„Brauche ich wirklich ein Cookie-Banner?" ist eine der häufigsten Fragen, die uns Kunden vor dem Launch stellen. Die ehrliche Antwort: Es kommt darauf an, was Ihre Website tut — aber ein paar Dinge sind für so gut wie jede Unternehmenswebsite in Deutschland Pflicht, unabhängig von Branche oder Größe. Hier die Grundlagen, ohne Fachchinesisch und ohne Panikmache.

Das Impressum: keine Kür, sondern Pflicht

Jede geschäftsmäßige Website in Deutschland braucht ein Impressum nach § 5 Digitale-Dienste-Gesetz — unabhängig davon, ob Sie etwas verkaufen oder nur informieren. Name, Anschrift, Kontaktmöglichkeit und bei Kapitalgesellschaften zusätzliche Angaben wie Handelsregisternummer müssen vollständig und leicht auffindbar sein, in der Regel über einen Link im Footer, der von jeder Seite aus erreichbar ist. Ein fehlendes oder unvollständiges Impressum gehört zu den häufigsten Abmahngründen überhaupt — und ist zugleich einer der am einfachsten zu vermeidenden.

Die Datenschutzerklärung: was wirklich hineingehört

Sobald Ihre Website personenbezogene Daten verarbeitet — und das tut praktisch jede, allein durch Server-Logs oder ein Kontaktformular — schreibt die DSGVO eine Datenschutzerklärung vor. Sie muss konkret benennen, welche Daten zu welchem Zweck erhoben werden, auf welcher Rechtsgrundlage, wie lange sie gespeichert bleiben und welche Dienste Dritter eingebunden sind — etwa Google Maps, Schriftarten von Google Fonts oder ein Buchungstool. Eine generische, von einer anderen Website kopierte Erklärung erfüllt diese Pflicht nicht: Sie muss die tatsächlich eingesetzten Dienste Ihrer Website widerspiegeln.

Cookie-Banner: wann wirklich nötig

Ein Cookie-Banner ist nicht automatisch Pflicht — entscheidend ist, was im Hintergrund passiert. Rein technisch notwendige Cookies, etwa für die Funktion eines Kontaktformulars, brauchen keine Einwilligung. Sobald aber Tracking- oder Marketing-Tools wie Google Analytics, Facebook-Pixel oder eingebettete YouTube-Videos im Hintergrund Cookies setzen oder Daten an Dritte übertragen, ist eine aktive, informierte Einwilligung vor dem Setzen dieser Cookies erforderlich — ein Banner, das lediglich informiert, reicht dafür nicht aus.

Formulare und Auftragsverarbeitung

Jedes Kontakt- oder Buchungsformular verarbeitet personenbezogene Daten — und jeder externe Dienst, der dabei mitwirkt, vom Hosting-Anbieter bis zum E-Mail-Versand, benötigt in der Regel einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO. Seriöse Hosting- und Tool-Anbieter stellen diesen Vertrag standardmäßig zur Verfügung; es lohnt sich, das vor der Auswahl eines Anbieters aktiv zu prüfen, statt es im Nachhinein zu bemerken.

Impressum — vollständig, aktuell, von jeder Seite aus erreichbar
Datenschutzerklärung — individuell auf die tatsächlich eingesetzten Dienste zugeschnitten
Cookie-Banner — nur wo tatsächlich nicht-notwendige Cookies gesetzt werden, mit echter Opt-in-Logik
SSL-Verschlüsselung (https) — mittlerweile technischer Standard und datenschutzrechtlich erwartet
Auftragsverarbeitungsverträge — mit Hosting-Anbieter und allen eingebundenen Drittdiensten

Warum sich das bei individuellem Design leichter umsetzen lässt

Baukastensysteme bringen oft eine Vielzahl an Drittdiensten und Tracking-Skripten mit, die im Hintergrund laufen, ohne dass es auf den ersten Blick ersichtlich ist — jeder davon muss in der Datenschutzerklärung korrekt erfasst sein. Bei einer schlank entwickelten, individuellen Website ist genau nachvollziehbar, welche Dienste tatsächlich eingebunden sind, was die Datenschutzerklärung spürbar einfacher und präziser macht.

Fazit

DSGVO-Konformität ist kein einmaliges Häkchen, sondern eine laufende Sorgfaltspflicht — aber mit den genannten Grundlagen sind die wichtigsten Risiken bereits deutlich reduziert. Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall; bei Unsicherheiten, insbesondere zu branchenspezifischen Besonderheiten, empfiehlt sich die Rücksprache mit einem spezialisierten Anwalt oder Datenschutzbeauftragten.