Die Datenschutz-Grundverordnung gilt seit 2018 - und trotzdem verstoßen auch 2026 noch unzählige Unternehmenswebsites gegen geltendes Recht. Die Bußgelder steigen, Aufsichtsbehörden werden aktiver und mit dem EU AI Act kommen neue Pflichten hinzu. Dieser Leitfaden fasst zusammen, was Unternehmen jetzt konkret umsetzen müssen.
Hinweis: Dieser Artikel dient der allgemeinen Information und ersetzt keine rechtliche Beratung. Für verbindliche Auskünfte im Einzelfall wenden Sie sich bitte an einen spezialisierten Rechtsanwalt.
DSGVO-Basics: Was ist auf jeder Website Pflicht?
Die DSGVO verpflichtet jeden, der personenbezogene Daten verarbeitet. Und das tut jede Website - allein durch das Speichern von IP-Adressen in Server-Logfiles. Die zentralen Pflichten im Überblick:
- Rechtmäßigkeit der Verarbeitung - Jede Datenverarbeitung braucht eine Rechtsgrundlage (Einwilligung, Vertrag, berechtigtes Interesse)
- Transparenz - Besucher müssen vor der Verarbeitung informiert werden
- Datenminimierung - Nur die Daten erheben, die tatsächlich benötigt werden
- Zweckbindung - Daten nur für den angegebenen Zweck verwenden
- Speicherbegrenzung - Daten löschen, sobald der Zweck erfüllt ist
- Betroffenenrechte - Auskunft, Löschung, Berichtigung und Datenportabilität ermöglichen
Seit Mai 2024 gilt zudem das DDG (Digitale-Dienste-Gesetz), das den alten Telemediengesetz-Rahmen ersetzt hat. Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) regelt seither die Cookie-bezogenen Vorschriften.
Cookie-Consent richtig umsetzen
Aktuelle Rechtslage 2026
Die Anforderungen an Cookie-Banner haben sich durch aktuelle Gerichtsentscheidungen weiter verschärft. Das Verwaltungsgericht Hannover bestätigte 2025, dass Cookie-Banner mit ungleichgewichtig gestalteten Optionen als unzulässige Beeinflussung der Entscheidungsfreiheit gelten. Konkret bedeutet das:
- Der Button zum Ablehnen muss auf der ersten Ebene des Banners sichtbar sein
- Ablehnen muss genauso einfach möglich sein wie Zustimmen
- Farbliche Hervorhebung ausschließlich des Zustimmen-Buttons ist ein Dark Pattern
- Vorausgewählte Checkboxen sind unzulässig (EuGH, Rs. Planet49)
Was technisch umgesetzt sein muss
- Keine Cookies vor Einwilligung - Tracking-Skripte dürfen erst nach aktivem Opt-in laden
- Granulare Auswahl - Nutzer müssen zwischen Kategorien wählen können (notwendig, Statistik, Marketing)
- Consent-Protokollierung - Zeitpunkt, Umfang und Version der Einwilligung dokumentieren
- Widerruf jederzeit - Genauso einfach wie die Erteilung, zum Beispiel über ein dauerhaft sichtbares Icon
- Erneute Abfrage - Nach spätestens 12 Monaten erneut einholen
Technisch notwendige Cookies (Session-Cookies, Warenkorb, Spracheinstellungen) benötigen keine Einwilligung, müssen aber in der Datenschutzerklärung dokumentiert werden.
