Ratgeber

DSGVO-konforme Website: worauf es ankommt

Hosting, Schriften, Formulare, Cookies und Impressum: Darauf kommt es bei einer datenschutzfreundlichen Website an. Praktisch erklärt für kleine Betriebe, Praxen und Selbstständige in Österreich.

Von Julian Rektenwald, RHost e.U. · Zuletzt aktualisiert:

Illustration: Kontaktformular einer Praxis mit den Karten Schriften lokal, Serverstandort Wien und Keine fremden Dienste
Kurz beantwortet

Das Wichtigste in Kürze

Eine DSGVO-konforme Website verarbeitet nur die Daten, die sie wirklich braucht, und informiert offen darüber. Dazu gehören ein Hoster mit Auftragsverarbeitungsvertrag, Schriften und Skripte vom eigenen Server, datensparsame Formulare über HTTPS, ein vollständiges Impressum und eine Datenschutzerklärung, die zu Ihrer Website passt. Externe Inhalte und nicht notwendige Cookies setzt sie erst nach einer Einwilligung ein. Ein Serverstandort in der EU ersetzt nicht die Prüfung, welche Daten jeder eingebundene Dienst verarbeitet und auf welcher Rechtsgrundlage.

Wie es in der Praxis aussieht, zeigt unsere Website-Studie 2026: Von 400 zufällig ausgewählten Websites kleiner Betriebe in Wien und Niederösterreich ließen sich 361 auf Verbindungen zu fremden Servern auswerten. Jede zweite davon (53 %, gewichtet nach Bundesland) stellte schon beim Öffnen eine Verbindung zu Google her, bevor jemand zugestimmt hatte. Mehr als jede dritte (37 %) startete Statistik- oder Werbedienste vor der Zustimmung.

Hosting

Hosting: Serverstandort und Auftragsverarbeitung

Bei jedem Seitenaufruf verarbeitet der Server personenbezogene Daten, zumindest die IP-Adresse der Besucher. Oft landet sie auch in Protokolldateien. Der Hoster verarbeitet diese Daten in Ihrem Auftrag, deshalb brauchen Sie mit ihm einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Haben Sie noch keinen, fragen Sie Ihren Hoster danach.

ServerstandortEin Server in Österreich ist nicht vorgeschrieben. Bleiben Server und Hoster in der EU, vermeiden Sie aber in der Regel Übermittlungen in Drittländer und damit die zusätzlichen Anforderungen nach Art. 44 ff. DSGVO.
AuftragsverarbeitungsvertragRegelt nach Art. 28 DSGVO, wie der Hoster mit den Daten Ihrer Website und Ihrer E-Mails umgeht.
Verschlüsselung und BackupsArt. 32 DSGVO verlangt geeignete Schutzmaßnahmen und nennt als Beispiele die Verschlüsselung und die rasche Wiederherstellung von Daten nach einem Zwischenfall. Für eine Website heißt das unter anderem: ein SSL-Zertifikat für HTTPS und regelmäßige Datensicherungen. In unserer Website-Studie 2026 war jede achte Website (12 %) beim Aufruf ohne „https://“ nicht sicher verschlüsselt. Zum Schutz gehört auch eine PHP-Version, die noch Sicherheitsupdates bekommt. Wie Sie das prüfen, steht im Ratgeber zur PHP-Version.

Arbeiten weitere Dienstleister für Sie, die Zugriff auf Ihre Website oder deren Daten haben, prüfen Sie auch bei ihnen, ob eine Auftragsverarbeitung vorliegt.

Hosting, das wir betreuen

Die Pakete laufen im Rechenzentrum der Simplenet OG in Wien, SSL-Zertifikat und tägliche Backups sind dabei. Die Simplenet OG stellt das Hosting technisch bereit und ist Ihr Vertragspartner, deshalb klären Sie auch den Auftragsverarbeitungsvertrag mit ihr. Bei der Auswahl und bei allen technischen Fragen helfen wir Ihnen persönlich. Mehr dazu unter Webhosting mit Serverstandort Wien.

