytics überträgt Nutzerdaten in die USA. Das ist nur mit ausdrücklicher Einwilligung des Besuchers zulässig, also mit einem echten Cookie-Banner, der eine aktive Zustimmung einholt, bevor das Tracking beginnt. Wer Analytics einfach so auf der Seite hat, ohne Opt-in, verstößt gegen die DSGVO.
Alternativen: Matomo (selbst gehostet, DSGVO-konform ohne Einwilligung möglich) oder gar kein Tracking. Für viele kleine Websites reichen die Server-Logs als Auswertungsgrundlage aus.
Kontaktformular ohne Hinweis
Wenn jemand dein Kontaktformular ausfüllt, verarbeitest du seine Daten. Direkt beim Formular muss ein Hinweis stehen, was mit diesen Daten passiert, und ein Link zur Datenschutzerklärung. Ein Satz reicht: „Deine Daten werden ausschließlich zur Bearbeitung deiner Anfrage verwendet. Mehr dazu in unserer Datenschutzerklärung."
Eingebettete Karten und Videos
Google Maps, YouTube-Videos und ähnliche Einbettungen übertragen beim Laden Nutzerdaten an die jeweiligen Anbieter, ohne dass der Besucher das weiß oder zugestimmt hat. Lösung: Zwei-Klick-Lösung (erst auf Klick laden) oder datenschutzfreundliche Alternativen wie OpenStreetMap oder YouTube-nocookie.
DSGVO-Konformität ist kein einmaliges Häkchen. Sie ist eine Designentscheidung, die beim Bau der Website anfängt.
Brauche ich einen Cookie-Banner?
Nur dann, wenn du Cookies setzt, die nicht technisch notwendig sind. Für eine einfache Website ohne Tracking, ohne eingebettete Dienste und ohne Marketing-Cookies: nein. Wer auf externe Dienste verzichtet, braucht keinen lästigen Banner.
Das ist auch der Grund, warum ich bei meinen Projekten standardmäßig keine externen Dienste einbinde, nicht weil ich gegen Analytics bin, sondern weil eine saubere Website ohne diese Abhängigkeiten einfacher, schneller und rechtskonformer ist.
Was ich nicht bin und was du tun solltest
Ich bin kein Anwalt und das hier ist keine Rechtsberatung. Was ich beschreibe, ist das, was für die meisten einfachen Dienstleister-Websites praxisrelevant ist. Wenn dein Geschäftsmodell komplexer ist (Newsletter-Marketing, Kundendatenbank, Online-Shop), solltest du einen Datenschutzbeauftragten oder eine auf IT-Recht spezialisierte Kanzlei einschalten.
Für alles, was ich baue, gilt: DSGVO-Konformität ist kein Nachgedanke, sondern Ausgangspunkt. Keine Google Fonts von Google, keine externen CDNs, kein Tracking ohne Einwilligung. Ein solides technisches Gerüst für Datenschutzerklärung und Impressum gehört dazu — der rechtliche Inhalt sollte von einem Anwalt oder Datenschutzbeauftragten überprüft werden.
Häufig gestellte Fragen
Brauche ich als Selbständiger mit nur einer einfachen Website eine Datenschutzerklärung?
Erfahrungsgemäß ja — praktisch jede Website verarbeitet durch Server-Logs bereits IP-Adressen. Was das rechtlich für dich konkret bedeutet, beantwortet ein Datenschutzbeauftragter oder eine IT-Rechtskanzlei. Ich bin kein Anwalt und gebe hier keine Rechtsberatung.
Reicht ein Datenschutz-Generator aus dem Internet?
Als Ausgangspunkt ja, als Endlösung nein. Die meisten Generatoren erzeugen eine vollständige Vorlage, aber du musst sie auf deine konkrete Situation anpassen. Eine Datenschutzerklärung, die Dienste aufführt, die du gar nicht nutzt, ist genauso problematisch wie eine, die Dienste verschweigt, die du nutzt.
Muss ich meine Besucher um Erlaubnis fragen, bevor die Seite lädt?
Nur für Cookies und Dienste, die nicht technisch notwendig sind. Wer keine Tracking-Tools und keine Marketing-Cookies einsetzt, braucht keinen Cookie-Banner. Technisch notwendige Cookies (z.B. Session-Cookies) dürfen ohne Einwilligung gesetzt werden.
Was passiert, wenn ich gegen die DSGVO verstoße?
Das ist eine rechtliche Frage, die ich nicht verbindlich beantworten kann. Was ich sagen kann: Fehler im technischen Aufbau — Google Fonts direkt von Google, eingebettete Dienste ohne Einwilligung, fehlende Hinweise am Kontaktformular — lassen sich von Anfang an vermeiden. Ob und welche Konsequenzen ein konkreter Verstoß hat, klärt ein Anwalt für IT-/Datenschutzrecht.
Muss ich Google Analytics haben?
Nein. Für viele kleine Websites reicht ein Blick in die Server-Statistiken. Wer Besucher tracken möchte, kann DSGVO-konform auf selbst gehostetes Matomo setzen, ohne Cookie-Banner, ohne Datenübertragung in die USA.
