DSGVO-konform in 2026: Die ultimative Website-Checkliste
Ihre Website ist online, das Design passt, Anfragen kommen herein, und trotzdem bleibt ein ungutes Gefühl. Irgendwo läuft ein Cookie-Script, das niemand mehr genau erklären kann. Das Kontaktformular wurde vor Jahren eingebaut. Im Footer steht eine Datenschutzerklärung aus einem Generator, aber seitdem kamen Newsletter-Tool, Webanalyse, eingebettete Karten und neue Plugins dazu.
Genau in dieser Situation stecken viele KMU in Österreich. Die Website funktioniert operativ, aber datenschutzrechtlich ist sie oft ein Flickwerk. Das Problem ist nicht nur die DSGVO selbst. Es ist die Mischung aus DSGVO, österreichischen Besonderheiten, technischen Abhängigkeiten im CMS und externen Diensten, die beim Laden der Seite sofort Daten übertragen. Ein kleiner Fehler reicht, und aus einem normalen Website-Betrieb wird ein rechtliches und organisatorisches Problem.
Für viele Unternehmer:innen beginnt das Risiko nicht bei großen Systemen, sondern bei banalen Details. Ein Formular ohne klare Einwilligung. Ein Cookie-Banner, das schon trackt, bevor jemand geklickt hat. Externe Fonts, Videos oder Social Plugins, die Daten an Dritte senden. Genau deshalb braucht es keine juristische Abhandlung, sondern eine klare, technische und umsetzbare DSGVO Website Checkliste für den Alltag.
Diese Checkliste stammt aus der Praxis einer Wiener Webagentur, die Websites für KMU, Vereine und Organisationen laufend aufräumt, absichert und datenschutzkonform umsetzt. Sie bekommen keine Theorieliste, sondern klare Schritte, die Sie direkt prüfen und verbessern können. Wenn Sie heute anfangen, reduzieren Sie sofort typische Schwachstellen und schaffen eine Website, die professionell wirkt, Vertrauen stärkt und technisch sauber aufgestellt ist.
Inhaltsverzeichnis
- 1. Datenschutzerklärung
- 2. Cookie-Banner und Cookie-Consent-Management
- 3. Sicherheit und SSLTLS-Verschlüsselung
- 4. Verarbeitungsverträge mit Dienstleistern
- 5. Verzeichnis von Verarbeitungstätigkeiten und DSFA
- 6. Kontaktformulare und Einwilligungsmanagement
- 7. Datenlöschung und Aufbewahrungsrichtlinien
- 8. Datenschutzbeauftragte und externe Datenschutzberatung
- 9. Videoüberwachung und Tracking
- 10. Incident Response und Datenpannen-Meldepflicht
- DSGVO-Website-Check: Vergleich der 10 Prüfpunkte
- Von der Checkliste zur sicheren Website Ihr Fahrplan
1. Datenschutzerklärung
Die Datenschutzerklärung ist kein Pflichttext für den Footer, den man einmal einbaut und dann vergisst. Sie ist die schriftliche Beschreibung Ihrer tatsächlichen Datenverarbeitung. Wenn dort etwas fehlt, unklar ist oder nicht mehr zu Ihrer Website passt, fällt das sofort auf.
Ein Wiener Handwerksbetrieb braucht hier keine juristische Kunstsprache. Er braucht eine verständliche Erklärung, die beschreibt, was beim Besuch der Website passiert, welche Daten über das Kontaktformular eingehen, ob ein Termin-Tool eingebunden ist und wie lange diese Daten intern verwendet werden. Dasselbe gilt für Vereine, Webshops und Dienstleister.
Was in der Erklärung stehen muss
Nennen Sie klar, welche personenbezogenen Daten Sie verarbeiten, zu welchem Zweck, auf welcher Grundlage, wie lange Sie speichern und welche Rechte Besucher:innen haben. Schreiben Sie nicht abstrakt, sondern entlang Ihrer echten Website-Funktionen. Kontaktformular, Newsletter, Analyse-Tool, Hosting, eingebettete Videos, Karten, Bewerbungsformular, Kundenkonto. Alles, was technisch aktiv ist, gehört hinein.
Praxisregel: Öffnen Sie Ihre eigene Website im Browser und gehen Sie jede Funktion einzeln durch. Für jede Funktion muss es in der Datenschutzerklärung einen nachvollziehbaren Absatz geben.
Vorlagen helfen, aber sie ersetzen keine Prüfung. Tools wie easyRGPD oder IT-Recht Kucklick liefern eine brauchbare Grundlage. Danach müssen Sie anpassen. Wenn Ihre WordPress-Seite zusätzlich Gravity Forms, Matomo, YouTube-Einbindungen und ein CRM nutzt, reicht eine Standardvorlage nicht.
Praxisbeispiel aus dem KMU-Alltag
Ein E-Commerce-Shop braucht meist mehr Trennung als eine einfache Firmenwebsite. Sinnvoll ist eine klare Struktur mit Abschnitten für Bestellungen, Zahlungsabwicklung, Versand, Kundenkonto, Marketing und Cookies. Ein Verein wiederum sollte transparent erklären, wie Mitgliederdaten, Veranstaltungsanmeldungen und Newsletter verwaltet werden.
