Webseite rechtlich prüfen lassen: DSGVO- und BFSG-Audit für kleine Unternehmen

Ich bekomme diese Anfrage regelmäßig: Ein Kunde hat gerade eine neue Webseite online gestellt, und jetzt fragen sich alle, ob sie rechtlich sicher ist. Meistens steckt dahinter kein konkreter Anlass, sondern ein diffuses Unbehagen: Man hat irgendwo von DSGVO-Bußgeldern gelesen, eine Bekannte hat eine Abmahnung bekommen, und jetzt möchte man auf der sicheren Seite sein.

Das Unbehagen ist berechtigt. Seit 2025 hat sich die Rechtslage für Webseiten-Betreiber weiter verschärft: Das BFSG (Barrierefreiheitsstärkungsgesetz) gilt seit dem 28. Juni 2025, das frühere TTDSG heißt seit Mai 2024 TDDDG, und das DDG hat das alte TMG abgelöst. Ich bin Webentwickler, kein Anwalt - was ich Ihnen hier erkläre, ist kein Rechtsrat, sondern ein Überblick aus der Praxis, was ein strukturiertes Audit beinhaltet und warum es sich lohnt.

Was ein Webseiten-Rechts-Audit überhaupt umfasst

Ein seriöses Audit prüft nicht nur, ob ein Impressum vorhanden ist. Es gibt sechs Bereiche, die systematisch durchleuchtet werden sollten:

1. Impressum - Vollständigkeit nach § 5 DDG (früher TMG), direkte Erreichbarkeit, kein Cookie-Banner davor
2. Datenschutzerklärung - Aktualität, vollständige Auflistung aller Datenverarbeitungen, Rechtsgrundlagen
3. Cookie-Consent - Technische Umsetzung nach TDDDG, gleichwertige Ablehnen-Option auf erster Ebene
4. Externe Dienste - Google Fonts, Analytics, Maps, eingebettete Videos: Jeder Drittanbieter-Dienst muss in der Datenschutzerklärung stehen und ggf. eine Einwilligung erhalten
5. AGB und Widerrufsbelehrung - Relevant für Shops; häufige Fehler bei Widerrufsfristen und Musterformularen
6. Barrierefreiheit - Neu seit Juni 2025: BFSG-Konformität nach WCAG 2.1 Level AA

Das TDDDG und der Cookie-Banner: Wo die meisten Fehler passieren

Das frühere TTDSG heißt seit Mai 2024 TDDDG - inhaltlich hat sich wenig geändert, aber die Rechtsprechung hat sich weiterentwickelt. Deutsche Gerichte haben 2024 und 2025 in mehreren Urteilen klargestellt: Ein Cookie-Banner ohne gleichwertigen "Ablehnen"-Button auf der ersten Ebene ist abmahnfähig.

In der Praxis sieht das so aus: "Alle akzeptieren" steht groß und grün, "Einstellungen" führt zu einem Untermenü. Das reicht nicht mehr. "Ablehnen" muss genauso sichtbar sein wie "Annehmen", ohne zusätzlichen Klick.

Bei einem Kundenprojekt aus Hamburg habe ich letztes Jahr einen Fall begleitet, bei dem eine Abmahnung allein wegen des Cookie-Banners einging. Der Banner war technisch vorhanden, aber der Ablehnen-Button war auf Ebene 2 versteckt. Die Einigung hat mehr gekostet als ein vollständiges Audit.

Impressum und DDG: Was wirklich hineinmuss

Das Impressum ist der häufigste Abmahngrund überhaupt. Nicht weil die Pflicht neu wäre, sondern weil die Anforderungen sich oft ändern und viele Webseiten seit Jahren nicht aktualisiert wurden.

Nach § 5 DDG (Digitale-Dienste-Gesetz, Nachfolger des TMG) gehören ins Impressum: vollständiger Name und Anschrift, E-Mail-Adresse, Handelsregisternummer falls eingetragen, Umsatzsteuer-ID falls vorhanden, bei reglementierten Berufen die zuständige Aufsichtsbehörde. Das Impressum muss von jeder Unterseite in maximal zwei Klicks erreichbar sein - und es darf kein Cookie-Banner davor stehen, das den Zugang versperrt.

DSGVO-Audit: Was geprüft wird und was es kostet

Ein DSGVO-Audit für eine Unternehmenswebseite prüft im Kern, welche personenbezogenen Daten verarbeitet werden, auf welcher Rechtsgrundlage das passiert und ob die Betroffenen korrekt informiert werden.

Besonders fehleranfällig sind externe Dienste: Google Analytics 4 ohne Consent Mode, Google Fonts direkt von Google-Servern eingebunden (dabei wird die IP-Adresse der Besucher übertragen), YouTube-Embeds ohne Datenschutz-Wrapper, oder ein Kontaktformular ohne Hinweis auf die Datenverarbeitung.

Für eine einfache Webseite mit 10 bis 20 Unterseiten berechnen spezialisierte Anbieter zwischen 500 und 1.500 EUR für ein einmaliges Audit mit Handlungsempfehlungen. Für einen WooCommerce-Shop oder ein komplexeres Portal sind 2.000 bis 5.000 EUR realistisch. Einzelne Datenschutzanwälte rechnen nach Stunden, typischerweise 150 bis 300 EUR pro Stunde.

