DSGVO-konforme Website erstellen: Der vollständige Leitfaden
- vor 1 Tag
- 8 Min. Lesezeit
Jede Website, die Nutzer:innen aus der Europäischen Union besuchen, muss die Datenschutz-Grundverordnung (DSGVO) einhalten. Artikel 83 DSGVO sieht Bußgelder von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor. Mit Wix eine DSGVO-konforme Website erstellen zu können, ohne Jurist:in zu sein, ist einer der größten Vorteile der Plattform: Wix stellt Website-Sicherheit und die Einhaltung von DSGVO, personenbezogenen Daten und EU-Cookie-Standards sicher und nimmt dir viele technische Schritte ab.
In diesem Leitfaden zeigen wir dir die 7 wichtigsten Schritte, mit denen du deine Website DSGVO-konform gestaltest. Von der technischen SSL-Verschlüsselung über die Datenschutzerklärung bis zum rechtssicheren Cookie-Banner findest du hier alles, was du brauchst. Eine gute Grundlage bietet dir außerdem unsere Website erstellen Anleitung.
Übersicht: So erstellst du eine DSGVO-konforme Website
Keine Zeit für den ganzen Leitfaden? Hier eine Übersicht der 7 Schritte auf einen Blick:
01. SSL: HTTPS aktivieren – schützt alle Datenübertragungen auf deiner Website.
02. Datenschutzerklärung: Erstellen und gut sichtbar verlinken – Pflicht nach Art. 13/14 DSGVO.
03. Impressum: Pflichtangaben nach § 5 TMG einbinden – muss leicht auffindbar sein.
04. Cookie-Banner: Aktive Einwilligung einholen – nicht nur informieren, sondern dokumentieren.
05. Kontaktformulare: Nur notwendige Felder, Datenschutzhinweis und Einwilligungs-Checkbox.
06. Newsletter: Double-Opt-In einrichten – Einwilligung muss dokumentiert werden.
07. Tracking: Externe Dienste prüfen und nur nach Einwilligung laden.
DSGVO-konforme Website in 7 Schritten erstellen
Laut Bitkom will mehr als ein Drittel der deutschen Unternehmen in diesem Jahr mehr in Digitalisierung investieren als zuletzt. Die Nachfrage nach digitalen Tools und Online-Präsenz wächst weiter. Gleichzeitig nennen 77 % der Unternehmen Datenschutzanforderungen als ihr größtes Hindernis.
Genau hier setzt dieser Leitfaden an: DSGVO-Konformität ist kein einmaliger Aufwand, sondern ein fortlaufender Prozess. Die folgenden 7 Schritte geben deiner Website eine solide Datenschutzgrundlage. Gehe sie der Reihe nach durch und hake jeden Punkt ab:
01. SSL-Verschlüsselung aktivieren
SSL (Secure Sockets Layer) sorgt dafür, dass die Verbindung zwischen deiner Website und ihren Besucher:innen verschlüsselt ist. Artikel 32 der DSGVO verlangt, dass du technische Maßnahmen ergreifst, um personenbezogene Daten zu schützen. Eine fehlende Verschlüsselung gilt als Verstoß gegen diese Pflicht. Mehr dazu erklärt unser Artikel darüber, was ein SSL Zertifikat ist.
„Ein gültiges SSL-Zertifikat erkennst du am kleinen Schlosssymbol in der Adressleiste deines Browsers und daran, dass die URL mit ’https://’ beginnt.“
— Prof. Dr. Dennis-Kenji Kipker, Wissenschaftlicher Direktor des cyberintelligence.institute in Frankfurt am Main
Er bringt es auf den Punkt: „Ein SSL-Zertifikat ist heute keine Option mehr, es ist ein Muss.“ Wenn du deine Website mit Wix erstellst, ist die SSL-Verschlüsselung automatisch aktiviert und kostenlos enthalten. Nutzt du ein anderes Hosting-System, frage deinen Anbieter nach einem Let’s Encrypt- oder einem ähnlichen SSL-Zertifikat und stelle sicher, dass deine gesamte Website über HTTPS erreichbar ist. Eine automatische Weiterleitung von HTTP auf HTTPS ist dabei Pflicht.
02. Datenschutzerklärung erstellen und einbinden
Die Datenschutzerklärung ist das zentrale Dokument deiner DSGVO-konformen Website. Artikel 13 und 14 DSGVO verpflichten dich, Besucher:innen transparent darüber zu informieren, welche personenbezogenen Daten du erhebst, zu welchem Zweck und auf welcher Rechtsgrundlage. Diese Pflicht gilt, sobald du Daten verarbeitest, z. B. über ein Kontaktformular, Cookies oder einen Newsletter. Weitere Informationen zur Wix Datenschutzerklärung findest du in unserem dazugehörigen Artikel.