Praktisch bewährt hat sich diese Umsetzungslogik:
- Sichtbar platzieren: Verlinken Sie die Datenschutzerklärung im Footer jeder Seite.
- Sauber gliedern: Arbeiten Sie mit Absätzen, Zwischenüberschriften und kurzen Aufzählungen.
- Sofort aktualisieren: Sobald Sie ein neues Tool einbauen, passen Sie den Text an.
- Impressum mitdenken: Trennen Sie Impressum und Datenschutz sauber, auch wenn beides im Footer steht.
Wenn Sie die Datenschutzerklärung nur als Textbaustein behandeln, bleibt sie falsch. Wenn Sie sie als Betriebsdokument Ihrer Website behandeln, wird sie brauchbar.
2. Cookie-Banner und Cookie-Consent-Management
Der Cookie-Banner ist oft das sichtbarste Datenschutz-Element Ihrer Website. Genau deshalb fällt ein schlechter Banner sofort negativ auf. Wenn Besucher:innen nur groß „Akzeptieren“ sehen und die Ablehnung versteckt ist, schaffen Sie Misstrauen, nicht Compliance.
Für KMU in Österreich ist ein Consent-Management-System sinnvoll, sobald Tracking, Marketing-Tags, Video-Embeds oder externe Dienste aktiv sind. Typische Lösungen in WordPress sind Borlabs Cookie oder Systeme mit Anbindung an die WP Consent API. Wer datensparsam arbeiten will, setzt statt komplexer Werbe-Stacks lieber auf Matomo und lädt zusätzliche Tools nur nach klarer Einwilligung.
So muss ein Banner arbeiten
Ein Banner darf nicht nur schön aussehen. Er muss technisch korrekt blockieren. Das heißt: nicht notwendige Cookies und Skripte bleiben deaktiviert, bis jemand aktiv zustimmt. „Alle ablehnen“ gehört gleichwertig sichtbar neben „Alle akzeptieren“.
Verwenden Sie klare Begriffe. Schreiben Sie „Marketing-Cookies“ oder „Besucherstatistik“ statt interner Tool-Namen oder juristischer Sammelbegriffe. Besucher:innen müssen verstehen, was sie freigeben.
Ein gutes Consent-Banner ist kein Design-Element. Es ist eine technische Schranke.
Platzieren Sie den Banner so, dass der sichtbare Inhalt Ihrer Website nicht komplett verdeckt wird. Gerade auf mobilen Geräten passiert das oft. Dann blockiert das Layer nicht nur die Nutzung, sondern verdeckt auch Links zur Datenschutzerklärung.
Praxischeck im Browser
Prüfen Sie den Banner selbst. Öffnen Sie die Website im Inkognito-Modus, löschen Sie Cookies, laden Sie die Seite neu und beobachten Sie in den Entwicklerwerkzeugen, ob schon Requests an Analyse-, Werbe- oder Drittanbieter starten. Wenn Tracking vor dem Klick lädt, ist der Banner wirkungslos.
Diese Punkte sollten Sie fix kontrollieren:
- Ablehnung testen: Nach „Alle ablehnen“ dürfen keine Marketing- oder Analyse-Skripte starten.
- Dokumentation aktivieren: Das System sollte Einwilligungen nachvollziehbar protokollieren.
- CMS-Integration prüfen: Plugins, Theme-Funktionen und externe Scripts müssen an das Consent-System gekoppelt sein.
- Sprache vereinfachen: Kategorien und Schalter müssen ohne Fachwissen verständlich sein.
Ein Wiener Fachgeschäft mit reiner Informationsseite braucht oft nur technisch notwendige Cookies. Dann halten Sie den Banner schlank. Wenn Sie hingegen Meta Pixel, YouTube, Google Maps und ein Chat-Widget laden, brauchen Sie ein echtes, sauber konfiguriertes Consent-Management.
3. Sicherheit und SSLTLS-Verschlüsselung
Wenn Ihre Website noch Mischinhalte, unverschlüsselte Formulare oder unsaubere Weiterleitungen hat, ist das kein Detailproblem. Es ist ein Sicherheitsmangel, den Besucher:innen und Browser sofort merken. HTTPS ist Standard. Alles andere wirkt veraltet und riskant.
Ein typisches Beispiel aus der Praxis: Die Website selbst läuft unter HTTPS, aber das Kontaktformular lädt ein externes Script oder eine Schriftart noch über eine alte URL. Genau solche Brüche sorgen für Warnungen, unvollständige Verschlüsselung und unnötige Angriffsflächen.
HTTPS ist die Basis
Stellen Sie sicher, dass jede Seite ausschließlich über HTTPS erreichbar ist. Leiten Sie alte HTTP-Aufrufe sauber weiter und prüfen Sie, ob Bilder, Schriften, Skripte und eingebettete Inhalte ebenfalls verschlüsselt geladen werden. Ein Webshop, ein Login-Bereich oder ein Formular ohne vollständig saubere TLS-Konfiguration ist nicht akzeptabel.
Für viele KMU reicht ein Hosting-Setup mit automatischer Zertifikatsverwaltung, etwa über Let's Encrypt. Entscheidend ist nicht der Name des Zertifikats, sondern die konsequente Umsetzung. Zertifikat aktiv, automatische Verlängerung eingerichtet, Weiterleitungen gesetzt, interne Links korrigiert.