Schriften und Dateien

Schriften und externe Dateien lokal einbinden

Viele Websites laden Schriften, Skripte oder Icons von fremden Servern, zum Beispiel von Google Fonts oder einem Content Delivery Network (CDN). Ein CDN ist ein Dienst, der Dateien für viele Websites ausliefert. Der Browser baut dann eine Verbindung zu diesem Server auf und überträgt die IP-Adresse der Besucher, ohne dass diese etwas davon merken. Das kommt oft vor: In unserer Website-Studie 2026 luden 32 % der Websites ihre Schriften von Google-Servern.

Am einfachsten legen Sie Schriftdateien, Skripte und Gestaltungsdateien (Stylesheets) auf Ihren eigenen Webspace. Dann lädt der Browser alles vom Server Ihrer Website, und die IP-Adresse Ihrer Besucher geht nicht zusätzlich an einen Schrift- oder CDN-Anbieter.

Web-SchriftenSchriftdateien herunterladen und über den eigenen Server einbinden, statt sie von Google Fonts oder ähnlichen Diensten zu laden. Das geht, sofern die Lizenz es erlaubt.
Skripte und StylesheetsJavaScript-Bibliotheken und CSS-Dateien von CDNs lokal speichern und selbst ausliefern.
Icons und GrafikenBilder und Icons auf den eigenen Server legen, statt sie von fremden Adressen einzubinden.

Prüfen können Sie das in den Entwicklerwerkzeugen Ihres Browsers: Im Reiter „Netzwerk“ sehen Sie, welche Adressen beim Laden Ihrer Website abgerufen werden. Das zeigt, welche fremden Dienste eingebunden sind, ersetzt aber keine rechtliche Prüfung.

Eingebettete Inhalte

Karten, Videos und Social-Media-Inhalte nur mit Einwilligung

Eingebettete Karten von Google Maps, YouTube-Videos oder Social-Media-Beiträge laden Inhalte direkt vom jeweiligen Anbieter. Schon beim Aufruf werden Daten wie die IP-Adresse übertragen, und oft setzt der Anbieter zusätzlich Cookies. Solche Inhalte sollten deshalb erst laden, wenn Ihre Besucher zustimmen. In unserer Website-Studie 2026 riefen 12 % der Websites schon beim Öffnen Google Maps ab, 4 % YouTube.

Die Zwei-Klick-Lösung

Statt der Karte oder des Videos zeigt Ihre Website zunächst einen Platzhalter mit einem kurzen Hinweis: welcher Anbieter geladen wird, wozu und dass dabei Daten wie die IP-Adresse an ihn gehen. Erst nach einem Klick lädt der eigentliche Inhalt. Als Einwilligung zählt der Klick nur, wenn dieser Hinweis vorher verständlich informiert. Für die Anfahrt reicht oft auch ein Link zum Routenplaner neben Ihrer Adresse. Dann öffnet sich der Kartendienst erst, wenn jemand den Link anklickt.

Kontaktformulare

Kontaktformulare datensparsam gestalten

Über ein Kontaktformular bekommen Sie Namen, E-Mail-Adressen und Nachrichten, also personenbezogene Daten. Damit das Formular datenschutzfreundlich bleibt, achten Sie auf diese Punkte:

