DSGVO-Verstöße können bis zu 20 Mio. € Bußgeld kosten — in der Realität sind Abmahnungen mit Forderungen ab 800 € üblich. Diese Schritt-für-Schritt-Anleitung deckt alle wichtigen Bereiche ab: Impressum, Datenschutzerklärung, Cookie-Banner, Tools, Hosting. Mit konkreten Aktionen für jeden Punkt.
Schritt 1: Vollständiges Impressum nach §5 TMG
Pflichtangaben: Anbietername (mit Rechtsform), ladungsfähige Adresse, Telefon und E-Mail (E-Mail allein reicht NICHT), Vertretungsberechtigte bei juristischen Personen, Handelsregister-Nummer, Umsatzsteuer-ID falls vorhanden. Maximal 2 Klicks von der Startseite erreichbar. Generiere dein Impressum kostenlos mit unserem Impressum-Generator.
Schritt 2: DSGVO-Datenschutzerklärung
Pflichtangaben nach Art. 13 DSGVO: Verantwortlicher, Verarbeitungszwecke, Rechtsgrundlagen, Empfänger der Daten, Speicherdauer, Drittlandtransfers, Betroffenenrechte (Auskunft, Löschung, Widerspruch, Datenübertragbarkeit), Beschwerderecht bei Aufsichtsbehörde. Plus: spezifische Klauseln für jedes verwendete Drittanbieter-Tool. Nutze unseren Datenschutz-Generator für vollständige Texte.
Schritt 3: TTDSG-konformer Cookie-Banner
Seit Dezember 2021 (TTDSG) gilt: aktive Einwilligung vor Setzen nicht-notwendiger Cookies. Pre-Checked Boxen sind verboten. „Ablehnen"-Button muss genauso einfach erreichbar sein wie „Akzeptieren". Vier Cookie-Kategorien differenzieren: technisch notwendig (ohne Einwilligung erlaubt), Statistik, Marketing, externe Inhalte. Setup mit unserem Cookie-Banner-Generator.
Schritt 4: Auftragsverarbeitungs-Verträge (AVV)
Für jeden Drittanbieter, der personenbezogene Daten in deinem Auftrag verarbeitet, brauchst du einen AVV. Häufige Beispiele: Hosting-Anbieter, Newsletter-Tool, CRM, Analytics, Support-Tools. Anbieter wie Mailchimp, HubSpot, Cloudflare bieten Customized-AVVs zum Download an. Diese musst du archivieren und auf Anfrage vorlegen können.
Schritt 5: Drittland-Transfers prüfen
Datenübertragung in Nicht-EU-Länder (vor allem USA) braucht spezielle Schutzmaßnahmen. Seit Schrems-II-Urteil ist Privacy Shield ungültig — Standardvertragsklauseln (SCCs) plus zusätzliche Garantien sind nötig. Häufige US-Tools mit Transfer-Risiko: Google Analytics, Mailchimp, HubSpot, Cloudflare. Lösung: EU-Alternativen prüfen oder explizite Einwilligung einholen.
Schritt 6: Newsletter und E-Mail-Marketing
Double-Opt-In-Pflicht (in Bestätigungsmail Bestätigungs-Link), DSGVO-Hinweis bei Anmeldung, jederzeit-Abmeldung in jeder Mail, Speicherung der Einwilligungs-Logs. Kostenlose Tools mit DSGVO-Setup: Brevo, Mailerlite (EU-Tier), Klaviyo (mit AVV).
Schritt 7: Server-Logs und Speicher-Fristen
Server-Logs (IP-Adressen, User-Agents) sind personenbezogene Daten. Maximal-Speicher: 7 Tage ohne explizite Notwendigkeit. Häufiger Fehler: Nginx- oder Apache-Default-Logs werden 90 Tage oder länger gespeichert. Fix: Log-Rotation auf 7 Tage konfigurieren.
Schritt 8: Bilder und Personenrechte
Personen auf Fotos brauchen schriftliche Einwilligung (Recht am eigenen Bild, KUG). Mitarbeiter-Fotos: separate Einwilligung im Arbeitsvertrag oder Foto-Vertrag. Stockfotos: Lizenzbedingungen prüfen. Bei Veranstaltungs-Fotos: deutlicher Hinweis am Eingang reicht meist nicht — am besten Opt-In bei Anmeldung.
Schritt 9: Hosting-Anbieter prüfen
EU-Hosting reduziert Drittland-Risiken erheblich. Empfohlene EU-Anbieter: Hetzner (DE), IONOS (DE), all-inkl (DE), Mittwald (DE), Cloudways EU. US-Anbieter wie Bluehost, GoDaddy oder AWS-US sind möglich, brauchen aber explizite AVV-Vereinbarung und Drittland-Klauseln.
Schritt 10: Regelmäßige DSGVO-Reviews
DSGVO-Compliance ist kein Einmal-Aufwand. Empfohlene Frequenz: vierteljährliche Mini-Reviews, jährliche vollständige Überarbeitung. Trigger für Sofort-Review: neue Tools auf Website, neue DSGVO-Gerichtsurteile, neue Tracking-Maßnahmen. Bei PYCIE-Wartungspaketen ist die quartalsweise DSGVO-Prüfung Customized.
Schnelle Selbstdiagnose
Beantworte ehrlich: Hast du ein vollständiges Impressum? Eine aktuelle Datenschutzerklärung mit Klauseln für ALLE deine Tools? Einen TTDSG-konformen Cookie-Banner? AVVs für alle Drittanbieter? EU-Hosting oder explizite Drittland-Vereinbarungen? Wenn auch nur eine Antwort „nein" ist — Action-Required. Bei Fragen: kostenloses Erstgespräch mit uns. Wir machen einen DSGVO-Quickcheck und sagen dir genau, wo du stehst.
Häufig gestellte Fragen
Was kostet eine DSGVO-Abmahnung typischerweise?
Erstabmahnungen: 800-2.500 €. Bei Wiederholungen: bis 5.000 €. Bußgelder von Aufsichtsbehörden können bei groben Verstößen bis 20 Mio. € oder 4 % Jahresumsatz erreichen — in der Praxis bei KMUs aber selten.
Reichen Generator-Tools für DSGVO-Konformität?
Für 90 % der Websites: ja. Komplexe Setups (mehrere CRMs, internationale Datentransfers, sensible Datenkategorien) sollten zusätzlich von Anwalt oder Datenschutzbeauftragtem geprüft werden.
Wann brauche ich einen Datenschutzbeauftragten?
Pflicht ab 20 Mitarbeitern, die regelmäßig personenbezogene Daten verarbeiten. Bei sensiblen Daten (Gesundheit, Finanzen): oft schon ab 1 Mitarbeiter. Externer DSB kostet typisch 200-800 €/Monat.
Bereit für eine echte Lösung?
Wenn dieser Artikel dich überzeugt hat, dass du Profi-Hilfe brauchst, lass uns in einem 30-minütigen kostenlosen Erstgespräch klären, ob wir der richtige Partner für dich sind. Auch wenn die Antwort am Ende „nein" ist, bekommst du eine ehrliche Einschätzung. Kein Pitch, kein Druck.
Veröffentlicht: 04. Mai 2026
Verwandte Artikel: Blog-Übersicht · Was kostet eine Website 2026? · Web Design Agentur