„Eine Datenschutzerklärung beschreibt, wie eine Website die Daten ihrer Besucher sammelt, verwendet, veröffentlicht, verwaltet und weitergibt.“
— Lev Lexow, Rechtsanwalt und Datenschutzexperte bei Siebert Lexow Lang
Deine Datenschutzerklärung muss mindestens folgende Punkte enthalten:
Verantwortliche Person: Name, Anschrift und Kontaktdaten desjenigen, der die Daten verarbeitet.
Zweck und Rechtsgrundlage: Warum werden die Daten erhoben? Auf Basis welcher Norm nach Art. 6 DSGVO?
Drittempfänger: Welche externen Dienste erhalten Zugang zu den Daten (z. B. E-Mail-Anbieter, Analyse-Tools)?
Speicherdauer: Wie lange werden Daten aufbewahrt, bevor sie gelöscht werden?
Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch.
Für eine rechtssichere Datenschutzerklärung empfehlen wir den Einsatz eines Generators. Eine bewährte Lösung für Wix-Websites sind abmahnsichere Rechtstexte über den Trusted Shops Rechtstexter, der alle DSGVO-Anforderungen berücksichtigt. Die fertige Datenschutzerklärung muss gut sichtbar von jeder Seite deiner Website erreichbar sein, in der Regel über einen Link in der Fußzeile.
03. Impressum einbinden
Das Impressum ist streng genommen kein DSGVO-Dokument, sondern eine Anforderung nach § 5 Telemediengesetz (TMG). Trotzdem gehören Impressum und Datenschutzerklärung untrennbar zusammen: Beide sind Pflichtbestandteile jeder gewerblich genutzten deutschen Website. Die Impressumspflicht gilt auch für Blogger:innen, Freiberufler:innen und Vereine.
Dein Impressum muss mindestens Name und vollständige Postanschrift, eine Kontakt-E-Mail-Adresse und ggf. Telefonnummer sowie bei juristischen Personen den Handelsregistereintrag und die Umsatzsteuer-ID enthalten. Bei reglementierten Berufen kommen zusätzliche Angaben zur Aufsichtsbehörde hinzu. Das Impressum muss von jeder Seite der Website leicht und unmittelbar erreichbar sein. Wie du das auf deiner Wix-Website richtig umsetzt, erklärt unser Beitrag zur Wix Impressum -Pflicht.
04. Cookie-Banner und Einwilligungsmanagement einrichten
Sobald deine Website Cookies einsetzt, die für den technischen Betrieb nicht zwingend erforderlich sind, z. B. Analyse- oder Marketing-Cookies, brauchst du eine aktive Einwilligung der Besucher:innen. Das schreibt die ePrivacy-Richtlinie in Verbindung mit der DSGVO vor. Ein Cookie-Banner, der nur informiert und die weitere Nutzung als Einwilligung wertet, ist nicht ausreichend. Erfahre mehr zu allen rechtlichen Details rund um den Wix Cookie Banner.
„Ein Consent-Banner allein reicht für die DSGVO-Konformität nicht aus, da er Nutzer lediglich über den Einsatz von Trackern informiert, ohne die Komplexität der Einholung, Speicherung und Dokumentation wirksamer Einwilligungen zu berücksichtigen.“
— Felipe Iregui, Global Director of Platform Partnerships bei Usercentrics
Du brauchst also nicht nur einen Hinweisbanner, sondern ein vollständiges Einwilligungsmanagementsystem (Consent Management Platform, CMP). Es muss Einwilligungen aktiv einholen, dokumentieren und jederzeit widerrufbar machen. Konkret bedeutet das:
Opt-in statt Opt-out: Cookies dürfen erst nach aktiver Zustimmung gesetzt werden, nicht umgekehrt.
Kein Pre-ticked: Vorausgewählte Häkchen für nicht notwendige Cookies sind unzulässig.
Einfacher Widerruf: Nutzer:innen müssen ihre Einwilligung genauso einfach widerrufen können, wie sie sie gegeben haben.
Dokumentation: Einwilligungen mit Zeitstempel und Versionsstand speichern und bei Bedarf nachweisen können.
Gut zu wissen: Ein vollständiges Consent-Management-System einzurichten ist technisch aufwendiger als ein einfacher Cookie-Hinweis-Banner. Plane Zeit für die Konfiguration ein, besonders wenn du mehrere Tracking-Tools einsetzt.
