Gilt die DSGVO für Websites mit Sitz in den USA, die Besucher aus der EU haben?

Ja. Wenn eine Website mit Sitz in den USA personenbezogene Daten von Personen in der EU verarbeitet — einschließlich einfacher Analysedaten wie IP-Adressen —, gilt die DSGVO für diese Verarbeitung.

Wie hoch sind DSGVO-Bußgelder für kleine und mittlere Unternehmen?

Bußgelder skalieren in der Praxis mit Schwere und Unternehmensgröße, und die Durchsetzung gegenüber kleinen Unternehmen beginnt üblicherweise mit einer Beschwerde oder Aufforderung zur Korrektur statt einem sofortigen Höchstbußgeld. Die formalen Höchstbußgelder der Verordnung liegen weit über dem, was typischerweise bei einem erstmaligen technischen Problem eines kleinen Unternehmens angewendet wird.

Brauche ich einen Datenschutzbeauftragten (DSB) für meine Website?

Die meisten kleinen Websites benötigen keinen formellen DSB — diese Anforderung gilt im Allgemeinen für Behörden und Organisationen mit umfangreicher oder risikoreicher Datenverarbeitung. Die meisten Website-Betreiber müssen die übrigen Anforderungen der DSGVO trotzdem erfüllen, auch ohne einen zu benennen.

DSGVO-Modul

DSGVO-Compliance für Websites: Der vollständige Leitfaden

Q: Was ist die DSGVO und für wen gilt sie?

Die DSGVO ist die Datenschutzverordnung der EU. Sie gilt für jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet, unabhängig davon, wo diese Organisation ansässig ist.

Was die Verordnung von einer Website tatsächlich verlangt, in einfachen Worten.

Kurzantwort

Die DSGVO (Datenschutz-Grundverordnung) verlangt, dass Websites, die personenbezogene Daten von Personen in der EU verarbeiten, eine Rechtsgrundlage für diese Verarbeitung haben, sie klar offenlegen (üblicherweise in einer Datenschutzerklärung) und eine informierte Einwilligung einholen, bevor nicht notwendiges Tracking — etwa Analyse- oder Werbe-Cookies — läuft. Sie gilt unabhängig davon, wo der Betreiber der Website ansässig ist, auch für Websites mit Sitz in den USA, solange Daten von EU-Bürgern verarbeitet werden. Nichteinhaltung kann zu Bußgeldern führen, wobei die Durchsetzung in der Praxis meist im Verhältnis zur Unternehmensgröße und Schwere des Problems steht.

Von GetGDPRScan Editorial · Zuletzt aktualisiert 2026-07-24

Die DSGVO ist ein Datenschutzgesetz, keine Vorgabe für Website-Design — in der Praxis ist jedoch das meiste, was ein Website-Betreiber zur Einhaltung tun muss, konkret und überprüfbar: was vor der Einwilligung läuft, was eine Datenschutzerklärung offenlegt und wie lange Daten aufbewahrt werden.

Dieser Leitfaden behandelt die Teile der DSGVO, die speziell für den Betrieb einer Website gelten. Er deckt nicht jede Bestimmung der Verordnung ab und ist keine Rechtsberatung — siehe Was automatisierte Compliance-Scanner erkennen (und was nicht) dafür, wo der Nutzen eines Scans endet und der einer Anwältin oder eines Anwalts beginnt.

Gilt die DSGVO für meine Website?

Die DSGVO gilt für jede Organisation, die personenbezogene Daten von Personen in der EU verarbeitet, unabhängig davon, wo diese Organisation ansässig ist. Ein Blog mit Sitz in den USA mit Besuchern aus der EU, ein slowenischer Online-Shop und ein deutsches B2B-SaaS-Produkt fallen alle in den Anwendungsbereich, sofern sie personenbezogene Daten von EU-Bürgern verarbeiten — was bereits so etwas Einfaches wie eine von einem Analyse-Tool erfasste IP-Adresse einschließt.

Auch die Größe befreit eine Website nicht. Ein kleines Unternehmen oder Nebenprojekt, das Google Analytics oder ein Kontaktformular nutzt, verarbeitet personenbezogene Daten, und die DSGVO gilt mit denselben Kernanforderungen unabhängig von der Unternehmensgröße — auch wenn sich Durchsetzungsprioritäten und die realistische Risikoexposition zwischen einem Fünf-Personen-Startup und einem Großunternehmen erheblich unterscheiden.

Was verlangt die DSGVO tatsächlich von einer Website?

Drei Dinge tauchen in fast jeder Website-Compliance-Prüfung auf: eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten, informierte Einwilligung vor nicht notwendigem Tracking und eine Datenschutzerklärung, die offenlegt, was tatsächlich geschieht.

