DSGVO für Websites & Shops: Agentur-Guide 2026
DSGVO für Websites & Online-Shops: Was Agenturen und ihre Kund:innen 2026 wissen müssen
Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (DSGVO) EU-weit unmittelbar anwendbar – und sie gilt für alle, die personenbezogene Daten von EU-Bürger:innen verarbeiten. Was in den ersten Jahren nach Inkrafttreten oft noch als lästige Formalität behandelt wurde, ist 2026 ein handfestes Geschäftsrisiko. Aufsichtsbehörden prüfen konsequenter, Abmahnkanzleien sind aktiv, und Verbraucher:innen wissen genau, welche Rechte sie haben. Für Agenturen, Webdesigner:innen und E-Commerce-Dienstleister bedeutet das: DSGVO-Konformität ist keine Kür mehr, sondern fester Bestandteil professioneller Projektarbeit.
Die DSGVO für Websites betrifft Sie dabei doppelt. Zum einen müssen die Projekte, die Sie für Kund:innen umsetzen, rechtskonform sein. Zum anderen sind Sie als Dienstleister selbst Teil der datenschutzrechtlichen Kette – nämlich immer dann, wenn Sie im Auftrag Ihrer Kund:innen deren Daten oder die Daten von deren Nutzer:innen verarbeiten. Dieser Artikel zeigt, worauf es 2026 ankommt, wo die typischen Fallstricke liegen und wie sich das Haftungsrisiko strukturell senken lässt.
Warum die DSGVO für Agenturen ein Haftungsthema ist
Ein weit verbreitetes Missverständnis lautet: „Für den Datenschutz ist doch der Kunde verantwortlich, es ist ja seine Website." Das ist nur die halbe Wahrheit. Zwar ist der Websitebetreiber in der Regel der datenschutzrechtlich Verantwortliche im Sinne von Art. 4 DSGVO. Aber die Agentur, die Analyse-Tools einbindet, Formulare programmiert, Hosting verwaltet oder ein Content-Management-System betreut, wird schnell zur Auftragsverarbeiterin – und trägt damit eigene Pflichten.
Kommt es zu einem Datenschutzverstoß, stellt sich fast immer die Frage nach dem Verschulden. Wurde eine Tracking-Lösung ohne Einwilligung eingebunden? Lag eine veraltete Datenschutzerklärung online? Fehlte ein Auftragsverarbeitungsvertrag? In solchen Fällen kann nicht nur der Websitebetreiber belangt werden, sondern auch die Agentur zivilrechtlich in Regress genommen werden, wenn sie ihre Sorgfaltspflichten verletzt hat. Die Bußgelder der DSGVO sind erheblich: bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist. Auch wenn solche Höchstsummen kleine Betriebe selten treffen, zeigen sie die Ernsthaftigkeit des Themas – und schon vierstellige Bußgelder oder Abmahnkosten können ein Projekt für eine Agentur zum Verlustgeschäft machen.
Für Sie als Dienstleister ist Datenschutz deshalb kein Nebenschauplatz, sondern ein Qualitätsmerkmal. Kund:innen, die verstehen, dass Sie ihre rechtlichen Risiken mitdenken, binden sich langfristig. Und Sie selbst schützen sich, indem Sie sauber arbeiten.
Die typischen Fehlerquellen in Kundenprojekten
In der Praxis wiederholen sich dieselben Schwachstellen. Wer sie kennt, kann sie systematisch abstellen.
Cookies und Tracking ohne wirksame Einwilligung
Der Klassiker. Seit dem Urteil des EuGH in der Sache „Planet49" und der Umsetzung im deutschen TTDSG (heute TDDDG) sowie im österreichischen Telekommunikationsgesetz ist klar: Für alle nicht technisch notwendigen Cookies und ähnliche Technologien braucht es eine aktive, informierte Einwilligung, bevor sie gesetzt werden. Ein vorausgewähltes Häkchen genügt nicht, ein bloßer Hinweis „durch Weitersurfen stimmen Sie zu" genügt nicht, und ein Consent-Banner, das im Hintergrund bereits Google Analytics lädt, ist schlicht rechtswidrig.
Viele Cookie-Banner in Kundenprojekten sind rein kosmetisch: Sie zeigen einen Hinweis an, blockieren aber die dahinterliegenden Skripte nicht wirklich. Das ist besonders tückisch, weil es von außen kaum sichtbar ist. Ein wirksames Consent-Management muss Tracking-Technologien tatsächlich erst nach der Einwilligung aktivieren – und die Ablehnung genauso einfach machen wie die Zustimmung.
