DSGVO-konforme Website: Checkliste für Betriebe

DSGVO klingt nach Jura-Studium und Bußgeldbescheiden. Für eine einfache Business-Website sind es in Wirklichkeit sechs bis sieben Punkte, die du abhaken musst. Kein Hexenwerk, aber trotzdem machen es viele falsch oder gar nicht.

Dieser Artikel ist keine Rechtsberatung. Was er ist: eine praktische Checkliste mit den konkreten Dingen, die eine österreichische Business-Website braucht, um datenschutzrechtlich auf der sicheren Seite zu sein. Punkt für Punkt, ohne Juristendeutsch.

Die DSGVO-Checkliste: 7 Punkte für deine Website

1. Impressum

Jede gewerbliche Website in Österreich braucht ein Impressum. Das ergibt sich aus dem E-Commerce-Gesetz (ECG) und dem Mediengesetz. Was rein muss:

• Vollständiger Name bzw. Firmenname
• Anschrift (keine Postfach-Adresse)
• E-Mail-Adresse
• Telefonnummer
• UID-Nummer (falls vorhanden)
• Firmenbuchnummer und Firmenbuchgericht (falls im Firmenbuch eingetragen)
• Mitgliedschaft bei der Wirtschaftskammer, zuständige Aufsichtsbehörde
• Berufsbezeichnung und Verleihungsstaat (bei reglementierten Gewerben)

Das Impressum muss von jeder Seite aus mit maximal zwei Klicks erreichbar sein. In der Praxis: Ein Link im Footer, der auf eine eigene Impressum-Seite führt.

2. Datenschutzerklärung

Seit der DSGVO Pflicht. Die Datenschutzerklärung muss verständlich beschreiben, welche personenbezogenen Daten du auf deiner Website sammelst, warum, auf welcher Rechtsgrundlage und wie lange du sie speicherst.

Für eine typische Business-Website betrifft das: Kontaktformular-Daten, Server-Logfiles, Cookies, eventuell Newsletter-Anmeldungen und eingebundene Drittanbieter (Google Maps, YouTube, Social Media).

Den Text selbst zu schreiben ist riskant, weil er rechtlich korrekt formuliert sein muss. Es gibt gute Generatoren dafür, zum Beispiel den WKO-Datenschutzgenerator oder die Vorlagen der österreichischen Datenschutzbehörde (DSB). Für die meisten KMU-Websites reicht ein Generator-Text, den du an deine konkreten Datenverarbeitungen anpasst.

3. Cookie-Banner

Wenn deine Website Cookies setzt, die nicht technisch notwendig sind (Tracking-Cookies, Marketing-Cookies, Social-Media-Plugins), brauchst du ein Cookie-Banner mit echtem Opt-in. Das heißt: Der Besucher muss aktiv zustimmen, bevor diese Cookies gesetzt werden. Ein Banner, das Cookies schon lädt, bevor der Nutzer klickt, oder das nur einen "OK"-Button hat, reicht nicht.

Was ein korrekter Cookie-Banner braucht:

• Klare Information, welche Cookies gesetzt werden
• Möglichkeit, einzelne Kategorien zu akzeptieren oder abzulehnen
• "Ablehnen" muss genauso einfach sein wie "Akzeptieren" (keine Dark Patterns)
• Keine vorausgewählten Checkboxen
• Link zur Datenschutzerklärung

Wenn deine Website nur technisch notwendige Cookies setzt (Session-Cookie, Warenkorb), brauchst du kein Consent-Banner. In dem Fall reicht ein Hinweis in der Datenschutzerklärung.

4. SSL/HTTPS

Deine Website muss über HTTPS laufen, also mit SSL-Verschlüsselung. Das ist seit 2018 de facto Pflicht, spätestens wenn du ein Kontaktformular oder eine andere Eingabemöglichkeit hast. Browser wie Chrome zeigen Websites ohne HTTPS als "Nicht sicher" an, was Besucher sofort abschreckt.

Die gute Nachricht: SSL-Zertifikate sind bei fast allen Hosting-Anbietern kostenlos (Let's Encrypt). Wenn dir jemand 50 Euro oder mehr pro Jahr dafür berechnet, solltest du den Anbieter wechseln.

5. Kontaktformular

Jedes Kontaktformular auf deiner Website sammelt personenbezogene Daten (Name, E-Mail, Nachricht). Du brauchst:

• Einen Hinweis unter dem Formular, der auf die Datenschutzerklärung verlinkt
• Eine Checkbox, mit der der Nutzer bestätigt, dass er die Datenschutzerklärung gelesen hat
• Keine vorausgefüllte Checkbox

Zusätzlich solltest du nur die Daten abfragen, die du wirklich brauchst. Name und E-Mail reichen für eine Kontaktanfrage. Geburtsdatum, Adresse oder Telefonnummer als Pflichtfeld ist ohne konkreten Grund nicht DSGVO-konform (Grundsatz der Datenminimierung).