Google Analytics Alternativen: Tracking ohne Einwilligung
Google Analytics ist für deutsche Unternehmen 2026 keine empfehlenswerte Wahl mehr. Die Datenübertragung in die USA, die umfangreiche Profilbildung und die Cookie-Abhängigkeit machen einen rechtskonformen Betrieb extrem aufwändig. Diese Alternativen arbeiten datenschutzfreundlich und kommen ohne Cookie-Consent aus:
Plausible Analytics
- Open Source, EU-Hosting (Deutschland)
- Komplett cookielos - kein Consent-Banner nötig
- Leichtgewichtig (unter 1 KB Script)
- Selbst-Hosting möglich oder als Cloud-Dienst
- Ab 9 Euro pro Monat
Matomo
- Open Source, selbst gehostet auf eigenem Server
- Im cookielosen Modus ohne Einwilligung nutzbar
- Umfangreichste Funktionen unter den Alternativen
- Erfordert technisches Know-how für den Betrieb
- Kostenlos bei Selbst-Hosting
Fathom Analytics
- Cookieloses Tracking, EU-Rechenzentrum (Frankfurt)
- Einfache Oberfläche, schnelle Einrichtung
- Ab 14 US-Dollar pro Monat
- Kanadisches Unternehmen mit EU-Datenverarbeitung
etracker
- Deutsche Lösung aus Hamburg
- Cookielos im Standard, Gutachten der Hamburger Datenschutzbehörde vorliegend
- Besonders für den deutschen Markt geeignet
- Ab 19 Euro pro Monat
Der entscheidende Vorteil aller genannten Lösungen: Durch den Verzicht auf Cookies und personenbezogenes Tracking entfällt die Pflicht zur Einholung einer Einwilligung. Das verbessert nicht nur die Rechtskonformität, sondern liefert auch vollständigere Daten - weil kein Nutzer die Erhebung ablehnen kann.
EU-Hosting vs. US-Cloud: Wo müssen Daten liegen?
Status quo: Das EU-US Data Privacy Framework
Das Data Privacy Framework (DPF) ist seit Juli 2023 in Kraft und soll den rechtmäßigen Datentransfer in die USA ermöglichen. Im September 2025 wies das Gericht der Europäischen Union eine Nichtigkeitsklage gegen das Framework ab. Damit bleibt das DPF vorerst gültig.
Warum EU-Hosting trotzdem die bessere Wahl ist
Die Unsicherheit bleibt. Max Schrems hat weitere rechtliche Schritte angekündigt. Strukturelle Veränderungen beim U.S. Privacy and Civil Liberties Oversight Board sowie der Federal Trade Commission - beide zentral für den Rechtsschutz unter dem DPF - nähren Zweifel an der langfristigen Stabilität.
Für Unternehmen bedeutet das:
- Rechtsicherheit - EU-Hosting eliminiert das Restrisiko eines erneuten Angemessenheitsbeschluss-Widerrufs vollständig
- Einfachere Compliance - Keine Drittlandübermittlung, keine zusätzlichen Garantien nötig
- Kundenvertrauen - Nachweisbar europäische Datenhaltung ist ein Verkaufsargument
- Zukunftssicherheit - Unabhängig von politischen Entscheidungen in den USA
Europäische Hosting-Anbieter wie Hetzner (Deutschland), OVHcloud (Frankreich), Scaleway (Frankreich) oder IONOS (Deutschland) bieten leistungsfähige Infrastruktur ohne Drittland-Problematik.