Nur nötige FelderFragen Sie nur ab, was Sie zum Beantworten der Anfrage brauchen, und kennzeichnen Sie Pflichtfelder.
Datenschutzhinweis beim FormularDirekt beim Formular steht ein kurzer Hinweis mit Link zur Datenschutzerklärung. Er informiert über die Verarbeitung (Art. 13 DSGVO).
Verschlüsselte ÜbertragungDas Formular wird nur über HTTPS gesendet, damit Dritte die Eingaben nicht mitlesen können.
Spamschutz ohne TrackingEin unsichtbares Honeypot-Feld hält viele Spam-Bots ab, ohne Daten an Drittanbieter zu übertragen. Ein externer Spamschutz-Dienst braucht eine Rechtsgrundlage, je nach Dienst eine Einwilligung, und gehört in die Datenschutzerklärung. Die Erwähnung dort allein macht ihn nicht zulässig.
Klare AufbewahrungLegen Sie fest, wie lange Anfragen gespeichert bleiben, und löschen Sie sie, wenn Sie sie nicht mehr brauchen.
Cookies und Tracking

Cookies und Tracking: erst die Einwilligung

Nach § 165 Abs. 3 TKG 2021 dürfen Informationen auf den Geräten Ihrer Besucher nur mit deren Einwilligung gespeichert oder ausgelesen werden. Ausgenommen ist, was unbedingt nötig ist, um einen ausdrücklich gewünschten Dienst bereitzustellen, zum Beispiel ein Cookie für den Warenkorb eines Onlineshops. Davon getrennt ist die Frage, ob ein Dienst personenbezogene Daten wie die IP-Adresse verarbeitet: Dafür braucht es eine Rechtsgrundlage nach Art. 6 DSGVO, auch wenn kein Cookie gesetzt wird.

Notwendige CookiesDürfen ohne Einwilligung gesetzt werden. Informieren Sie Ihre Besucher trotzdem in der Datenschutzerklärung darüber.
Statistik und MarketingAnalyse-Tools, Werbe-Pixel und ähnliche Dienste, die Cookies oder vergleichbare Techniken nutzen, starten erst nach aktiver Zustimmung.
Gültige EinwilligungVorab angekreuzte Kästchen gelten nicht als Einwilligung. Der Widerruf muss so einfach sein wie die Zustimmung (Art. 7 Abs. 3 DSGVO).

Ist ein Banner da, muss es die Dienste auch wirklich zurückhalten, bis jemand zustimmt. In unserer Website-Studie 2026 zeigten 62 % der Websites ein Cookie-Banner. Bei 45 % davon liefen Statistik- oder Werbedienste trotzdem schon, bevor jemand etwas gewählt hatte.

Setzt Ihre Website keine Cookies oder vergleichbaren Techniken ein, die eine Einwilligung erfordern, brauchen Sie auch kein Einwilligungsbanner. Für kleine Websites ist das oft die einfachste Lösung. Wie das geht, erklärt unser Ratgeber Website ohne Cookie-Banner.

Unsere Websites brauchen kein Banner

Wir bauen neue Websites ohne Cookies, für die eine Einwilligung nötig wäre, und ohne Werbe-Tracking. Wollen Sie später zum Beispiel YouTube-Videos direkt auf der Seite zeigen, klären wir vorher mit Ihnen, was dafür nötig ist. Mehr zu unseren Paketen unter Webdesign für Unternehmen.

Pflichtangaben

Impressum und Offenlegung

Für die Pflichtangaben auf Websites gibt es in Österreich mehrere Rechtsgrundlagen. Meist fasst man sie auf einer Seite zusammen, die über einen gut sichtbaren Link erreichbar ist, etwa „Impressum“ im Fußbereich jeder Seite. In unserer Website-Studie 2026 fehlte dieser Link auf 14 % der Startseiten, in Niederösterreich auf 19 %.

