Recht, Steuern & Absicherung

Datenschutzerklärung für Gründer: Website DSGVO-konform ohne Anwalt

Von Martin StiffelAktualisiert am 26. September 20266 Min. Lesezeit

Deine Website steht, das Logo sitzt, das Kontaktformular funktioniert. Und dann kommt die Frage, bei der viele Gründer ins Stocken kommen: Was muss eigentlich in die Datenschutzerklärung? Die gute Nachricht: Für eine normale Gründer-Website brauchst du dafür in der Regel keinen Anwalt. Du brauchst Klarheit darüber, welche Daten du tatsächlich verarbeitest. Genau da hakt es meistens, nicht am Juristendeutsch.

Warum das Thema 2026 wieder heiß ist

Bisher galt die Datenschutzerklärung als Pflichtübung, die man einmal abhakt. Das ändert sich gerade. Der Europäische Datenschutzausschuss (EDPB) hat für 2026 seine koordinierte Prüfaktion genau auf dieses Thema gelegt: Transparenz und Informationspflichten nach Art. 12 bis 14 DSGVO. Seit dem 19. März 2026 läuft die Aktion, 25 europäische Aufsichtsbehörden beteiligen sich und prüfen im Laufe des Jahres, ob Verantwortliche verständlich und vollständig darüber informieren, was mit personenbezogenen Daten passiert (Quelle: EDPB, Coordinated Enforcement Framework 2026, Stand: 29.07.2026).

Für dich als Gründerin oder Gründer heißt das nicht: Panik. Es heißt: Die Datenschutzerklärung sollte zu deiner Website passen, nicht zu irgendeiner Beispiel-Website. Genau das ist der Punkt, an dem Copy-and-paste-Texte auffallen.

Was muss nach Art. 13 DSGVO in die Datenschutzerklärung?

Art. 13 DSGVO regelt, worüber du informieren musst, wenn du Daten direkt bei der betroffenen Person erhebst. Das ist auf einer Website fast immer der Fall: Server-Logfiles, Kontaktformular, Newsletter, Terminbuchung. Diese Punkte gehören hinein (Quelle: Art. 13 DSGVO, Stand: 29.07.2026):

Wer ist verantwortlich: Name, Anschrift, Kontaktdaten. Bei Solo-Selbstständigen ist das deine Geschäftsadresse, dieselbe wie im Gewerbe und im Impressum.
Datenschutzbeauftragter, falls du einen benennen musst. Als Solo-Gründer in der Regel nicht.
Zwecke der Verarbeitung: Warum verarbeitest du die Daten? Kontaktanfrage bearbeiten, Newsletter versenden, Website bereitstellen.
Rechtsgrundlage je Zweck: Einwilligung, Vertrag oder berechtigtes Interesse. Ein Satz pro Verarbeitung reicht.
Empfänger oder Kategorien von Empfängern: Hoster, Newsletter-Tool, Terminbuchungs-Tool, Steuerberatung, Zahlungsdienstleister.
Drittlandtransfer: Wenn Daten in Länder außerhalb der EU fließen, musst du das benennen und die Grundlage angeben.
Speicherdauer oder die Kriterien, nach denen du löschst.
Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch, Widerruf einer Einwilligung.
Beschwerderecht bei einer Aufsichtsbehörde.
Automatisierte Entscheidungen und Profiling, falls du sie einsetzt. Auf einer normalen Gründer-Website ist das üblicherweise nicht der Fall. Und wenn du dich auf ein berechtigtes Interesse stützt, musst du dieses Interesse konkret benennen.
Hinweis, ob die Angabe der Daten Pflicht ist und was passiert, wenn sie nicht kommen. Beim Kontaktformular: ohne E-Mail-Adresse keine Antwort.

Merke dir die Reihenfolge nicht auswendig. Merke dir die Logik: Wer, warum, auf welcher Grundlage, mit wem, wie lange, welche Rechte hast du.

Brauchst du dafür wirklich einen Anwalt?

Für die typische Gründer-Website mit Startseite, Leistungen, Über mich, Kontaktformular, Newsletter und Terminbuchung: meist nicht. Der juristische Text ist bei diesen Standard-Bausteinen weitgehend geklärt, es gibt gute Generatoren, und die Aufsichtsbehörden erwarten Verständlichkeit, keine Kanzlei-Prosa.

Anwaltliche Prüfung lohnt sich dagegen, wenn du besonders sensible oder komplexe Verarbeitungen hast: Gesundheits- oder Bewerberdaten, ein Shop mit Zahlungsabwicklung und Profilbildung, eine App, Kundenkonten, umfangreiches Marketing-Tracking oder Auftragsverarbeitung für andere Unternehmen. Faustregel: Je näher du an sensiblen Daten oder an personalisierter Werbung bist, desto eher zahlt sich eine Prüfung aus.