05. Kontaktformulare datenschutzkonform gestalten
Kontaktformulare verarbeiten personenbezogene Daten wie Name und E-Mail-Adresse. Der DSGVO-Grundsatz der Datensparsamkeit (Art. 5 Abs. 1 lit. c) verlangt, dass du nur die Felder abfragst, die für den jeweiligen Zweck wirklich notwendig sind. Ein einfaches Kontaktformular braucht keine Angaben zu Geburtsdatum, Adresse oder Telefonnummer. Wix bietet einen leistungsstarken Website-Baukasten mit vollständig anpassbaren Formularen, damit du genau das abfragen kannst, was du wirklich brauchst.
„Mit meiner professionellen Website kann ich meine Zeichnungen ganz einfach online präsentieren und Aufträge direkt annehmen.“
— Rieke Jöhnk, Portrait-Künstlerin, Wix-Nutzerin
Füge unterhalb des Formulars einen Datenschutzhinweis sowie eine Checkbox ein, mit der Nutzer:innen aktiv bestätigen, dass sie deine Datenschutzerklärung zur Kenntnis genommen haben. Diese Checkbox darf nicht vorausgewählt sein. Wie du ein professionelles und datenschutzkonformes Wix Kontaktformular erstellst, zeigt unser dazugehöriger Beitrag Schritt für Schritt.
06. Newsletter mit Double-Opt-In einrichten
Wer E-Mail-Marketing betreibt, benötigt eine ausdrückliche und nachweisbare Einwilligung der Empfänger:innen. Der DSGVO-Standard dafür ist das Double-Opt-In-Verfahren: Die Person trägt sich in das Anmeldeformular ein und erhält eine Bestätigungs-E-Mail mit einem Aktivierungslink. Erst nach dem Klick auf diesen Link ist die Einwilligung rechtswirksam.
Charlotte Jeroma und ihre Schwester Clara, Gründerinnen von Calla Concept, berichten aus ihrer eigenen Erfahrung beim Aufbau ihrer Veranstaltungs-Website:
„Wir standen vor der Herausforderung, unsere Leidenschaft für Kreativität zu zeigen und gleichzeitig Ticketverkäufe und Werbung für unsere Veranstaltungen zu managen. Dann entdeckten wir den Website-Baukasten von Wix, der uns den Einstieg unglaublich einfach machte. Nachdem wir die Grundstruktur unserer Website aufgebaut hatten, richteten wir Ticketverkäufe und E-Mail-Marketing ein.“
— Charlotte & Clara Jeroma, Calla Concept
Genau dieser Aufbau entspricht dem empfohlenen Vorgehen: erst die technischen und rechtlichen Grundlagen schaffen, dann die Marketing-Funktionen mit dem richtigen Einwilligungsverfahren aktivieren. Stelle außerdem sicher, dass du Einwilligungen mit Zeitstempel und IP-Adresse speicherst und deine Newsletter-Liste regelmäßig bereinigst. E-Mail-Adressen, die sich abgemeldet haben oder nie aktiv waren, solltest du löschen.
07. Tracking-Tools und externe Dienste prüfen
Viele Websites binden externe Dienste ein, die Daten an Server außerhalb der EU übertragen. Das betrifft unter anderem Analyse-Tools, Schriftarten, Video-Embeds und Social-Media-Plugins. Jeder dieser Dienste kann ein DSGVO-Problem darstellen, wenn keine ausreichende Rechtsgrundlage besteht. Einen guten Überblick über grundlegende website security Maßnahmen bietet unser umfassender Beitrag zu diesem Thema.
Gehe die folgenden externen Dienste konkret durch:
Analyse-Tools: Dürfen erst nach Einwilligung aktiviert werden (Opt-in). Prüfe, ob du einen Auftragsverarbeitungsvertrag mit dem Anbieter abgeschlossen hast.
Google Fonts: Müssen lokal eingebunden werden. Das Laden von Google Fonts direkt von Google-Servern überträgt IP-Adressen ohne Einwilligung, was nach einem Urteil des LG München (2022) rechtswidrig ist. Wix bindet Schriften automatisch lokal ein.
YouTube-Videos / Social-Media-Plugins: Nutze die Zwei-Klick-Lösung: Inhalte werden erst nach einem ersten Klick der Nutzer:innen aktiviert.
Auftragsverarbeitungsvertrag (AVV): Mit allen Dienstleistern, die in deinem Auftrag personenbezogene Daten verarbeiten, muss ein AVV nach Art. 28 DSGVO abgeschlossen werden.
