DSGVO für die KMU-Website

Warum Datenschutz zur Website-Planung gehört

Datenschutz wird bei KMU-Websites oft erst kurz vor dem Launch betrachtet. Dann stellt sich plötzlich die Frage, ob ein Cookie-Banner nötig ist, welche Angaben ins Impressum gehören, ob das Kontaktformular sicher genug ist und welche Dienste überhaupt eingebunden wurden. Besser ist es, Datenschutz von Anfang an mitzudenken. Viele Risiken entstehen nicht durch böse Absicht, sondern durch ungeprüfte Standardfunktionen.

Dieser Artikel gibt einen allgemeinen Rahmen für typische KMU-Websites. Er ist keine Rechtsberatung und ersetzt keine Prüfung durch qualifizierte juristische Beratung. Er hilft Ihnen aber, die richtigen Fragen zu stellen, Zuständigkeiten zu klären und eine Website-Erstellung so zu planen, dass Datenschutz nicht erst am Ende repariert werden muss.

Hilfreich ist dabei eine einfache Bestandsaufnahme: Welche Formulare gibt es? Welche externen Dienste laden beim Seitenaufruf? Welche Daten werden gespeichert? Wer erhält Benachrichtigungen? Aus diesen Fragen entsteht kein fertiges Rechtskonzept, aber eine belastbare Grundlage für technische Entscheidungen und weitere Prüfung.

Impressum: Pflichtangaben nicht improvisieren

Ein Impressum soll klar erkennen lassen, wer für die Website verantwortlich ist und wie diese Person oder dieses Unternehmen erreichbar ist. Welche Angaben konkret erforderlich sind, hängt unter anderem von Rechtsform, Branche und Tätigkeit ab. Deshalb sollten Impressumsdaten nicht einfach von anderen Websites kopiert werden. Was für ein Einzelunternehmen passt, kann für eine GmbH unvollständig sein.

Praktisch wichtig ist außerdem die Auffindbarkeit. Das Impressum sollte mit einem eindeutigen Link erreichbar sein, üblicherweise im Footer. Versteckte oder missverständlich benannte Links erzeugen unnötiges Risiko. Auch nach Umfirmierungen, Adressänderungen oder Wechseln in der Geschäftsführung sollte geprüft werden, ob die Angaben noch stimmen.

Datenschutzerklärung: Verständlich und passend zur Website

Die Datenschutzerklärung beschreibt, welche personenbezogenen Daten verarbeitet werden, zu welchem Zweck, auf welcher Grundlage und welche Rechte betroffene Personen haben. Für eine einfache Website können das etwa Server-Logs und Kontaktanfragen sein. Werden zusätzlich Analyse-Tools, Karten, Videos, Newsletter, Terminbuchungen oder externe Schriftarten genutzt, muss die Erklärung diese Dienste passend abbilden.

Häufiger Fehler: Eine Datenschutzerklärung wird mit einem Generator erstellt und danach nie wieder geprüft. Wenn später neue Tools eingebaut werden, bleibt der Text unverändert. Dann beschreibt die Erklärung nicht mehr die tatsächliche Website. Datenschutztexte sollten deshalb bei jedem Relaunch, bei neuen Funktionen und bei Dienstwechseln kontrolliert werden.

Cookies und externe Dienste

Nicht jeder Cookie ist gleich problematisch, und nicht jede Website braucht automatisch denselben Banner. Entscheidend ist, welche Technologien eingesetzt werden und ob sie für den Betrieb technisch erforderlich sind oder zusätzlichen Zwecken dienen, etwa Analyse, Marketing oder Personalisierung. Besonders externe Dienste können datenschutzrechtlich relevant werden, wenn beim Aufruf der Seite Daten an Dritte übertragen werden.

Für KMU lohnt sich eine einfache Grundregel: Bauen Sie nur Dienste ein, die Sie wirklich benötigen. Jedes Analyse-Skript, jedes eingebettete Video, jede Karte und jedes Tracking-Tool erhöht den Prüfaufwand. Manchmal ist eine datensparsame Alternative nicht nur rechtlich einfacher, sondern auch schneller und stabiler. Das unterstützt zugleich die technische Qualität Ihrer Website, wie im Ratgeber Website-Ladezeit verbessern beschrieben.