Wie du in gut einer Stunde zu einer belastbaren Erklärung kommst

Arbeite in dieser Reihenfolge, dann verrennst du dich nicht:

Schritt 1: Tool-Inventar erstellen (20 Minuten)

Schreib alles auf, was auf deiner Website Daten verarbeitet: Hosting, Content-Management-System, Theme und Plugins, Kontaktformular, Newsletter-Tool, Terminbuchung, Analyse-Tool, Schriftarten, Karten, Videos, Social-Media-Buttons, Chat, Zahlungsdienstleister. Prüfe im Browser über die Entwicklertools, welche externen Domains beim Seitenaufruf tatsächlich geladen werden. Oft findest du dort Dienste, von denen du nichts wusstest, weil ein Theme sie mitbringt.

Schritt 2: Unnötiges rauswerfen (10 Minuten)

Jeder Dienst, den du nicht brauchst, ist ein Absatz weniger in der Erklärung und ein Risiko weniger. Schriftarten lokal einbinden statt extern laden, Video erst nach Klick laden, Social-Media-Buttons durch einfache Links ersetzen. Datenschutz durch Datensparsamkeit ist der billigste Weg.

Schritt 3: Generator ausfüllen (20 Minuten)

Nimm einen Generator, der von Juristen gepflegt und laufend aktualisiert wird, und arbeite ihn Modul für Modul mit deinem Inventar aus Schritt 1 durch. Wichtig: Klick nicht einfach alles an. Jedes Modul, das du aktivierst, aber nicht einsetzt, macht die Erklärung falsch. Und jedes Tool, das du einsetzt, aber nicht nennst, ebenfalls.

Schritt 4: Auftragsverarbeitung klären (10 Minuten)

Für Dienste, die in deinem Auftrag Daten verarbeiten (Hoster, Newsletter-Tool, Buchungstool), brauchst du einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO. Seriöse Anbieter stellen den im Kundenkonto zum Abschluss oder Download bereit. Leg die Dokumente in einen Ordner, damit du sie bei einer Anfrage sofort findest.

Schritt 5: Verlinken und Termin setzen (5 Minuten)

Die Erklärung sollte von jeder Seite aus leicht erreichbar sein, in der Praxis mit möglichst wenigen Klicks, üblicherweise im Footer neben dem Impressum. Und setz dir einen Kalendereintrag: einmal im Jahr und immer dann, wenn du ein neues Tool einbaust, gehst du die Liste durch.

Datenschutzerklärung und Cookie-Banner sind zwei verschiedene Dinge

Das wird ständig verwechselt. Die Datenschutzerklärung informiert. Der Cookie-Banner holt eine Einwilligung ein. Für das Speichern von Informationen auf dem Endgerät deiner Besucher, also Cookies und vergleichbare Techniken, gilt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG. Das ist das Gesetz, das vorher TTDSG hieß, inhaltlich sind die Cookie-Regeln geblieben (Quelle: § 25 TDDDG, Stand: 29.07.2026).

Praktisch bedeutet das: Technisch notwendige Cookies, etwa für Warenkorb oder Login, dürfen ohne Einwilligung gesetzt werden. Alles, was Analyse, Marketing oder Wiedererkennung dient, braucht eine vorherige, aktive Einwilligung. Und: Wenn deine Website ohne Analyse und Marketing läuft, brauchst du oft überhaupt keinen Banner. Für viele Gründer-Websites in der Startphase ist genau das der einfachste und ehrlichste Weg.

Die sieben häufigsten Fehler auf Gründer-Websites

Fremde Erklärung kopiert. Sie nennt Tools, die du nicht nutzt, und verschweigt die, die du nutzt. Fehlende Angaben verstoßen gegen die Informationspflicht nach Art. 13 DSGVO, falsche gegen den Transparenzgrundsatz.
Google Fonts extern geladen. Beim Seitenaufruf geht die IP-Adresse an einen Drittanbieter, ohne dass jemand gefragt wurde. Lokale Einbindung löst das Problem in wenigen Minuten.
Analyse-Tool feuert vor der Einwilligung. Der Banner ist da, das Skript lädt trotzdem sofort. Prüf das im Netzwerk-Tab deines Browsers, nicht im Vertrauen auf das Plugin.
Kontaktformular ohne Angaben. Wohin gehen die Daten, wie lange bleiben sie liegen, auf welcher Grundlage? Genau das will Art. 13 wissen.
Newsletter ohne dokumentiertes Double-Opt-in. Ohne Nachweis der Einwilligung fehlt dir bei einer Beschwerde die Grundlage.
Kein Vertrag zur Auftragsverarbeitung mit dem Hoster. Die Erklärung nennt den Hoster, das Dokument fehlt.
Einmal erstellt, nie wieder angesehen. Das Chat-Widget von letztem Jahr ist noch aktiv, in der Erklärung steht es nie.