Kontaktformulare, Newsletter und Buchungssysteme
Kontaktformulare
- Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahme) oder berechtigtes Interesse
- Verschlüsselung: TLS/SSL ist Pflicht für jede Datenübertragung
- Datenminimierung: Nur Felder abfragen, die für die Anfrage notwendig sind
- Hinweis auf Datenschutzerklärung: Muss vor dem Absenden sichtbar sein
- Keine vorausgewählte Checkbox für Marketing-Einwilligungen
Newsletter
Das Double-Opt-In-Verfahren ist in Deutschland de-facto Pflicht. Nur so lässt sich die Einwilligung zweifelsfrei nachweisen. Die Anforderungen:
- Anmeldung: Klare Information, was der Nutzer erhält (Thema, Frequenz)
- Bestätigungsmail: Darf ausschließlich der Verifizierung dienen, keine Werbeinhalte
- Dokumentation: Zeitpunkt, IP-Adresse und Inhalt der Einwilligung protokollieren
- Abmeldung: In jeder Ausgabe, genauso einfach wie die Anmeldung
- Koppelungsverbot: Newsletter-Anmeldung darf nicht Voraussetzung für eine Leistung sein
Buchungssysteme
Bei Online-Terminbuchungen oder Reservierungssystemen gilt:
- Auftragsverarbeitungsvertrag (AVV) mit dem Anbieter abschließen
- Prüfen, wo die Daten gespeichert werden (EU-Server bevorzugen)
- Datenverarbeitung in der Datenschutzerklärung aufführen
- Löschfristen definieren und umsetzen
Impressum und Datenschutzerklärung: Pflichtangaben
Impressum nach DDG
Das Impressum muss von jeder Unterseite mit einem Klick erreichbar sein. Pflichtangaben für Gewerbetreibende:
- Vollständiger Name und Rechtsform
- Ladungsfähige Anschrift (kein Postfach)
- E-Mail-Adresse und weitere Kontaktmöglichkeit
- Handelsregister-Eintrag und Registernummer (falls vorhanden)
- Umsatzsteuer-Identifikationsnummer (falls vorhanden)
- Berufsbezeichnung und Kammer (bei reglementierten Berufen)
- Verantwortlicher für redaktionelle Inhalte
Datenschutzerklärung nach DSGVO
Die Datenschutzerklärung muss als eigenständiges Dokument existieren - nicht im Impressum versteckt. Pflichtinhalt:
- Name und Kontaktdaten des Verantwortlichen
- Kontaktdaten des Datenschutzbeauftragten (falls benannt)
- Aufzählung aller Verarbeitungsvorgänge mit jeweiliger Rechtsgrundlage
- Empfänger oder Kategorien von Empfängern der Daten
- Speicherdauer oder Kriterien für die Festlegung
- Hinweis auf Betroffenenrechte (Auskunft, Löschung, Berichtigung, Einschränkung, Datenportabilität, Widerspruch)
- Recht auf Beschwerde bei einer Aufsichtsbehörde
- Information über Drittlandtransfers und deren Garantien
- Hinweis auf automatisierte Entscheidungsfindung (falls eingesetzt)
Wichtig: Generatoren liefern einen Ausgangspunkt, müssen aber an die tatsächlichen Verarbeitungen angepasst werden. Eine Datenschutzerklärung, die Google Analytics aufführt, obwohl Matomo verwendet wird, ist fehlerhaft.
KI auf der Website: Chatbots, KI-Bilder und Tracking
EU AI Act - neue Pflichten ab August 2026
Ab August 2026 greift die Transparenzpflicht des EU AI Act. Für Websites relevant:
Chatbots und virtuelle Assistenten:
- Nutzer müssen vor der Interaktion erfahren, dass sie mit einer KI kommunizieren
- Ein Hinweis wie “Sie sprechen mit einem KI-Assistenten” genügt
- Chatverläufe sind personenbezogene Daten - DSGVO gilt vollständig
- AVV mit dem Chatbot-Anbieter ist Pflicht
- EU-Server für die Verarbeitung bevorzugen
- Löschkonzept für Chatverläufe definieren
KI-generierte Bilder:
- Unter Art. 50 EU AI Act fallen KI-Bilder als synthetische Inhalte
- Kennzeichnungspflicht: Bilder müssen maschinenlesbar als KI-generiert markiert werden
- Gilt ab Februar 2025 für Anbieter der KI-Systeme, ab August 2026 vollständig durchgesetzt
- Empfehlung: Auch auf der Website transparent kennzeichnen
KI-gestütztes Tracking und Personalisierung:
- Wenn KI zur Profilerstellung eingesetzt wird, gelten erhöhte Transparenzanforderungen
- Automatisierte Entscheidungen, die Nutzer erheblich betreffen, erfordern Informationspflicht nach Art. 22 DSGVO
- A/B-Testing mit KI-Optimierung ist in der Regel unproblematisch, solange keine personenbezogene Profilbildung erfolgt
Bußgeldrahmen
Die Kombination aus DSGVO und AI Act erhöht das Risiko: Bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach DSGVO, zusätzlich bis zu 35 Millionen Euro oder 7 Prozent nach AI Act.