Technische Punkte die oft vergessen werden
Die meisten Probleme liegen nicht im Zertifikat selbst, sondern in der Umgebung. HSTS fehlt. Sicherheitsheader fehlen. Alte Plugins binden unsichere Ressourcen ein. Oder das Staging-System ist offen erreichbar und läuft ohne dieselben Schutzmaßnahmen wie die Live-Seite.
Prüfen Sie diese Punkte systematisch:
- Weiterleitungen bereinigen: Leiten Sie alle HTTP-Varianten dauerhaft auf HTTPS um.
- Externe Ressourcen prüfen: Fonts, Bilder, Script-CDNs und iFrames müssen verschlüsselt laden.
- Header ergänzen: X-Frame-Options und eine passende Content-Security-Policy erhöhen das Schutzniveau.
- Zertifikate automatisieren: Verlängerung und Monitoring gehören in Ihr Hosting-Setup.
Wenn ein Formular Daten sicher speichern soll, muss die Übertragung davor schon sicher sein.
Ein Wiener Onlineshop profitiert hier doppelt. Besucher:innen sehen kein Sicherheitsproblem im Browser, und die technische Basis für Checkout, Kundenkonto und Kontakt ist sauber. Genau das stärkt Vertrauen. Nicht durch Werbesprache, sondern durch funktionierende Technik.
4. Verarbeitungsverträge mit Dienstleistern
Fast jede Website nutzt externe Dienstleister. Hosting, Newsletter, Analyse, Formulare, Cloud-Backups, CRM, Terminbuchung. Sobald ein Anbieter personenbezogene Daten in Ihrem Auftrag verarbeitet, brauchen Sie einen passenden Vertrag. Viele KMU übersehen genau diesen Punkt, weil die Tools technisch schnell eingebaut sind, rechtlich aber nie vollständig geprüft wurden.
Ein typisches Beispiel: Die Website läuft bei Ionos oder Hostpoint, das Formular landet in einem CRM wie HubSpot, der Newsletter geht über Brevo oder Mailchimp, und die Statistik kommt aus einem externen Tool. Wenn diese Kette nicht dokumentiert und vertraglich sauber aufgesetzt ist, fehlt ein zentraler Baustein Ihrer Datenschutzorganisation.
Welche Anbieter fast immer betroffen sind
Beginnen Sie mit einer vollständigen Dienstleisterliste. Nicht nur die großen Systeme zählen. Auch Captcha-Dienste, Support-Widgets, externe Terminplaner, Cloudspeicher und Agentur-Tools können betroffen sein. Alles, was im Hintergrund Daten sieht, speichert oder verarbeitet, gehört auf die Liste.
Für KMU ist diese Einteilung hilfreich:
- Hosting und Infrastruktur: Webhoster, Mailserver, Cloud-Backups, CDN
- Kommunikation: Newsletter-Dienst, Kontaktformular-Add-ons, Support-Postfächer
- Vertrieb und Marketing: CRM, Analyse-Tools, Remarketing-Systeme
- Betrieb und Wartung: Agenturzugänge, Monitoring, Sicherheitsdienste
So organisieren Sie die Verträge sauber
Arbeiten Sie mit einer einfachen internen Tabelle. Pro Dienstleister erfassen Sie Name, Zweck, Datenarten, Speicherort, Vertragsstatus und verantwortliche Person im Unternehmen. Das reicht für den Start und macht Lücken sichtbar.
Wenn ein Vertrag fehlt, fordern Sie ihn aktiv an. Verlassen Sie sich nicht darauf, dass der Anbieter „schon DSGVO-konform“ sei. Prüfen Sie auch Versionen und Änderungen. Gerade bei internationalen Diensten müssen zusätzlich die Übermittlungen in Drittländer und passende Schutzmaßnahmen bewertet werden.
Viele Datenschutzprobleme entstehen nicht durch einen Hackerangriff, sondern durch schlecht dokumentierte Standard-Tools.
Ein Wiener Dienstleister mit Website, Newsletter und CRM braucht hier keinen Papierberg, sondern Ordnung. Wenn Sie jeden externen Dienst klar zuordnen können, wissen Sie sofort, welche Texte in die Datenschutzerklärung gehören, welche Einwilligungen nötig sind und welche Risiken bei einem Toolwechsel entstehen.
5. Verzeichnis von Verarbeitungstätigkeiten und DSFA
Viele Unternehmen kümmern sich um Banner, Texte und Formulare, aber nicht um die interne Dokumentation. Genau dort wird es bei einer Prüfung unangenehm. Wenn Sie nicht sauber erklären können, welche Daten Ihre Website verarbeitet, wo sie hingehen und wer Zugriff hat, fehlt die betriebliche Grundlage.
Das Verzeichnis von Verarbeitungstätigkeiten ist Ihr internes Arbeitsdokument. Nicht für die Startseite, sondern für Ihren Betrieb. Es zeigt, wie Ihre Website tatsächlich funktioniert. Kontaktanfragen, Bewerbungen, Bestellungen, Newsletter-Anmeldungen, Tracking, Hosting-Logs, Supportfälle. Alles muss nachvollziehbar erfasst sein.
