Menü
Jetzt loslegenhello@frysch.studio
Ratgeber Datenschutz

Datenschutzerklärung für die Website

Fast jede Website braucht eine Datenschutzerklärung. Damit sie stimmt, musst du wissen, was auf deiner Seite technisch passiert. Hier steht, was hinein gehört und wie du das selbst prüfst.

Zum Selbst-CheckProjekt anfragen

Das Wichtigste in Kürze

  • Sobald eine Website personenbezogene Daten verarbeitet, braucht sie eine Datenschutzerklärung. Das ist praktisch immer der Fall, schon weil der Server IP-Adressen verarbeitet.
  • Was hinein muss, regelt Artikel 13 der DSGVO, unter anderem Verantwortlicher, Zwecke, Rechtsgrundlagen, Empfänger, Speicherdauer und die Rechte der Besucher.
  • Die Erklärung muss zu den Diensten passen, die wirklich auf der Seite laufen. Eine kopierte Vorlage, die Google Analytics nennt, obwohl du Umami nutzt, ist falsch.
  • Generatoren sind ein guter Anfang. Die Arbeit liegt darin, vorher herauszufinden, was deine Website alles lädt.
  • Dienste, die nicht unbedingt nötig sind, dürfen erst nach Einwilligung laden. Dieser Ratgeber ersetzt keine Rechtsberatung.

Von Benny ScheyStand

Wann du eine Datenschutzerklärung brauchst

Die Datenschutz-Grundverordnung, kurz DSGVO, verlangt, dass du Menschen informierst, wenn du ihre personenbezogenen Daten verarbeitest. Dazu zählt schon die IP-Adresse, die beim Aufruf jeder Website an den Server übertragen wird.

Damit braucht praktisch jede Website eine Datenschutzerklärung, auch eine kleine Visitenkarte ohne Kontaktformular und ohne Tracking. Sie muss leicht zu finden sein, üblich ist ein Link im Footer jeder Seite, direkt neben dem Impressum.

Was in die Datenschutzerklärung gehört

Artikel 13 der DSGVO zählt auf, worüber du informieren musst. Für eine Website sind das vor allem diese Punkte:

  • Name und Kontaktdaten des Verantwortlichen, und falls vorhanden des Datenschutzbeauftragten
  • welche Daten du verarbeitest und wofür
  • die Rechtsgrundlage, etwa Einwilligung, Vertrag oder berechtigtes Interesse
  • an wen Daten gehen, zum Beispiel an deinen Hoster oder einen Newsletter-Anbieter
  • ob Daten in Länder außerhalb der EU übertragen werden und auf welcher Grundlage
  • wie lange du die Daten speicherst
  • die Rechte der Besucher auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit
  • das Recht, eine Einwilligung jederzeit zu widerrufen
  • das Recht auf Beschwerde bei einer Datenschutz-Aufsichtsbehörde

Schreib das so, dass es Besucher verstehen. Die DSGVO verlangt eine klare und einfache Sprache.

Typische Dienste

Was auf einer Website meist Daten verarbeitet

Für jeden dieser Punkte, der auf deiner Seite vorkommt, braucht die Datenschutzerklärung einen eigenen Abschnitt.

  1. Hosting und Server-LogsDer Server speichert bei jedem Aufruf Daten wie IP-Adresse, Uhrzeit und aufgerufene Seite. Dazu gehören der Name des Hosters und ein Vertrag zur Auftragsverarbeitung mit ihm.
  2. Kontaktformular und E-MailWas Besucher eintragen, landet bei dir und oft bei einem Formular-Dienst. Beides gehört in die Erklärung, ebenso ein Spam-Schutz wie reCAPTCHA.
  3. Cookies und Einwilligungs-BannerFür alles, was nicht unbedingt nötig ist, brauchst du nach dem TDDDG eine Einwilligung, bevor es lädt. Das Banner selbst verarbeitet ebenfalls Daten.
  4. Statistik und TrackingGoogle Analytics, Matomo, Umami oder der Meta-Pixel. Jedes Tool mit Anbieter, Zweck, Rechtsgrundlage und Speicherdauer.
  5. Schriften, Videos und KartenGoogle Fonts vom Google-Server, eingebettete YouTube-Videos oder Google Maps übertragen die IP-Adresse an Dritte. Lokale Schriften und Zwei-Klick-Lösungen vermeiden das.
  6. Newsletter und BuchungstoolsAnbieter wie Brevo, Mailchimp oder Calendly bekommen Daten deiner Besucher. Wichtig sind Auftragsverarbeitung und gegebenenfalls die Übertragung in die USA.

Generator, Vorlage oder Anwalt

Für die meisten kleinen Websites ist ein Generator der beste Weg. Bekannt sind zum Beispiel der Datenschutz-Generator von Rechtsanwalt Thomas Schwenke und der Generator von eRecht24. Du wählst aus, welche Dienste deine Website nutzt, und bekommst einen passenden Text. Viele Generatoren haben eine kostenlose Version mit Einschränkungen und kostenpflichtige Varianten für Unternehmen.

Ein Generator weiß aber nur, was du ihm sagst. Die eigentliche Arbeit liegt davor, nämlich herauszufinden, was deine Website alles lädt. Genau dort entstehen die meisten Fehler. Ein Theme bindet Google Fonts ein, ein Plugin lädt ein Skript von einem US-Server, ein eingebettetes Video setzt Cookies.

Eine kopierte Datenschutzerklärung von einer anderen Website ist keine gute Idee. Sie beschreibt deren Dienste, nicht deine. Bei einem Online-Shop, bei Gesundheitsdaten oder vielen Tools lohnt sich eine Prüfung durch eine Anwältin oder einen Anwalt.