Häufige DSGVO-Verstöße auf Websites
Diese Fehler finden Aufsichtsbehörden regelmäßig:
- Google Fonts über externe Server eingebunden - Übermittelt IP-Adressen an Google ohne Einwilligung. Lösung: lokal hosten.
- Cookie-Banner ohne Ablehnen-Option auf erster Ebene - Dark Pattern, rechtswidrig.
- Tracking vor Einwilligung - Google Analytics, Meta Pixel oder ähnliche laden vor dem Consent.
- Fehlende oder veraltete Datenschutzerklärung - Tools geändert, Erklärung nicht aktualisiert.
- Newsletter ohne Double-Opt-In - Einwilligung nicht nachweisbar.
- Kontaktformular ohne SSL - Personenbezogene Daten unverschlüsselt übertragen.
- YouTube-Videos direkt eingebettet - Überträgt Daten an Google beim Seitenaufruf. Lösung: 2-Klick-Lösung oder youtube-nocookie.com.
- Social-Media-Plugins mit direkter Verbindung - Facebook Like-Button, Twitter-Widgets etc. übertragen Daten ohne Einwilligung.
- Fehlender AVV mit Dienstleistern - Hoster, Newsletter-Anbieter, Analyse-Tools ohne Auftragsverarbeitungsvertrag.
- Kein Löschkonzept - Kontaktanfragen und Kundendaten werden unbegrenzt gespeichert.
Aktuelle Bußgeld-Beispiele
- Criteo: 40 Millionen Euro wegen Cookie-basiertem Tracking ohne gültige Einwilligung
- Meta: 1,2 Milliarden Euro für unrechtmäßige Datenübermittlung EU-USA
- Deutsche KMU: Bußgelder im vier- bis fünfstelligen Bereich für fehlende Cookie-Banner und mangelhafte Consent-Mechanismen
Die Checkliste zum Abhaken
Grundlagen
- SSL/TLS-Verschlüsselung auf allen Seiten aktiv
- Impressum mit allen Pflichtangaben vorhanden und von jeder Seite erreichbar
- Datenschutzerklärung als eigenständiges Dokument, von jeder Seite erreichbar
- Datenschutzerklärung bildet alle tatsächlichen Verarbeitungen ab
- Verarbeitungsverzeichnis nach Art. 30 DSGVO erstellt
Cookie-Consent
- Cookie-Banner mit gleichwertiger Zustimmen/Ablehnen-Option auf erster Ebene
- Keine Cookies oder Tracking-Skripte vor Einwilligung
- Granulare Auswahl nach Kategorien möglich
- Consent wird mit Zeitstempel und Umfang protokolliert
- Widerruf jederzeit möglich und ebenso einfach wie Zustimmung
- Erneute Abfrage nach spätestens 12 Monaten
Hosting und Drittdienste
- Hosting bei EU-Anbieter oder nachweisbarer DPF-Zertifizierung
- AVV mit allen Dienstleistern abgeschlossen (Hoster, E-Mail, Analytics)
- Google Fonts lokal gehostet
- Keine direkte Einbindung von US-Diensten ohne Einwilligung
- YouTube, Maps etc. über 2-Klick-Lösung oder Consent eingebunden
Analytics und Tracking
- DSGVO-konforme Analytics-Lösung im Einsatz (Plausible, Matomo, Fathom, etracker)
- Oder: Google Analytics nur nach expliziter Einwilligung mit IP-Anonymisierung
- Keine heimliche Profilbildung oder Fingerprinting
- Aufbewahrungsfristen für Analytics-Daten definiert
Formulare und Newsletter
- Kontaktformulare nur mit notwendigen Feldern
- Hinweis auf Datenschutzerklärung vor Absenden sichtbar
- Newsletter mit Double-Opt-In
- Abmeldelink in jeder Newsletter-Ausgabe
- Einwilligungen dokumentiert (Zeitpunkt, IP, Inhalt)
- Koppelungsverbot beachtet
KI-Einsatz (ab August 2026)
- Chatbot als KI gekennzeichnet vor Interaktionsbeginn
- KI-generierte Bilder maschinenlesbar markiert
- AVV mit KI-Anbieter abgeschlossen
- Chatverläufe mit Löschkonzept versehen
- KI-Verarbeitung in Datenschutzerklärung dokumentiert
- Kein KI-basiertes Profiling ohne Einwilligung
Betroffenenrechte
- Prozess für Auskunftsanfragen definiert (Frist: 1 Monat)
- Löschkonzept mit definierten Fristen umgesetzt
- Kontaktmöglichkeit für Datenschutzanfragen klar erkennbar
- Recht auf Datenportabilität technisch umsetzbar
Fazit
Eine DSGVO-konforme Website ist 2026 kein optionales Qualitätsmerkmal, sondern gesetzliche Pflicht. Mit dem EU AI Act kommen ab August 2026 zusätzliche Transparenzanforderungen hinzu, die den Handlungsbedarf weiter erhöhen. Die gute Nachricht: Wer heute die Grundlagen sauber umsetzt - EU-Hosting, cookieloses Tracking, korrekter Consent-Mechanismus und aktuelle Datenschutzerklärung - ist auch für kommende Anforderungen gut aufgestellt.