Ihr Datenfluss muss dokumentiert sein
Erstellen Sie eine übersichtliche Tabelle. Für jede Verarbeitung erfassen Sie Datentyp, Quelle, Zweck, Empfänger, Speicherdauer, Zugriffsrechte und Schutzmaßnahmen. Das klingt trocken, bringt aber sofort Klarheit. Sie sehen, welche Tools unnötig sind, wo Fristen fehlen und welche Prozesse mehrfach oder unkontrolliert laufen.
Ein Beispiel aus Wien: Ein Handwerksbetrieb nutzt ein Kontaktformular, versendet Angebote per E-Mail, speichert Kundendaten in der Buchhaltung und verwendet ein Analyse-Tool auf der Website. Ohne Dokumentation wirken das wie Einzelpunkte. Im Verzeichnis werden daraus zusammenhängende Datenflüsse.
Wann Sie genauer hinschauen müssen
Manche Verarbeitungen sind heikler als andere. Profiling, automatisierte Entscheidungen, sensible Daten, umfangreiche Beobachtung oder Videoüberwachung verlangen eine vertiefte Prüfung. Dann kann zusätzlich eine Datenschutz-Folgenabschätzung relevant werden. Das betrifft nicht jedes KMU, aber sobald Gesundheitsdaten, umfangreiche Nutzerprofile oder besonders invasive Trackingmethoden im Spiel sind, müssen Sie genauer arbeiten.
Für die Praxis bewährt sich dieses Vorgehen:
- Zentral führen: Lagern Sie das Verzeichnis an einem geschützten Ort mit klaren Zugriffsrechten.
- Regelmäßig prüfen: Bei Toolwechseln, Relaunches und neuen Formularen sofort aktualisieren.
- Mit Technik abstimmen: Datenschutzdokumentation und tatsächlicher Website-Stand müssen identisch sein.
- Risikofälle markieren: Alles mit besonderer Sensibilität bekommt eine gesonderte Prüfung.
Eine Arztpraxis, ein Verein mit sensiblen Mitgliederdaten oder ein Onlineshop mit mehreren externen Integrationen braucht hier mehr Disziplin als eine einfache Visitenkarten-Website. Aber auch kleine Websites profitieren. Das Verzeichnis zeigt Ihnen, welche Datenflüsse Sie wirklich kontrollieren und welche nur „historisch gewachsen“ sind.
6. Kontaktformulare und Einwilligungsmanagement
Das Kontaktformular ist oft der erste echte Datenpunkt auf Ihrer Website. Genau deshalb passieren hier besonders viele vermeidbare Fehler. Zu viele Pflichtfelder, unklare Texte, fehlender Datenschutzhinweis oder eine Checkbox, die technisch gar nichts dokumentiert.
Ein gutes Formular ist kurz, verständlich und datensparsam. Wenn für eine einfache Anfrage Name, E-Mail und Nachricht reichen, dann verlangen Sie nicht zusätzlich Telefonnummer, Firma, Postadresse und Geburtsdatum. Das wirkt nicht professionell, sondern unnötig.
Das Formular darf nur das abfragen was Sie brauchen
Formulieren Sie direkt über dem Absenden klar, was mit den Daten passiert. Verlinken Sie die Datenschutzerklärung in unmittelbarer Nähe. Wenn Sie eine zusätzliche Einwilligung brauchen, etwa für Newsletter oder Terminbestätigungen per SMS, trennen Sie diese sauber vom eigentlichen Kontaktzweck.
Ein realistisches Beispiel: Eine Wiener Zahnarztpraxis bietet Online-Terminwünsche an. Für die Anfrage genügt das Formular. Wenn die Praxis zusätzlich per SMS erinnern möchte, braucht sie dafür eine gesonderte Zustimmung. Dasselbe gilt für einen Verein, der eine Veranstaltungsanmeldung entgegennimmt und parallel in den Newsletter aufnehmen will. Diese Vorgänge dürfen nicht vermischt werden.
Ein gutes Formular ist auch technisch sauber
Technisch sollten Sie Formulare wie kritische Systeme behandeln. Nutzen Sie etablierte Werkzeuge wie Gravity Forms, wenn Sie in WordPress arbeiten, und prüfen Sie jede Erweiterung. Spam-Schutz über hCaptcha oder reCAPTCHA kann sinnvoll sein, muss aber selbst datenschutzrechtlich bewertet und korrekt eingebunden werden.
Worauf Sie achten sollten:
- Pflichtfelder reduzieren: Fragen Sie nur Daten ab, die für den konkreten Zweck notwendig sind.
- Einwilligungen trennen: Kontaktaufnahme, Newsletter und Sonderkommunikation brauchen klare Abgrenzung.
- Bestätigungen versenden: Automatische E-Mails sollten einen kurzen Datenschutzhinweis enthalten.
- Barrierefreiheit prüfen: Das Formular muss auch mit Tastatur, Screenreader und klaren Fehlermeldungen funktionieren.
Ein Formular ist kein Datensammler. Es ist ein definierter Prozess mit einem klaren Zweck.