•Rechtsgrundlage — eine rechtliche Rechtfertigung (meist Einwilligung, oder "berechtigtes Interesse" in bestimmten begrenzten Fällen) für die Erhebung und Nutzung personenbezogener Daten
•Einwilligung vor nicht notwendigem Tracking — Analyse-, Werbe- und ähnliche Cookies/Skripte sollten nicht feuern, bevor ein Besucher ihnen aktiv zugestimmt hat
•Eine Datenschutzerklärung — die offenlegt, welche Daten erhoben werden, warum, wie lange sie aufbewahrt werden und mit wem sie geteilt werden (DSGVO Art. 13/14)
•Rechte betroffener Personen — Mechanismen, mit denen Personen Zugriff auf, Berichtigung oder Löschung ihrer Daten verlangen können
•Grenzen der Datenspeicherung — personenbezogene Daten nicht ohne berechtigten Grund unbegrenzt aufbewahren

Was ist der Unterschied zwischen Verantwortlichem und Auftragsverarbeiter?

Ein Verantwortlicher entscheidet, warum und wie personenbezogene Daten verarbeitet werden — üblicherweise der Website-Betreiber. Ein Auftragsverarbeiter verarbeitet Daten im Auftrag des Verantwortlichen, nach dessen Weisung — üblicherweise ein Drittanbieter wie ein E-Mail-Dienstleister oder eine Analyseplattform. Die meisten Website-Betreiber sind Verantwortliche, und die meisten der von ihnen eingebundenen SaaS-Tools (Analyse, E-Mail-Marketing, Live-Chat) sind Auftragsverarbeiter — deshalb wird ein Auftragsverarbeitungsvertrag (AVV) mit diesen Anbietern normalerweise erwartet, nicht optional.

Ist Google Analytics DSGVO-konform?

Google Analytics selbst ist weder von Natur aus konform noch nicht konform — die Umsetzung entscheidet darüber. Der häufigste Verstoß ist, dass Google Analytics (oder der es ladende Google Tag Manager) feuert, bevor ein Besucher eingewilligt hat, da Analyse nach der DSGVO nicht notwendiges Tracking ist. Googles Consent Mode v2 ist eine anerkannte Möglichkeit, dies korrekt zu steuern.

So prüft GetGDPRScan das: Das DSGVO-Modul von GetGDPRScan prüft gezielt, ob Google Analytics vor der Einwilligung feuert und ob Consent Mode v2 implementiert ist — für einen gezielten Scan siehe den dedizierten Google Analytics DSGVO-Checker.

Was passiert, wenn eine Website nicht DSGVO-konform ist?

Bußgelder sind die auffälligste Konsequenz und können bei schweren oder wiederholten Verstößen erheblich sein — für die meisten kleinen und mittleren Unternehmen beginnt die Durchsetzung in der Praxis jedoch eher mit einer Beschwerde oder Prüfungsanfrage als mit einem sofortigen Bußgeld, und die Sanktionen sind im Allgemeinen verhältnismäßig zur Schwere des Problems und zur Unternehmensgröße. Das häufigere praktische Risiko ist kleiner und unmittelbarer: eine Beschwerde eines Besuchers bei einer Datenschutzbehörde, ein Reputationsschaden oder — zunehmend — der Verlust von Kunden oder Partnern, die im Beschaffungsprozess einen Compliance-Nachweis verlangen.

Wie kann ich prüfen, ob meine Website DSGVO-konform ist?

Die technischen Teile — Tracking vor Einwilligung, Vorhandensein eines Cookie-Banners, Vollständigkeit der Datenschutzerklärung — sind genau das, was ein automatisierter Scan gut kontinuierlich prüfen kann. Die Teile, die ein Scan nicht prüfen kann — ob Ihre Rechtsgrundlage korrekt dokumentiert ist, ob AVVs mit Ihren Anbietern unterzeichnet sind — müssen von einem Menschen, idealerweise einer Fachperson, geprüft werden.

Das Wichtigste in Kürze

•Die DSGVO gilt danach, wessen Daten verarbeitet werden (EU-Bürger), nicht danach, wo das Unternehmen ansässig ist.
•Der häufigste website-spezifische Verstoß ist ein Tracking-Skript, das vor der Einwilligung feuert.
•Eine Datenschutzerklärung, ein funktionierendes Cookie-Banner und AVVs mit Anbietern decken das meiste ab, was bei einer typischen Website überprüfbar ist.
•Bußgelder existieren, aber die Durchsetzung ist in der Praxis meist verhältnismäßig — das unmittelbarere Risiko sind Beschwerden, Reputationsschäden und verlorene Geschäfte.