Google Fonts und andere US-Datentransfers
Das Landgericht München hat 2022 entschieden, dass die dynamische Einbindung von Google Fonts – bei der die Schriftarten bei jedem Seitenaufruf von Google-Servern geladen werden und dabei die IP-Adresse der Besucher:innen übertragen wird – gegen die DSGVO verstoßen kann, wenn keine Einwilligung vorliegt. In der Folge kam es zu einer Welle von Abmahnungen. Die Lösung ist technisch simpel: Schriften lokal einbinden, statt sie live von Google zu laden. Trotzdem finden sich bis heute unzählige Websites mit dynamisch eingebundenen Google Fonts.
Das Problem ist grundsätzlicher Natur: Jede Einbindung eines US-Dienstes – von Kartendiensten über eingebettete Videos bis zu Schriftarten und CDNs – wirft die Frage nach einem zulässigen Drittlandtransfer auf. Auch wenn das EU-US Data Privacy Framework hier seit 2023 wieder eine Rechtsgrundlage bietet, bleibt Vorsicht geboten. Datensparsamkeit und lokale Lösungen sind der sichere Weg.
Fehlende oder unvollständige Auftragsverarbeitungsverträge
Immer wenn ein Dienstleister personenbezogene Daten im Auftrag verarbeitet – der Hoster, der Newsletter-Anbieter, das Analyse-Tool, oft auch die Agentur selbst –, schreibt Art. 28 DSGVO einen Auftragsverarbeitungsvertrag (AVV) vor. Fehlt dieser, ist die Verarbeitung formal rechtswidrig, unabhängig davon, ob technisch alles sauber läuft. In der Praxis fehlen AVVs regelmäßig, gerade in der Kette aus Kund:in, Agentur und den vielen Subdienstleistern, die in einem modernen Web-Stack zusammenkommen. Je mehr externe Werkzeuge ein Projekt einbindet, desto unübersichtlicher wird das Geflecht der nötigen Verträge.
Veraltete Datenschutzerklärungen
Die Datenschutzerklärung ist kein Dokument, das man einmal erstellt und dann vergisst. Sie muss jederzeit den tatsächlich eingesetzten Diensten entsprechen. Sobald ein neues Tool hinzukommt, ein alter Dienst wegfällt oder sich die Rechtslage ändert, muss die Erklärung angepasst werden. In der Realität klaffen tatsächliche Datenverarbeitung und dokumentierte Datenschutzerklärung oft weit auseinander – ein Umstand, der bei einer Prüfung sofort auffällt und schwer zu erklären ist.
Unsichere Formulare und fehlende Rechtsgrundlagen
Kontaktformulare, Newsletter-Anmeldungen, Bewerbungsuploads: Jede Datenerhebung braucht eine Rechtsgrundlage nach Art. 6 DSGVO und muss transparent erfolgen. Ein Newsletter ohne Double-Opt-in, ein Formular ohne Verschlüsselung oder ohne Hinweis auf die Datenverarbeitung – all das sind vermeidbare Fehler, die sich in vielen Projekten dennoch finden.
Datenschutz by Design: das Prinzip, das alles verändert
Art. 25 DSGVO verlangt „Datenschutz durch Technikgestaltung" – Datenschutz soll also nicht nachträglich aufgesetzt, sondern von Anfang an in die Technik eingebaut sein. Genau hier liegt das strukturelle Problem des klassischen Plugin-Ansatzes: Wer eine Website aus einem Grundsystem und einem Dutzend Erweiterungen für Consent, Analytics, Formulare, Shop und Sicherheit zusammensetzt, schafft eine Vielzahl unabhängiger Datenflüsse, die einzeln überwacht, aktualisiert und dokumentiert werden müssen.
Jedes zusätzliche Plugin ist eine potenzielle Datenschutz- und Sicherheitslücke. Veraltete Erweiterungen gehören zu den häufigsten Einfallstoren für Angriffe, und je mehr Komponenten von unterschiedlichen Anbietern zusammenwirken, desto schwerer ist nachzuvollziehen, welche Daten wohin fließen. Datenschutz by Design ist in einem solchen Flickenteppich kaum umzusetzen – man verwaltet stattdessen permanent Risiken.