Viele KMU speichern Formulardaten zu lange oder an zu vielen Orten. Prüfen Sie, ob Einträge im CMS, E-Mails im Postfach und Exportdateien mehrfach liegen bleiben. Wenn dieselbe Anfrage an drei Stellen gespeichert wird, vervielfachen Sie Ihr Risiko ohne jeden betrieblichen Nutzen.
7. Datenlöschung und Aufbewahrungsrichtlinien
Daten löschen klingt einfach. In der Praxis scheitern Unternehmen daran regelmäßig. Nicht aus böser Absicht, sondern weil niemand festgelegt hat, wann was gelöscht wird, wer dafür zuständig ist und welche Systeme betroffen sind. Dann bleiben alte Formulare, Newsletterlisten, CRM-Einträge und Backups jahrelang liegen.
Genau hier braucht jedes KMU eine klare Regel. Nicht juristisch verklausuliert, sondern als betriebliche Anweisung. Welche Daten behalten wir warum. Welche Daten löschen wir wann. Welche gesetzliche Aufbewahrungspflicht gilt. Wer setzt die Löschung um.
Löschen braucht Regeln
Schreiben Sie eine einfache Aufbewahrungsrichtlinie für Ihre Website- und Kundendaten. Darin definieren Sie je Datentyp den Zweck, die Speicherorte, die Frist und die verantwortliche Rolle. Kontaktanfragen, Bewerbungsdaten, Newsletter-Abmeldungen, Webserver-Logs, Shop-Bestellungen, Support-Nachrichten und Sicherungen gehören getrennt betrachtet.
Ein typischer Fehler im KMU-Alltag: Das Formular im CMS wird geleert, aber die Anfrage liegt weiterhin im Mailpostfach, im Backup und eventuell im Ticketsystem. Aus Datenschutzsicht ist sie damit nicht wirklich weg.
Beispiel für eine einfache Löschlogik
Für einen kleinen Webshop oder Dienstleister reicht oft schon eine pragmatische Struktur:
- Kontaktanfragen: Nach Bearbeitung prüfen und nur bei echtem Geschäftsbezug weiter aufbewahren.
- Newsletter-Daten: Abmeldungen organisatorisch sauber behandeln und nicht wieder in alte Listen importieren.
- Logdaten: Rotationsregeln im Hosting und auf dem Server aktivieren.
- Backups: Klären, wie lange Sicherungen bestehen und wie Löschungen dort organisatorisch mitgedacht werden.
Arbeiten Sie nach Möglichkeit mit automatisierten Löschroutinen. Cron-Jobs, Datenbank-Scheduler oder Funktionen im CRM helfen, damit Löschung nicht von Erinnerung oder Zufall abhängt. Testen Sie diese Prozesse regelmäßig mit Testdatensätzen.
Eine dokumentierte Löschpraxis schützt nicht nur bei Anfragen von Betroffenen. Sie reduziert auch internen Datenmüll. Das ist besonders relevant für Vereine und kleine Betriebe, in denen sich über Jahre viele Listen und Exporte ansammeln, die niemand mehr wirklich benötigt.
8. Datenschutzbeauftragte und externe Datenschutzberatung
Nicht jedes KMU braucht zwingend eine formell bestellte Datenschutzbeauftragte oder einen Datenschutzbeauftragten. Viele Unternehmen brauchen aber sehr wohl fachliche Unterstützung. Der Unterschied ist wichtig. Wer das verwechselt, reagiert oft zu spät oder gar nicht.
Sobald Ihre Website Teil eines größeren digitalen Prozesses ist, wird externe Beratung sinnvoll. Das gilt besonders bei Webshops, sensiblen Daten, Vereinsstrukturen mit mehreren Verantwortlichen, komplexen Newsletter-Prozessen oder vielen Drittanbietern. Dann reicht es nicht, einzelne Texte aus Vorlagen zu kopieren.
Wann externe Unterstützung sinnvoll ist
Holen Sie Unterstützung früh, nicht erst nach einem Vorfall. In der Projektphase lassen sich Datenschutzanforderungen technisch sauber in Design, Hosting, Formulare, Tracking und Prozesse einbauen. Nachträgliche Korrekturen sind fast immer mühsamer.
Typische Fälle aus der Praxis:
- Website-Relaunch: Neue Tools, neue Integrationen, neue Texte. Perfekter Zeitpunkt für saubere Prüfung.
- Shop oder Mitgliederbereich: Mehr Daten, mehr Rollen, mehr Risiken.
- Sensiblere Informationen: Gesundheitsbezug, Bewerbungen, Spendenverwaltung, interne Benutzerkonten.
- Vorfall oder Beschwerde: Dann brauchen Sie sofort klare Einschätzung und dokumentierte Schritte.
So arbeiten KMU effizient mit Beratung
Gute Beratung macht die Lage einfacher, nicht komplizierter. Sie brauchen jemanden, der Ihre Website, Ihre Systeme und die österreichische Praxis versteht. Ideal ist die Zusammenarbeit zwischen Technik und Datenschutz, damit nicht nur theoretische Hinweise entstehen, sondern konkrete Umsetzungen.