Fazit: DSGVO-konforme Website erstellen
Eine DSGVO-konforme Website erstellen erfordert das Zusammenspiel technischer, rechtlicher und organisatorischer Maßnahmen. SSL-Verschlüsselung, Datenschutzerklärung, Impressum, Cookie-Einwilligungsmanagement, datenschutzkonforme Formulare, Double-Opt-In für Newsletter und geprüfte externe Dienste bilden zusammen ein solides Fundament. Wix unterstützt dich dabei: Mit automatischer SSL-Verschlüsselung, integrierten DSGVO-Tools, lokaler Schrifteinbindung und anpassbaren Formularen erleichtert die Plattform dir die Umsetzung vieler technischer Anforderungen.
„Die Sicherheit deiner Website ist keine Option. Sie ist ein Muss.“
— Lev Lexow, Rechtsanwalt und Datenschutzexperte bei Siebert Lexow Lang
Wix ermöglicht die Erstellung einer professionellen Unternehmenswebsite ohne Programmierkenntnisse, sodass du dich auf das konzentrieren kannst, was wirklich zählt: dein Unternehmen.
Häufig gestellte Fragen (FAQ) zur DSGVO-konformen Website
Was muss ich beachten, damit meine Website DSGVO-konform ist?
Eine DSGVO-konforme Website erstellen heißt: SSL-Verschlüsselung aktivieren, eine Datenschutzerklärung und ein Impressum einbinden, einen Cookie-Banner mit echtem Einwilligungsmanagement einrichten, Formulare datenschutzkonform gestalten, Newsletter mit Double-Opt-In verwalten und alle externen Dienste auf Datenschutzkonformität prüfen. Denke daran, dass DSGVO-Konformität kein einmaliger Zustand ist: Überprüfe deine Website regelmäßig, besonders wenn du neue Dienste einbindest oder deine Inhalte änderst.
Braucht jede Website einen Cookie-Banner?
Einen Cookie-Banner brauchst du, sobald deine Website Cookies einsetzt, die nicht technisch notwendig sind, also Analyse- oder Marketing-Cookies. Rein technische Cookies, wie Session-Cookies für einen Warenkorb oder Login-Cookies, brauchen keine Einwilligung. Setzt du ausschließlich solche technischen Cookies und bindest keine Tracking-Tools ein, kannst du auf einen Banner verzichten. In der Praxis haben aber die meisten Websites mindestens ein Analyse-Tool, das einen Banner erfordert.
Darf ich Google Analytics noch nutzen?
Ja, aber nur nach einer aktiven, vorherigen Einwilligung der Nutzer:innen (Opt-in). Es reicht nicht, Google Analytics standardmäßig zu aktivieren und lediglich die Möglichkeit zum Opt-out anzubieten. Stelle außerdem sicher, dass ein Auftragsverarbeitungsvertrag mit Google besteht, und prüfe regelmäßig die aktuellen Datenschutzbehörden-Entscheidungen zur Drittstaatenübertragung.
Muss ich Google Fonts lokal einbinden?
Wenn du Google Fonts nutzt, musst du sie lokal auf deinem Server einbinden. Das Landgericht München entschied im Januar 2022 (Az. 3 O 17493/20), dass das direkte Laden von Google Fonts von Google-Servern ohne ausdrückliche Einwilligung gegen die DSGVO verstößt, weil dabei die IP-Adresse der Besucher:innen übertragen wird. Nutzt du eine Website von Wix, werden alle Schriften automatisch lokal eingebunden. Du musst nichts weiter konfigurieren.
Was muss in einer Datenschutzerklärung stehen?
Eine Datenschutzerklärung muss mindestens die folgenden Informationen enthalten: Name und Kontakt des Verantwortlichen, Zweck und Rechtsgrundlage der Datenverarbeitung nach Art. 6 DSGVO, Angaben zu Empfängern oder Empfängerkategorien, Dauer der Datenspeicherung sowie die Rechte der betroffenen Personen: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch. Hinzu kommen Angaben zu automatisierten Entscheidungen, falls zutreffend.
Welche Rechte haben Website-Besucher nach der DSGVO?
Besucher:innen haben das Recht auf Auskunft über ihre gespeicherten Daten, Berichtigung falscher Daten, Löschung (sogenanntes Recht auf Vergessenwerden) und Einschränkung der Verarbeitung. Außerdem können sie der Verarbeitung widersprechen und ihre Daten in einem maschinenlesbaren Format anfordern (Datenübertragbarkeit). Bei Datenschutzverstößen steht ihnen das Recht zu, Beschwerde bei der zuständigen Datenschutzaufsichtsbehörde einzureichen.
Vanessa Roth
Content Growth Managerin
