DSGVO-konforme Website erstellen: Die Checkliste 2026

Eine Website in Deutschland ist schnell online — rechtssicher ist sie damit noch lange nicht. Zwischen Impressumspflicht, Cookie-Einwilligung und dem neuen Barrierefreiheitsgesetz gibt es eine Handvoll Punkte, die du nicht vergessen darfst, wenn du keine Abmahnung riskieren willst. Diese Checkliste geht sie der Reihe nach durch: Was verlangt das Gesetz, worauf kommt es an, und wie nimmt dir BlenSite die Arbeit ab.

Dieser Beitrag erklärt die Anforderungen verständlich, ersetzt aber keine Rechtsberatung. Bei besonderen Konstellationen — etwa Verarbeitung von Gesundheitsdaten oder Tracking über mehrere Dienste — lohnt sich der Blick einer Fachanwältin oder eines Fachanwalts für IT-Recht.

1. Impressum: Pflichtangaben nach § 5 DDG

Das Impressum ist die bekannteste Pflicht — und seit dem 14. Mai 2024 steht sie in einem neuen Gesetz. Das Telemediengesetz (TMG) wurde durch das Digitale-Dienste-Gesetz (DDG) abgelöst. Inhaltlich hat sich wenig geändert, aber ein Impressum, das noch auf das „TMG" verweist, ist veraltet und angreifbar. Die Anbieterkennzeichnung findest du jetzt in § 5 DDG.

Ein vollständiges Impressum enthält in der Regel:

Vollständiger Name und ladungsfähige Anschrift (kein Postfach)
Bei Unternehmen: Rechtsform und Vertretungsberechtigte (z. B. Geschäftsführer)
Kontakt: E-Mail-Adresse und ein zweiter schneller Kontaktweg (z. B. Telefon)
Handelsregister und Registernummer, sofern vorhanden
Umsatzsteuer-Identifikationsnummer nach § 27a UStG, sofern vorhanden
Bei erlaubnispflichtigen Berufen: zuständige Aufsichtsbehörde
Bei reglementierten Berufen (Ärzte, Anwälte, Steuerberater): Kammer, gesetzliche Berufsbezeichnung und berufsrechtliche Regelungen
Eine Erklärung zur Verbraucherstreitbeilegung nach § 36 VSBG — der früher übliche Verweis auf die EU-Streitschlichtungsplattform (OS-Plattform) ist seit deren Abschaltung am 20. Juli 2025 hinfällig; ein verbliebener Link ist selbst abmahnfähig

Das Impressum muss von jeder Seite aus mit einem Klick erreichbar und klar als solches bezeichnet sein („Impressum", nicht versteckt unter „Über uns").

2. Datenschutzerklärung nach Art. 13 DSGVO

Sobald deine Website personenbezogene Daten verarbeitet — und das tut sie fast immer, spätestens beim Aufruf über die Server-Logs — brauchst du eine Datenschutzerklärung. Sie informiert transparent nach Art. 13 DSGVO darüber, welche Daten du zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitest.

Typische Punkte, die hineingehören:

Verantwortliche Stelle und, falls vorhanden, Datenschutzbeauftragter
Server-Logfiles und die Rechtsgrundlage (meist berechtigtes Interesse, Art. 6 Abs. 1 lit. f DSGVO)
Kontaktformular und E-Mail-Kontakt
Cookies und eingesetzte Tools (Analyse, Karten, Schriften, Videos)
Betroffenenrechte (Auskunft, Löschung, Widerspruch) und Beschwerderecht bei der Aufsichtsbehörde
Speicherdauer bzw. Kriterien für die Löschung

Wichtig: Für jeden einzelnen Verarbeitungsvorgang gehört die passende Rechtsgrundlage benannt. Eine allgemeine Floskel reicht nicht.

3. Cookie-Consent nach § 25 TDDDG

Der Cookie-Banner ist der Punkt, an dem die meisten Seiten stolpern. Rechtsgrundlage ist heute das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), das im Mai 2024 das frühere TTDSG abgelöst hat. Steht in deiner Datenschutzerklärung noch „TTDSG", ist auch das veraltet.

Nach § 25 TDDDG gilt: Für alle Cookies und Technologien, die nicht technisch notwendig sind, brauchst du eine aktive, vorherige Einwilligung. Daraus folgt:

Kein Setzen nicht-notwendiger Cookies vor der Einwilligung
„Ablehnen" muss genauso einfach sein wie „Akzeptieren" — gleichwertige Buttons auf der ersten Ebene
Keine vorangekreuzten Kästchen, keine erzwungene Zustimmung
Die Einwilligung muss widerrufbar und dokumentiert sein

Technisch notwendige Cookies (Session, Warenkorb) sind ausgenommen. Bußgelder nach § 28 TDDDG können bis zu 300.000 Euro betragen — ein reiner „Alles akzeptieren"-Knopf ist also keine gute Idee.

4. SSL/TLS-Verschlüsselung (HTTPS)

Jede Website, die Daten über Formulare entgegennimmt, muss verschlüsselt übertragen — das verlangt schon Art. 32 DSGVO (Sicherheit der Verarbeitung). Praktisch heißt das: ein gültiges TLS-Zertifikat, die Seite läuft über HTTPS, und Aufrufe über HTTP werden automatisch umgeleitet. Ohne das grüne Schloss warnen Browser die Besucher aktiv — schlecht fürs Vertrauen und für die Sichtbarkeit bei Google.

5. Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Sobald ein Dienstleister in deinem Auftrag personenbezogene Daten verarbeitet — dein Hoster, ein Newsletter-Tool, ein Formular-Dienst — brauchst du mit ihm einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Achte darauf, dass der Dienstleister in der EU verarbeitet oder ein tragfähiges Schutzniveau garantiert. Ein Anbieter mit Serverstandort und Rechtssitz in Deutschland macht diesen Punkt deutlich einfacher als eine Übertragung in Drittländer.

6. Kontaktformulare datensparsam gestalten

Formulare sind der häufigste Weg, auf dem eine Website Daten sammelt — und der Ort, an dem der Grundsatz der Datensparsamkeit (Art. 5 DSGVO) am schnellsten verletzt wird. Frag nur ab, was du wirklich brauchst: Für eine Terminanfrage reichen Name, Kontakt und Anliegen. Pflichtfelder klar kennzeichnen, eine Einwilligung zur Verarbeitung einholen und in der Datenschutzerklärung erklären, was mit den Daten passiert. Eine im Quelltext offen sichtbare E-Mail-Adresse ist übrigens nicht nur ein Spam-Magnet, sondern auch datenschutzrechtlich unschöner als ein sauberes Formular.

7. Schriften und externe Ressourcen: Google Fonts & CDNs

Ein unterschätzter Klassiker: extern eingebundene Schriften. Wenn deine Seite Google Fonts direkt von Googles Servern lädt, wird bei jedem Aufruf die IP-Adresse des Besuchers an Google übertragen — ohne Einwilligung. Das Landgericht München I hat genau das 2022 als DSGVO-Verstoß gewertet und Schadenersatz zugesprochen. Die Konsequenz: Schriften selbst hosten, nicht dynamisch von Drittservern nachladen. Dasselbe gilt für Skripte, Icons und Karten, die von externen CDNs kommen.

8. Barrierefreiheit nach BFSG

Der neueste Punkt auf der Liste: das Barrierefreiheitsstärkungsgesetz (BFSG), in Kraft seit dem 28. Juni 2025. Es verlangt, dass bestimmte digitale Dienste barrierefrei gestaltet sind — insbesondere Websites mit elektronischen Geschäftsfunktionen wie Online-Shops, Buchungen oder Kundenkonten. Maßstab ist im Kern die WCAG 2.1 auf Stufe AA.

Für Kleinstunternehmen (weniger als 10 Beschäftigte und höchstens 2 Mio. Euro Jahresumsatz oder Bilanzsumme) gibt es bei Dienstleistungen eine Ausnahme — allerdings nicht, wenn Produkte vertrieben werden. Verlass dich nicht blind darauf: Barrierefreiheit ist gut für alle Nutzer und für SEO, und Verstöße können mit bis zu 100.000 Euro geahndet werden. Wer neu baut, sollte gleich barrierefrei bauen.

Die Kurz-Checkliste

Impressum mit allen Pflichtangaben nach § 5 DDG, von jeder Seite erreichbar
Datenschutzerklärung nach Art. 13 DSGVO mit Rechtsgrundlage je Verarbeitung
Cookie-Consent nach § 25 TDDDG — gleichwertiges „Ablehnen", nichts vor der Einwilligung
HTTPS mit gültigem TLS-Zertifikat, HTTP-Weiterleitung aktiv
AVV nach Art. 28 DSGVO mit allen Dienstleistern, möglichst EU-Verarbeitung
Kontaktformulare datensparsam, mit Einwilligung, ohne offene E-Mail im Quelltext
Schriften und externe Ressourcen selbst gehostet (kein dynamisches Google Fonts)
Barrierefreiheit nach WCAG 2.1 AA — BFSG-Pflicht seit 28. Juni 2025 prüfen

Wie BlenSite das automatisiert

Die gute Nachricht: Fast alles auf dieser Liste musst du nicht von Hand erledigen. BlenSite erzeugt aus deinen Angaben ein Impressum nach DDG und eine Datenschutzerklärung mit Rechtsgrundlage je Verarbeitungsvorgang, bindet einen Cookie-Consent-Banner nach TDDDG ein und liefert jede Seite über HTTPS aus. Gehostet wird ausschließlich in Frankfurt — deine Daten bleiben in der EU, ein AVV ist verfügbar. Schriften werden selbst gehostet statt von Drittservern geladen, und jede generierte Seite wird automatisch auf Barrierefreiheit nach WCAG 2.1 AA geprüft.

Damit deckst du die Pflichtpunkte ab, ohne einen Anwaltstermin für die Standardtexte zu brauchen. Ändern sich deine Angaben, aktualisierst du die Rechtstexte jederzeit kostenlos per Chat.

Wenn du für deine Branche starten willst, findest du passende Beispiele unter Branchen — etwa für eine Arztpraxis oder ein Restaurant. Und wenn du wissen willst, was das gegenüber Agentur und Baukasten kostet, rechnen wir das in Was kostet eine Website? durch. Die erste Website erstellst du kostenlos.