Legen Sie intern eine Ansprechperson fest. Sammeln Sie vor dem Termin Ihre Tools, Dienstleister, Zugänge und offenen Fragen. Dokumentieren Sie Empfehlungen und setzen Sie sie mit Fristen um. So wird aus einem Beratungsgespräch ein belastbarer Maßnahmenplan.
Externe Beratung ist am wertvollsten, wenn sie vor dem Problem stattfindet.
Gerade für Wiener KMU zahlt sich lokale Erfahrung aus. Wer österreichische Besonderheiten, typische Hosting-Setups und die Praxis kleiner Betriebe kennt, liefert meist bessere und schneller umsetzbare Lösungen als rein abstrakte Standardberatung.
9. Videoüberwachung und Tracking
Tracking-Tools werden oft eingebaut, weil sie im Marketing-Stack einfach dazugehören. Das ist der falsche Ansatz. Jede Form von Verhaltensbeobachtung braucht eine bewusste Entscheidung. Das gilt für Webanalyse, Heatmaps, Session Replay und ebenso für Videoüberwachung im stationären Betrieb.
Viele Unternehmen kombinieren beides, ohne es organisatorisch zusammenzudenken. Auf der Website laufen Analyse-Tools, im Geschäft oder Büro hängen Kameras, und niemand hat eine gemeinsame Datenschutzsicht auf diese Prozesse. Genau das schafft Lücken.
Tracking-Tools sind kein Selbstläufer
Prüfen Sie zuerst, was Sie wirklich brauchen. Für viele KMU reicht eine schlanke, datensparsame Statistiklösung wie Matomo, Plausible oder Fathom. Wenn Sie umfangreiche Heatmaps oder Session-Replay-Tools einsetzen wollen, müssen Sie besonders streng prüfen, welche Daten sichtbar werden und ob Eingabefelder sauber maskiert sind.
Ein realistisches Beispiel: Ein Wiener Fachgeschäft möchte verstehen, warum Besucher:innen den Warenkorb abbrechen. Statt sofort ein invasives Session-Replay-Tool zu aktivieren, ist es oft sinnvoller, mit datensparsamer Webanalyse, klareren Formularen und besserer Navigation zu starten. Mehr Tracking ist nicht automatisch bessere Erkenntnis.
Videotechnik und Website gehören organisatorisch zusammen
Auch Videoüberwachung fällt in die Datenschutzorganisation Ihres Unternehmens. Wenn auf der Website ein Lageplan, ein Kontaktformular und ein Hinweis zur Geschäftsstelle vorhanden sind, dann müssen interne Prozesse rund um Kameras, Zugriffsrechte, Speicherungen und Information der Betroffenen ebenfalls sauber geregelt sein.
Achten Sie auf diese Punkte:
- Consent bei Tracking: Analyse- und Marketing-Tools nur nach sauberer Einwilligung laden.
- Masking aktivieren: Formularfelder und sensible Inhalte in Heatmaps oder Replays strikt ausblenden.
- Zugriffe begrenzen: Nicht jede Mitarbeiterin und jeder Mitarbeiter braucht Einblick in Tracking- oder Videodaten.
- Audits durchführen: Prüfen Sie regelmäßig, welche Tools tatsächlich Daten sammeln und ob diese noch notwendig sind.
Ein häufiger Fehler ist die unbemerkte Datenerhebung durch Drittanbieter. Eingebettete Videos, Karten, Social Widgets und Analyse-Skripte senden Daten oft schon beim Laden der Seite. Deshalb müssen Website, Consent-System und interne Datenschutzorganisation zusammenpassen.
10. Incident Response und Datenpannen-Meldepflicht
Die meisten KMU haben kein technisches Problem mit Datenschutz, sondern ein Reaktionsproblem. Solange alles läuft, wirkt die Website unkritisch. Sobald aber ein Formular offenliegt, ein Postfach kompromittiert wird, ein CRM-Zugang missbraucht wird oder ein Laptop mit Kundendaten verschwindet, zeigt sich, ob Ihr Unternehmen vorbereitet ist.
Für diesen Moment brauchen Sie keinen langen Krisenordner. Sie brauchen einen klaren Ablaufplan mit Verantwortlichkeiten. Wer entdeckt den Vorfall. Wer stoppt den Zugriff. Wer prüft die betroffenen Systeme. Wer dokumentiert. Wer entscheidet über weitere Schritte. Wer kommuniziert intern und extern.
Sie brauchen einen klaren Ablaufplan
Ein Incident-Response-Plan sollte für ein KMU kurz, praktisch und erreichbar sein. Legen Sie Kontaktpersonen, Vertretungen, Dienstleister, Hoster, Administrator:innen und Entscheidungswege fest. Halten Sie Vorlagen für interne Meldungen und Benachrichtigungen bereit. Wichtig ist, dass niemand im Ernstfall erst nach Telefonnummern oder Zugängen suchen muss.
Dokumentieren Sie jede Entscheidung. Auch dann, wenn sich später herausstellt, dass kein meldepflichtiger Vorfall vorlag. Die Nachvollziehbarkeit ist entscheidend. Nur so können Sie sauber begründen, was passiert ist, was geprüft wurde und warum Sie welche Maßnahmen gesetzt haben.
