DSGVO-Konformität für Websites — Vollständige Checkliste 2026

Die DSGVO gilt für jede Website, die personenbezogene Daten von EU-Bürgern erhebt. Diese Checkliste deckt das Minimum ab.

1. Datenschutzerklärung

Pflichtseite vom Footer aus erreichbar:

• Wer Sie sind
• Welche Daten Sie erheben
• Wofür
• Rechtsgrundlage
• Speicherdauer
• Dritte
• Betroffenenrechte
• Beschwerderecht

2. Cookie-Richtlinie und Banner

• Technisch notwendige — keine Einwilligung nötig.
• Analyse / Marketing — explizite vorherige Einwilligung Pflicht.
• Banner mit „Alle akzeptieren" + „Nur notwendige".
• Widerruf jederzeit möglich.

3. Kontakt- / Newsletter-Formulare

• Explizite Einwilligungs-Checkbox.
• Link zur Datenschutzerklärung.
• Einwilligungs-Timestamp + IP speichern.
• Newsletter-Checkbox separat.

4. SSL und Sicherheit

• Komplett HTTPS.
• Passwörter gehasht.
• Regelmäßige Updates.
• Schutz gegen SQLi, XSS, CSRF.

5. Backup und Vorfallreaktion

• Tägliches Backup, 14+ Tage.
• Mindestens ein Offsite-Backup.
• Jährlicher Wiederherstellungstest.
• 72 Stunden Meldefrist bei Datenpannen.

6. Auftragsverarbeitungsverträge (AVV/DPA)

Mit Dritten, die personenbezogene Daten verarbeiten, ist ein AVV erforderlich.

7. Datentransfers außerhalb der EU

Rechtsgrundlage nötig: Angemessenheitsbeschluss, SCCs oder explizite Einwilligung.

8. Logs und Verarbeitung

• Aufzeichnen welche Daten, wofür und wie lange.
• Verzeichnis von Verarbeitungstätigkeiten (VVT).
• Server-Access-Logs sind personenbezogene Daten.

9. Betroffenenrechte

30 Tage Antwortfrist. Vorbereiten: Kontaktkanal, Identitätsprüfung, Antwortvorlagen, Datenexport, Löschung.

10. Strafen

Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes. KMU häufig mit 5.000–50.000 € bei erster ernsthafter Prüfung.

Schneller Self-Check

1. ☐ Datenschutzerklärung im Footer
2. ☐ Cookie-Richtlinie + Banner
3. ☐ Analyse erst nach Einwilligung
4. ☐ Kontaktformular mit Consent-Checkbox
5. ☐ Komplett HTTPS
6. ☐ Backup + getestete Wiederherstellung
7. ☐ AVVs mit Hosting, E-Mail, CRM
8. ☐ Prozess für Betroffenenanfragen
9. ☐ Prozess für Datenpannen

Zusammenfassung, keine Rechtsberatung. Für ein vollständiges Audit — Kontakt.