6. Google Analytics und andere Tracking-Tools

Google Analytics, Facebook Pixel, Hotjar und ähnliche Tools sammeln personenbezogene Daten. Du darfst sie nur einsetzen, wenn der Besucher vorher zugestimmt hat (über den Cookie-Banner). Ohne Zustimmung: kein Tracking.

Ein spezieller Fall ist Google Analytics 4 (GA4). Auch wenn Google behauptet, IP-Adressen zu anonymisieren, sehen die meisten Datenschutzbehörden in der EU den Einsatz ohne Einwilligung weiterhin kritisch. Im Zweifel: nur mit Opt-in verwenden, oder auf datenschutzfreundliche Alternativen wie Plausible oder Fathom umsteigen. Diese Tools setzen keine Cookies und brauchen kein Consent-Banner.

7. Auftragsverarbeitungsvertrag (AVV)

Wenn du externe Tools nutzt, die personenbezogene Daten deiner Website-Besucher verarbeiten, brauchst du mit dem jeweiligen Anbieter einen Auftragsverarbeitungsvertrag. Das betrifft unter anderem:

• Hosting-Anbieter
• E-Mail-Marketing-Tools (Mailchimp, Brevo)
• Google Analytics
• CRM-Systeme
• Terminbuchungs-Tools

Die meisten größeren Anbieter stellen den AVV als Standarddokument bereit, das du online akzeptieren kannst. Prüfe bei jedem Tool, das du einbindest, ob ein AVV vorhanden ist.

Was PIKSEL für dich übernimmt

Bei einer professionell erstellten Website sind Impressum-Seite, Datenschutzerklärung-Seite, Cookie-Banner und SSL-Zertifikat standardmäßig dabei. Du musst dich nicht selbst um die technische Umsetzung kümmern. Was du liefern musst, sind die inhaltlichen Angaben für dein Impressum (Firmendaten, UID, Firmenbuchnummer) und eine Entscheidung, welche Drittanbieter-Tools du nutzen willst.

Wenn du gerade überlegst, eine Website erstellen zu lassen, achte darauf, dass DSGVO-Konformität explizit im Leistungsumfang steht. Bei seriösen Anbietern ist das selbstverständlich. Falls es nicht erwähnt wird: nachfragen. Und wenn du aus Wien kommst, findest du im Artikel Homepage erstellen lassen in Wien regionale Optionen.

Was bei Verstößen tatsächlich passiert

Die DSGVO erlaubt Strafen bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes (geregelt in Art. 83 DSGVO). Das betrifft in der Praxis Großkonzerne. Für KMU in Österreich bewegen sich Strafen typischerweise zwischen 500 und 5.000 Euro, wobei die Datenschutzbehörde bisher eher auf Verwarnungen und Aufforderungen zur Nachbesserung setzt.

Häufiger als Behördenstrafen sind Abmahnungen von Mitbewerbern oder spezialisierten Abmahnkanzleien. Ein fehlendes Impressum oder ein nicht-konformer Cookie-Banner kann Abmahnkosten von 500 bis 2.000 Euro nach sich ziehen. Das ist vermeidbar.

Häufig gestellte Fragen

Brauche ich als Einzelunternehmer ein Impressum?

Ja. Sobald du eine Website gewerblich betreibst, ist ein Impressum Pflicht. Das gilt auch für Einzelunternehmer, Freiberufler und Nebenerwerbs-Gewerbetreibende. Die Angaben unterscheiden sich je nach Rechtsform leicht, aber die Grundpflicht besteht immer.

Reicht ein Cookie-Banner von der Stange?

Es kommt auf die Umsetzung an. Viele kostenlose Cookie-Banner setzen Cookies bereits vor der Zustimmung oder bieten keine echte Ablehnungsmöglichkeit. Achte darauf, dass dein Banner technisch korrekt funktioniert: kein Tracking vor dem Klick, keine vorausgewählten Optionen, "Ablehnen" gleichwertig mit "Akzeptieren".

Muss ich Google Analytics in der Datenschutzerklärung erwähnen?

Ja. Jedes Tool, das personenbezogene Daten verarbeitet, muss in der Datenschutzerklärung genannt werden. Bei Google Analytics brauchst du zusätzlich einen Auftragsverarbeitungsvertrag mit Google und die Einwilligung der Nutzer über den Cookie-Banner.

Kann ich die Datenschutzerklärung selbst schreiben?

Möglich, aber riskant. Die Texte müssen rechtlich korrekt formuliert sein und alle Datenverarbeitungen auf deiner Website abdecken. Die WKO und die österreichische Datenschutzbehörde bieten Generatoren an, die für die meisten KMU-Websites eine solide Grundlage liefern. Bei komplexeren Websites (Shop, Mitgliederbereich, Newsletter) ist eine Beratung durch einen Datenschutzexperten empfehlenswert.

Was passiert, wenn ich kein Impressum habe?

Fehlende oder unvollständige Impressumsangaben können Verwaltungsstrafen von bis zu 3.000 Euro (ECG) und Abmahnungen durch Mitbewerber nach sich ziehen. In der Praxis ist es einer der häufigsten Gründe für Abmahnungen bei Websites kleiner Betriebe.