Ein realistisches KMU-Szenario
Nehmen wir einen Wiener Dienstleister mit Website, CRM und mehreren Formularen. Plötzlich tauchen ungewöhnliche Login-Versuche auf, Kundendaten im CRM sind verändert, und aus einem Formular gehen Spam-Nachrichten in hoher Zahl aus. Dann gilt: Zugang sperren, Passwörter zurücksetzen, Protokolle sichern, Hoster und technische Betreuung einbinden, Ursache eingrenzen und mögliche Betroffene identifizieren.
Diese Punkte müssen vorbereitet sein:
- Rollen definieren: Technik, Geschäftsführung, Kommunikation und Datenschutz müssen klar zugeordnet sein.
- Logs sichern: Ohne Protokolle bleibt die Ursachenanalyse oft unvollständig.
- Wiederherstellung testen: Backups helfen nur, wenn Rücksicherung und Bereinigung funktionieren.
- Betroffene informieren: Wenn Rechte und Freiheiten ernsthaft gefährdet sind, braucht es rasche und klare Kommunikation.
Im Ernstfall verlieren Unternehmen die meiste Zeit nicht durch Technik, sondern durch Unklarheit.
Eine Website ist kein isoliertes System. Sie hängt an Postfächern, Datenbanken, Administratorzugängen, Plugins, Dienstleistern und internen Abläufen. Genau deshalb gehört Incident Response in jede DSGVO Website Checkliste. Nicht als Formalität, sondern als betriebliche Pflicht.
DSGVO-Website-Check: Vergleich der 10 Prüfpunkte
| Maßnahme | 🔄 Implementierungskomplexität | ⚡ Ressourcenaufwand | 📊 Erwartete Ergebnisse | 💡 Ideale Anwendungsfälle | ⭐ Hauptvorteile |
|---|---|---|---|---|---|
| Datenschutzerklärung (Impressum & Privacy Policy) | Mittel, Text, rechtliche Prüfung, Updates | Gering–Mittel, Zeit/Anwalt | Rechtssicherheit, Transparenz für Nutzer | Alle Websites, KMU, E‑Commerce | Erfüllt DSGVO Art.13/14, reduziert Abmahnrisiko |
| Cookie‑Banner und Consent‑Management | Hoch, technische Integration, granularer Consent | Mittel, Toolkosten & Wartung | Rechtskonforme Einwilligungen, valide Analytics | Websites mit Tracking, Marketing & Shops | Opt‑in‑Konformität, Nutzerkontrolle, Auditierbarkeit |
| Sicherheit und SSL/TLS‑Verschlüsselung | Niedrig–Mittel, Zertifikate & Konfiguration | Gering, meist Hosting‑Support | Verschlüsselte Verbindungen, kein Browser‑Warnungen | Alle Seiten, Kontaktformulare, Logins, Shops | Schutz vor MITM, SEO‑Vorteil, kostengünstig |
| Verarbeitungsverträge (DPA) | Mittel, Vertragsprüfung & Management | Gering–Mittel, Rechtszeitaufwand | Rechtliche Absicherung bei Drittanbietern | Hoster, CRM, Newsletter, Analyse‑Provider | Erfüllt Art.28, minimiert Haftung, Audit‑Nachweis |
| Verzeichnis von Verarbeitungstätigkeiten (VVVT / DSFA) | Hoch, umfassende Dokumentation, Risikoanalyse | Hoch, Zeit & Fachkenntnis | Interne Transparenz, Audit‑Bereitschaft, Risikominimierung | KMU mit mehreren Datenflüssen, hochriskante Verarbeitungen | Erfüllt Art.30/35, verbessert Incident‑Response |
| Kontaktformulare & Einwilligungsmanagement | Mittel, Formdesign, Checkboxen, DPO‑Logs | Gering–Mittel, Implementierung & Tests | Rechtskonforme Kontakte, weniger Spam, dokumentierte Einwilligung | Dienstleister, Termine, Newsletter‑Anmeldung | Gesetzliche Basis für Kommunikation, bessere UX |
| Datenlöschung & Aufbewahrungsrichtlinien | Mittel, Policy + automatisierte Jobs | Mittel, Entwicklung & Wartung | Reduziertes Expositionsrisiko, Speicheroptimierung | Alle Datenhalter, Buchhaltung, Backups | Erfüllt Art.5/17, spart Ressourcen, senkt Risiken |
| Datenschutzbeauftragte & externe Beratung | Mittel, Auswahl, Einbindung, Audits | Mittel–Hoch, Beratungs‑/Honorarkosten | Fachliche Absicherung, schnellere Problemlösung | KMU mit umfangreicher Verarbeitung oder hohen Risiken | Expertenwissen, Schulungen, behördliche Vertretung |
| Videoüberwachung & Tracking (Heatmaps, Session Replay) | Hoch, rechtlich/technisch sensibel | Mittel–Hoch, Tools, Masking, Consent | Tiefe Nutzungs‑Insights vs. hohes Rechtsrisiko | UX‑Forschung mit Einwilligung, physische Überwachung mit Schildern | Konversionsoptimierung möglich, datenschutzfreundliche Alternativen |
| Incident Response & Datenpannen‑Meldepflicht | Hoch, Prozesse, Monitoring, Forensik | Hoch, Personal, Tools, externe Expertise | Schnellere Eindämmung, Fristeinhaltung (72h), geringere Schäden | Alle Organisationen, kritisch bei sensiblen Daten | Reduziert Schaden, erfüllt Meldepflichten, stärkt Vertrauen |
Von der Checkliste zur sicheren Website Ihr Fahrplan
Eine gute DSGVO-Umsetzung beginnt nicht mit Formularen für die Schublade. Sie beginnt mit einem ehrlichen Blick auf Ihre tatsächliche Website. Welche Daten erfassen Sie wirklich. Welche Tools sind aktiv. Welche Dienste laden schon beim Seitenaufruf. Welche Prozesse sind dokumentiert, und welche laufen nur deshalb, weil sie irgendwann einmal eingerichtet wurden.
