DSGVO-konforme Website: Die vollständige Checkliste für 2026
Eine DSGVO-konforme Website braucht in Österreich mindestens: ein korrektes Impressum, eine vollständige Datenschutzerklärung, ein echtes Opt-in-Cookie-Banner für alle nicht notwendigen Dienste, TLS-Verschlüsselung und Auftragsverarbeitungsverträge mit allen eingebundenen Dienstleistern. Diese Checkliste geht alle Punkte durch - inklusive der Fehler, die in Abmahnungen und DSB-Beschwerden am häufigsten auftauchen.
Die Rechtsgrundlagen in einem Absatz
Drei Regelwerke greifen ineinander: Die DSGVO regelt jede Verarbeitung personenbezogener Daten, § 165 TKG 2021 verlangt für das Speichern und Auslesen von Informationen am Endgerät (Cookies, Pixel, Fingerprinting) eine Einwilligung, und das ECG definiert die Impressumspflicht. Wichtig: Auch IP-Adressen und Online-Kennungen sind personenbezogene Daten.
Checkliste Teil 1: Pflichtseiten
- Impressum gemäß § 5 ECG und § 14 UGB: Name, Anschrift, Kontakt, Gewerbedaten, UID - von jeder Seite in zwei Klicks erreichbar.
- Datenschutzerklärung: alle eingesetzten Dienste einzeln benannt, mit Rechtsgrundlage, Zweck, Speicherdauer und Widerrufsweg. Generische Muster ohne Bezug zu den tatsächlich geladenen Diensten sind wertlos.
- Betroffenenrechte: Auskunft, Löschung, Berichtigung, Datenübertragbarkeit und Beschwerderecht bei der Datenschutzbehörde müssen genannt sein.
Checkliste Teil 2: Cookies und Tracking
- Echtes Opt-in: Google Analytics, Meta Pixel, Clarity & Co. dürfen erst NACH aktiver Einwilligung laden - nicht beim Seitenaufruf. Prüfbar mit unserem Tracker-Check.
- Ablehnen so einfach wie Zustimmen: Ein 'Alles akzeptieren'-Button ohne gleichwertiges 'Ablehnen' ist rechtswidrig (Dark Pattern).
- Keine Cookie-Wall ohne Alternative, keine vorangekreuzten Checkboxen.
- Einwilligung dokumentieren und Widerruf jederzeit ermöglichen (z. B. Link im Footer).
Checkliste Teil 3: Technik
- TLS/HTTPS auf allen Seiten inklusive Weiterleitung von HTTP.
- Security-Header (HSTS, CSP, X-Frame-Options) gesetzt - prüfbar mit unserem Security-Header-Check.
- Webfonts lokal hosten statt von Google-Servern laden (das Google-Fonts-Urteil lässt grüßen).
- Formulare: nur notwendige Pflichtfelder, Transportverschlüsselung, kein stilles CRM-Sync ohne Information.
- Auftragsverarbeitungsverträge (Art. 28 DSGVO) mit Hoster, Newsletter-Dienst, Analyse-Anbietern abgeschlossen und dokumentiert.
Die drei häufigsten Abmahn-Fallen
- Google Fonts remote eingebunden - IP-Übertragung in die USA ohne Einwilligung.
- Tracking-Skripte, die vor dem Cookie-Banner-Klick laden - technisch leicht nachweisbar.
- Veraltete Datenschutzerklärung, die eingesetzte Dienste nicht erwähnt oder längst entfernte Dienste auflistet.
Häufige Fragen zum Thema
Ist ein Cookie-Banner immer Pflicht?
Nein - nur wenn einwilligungspflichtige Dienste eingesetzt werden. Eine Website, die nur technisch notwendige Cookies nutzt und ohne Tracking auskommt, braucht kein Banner. Das ist oft die eleganteste Lösung.
Darf Google Analytics in Österreich verwendet werden?
Ja, mit ausdrücklicher Einwilligung (Opt-in), IP-Anonymisierung und den aktuellen EU-US-Datenschutzrahmen-Vereinbarungen. Ohne Einwilligung geladen ist es klar rechtswidrig - das hat die österreichische Datenschutzbehörde mehrfach festgestellt.
Was kostet eine DSGVO-Prüfung der Website?
Ein technischer Datenschutz-Check mit Maßnahmenliste kostet bei Astra IT Solutions ab 600 €. Einen ersten automatisierten Überblick liefert der kostenlose Tracker-Check.