§ 5 ECGGilt für kommerzielle Websites: Name oder Firma, geografische Anschrift, Kontaktdaten inklusive E-Mail-Adresse, gegebenenfalls Firmenbuchnummer und Firmenbuchgericht sowie die zuständige Aufsichtsbehörde, außerdem die UID-Nummer, falls vorhanden. Wer gewerbe- oder berufsrechtlichen Vorschriften unterliegt, nennt zusätzlich die Kammer oder den Berufsverband, die Berufsbezeichnung und die anwendbaren Vorschriften. Die Angaben müssen ständig leicht und unmittelbar zugänglich sein.
§ 14 UGBGilt für Unternehmen, die im Firmenbuch eingetragen sind: Firma, Rechtsform, Sitz, Firmenbuchnummer und Firmenbuchgericht.
§ 63 GewOGilt für Gewerbetreibende, die nicht im Firmenbuch eingetragen sind: Name und Standort der Gewerbeberechtigung.
§ 25 MedienGOffenlegung durch den Medieninhaber. Enthält eine Website über die Präsentation des eigenen Unternehmens hinaus keine Inhalte, die geeignet sind, die öffentliche Meinungsbildung zu beeinflussen, genügen Name oder Firma, gegebenenfalls der Unternehmensgegenstand, sowie Wohnort oder Sitz. Sonst sind weitere Angaben nötig.

Welche Angaben für Ihre Rechtsform genau nötig sind, erklärt die Wirtschaftskammer in ihrer Übersicht zum korrekten Website-Impressum. Für Praxen und andere freie Berufe können zusätzlich Vorgaben aus dem jeweiligen Berufsrecht gelten.

Datenschutzerklärung

Datenschutzerklärung: was hineingehört

Mit der Datenschutzerklärung erfüllen Sie die Informationspflichten nach Art. 13 DSGVO. Sie muss zu dem passen, was Ihre Website wirklich tut. Ein allgemeiner Mustertext ohne Bezug zu Hosting, Formularen und eingebundenen Diensten erfüllt diese Pflichten meist nicht.

VerantwortlicherName und Kontaktdaten, gegebenenfalls auch die Kontaktdaten des Datenschutzbeauftragten.
Zwecke und RechtsgrundlagenWofür Sie Daten verarbeiten und auf welcher Grundlage (bei berechtigten Interessen auch, worin diese bestehen).
EmpfängerWer Daten erhält, etwa Hoster oder eingebundene Dienste, und ob Daten in Drittländer übermittelt werden.
SpeicherdauerWie lange Daten gespeichert werden oder nach welchen Kriterien sich das richtet.
Rechte der BetroffenenAuskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Widerspruch und Datenübertragbarkeit sowie der Widerruf einer Einwilligung.
BeschwerderechtDer Hinweis auf das Beschwerderecht bei einer Aufsichtsbehörde. In Österreich ist das die Datenschutzbehörde.
Pflicht zur AngabeOb Besucher Daten angeben müssen und welche Folgen es hat, wenn sie es nicht tun.

Aktualisieren Sie die Datenschutzerklärung, sobald Sie neue Dienste einbinden oder Funktionen ergänzen.

Checkliste

Checkliste für Ihre Website

  1. Mit Ihrem Hoster besteht ein Auftragsverarbeitungsvertrag.
  2. Ihre Website ist durchgehend über HTTPS erreichbar.
  3. Schriften, Skripte und Stylesheets werden vom eigenen Server geladen.
  4. Karten, Videos und Social-Media-Inhalte laden erst nach einem Klick.
  5. Nicht notwendige Cookies und Tracking starten erst nach einer Einwilligung.
  6. Kontaktformulare fragen nur nötige Daten ab und verweisen auf die Datenschutzerklärung.
  7. Der Spamschutz überträgt keine Daten an Dritte, oder für den eingesetzten Dienst gibt es eine Rechtsgrundlage und er ist in der Datenschutzerklärung beschrieben.
  8. Impressum und Offenlegung sind von jeder Seite aus mit einem Klick erreichbar.
  9. Die Datenschutzerklärung beschreibt alle Dienste, die Ihre Website tatsächlich nutzt, und ist aktuell.

Sind Sie bei einem Punkt unsicher? Technische Fragen beantworten wir gern. Schreiben Sie uns über das Kontaktformular oder melden Sie sich per Telefon oder WhatsApp. Rechtliche Detailfragen klären Sie am besten mit einer Anwaltskanzlei.