Das BFSG: Barrierefreiheit seit Juni 2025

Das Barrierefreiheitsstärkungsgesetz gilt seit dem 28. Juni 2025. Es setzt die EU-Richtlinie über die Barrierefreiheitsanforderungen für Produkte und Dienstleistungen (European Accessibility Act) in deutsches Recht um.

Wer muss sich darum kümmern? Unternehmen, die Websites als Teil einer digitalen Dienstleistung betreiben - also praktisch alle, die über ihre Webseite Leistungen anbieten. Ausnahme: Kleinstunternehmen mit weniger als 10 Mitarbeitern und unter 2 Millionen EUR Jahresumsatz sind im reinen Dienstleistungsbereich ausgenommen. Wer aber Produkte herstellt, importiert oder vertreibt, die unter das BFSG fallen, muss diese auch als Kleinstunternehmer barrierefrei gestalten.

Maßstab ist WCAG 2.1 Level AA. Praktisch bedeutet das:

• Farbkontraste: mindestens 4,5:1 für normalen Text, 3:1 für großen Text
• Vollständige Tastaturnavigation (kein Element, das nur per Maus erreichbar ist)
• Alt-Texte für alle informativen Bilder
• Korrekte Überschriftenhierarchie (kein Sprung von H1 zu H4)
• Keine Inhalte, die Anfälle auslösen können (keine blinkenden Elemente über 3 Hz)
• Skalierbarkeit bis 200% ohne Informationsverlust

Automatisierte Tools wie Google Lighthouse, axe oder WAVE finden dabei nur 30 bis 40 Prozent der Probleme. Manuelle Tests mit Tastatur und Screenreader (z.B. NVDA unter Windows) sind Pflicht.

Externe Dienste: Die unterschätzte Baustelle

Erfahrungsgemäß ist die Liste externer Dienste das Feld, das bei einer Prüfung die meisten Überraschungen bringt. Eine typische mittelgroße Unternehmenswebseite sendet Daten an zehn bis fünfzehn externe Server - und viele davon sind dem Betreiber gar nicht bewusst.

Häufige Quellen für Probleme:

• Google Fonts direkt eingebunden - Sendet IP-Adressen an Google. Lösung: Schriften lokal hosten. Das kostet auf einer WordPress-Seite 30 Minuten Arbeit und ist Pflicht.
• Google Analytics ohne Consent Mode - Seit dem Consent Management Update von Google Ads ist Consent Mode v2 auch für reine Analytics-Nutzer relevant, die Conversions tracken.
• YouTube-Embeds - Standard-Embeds laden Tracking-Skripte sofort. Nocookie-Domain oder Datenschutz-Wrapper (Facepilot, WP YouTube Lyte) sind die saubere Lösung.
• Social-Media-Buttons - Klassische Share-Buttons laden beim Seitenaufruf Daten zu den Plattformen. Zwei-Klick-Lösung oder serverseitige Generierung verwenden.
• Kontaktformulare - Jeder Drittanbieter (Contact Form 7 mit Flamingo, HubSpot-Forms, Typeform) verarbeitet Daten und braucht einen AVV.

Wie ein strukturierter Audit-Prozess aussieht

In den Projekten, die ich im Rahmen der Webseitenerstellung begleite, läuft eine rechtliche Prüfung in der Regel so ab:

Phase 1 - Bestandsaufnahme (1-3 Tage): Crawl der gesamten Webseite, Erfassung aller externen Anfragen (Browser-Netzwerk-Tab oder Tool wie Ghostery), Liste aller Dienste und Verträge.

Phase 2 - Lückenanalyse (1-2 Tage): Abgleich des Ist-Zustands mit den gesetzlichen Anforderungen. Welche Dienste fehlen in der Datenschutzerklärung? Welche Einwilligungen werden nicht korrekt eingeholt? Barrierefreiheits-Scan mit axe und Lighthouse, ergänzt durch manuellen Test.

Phase 3 - Priorisierte Handlungsempfehlungen: Aufteilung in "sofort beheben" (z.B. Google Fonts von fremden Servern, fehlende Ablehnen-Option im Cookie-Banner) und "mittelfristig angehen" (z.B. BFSG-Korrekturen, die einen Theme-Umbau erfordern).

Phase 4 - Umsetzung und Nachprüfung: Technische Korrekturen umsetzen, Datenschutzerklärung aktualisieren, Einstellungen im Consent-Manager anpassen. Dann erneuter Scan zur Verifikation.

Für laufende Projekte lohnt sich ein jährliches Folge-Audit, das günstiger ist als das Erstaudit, weil der Grundaufwand wegfällt.

Was Sie selbst vorab prüfen können

Vor einem professionellen Audit können Sie selbst einige Punkte abhaken, um den Umfang einzugrenzen und die Kosten zu senken:

Wenn Sie nach diesem Selbstcheck unsicher sind oder konkrete Lücken gefunden haben, ist ein professionelles Audit die nächste logische Maßnahme. Bei dawidweb.com begleite ich die technische Seite solcher Audits - von der Einbindung lokaler Fonts über die Konfiguration des Consent-Managers bis zur BFSG-konformen Anpassung des Themes. Die rechtliche Bewertung liegt beim Anwalt Ihres Vertrauens.

Ein strukturiertes Audit zahlt sich aus - nicht nur um Abmahnungen zu vermeiden, sondern auch weil eine saubere, schnelle und zugängliche Webseite messbar besser performt. Zwei Ziele, eine Investition.