Kontaktformulare sicher gestalten

Kontaktformulare sind für viele Unternehmenswebsites zentral. Sie verarbeiten aber regelmäßig personenbezogene Daten: Name, E-Mail-Adresse, Telefonnummer, Nachricht und manchmal weitere Angaben. Deshalb sollte ein Formular nur Daten abfragen, die für die Anfrage wirklich nötig sind. Ein Pflichtfeld für Geburtsdatum oder vollständige Adresse ist bei einer einfachen Erstkontaktanfrage meist schwer zu begründen.

Ebenso wichtig ist die technische Umsetzung. Formulare sollten über HTTPS übertragen werden, vor Spam geschützt sein und Fehlermeldungen verständlich ausgeben. Wenn Formulardaten per E-Mail weitergeleitet oder in einem System gespeichert werden, muss klar sein, wer darauf Zugriff hat und wie lange die Daten benötigt werden. Auch automatische Bestätigungsmails sollten keine unnötigen sensiblen Informationen enthalten.

Auftragsverarbeitung und Dienstleister

Viele Websites werden nicht vollständig intern betrieben. Hosting-Anbieter, Newsletter-Dienste, Analyse-Plattformen, Terminbuchungssoftware oder Wartungsdienstleister können in die Verarbeitung personenbezogener Daten eingebunden sein. Dann stellt sich die Frage, welche vertraglichen Regelungen erforderlich sind und wo Daten verarbeitet werden.

Für die Praxis bedeutet das: Erstellen Sie eine Liste aller externen Dienste, die Ihre Website nutzt. Notieren Sie, welchen Zweck der Dienst erfüllt, welche Daten betroffen sein können und wer zuständig ist. Diese Übersicht hilft nicht nur rechtlich, sondern auch technisch. Wenn ein Dienst später ausfällt oder ersetzt werden soll, wissen Sie, wo er eingebunden ist.

Legen Sie außerdem fest, wer Anfragen aus Formularen bearbeitet und wann Daten gelöscht werden. Datenschutz endet nicht beim Absenden des Formulars. Auch die anschließende Bearbeitung in E-Mail-Postfächern, CRM-Systemen oder Projektordnern sollte nachvollziehbar und angemessen organisiert sein.

Typische Fehler bei KMU-Websites

• Impressum und Datenschutzerklärung werden von einer alten Website übernommen.
• Tracking-Tools laufen, obwohl niemand die Daten aktiv auswertet.
• Externe Schriften, Karten oder Videos werden eingebunden, ohne ihre Wirkung zu prüfen.
• Kontaktformulare fragen mehr Daten ab, als für den Erstkontakt nötig ist.
• Nach einem Relaunch wird nicht kontrolliert, ob die Rechtstexte noch zur Website passen.

Diese Punkte lassen sich oft mit überschaubarem Aufwand verbessern. Wichtig ist, nicht nur Texte zu ergänzen, sondern die Website selbst datensparsam und sauber aufzubauen.

Datenschutz als Qualitätsmerkmal

Datenschutz ist nicht nur eine Pflichtaufgabe. Eine Website, die transparent, schnell und ohne unnötige Datenabfragen funktioniert, wirkt professioneller. Besucher müssen verstehen, wem sie Daten geben und warum. Das stärkt Vertrauen, besonders bei Dienstleistungen, Beratung, Gesundheitsangeboten, Handwerk, B2B-Leistungen und lokalen Unternehmen.

Wenn Ihre Website ohnehin überarbeitet werden soll, lohnt sich ein gemeinsamer Blick auf Struktur, Technik, Inhalte und Datenschutz. Der Ratgeber Website-Kosten für KMU hilft bei der Budgetplanung; unsere Leistungen zeigen, welche Bausteine zu einem sauberen Projekt gehören.

Wenn Sie Ihre KMU-Website datenschutzbewusst planen oder bestehende Schwachstellen sortieren möchten, können Sie über Kontakt ein Erstgespräch vereinbaren. Wir betrachten die Website technisch und organisatorisch und sagen klar, wann juristische Prüfung zusätzlich sinnvoll ist.