Datenschutz und Cookie-Management 2026: Was KMU beachten müssen

17. April 2026

Warum Datenschutz 2026 wieder auf den Tisch gehört

Browser schränken Tracking immer weiter ein, Cookie-Banner müssen seit dem Barrierefreiheitsstärkungsgesetz auch barrierefrei bedienbar sein, und die Aufsichtsbehörden kontrollieren längst nicht mehr nur Konzerne. Für kleine und mittlere Unternehmen heißt das: Die Website, die 2020 einmal „datenschutzkonform gemacht" wurde, ist es heute oft nicht mehr. Dieser Leitfaden zeigt die fünf häufigsten Fallstricke — und wie Sie Ihre Website Schritt für Schritt sauber aufstellen.

Die fünf häufigsten Datenschutz-Fallstricke

1. Cookie-Banner ohne echte Wahl

Nicht notwendige Cookies dürfen erst nach aktiver Einwilligung gesetzt werden — das haben Gerichte mehrfach bestätigt. Ein Banner, das nur „OK" anbietet oder Ablehnen versteckt, ist angreifbar. Moderne Consent-Tools (für WordPress etwa Borlabs Cookie oder Real Cookie Banner) lösen das sauber und speichern die Einwilligungen nachweisbar.

2. Kopierte Datenschutzerklärung

Vorlagen aus dem Netz passen selten zur eigenen Website. Jedes eingebundene Werkzeug — Kontaktformular, Analyse-Tool, eingebettete Videos — muss in der Erklärung auftauchen, samt Zweck und Empfänger der Daten. Prüfen Sie die Erklärung mindestens halbjährlich und immer dann, wenn ein neues Tool dazukommt.

3. Google Analytics ohne Not

Übertragungen in die USA bleiben rechtlich heikel. Wer nur wissen will, welche Seiten gut laufen, bekommt das auch mit europäischen Alternativen wie Matomo oder Plausible — DSGVO-freundlich, schlank und ohne Cookie-Pflicht in der Basiskonfiguration. Wenn es Google Analytics sein muss: IP-Anonymisierung und Einwilligung sind Pflicht.

4. Eingebettete Inhalte, die sofort tracken

Ein eingebettetes YouTube-Video lädt Tracker, bevor der Besucher überhaupt zugestimmt hat. Solche Inhalte gehören hinter eine Zwei-Klick-Lösung: erst Platzhalter, geladen wird nach Zustimmung. Externe Links sollten zudem mit rel="noopener noreferrer" ausgezeichnet sein.

5. Fehlende Auftragsverarbeitungsverträge

Hosting, E-Mail-Versand, CRM, Newsletter-Dienst — wer personenbezogene Daten für Sie verarbeitet, braucht einen Auftragsverarbeitungsvertrag (AVV). Die meisten Anbieter stellen ihn zum Download bereit; er muss nur abgeschlossen und abgelegt werden. Bei einer Kontrolle ist das eines der ersten Dokumente, nach denen gefragt wird.

In fünf Schritten zur sauberen Website

Barrierefreiheit nicht vergessen

Seit Ende Juni 2025 gilt das Barrierefreiheitsstärkungsgesetz (BFSG) für viele digitale Angebote. Für den Datenschutz relevant: Auch das Cookie-Banner muss per Tastatur bedienbar sein, ausreichende Kontraste bieten und mit Screenreadern funktionieren. Viele ältere Banner-Versionen erfüllen das nicht — ein Update des Consent-Tools löst das meist.

Häufige Fragen

Welche Bußgelder drohen bei Verstößen?

Der DSGVO-Rahmen reicht bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Wert höher ist. Bei kleinen Unternehmen bleiben Bußgelder in der Praxis deutlich darunter, aber auch vierstellige Beträge und der Aufwand eines Verfahrens tun weh. Dazu kommt der Vertrauensschaden bei Kunden.

Muss ich überhaupt ein Analyse-Tool einsetzen?

Nein. Wer keine Besucherstatistik braucht, spart sich Banner-Komplexität und Erklärungsaufwand. Für die meisten KMU reicht eine schlanke, cookielose Statistik völlig aus.

Wer hilft in Rheinland-Pfalz weiter?

Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz stellt kostenlose Praxishilfen und Muster bereit — ein guter erster Anlaufpunkt für konkrete Fragen.

Fazit: Datenschutz ist Vertrauensarbeit

Eine sauber aufgesetzte Website schützt nicht nur vor Bußgeldern — sie signalisiert Kunden, dass ihre Daten bei Ihnen in guten Händen sind. Der Aufwand ist überschaubar: Mit ein bis zwei Tagen Arbeit ist der Großteil erledigt. Wenn Sie das Thema gleich mit einer technisch sauberen Website verbinden möchten: Bei unseren Weblösungen aus Kaiserslautern gehören Consent-Tool, Datenschutzerklärung und barrierefreie Umsetzung von Anfang an dazu.