Wie automatisierter Datenschutz das Haftungsrisiko senkt
An dieser Stelle lohnt der Blick auf einen anderen Ansatz. smarda ist ein All-in-One Website- und Shopsystem, das die typischen Datenschutzfunktionen nativ mitbringt, statt sie über einzelne Plugins zusammenzustückeln. Cookie-Box und Datenschutzerklärung sind fester Bestandteil des Systems und aktualisieren sich automatisch – die Datenschutzerklärung wird in Zusammenarbeit mit einer IT-Recht-Kanzlei gepflegt und passt sich an, wenn sich Rechtslage oder eingesetzte Funktionen ändern. Damit entfällt genau die Fehlerquelle, die in so vielen Projekten für veraltete Dokumente sorgt.
Weil das System nativ und ohne Fremd-Plugins entwickelt ist, entsteht kein unkontrollierbares Geflecht aus Subdienstleistern und Datenflüssen. Externe US-Dienste wie dynamische Google Fonts müssen nicht mühsam entschärft werden, weil sie gar nicht erst zwingend Teil des Stacks sind. Das Consent-Management ist so ausgelegt, dass nicht notwendige Technologien erst nach einer Einwilligung aktiv werden – der Standard, den die Rechtsprechung fordert. Für Agenturen bedeutet dieser Ansatz vor allem eines: weniger manuelle Kontrollpunkte, weniger Wartungsaufwand und ein deutlich kleineres Feld, auf dem Fehler passieren können. Datenschutz by Design ist hier nicht ein Ziel, das man in jedem Projekt neu erkämpft, sondern eine Eigenschaft der Plattform.
Das ersetzt keine juristische Prüfung im Einzelfall – die finale Bewertung, ob ein konkretes Projekt vollständig rechtskonform ist, sollte immer durch Jurist:innen erfolgen. Aber es verschiebt die Ausgangslage: Statt bei null anzufangen und jedes Risiko einzeln abzuräumen, arbeiten Sie auf einer Basis, die die wichtigsten Anforderungen bereits systemisch erfüllt.
Praktische Konsequenzen für Ihre Agenturarbeit
Was heißt das konkret für den Arbeitsalltag? Klären Sie mit Ihren Kund:innen von Beginn an, wer welche datenschutzrechtliche Rolle einnimmt, und schließen Sie die nötigen Auftragsverarbeitungsverträge ab. Dokumentieren Sie, welche Dienste ein Projekt einsetzt, und halten Sie diese Liste aktuell. Prüfen Sie bestehende Kundenprojekte auf die genannten Klassiker – dynamische Google Fonts, kosmetische Cookie-Banner, veraltete Datenschutzerklärungen –, denn hier lassen sich mit überschaubarem Aufwand die größten Risiken abstellen.
Und überdenken Sie Ihren technischen Grundstack. Je weniger unabhängige Komponenten ein Projekt braucht, desto einfacher ist es, dauerhaft rechtskonform zu bleiben. Ein System, das Datenschutz, Consent und rechtliche Aktualität nativ mitbringt, spart Ihnen nicht nur Zeit, sondern reduziert die Angriffsfläche für Fehler und Haftung.
Die DSGVO ist 2026 gelebte Realität, und für Agenturen ist sie zugleich Risiko und Chance. Wer Datenschutz in Kundenprojekten sauber umsetzt, schützt sich selbst vor Haftung und positioniert sich als verlässlicher Partner. Die häufigsten Fehler – fehlende Einwilligung, US-Datentransfers, fehlende AVVs und veraltete Datenschutzerklärungen – sind bekannt und vermeidbar. Der wirksamste Hebel liegt aber nicht darin, jedes einzelne Risiko manuell abzuräumen, sondern in einem System, das Datenschutz von Grund auf mitdenkt.
Genau das bietet smarda: automatisierten Datenschutz mit selbstaktualisierender Cookie-Box und Datenschutzerklärung, nativ entwickelt statt aus einem Plugin-Dschungel zusammengesetzt, und getragen von einem System, das die zentralen Anforderungen strukturell erfüllt. Testen Sie smarda kostenlos und überzeugen Sie sich selbst – oder werden Sie als Agentur Partner und bieten Ihren Kund:innen datenschutzkonforme Websites und Shops, ohne bei jedem Projekt neu anfangen zu müssen. So wird Datenschutz vom Dauerthema zum Wettbewerbsvorteil.