Genau dafür ist diese DSGVO Website Checkliste gedacht. Sie gibt Ihnen eine Reihenfolge, mit der Sie vom Offensichtlichen zum Organisatorischen arbeiten. Starten Sie mit den Punkten, die Besucher:innen direkt sehen und technisch sofort wirksam sind. Datenschutzerklärung, Cookie-Banner, HTTPS, Formulare. Danach räumen Sie die zweite Ebene auf. Verträge mit Dienstleistern, Verzeichnis der Verarbeitungstätigkeiten, Löschregeln, Verantwortlichkeiten und Reaktionspläne.
Für KMU in Österreich ist dieser pragmatische Ablauf besonders sinnvoll. Sie brauchen keine komplizierte Datenschutzbürokratie. Sie brauchen einen belastbaren digitalen Betrieb. Das heißt: klare Texte, saubere Einwilligungen, sparsame Datenerhebung, dokumentierte Dienstleister, kontrollierte Speicherungen und eine Website, die nicht mehr Daten sammelt als nötig. Genau das senkt nicht nur das rechtliche Risiko. Es verbessert auch die technische Qualität und die Vertrauenswirkung Ihres Webauftritts.
Viele Probleme lassen sich in kurzer Zeit erkennen. Ein Blick in die geladenen Skripte. Ein Test des Cookie-Banners im Inkognito-Fenster. Eine Kontrolle, ob Google Fonts lokal eingebunden sind. Eine Prüfung, ob das Kontaktformular unnötige Felder verlangt. Eine Liste aller eingesetzten Anbieter. Das sind keine abstrakten Datenschutzprojekte, sondern ganz konkrete Wartungsaufgaben Ihrer Website.
Wichtig ist, dass Sie Datenschutz nicht isoliert betrachten. Die DSGVO betrifft Design, Inhalte, Hosting, Plugins, CRM, Analyse, Newsletter, Sicherheit und interne Abläufe gleichzeitig. Wer nur einen Generator für die Datenschutzerklärung verwendet, aber Tracking ohne Consent lädt, hat das Problem nicht gelöst. Wer ein korrektes Banner nutzt, aber keine Verträge mit Dienstleistern dokumentiert, ebenfalls nicht. Und wer alles sauber aufsetzt, aber im Vorfall keine Zuständigkeiten kennt, bleibt im Risiko.
Deshalb sollte jede Website einen festen Prüfprozess bekommen. Nicht erst, wenn etwas schiefgeht. Prüfen Sie neue Plugins und externe Einbindungen, bevor sie live gehen. Aktualisieren Sie Datenschutztexte sofort nach Änderungen. Testen Sie Formulare, Consent-Mechanismen und Backups regelmäßig. Halten Sie Ihre Dienstleisterliste aktuell. Und räumen Sie Altlasten konsequent aus dem System. Gerade bei älteren WordPress-, Joomla- oder Shop-Installationen liegt ein großer Teil der Datenschutzprobleme in historischen Resten, die niemand mehr aktiv braucht.
Wenn Sie intern wenig Zeit oder keine technische Zuständigkeit haben, holen Sie sich Unterstützung. Das ist kein Zeichen von Unsicherheit, sondern von Professionalität. Eine erfahrene Webagentur mit Datenschutz- und Security-Verständnis erkennt typische Schwachstellen deutlich schneller und setzt sie technisch sauber um. Das gilt besonders dann, wenn Ihre Website gewachsen ist, mehrere Tools nutzt oder nach einem Relaunch wieder auf stabile Beine gestellt werden soll.
IRQ Internet Service unterstützt Unternehmen, Vereine und Selbstständige in Wien dabei, Websites nicht nur schön, sondern auch verlässlich und datenschutzkonform zu betreiben. Die Stärke liegt dabei in der Kombination aus Webdesign, Hosting, technischer Betreuung, DSGVO-Konformität und IT-Security. Genau diese Kombination entscheidet in der Praxis darüber, ob Datenschutz auf Ihrer Website wirklich funktioniert oder nur gut aussieht.
Wenn Sie Ihre Website jetzt strukturiert prüfen und technisch sauber absichern möchten, unterstützt Sie IRQ Internet Service e.U. mit persönlicher Beratung, Webdesign, sicherem Hosting, DSGVO-konformer Umsetzung und laufender Betreuung in Wien. Gerade für KMU, Vereine und Start-ups ist es sinnvoll, Datenschutz, Technik und Betrieb aus einer Hand zu organisieren.