Unser Vorgehen

Datenschutz ist bei uns eingebaut

Sie müssen ihn nicht eigens bestellen. Für jede neue Website, die wir bauen, gilt:

Schriften und Skripte vom eigenen WebspaceNichts wird von Google Fonts oder einem fremden Auslieferungsdienst (CDN) geladen.
Kontaktformular ohne DrittanbieterSpamschutz über ein unsichtbares Feld statt über einen fremden Dienst, Übertragung per HTTPS.
Impressum und DatenschutzerklärungBeide sind fester Bestandteil jedes Website-Projekts.
Hosting mit Serverstandort WienAuf Wunsch betreuen wir Ihr Webhosting bei der Simplenet OG, mit SSL-Zertifikat und täglichen Backups.

Mehr zu unseren Leistungen finden Sie unter Webdesign für Unternehmen in Wien und Niederösterreich und Webhosting mit Serverstandort Wien.

Quellen

Quellen und Stand

Die Angaben in diesem Ratgeber stützen sich auf diese Quellen, abgerufen am 20. Oktober 2026:

FAQ

Häufige Fragen zur DSGVO-konformen Website.

Muss der Server meiner Website in Österreich stehen?

Nein, die DSGVO schreibt keinen bestimmten Serverstandort vor. Liegen Server und Hoster in der EU, fallen aber in der Regel keine Übermittlungen in Drittländer an, für die zusätzliche Anforderungen gelten.

Brauche ich immer ein Cookie-Banner?

Nein. Eine Einwilligung ist nötig, wenn Ihre Website nicht notwendige Cookies oder vergleichbare Techniken einsetzt, etwa für Statistik oder Marketing. Verzichten Sie darauf, brauchen Sie auch kein Einwilligungsbanner. Eine Datenschutzerklärung brauchen Sie trotzdem.

Darf ich Google Fonts verwenden?

Ja, wenn Sie die Schriftdateien auf Ihrem eigenen Server speichern und von dort laden. Werden die Schriften direkt von Google geladen, wird dabei die IP-Adresse Ihrer Besucher an Google übertragen. In unserer Website-Studie 2026 war das bei 32 % der Websites kleiner Betriebe in Wien und Niederösterreich der Fall.

Wo muss das Impressum stehen?

Die Angaben nach § 5 ECG müssen ständig leicht und unmittelbar zugänglich sein. Üblich ist ein eigener Bereich „Impressum“, der von jeder Seite aus über einen gut sichtbaren Link erreichbar ist.

Weiterführend

Mehr zum Thema.

Was kostet eine Website?Einmalige und laufende Kosten, Preisfaktoren und eine Checkliste für den Angebotsvergleich. Website ohne Cookie-BannerWann das geht, was ohne Einwilligung erlaubt ist – mit Checkliste und Selbsttest. Impressumspflicht in ÖsterreichWelche Angaben ins Impressum gehören – nach ECG, Mediengesetz, UGB und Gewerbeordnung, mit Checkliste je Rechtsform. WebhostingHosting der Simplenet OG mit Serverstandort Wien – persönlich betreut. Website-Studie 2026Was 364 Websites kleiner Betriebe in Wien und Niederösterreich vor der Zustimmung laden. KontaktKostenloses Erstgespräch per Telefon, WhatsApp, E-Mail oder Kontaktformular.
Nächster Schritt

Datenschutz von Anfang an mitgedacht.

Ob neue Website oder Umbau der bestehenden: Im kostenlosen Erstgespräch gehen wir durch, welche Daten Ihre Website wirklich erfassen muss.

Kostenloses Erstgespräch → Alle Pakete ansehen
Direkt erreichbarPer Telefon unter +43 677 612 401 30, per WhatsApp oder per E-Mail an office@rhost.at – Sie sprechen direkt mit Julian Rektenwald.
Aus Klosterneuburg-KierlingFür Betriebe, Praxen und Selbstständige in Klosterneuburg, Wien und Niederösterreich.