Was passiert, wenn nichts oder das Falsche drinsteht?

Zwei Risiken, die du auseinanderhalten solltest.

Aufsichtsbehörde. Verstöße gegen die Informationspflichten können nach Art. 83 DSGVO mit Bußgeldern belegt werden. Der Rahmen reicht bis 20 Millionen Euro oder, im Fall eines Unternehmens, bis 4 Prozent des gesamten weltweit erzielten Jahresumsatzes des vorangegangenen Geschäftsjahrs, je nachdem, welcher Betrag höher ist (Quelle: Art. 83 DSGVO, Stand: 29.07.2026). Diese Zahlen beschreiben den gesetzlichen Höchstrahmen für schwere Fälle bei großen Unternehmen, nicht das, was eine Solo-Gründerin mit einer unvollständigen Erklärung erwartet. In der Praxis kommt bei kleinen Websites zuerst eine Aufforderung zur Nachbesserung. Ignorieren solltest du sie nicht.

Beschwerden und Post von Dritten. Häufiger als ein Bußgeldbescheid ist eine Beschwerde einer betroffenen Person oder ein Schreiben eines Wettbewerbers. Beides kostet Zeit und Nerven, und beides ist mit einer sauberen Erklärung schnell erledigt.

Der pragmatische Rahmen: Datenschutz ist bei einer normalen Gründer-Website kein Projekt, sondern eine Stunde Arbeit plus ein Jahrestermin. Behandle es wie deine Buchhaltung. Nicht schön, aber mit System harmlos. Wie das in den Gesamtfahrplan passt, steht im Pillar-Artikel Selbstständig machen: die komplette Anleitung, die betriebliche Absicherung daneben in Versicherungen für Gründer.

Häufige Fragen

Reicht eine Datenschutzerklärung aus einem kostenlosen Generator?

Für eine Standard-Gründer-Website in der Regel ja, wenn du sie ehrlich ausfüllst und die Module an deine tatsächlich eingesetzten Tools anpasst. Kritisch ist nie der Textbaustein, sondern eine Erklärung, die etwas anderes behauptet als die Website tut.

Brauche ich als Solo-Selbstständige einen Datenschutzbeauftragten?

In der Regel nicht. Die Benennungspflicht folgt aus Art. 37 DSGVO und § 38 Abs. 1 BDSG und knüpft unter anderem an die Zahl der Personen an, die ständig mit automatisierter Verarbeitung beschäftigt sind, sowie an besondere Verarbeitungen. Als Solo-Selbstständige ohne Team und ohne umfangreiche Verarbeitung besonderer Datenkategorien fällst du typischerweise nicht darunter.

Muss die Datenschutzerklärung ins Impressum?

Nein, es sind zwei getrennte Dokumente mit unterschiedlichen Rechtsgrundlagen. Beide sollten aber von jeder Seite mit einem Klick erreichbar sein, üblicherweise über den Footer.

Brauche ich einen Cookie-Banner, wenn ich kein Analyse-Tool nutze?

Wenn du ausschließlich technisch notwendige Cookies einsetzt, brauchst du nach § 25 TDDDG keine Einwilligung und damit auch keinen Einwilligungs-Banner. Über die notwendigen Cookies informierst du trotzdem in der Datenschutzerklärung.

Wie oft muss ich die Datenschutzerklärung aktualisieren?

Immer dann, wenn sich etwas an deiner Verarbeitung ändert: neues Tool, neuer Dienstleister, neuer Zweck. Zusätzlich empfiehlt sich ein fester Jahrestermin, an dem du Tool-Liste und Erklärung gegeneinander prüfst.

Was ist ein Vertrag zur Auftragsverarbeitung und wo bekomme ich ihn?

Das ist eine Vereinbarung nach Art. 28 DSGVO mit jedem Dienstleister, der in deinem Auftrag personenbezogene Daten verarbeitet, etwa dein Hoster oder dein Newsletter-Anbieter. Seriöse Anbieter stellen sie im Kundenkonto zum Abschluss oder als Download bereit.

Gilt die DSGVO auch für meine reine Visitenkarten-Website?

Ja. Sobald deine Seite ausgeliefert wird, verarbeitet dein Server IP-Adressen, und das sind personenbezogene Daten. Der Umfang der Erklärung ist dann aber sehr klein, weil es wenig zu erklären gibt.