Besonders für kleine und mittlere Unternehmen lohnt sich der Umstieg auf datenschutzfreundliche Alternativen: Weniger rechtliches Risiko, weniger technischer Aufwand und als Nebeneffekt vollständigere Analytics-Daten, weil kein Nutzer die Erhebung ablehnen muss.
Dieser Artikel wurde zuletzt am 25. Juni 2026 aktualisiert und spiegelt die zu diesem Zeitpunkt geltende Rechtslage wider. Datenschutzrecht entwickelt sich laufend weiter - prüfen Sie regelmäßig, ob Ihre Website den aktuellen Anforderungen entspricht.
Häufige Fragen
Welche Analytics-Tools sind 2026 ohne Cookie-Consent erlaubt?+
Cookielose Analytics-Lösungen wie Plausible, Matomo (im cookielosen Modus), Fathom und etracker erfassen keine personenbezogenen Daten über Cookies und benötigen daher keine Einwilligung. Dadurch entfällt nicht nur das Consent-Banner für die Statistik, die Daten sind auch vollständiger, weil kein Nutzer die Erhebung ablehnen kann. Google Analytics dagegen erfordert eine explizite Einwilligung und ist wegen der US-Datenübermittlung für deutsche Unternehmen kaum noch rechtskonform zu betreiben.
Muss meine Website wirklich bei einem EU-Anbieter gehostet werden?+
Eine gesetzliche Pflicht zu EU-Hosting gibt es nicht, da das EU-US Data Privacy Framework den Datentransfer in die USA grundsätzlich legitimiert. EU-Hosting ist jedoch die rechtssicherere Wahl: Es vermeidet die Drittlandübermittlung komplett, erspart zusätzliche Garantien und schützt vor dem Risiko, dass das Framework wie seine Vorgänger gerichtlich gekippt wird. Anbieter wie Hetzner, IONOS, OVHcloud oder Scaleway bieten leistungsfähige Infrastruktur ohne Drittland-Problematik.
Was ändert sich durch den EU AI Act für Websites ab August 2026?+
Ab August 2026 greift die Transparenzpflicht des EU AI Act. Nutzer müssen vor der Interaktion erfahren, dass sie mit einer KI kommunizieren, etwa über einen Hinweis wie 'Sie sprechen mit einem KI-Assistenten'. KI-generierte Bilder müssen maschinenlesbar als synthetische Inhalte markiert werden. Zusätzlich gelten für KI-gestütztes Tracking und automatisierte Entscheidungen erhöhte Informationspflichten nach Art. 22 DSGVO. Der Bußgeldrahmen steigt dadurch erheblich an.
Du willst mehr erfahren?
In einem kostenlosen Erstgespräch besprechen wir, wie du diese Themen für dein Unternehmen nutzen kannst. Kein Verkaufsgespräch, sondern eine ehrliche Einschätzung.
Kostenloses Erstgespräch vereinbaren