So prüfst du deine Website selbst

Ob deine Website Daten an Dritte schickt, bevor jemand zustimmt, kannst du in wenigen Minuten selbst prüfen.

  1. Öffne deine Website in einem privaten Browserfenster, damit keine alten Einwilligungen gespeichert sind.
  2. Öffne die Entwicklertools mit F12 und wechsle in den Bereich Netzwerk.
  3. Lade die Seite neu, ohne im Banner etwas anzuklicken.
  4. Schau dir die Liste der Anfragen an. Alles, was nicht von deiner eigenen Domain kommt, verdient einen zweiten Blick, zum Beispiel fonts.googleapis.com, google-analytics.com, youtube.com oder connect.facebook.net.
  5. Lehne im Banner alles ab und lade die Seite erneut. Es darf nichts Neues dazukommen.

Kostenlose Online-Werkzeuge wie Webbkoll zeigen dasselbe übersichtlich an. Für alles, was du dabei findest, gilt: Es muss in der Datenschutzerklärung stehen, und wenn es nicht unbedingt nötig ist, darf es erst nach Einwilligung laden.

Weniger Dienste

Die beste Datenschutzerklärung ist eine kurze.

Jeder Dienst, den deine Website nicht lädt, muss nicht erklärt, nicht abgewogen und nicht per Banner abgefragt werden. Schriften lassen sich lokal einbinden, Statistik geht auch ohne Cookies, zum Beispiel mit Umami. Das ist datenschutzfreundlich und macht die Seite oft auch schneller.

Was bei Fehlern droht

Die Aufsichtsbehörden der Länder können bei Verstößen gegen die DSGVO Bußgelder verhängen. Der Rahmen in Artikel 83 reicht bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes. Für kleine Unternehmen spielt das in der Praxis selten eine Rolle, die Behörden fordern meist zuerst zur Behebung auf.

Häufiger sind Forderungen von Besuchern selbst. 2022 hat das Landgericht München einem Besucher 100 Euro Schadensersatz zugesprochen, weil eine Website Google Fonts ohne Einwilligung vom Google-Server geladen hatte. Danach verschickten einige Kanzleien massenhaft ähnliche Schreiben. Wie du Schriften sauber einbindest, steht im Beitrag über Schriftarten auf der Website.

Was ich dir rate

Fang nicht mit dem Text an, sondern mit einer Liste. Welche Dienste lädt deine Website, und brauchst du jeden davon? Was du streichen kannst, musst du nicht erklären. Für den Rest erstellst du mit einem Generator die Datenschutzerklärung und prüfst danach im Browser, ob vor der Einwilligung wirklich nichts lädt.

Bei den Websites, die ich baue, lädt vor der Einwilligung nichts von Dritten. Schriften liegen auf dem eigenen Server, Statistik und Marketing-Tools starten erst nach Zustimmung. Den Text der Datenschutzerklärung erstellst du oder deine Kanzlei, ich sage dir genau, welche Dienste darin stehen müssen. Für Webflow-Websites gibt es einen eigenen Ratgeber zu Webflow und der DSGVO.

Quellen

Alle Angaben in diesem Ratgeber stützen sich auf diese Quellen. Die Links wurden im Oktober 2026 zuletzt geprüft.

Aus dem Blog

Mehr zu Tracking, Schriften und Systemen

Alle Beiträge

Häufige Fragen

Fragen zur Datenschutzerklärung

  • Braucht jede Website eine Datenschutzerklärung?

    Sobald personenbezogene Daten verarbeitet werden, musst du darüber informieren. Beim Aufruf einer Website wird immer die IP-Adresse übertragen und meist in Server-Logs gespeichert. Deshalb braucht auch eine kleine Website ohne Formular und ohne Tracking eine Datenschutzerklärung.

  • Wo muss die Datenschutzerklärung auf der Website stehen?

    Üblich ist ein Link im Footer jeder Seite, neben dem Impressum. Wichtig ist, dass Besucher ihn ohne Suchen finden und dass er klar beschriftet ist, etwa mit Datenschutz oder Datenschutzerklärung.

  • Reicht ein Datenschutzerklärung-Generator?

    Ein Generator erstellt einen passenden Text aus deinen Angaben. Er prüft aber nicht, was deine Website wirklich lädt. Diese Bestandsaufnahme musst du vorher selbst machen oder machen lassen. Bei Shops, sensiblen Daten oder vielen Tools lohnt sich zusätzlich eine anwaltliche Prüfung.

  • Wie mache ich einen DSGVO-Check meiner Website?

    Öffne die Seite in einem privaten Fenster, lade sie mit geöffneter Netzwerk-Ansicht neu und klicke im Banner nichts an. Alles von fremden Domains muss in der Datenschutzerklärung stehen und darf, wenn es nicht unbedingt nötig ist, erst nach Zustimmung laden. Online-Werkzeuge wie Webbkoll zeigen das übersichtlich an.

  • Brauche ich ein Cookie-Banner?

    Nach dem TDDDG brauchst du eine Einwilligung, bevor nicht unbedingt nötige Informationen auf dem Gerät gespeichert oder ausgelesen werden, etwa durch Tracking- oder Marketing-Cookies. Nutzt deine Website nur technisch notwendige Funktionen und eine Statistik ohne Cookies, kann ein Banner entfallen. Die Datenschutzerklärung brauchst du trotzdem.

Deine Website soll ohne Datenschutz-Baustellen laufen?

Ich prüfe, was deine Seite lädt, und baue sie so, dass vor der Einwilligung nichts an Dritte geht.

Projekt anfragenZur Website-Betreuung

Kostenlos und unverbindlich · Termine abends ab 16:30 Uhr