Meine persönliche DSGVO Checkliste für die Website nach dem ersten Monat: Ein Update für 2026

Eigentlich wollte ich nur Texte schreiben. Aber anstatt an meiner neuen Landingpage zu feilen, starrte ich letzten Dienstag auf einen Bildschirm, der aussah wie die Matrix. Ich saß in meinem Lieblingscafé im Leipziger Westen, der Milchschaum meines Cappuccinos war längst in sich zusammengefallen, und ich spürte dieses eiskalte Gefühl im Nacken. Ich hatte gerade realisiert, dass mein Kontaktformular die IP-Adresse jedes Absenders ungefragt in der Datenbank speicherte. Ohne Hinweis. Ohne Einwilligung. Einfach so. Es fühlte sich an, als hätte ich gerade versehentlich die Steuererklärung für eine ganze Kleinstadt gelöscht.

Ein Dienstag im Februar: Der Klick, der mein Herz kurz aussetzen ließ

Es war Anfang Februar, der Tag meines inoffiziellen Website-Relaunches für 2026. Ich hatte den großen blauen 'Veröffentlichen'-Button in WordPress gedrückt und mich für etwa drei Sekunden wie eine Heldin gefühlt. Dann kam die Panik. Hatte ich das Häkchen für die Datenschutzerklärung im Kontaktformular wirklich aktiviert? Spoiler: Nein, hatte ich nicht. In diesem Moment fühlte sich die Datenschutz-Grundverordnung nicht wie ein sinnvoller Schutz für Nutzer an, sondern wie ein Endgegner in einem Videospiel, für das ich kein Handbuch hatte.

Ich verbrachte den Rest des Nachmittags damit, das Formular zu bändigen. Es ist dieser klassische Anfängerfehler, den ich auch 2024 schon einmal gemacht hatte, aber diesmal wollte ich es perfekt machen. Man denkt, man ist fertig, nur um festzustellen, dass man gerade erst die Büchse der Pandora geöffnet hat. Ich fühlte mich wie bei meinem ersten Behördengang für die Selbstständigkeit – völlig überfordert von Begriffen, die klingen, als hätte sie jemand erfunden, um uns kreative Köpfe absichtlich in den Wahnsinn zu treiben. Aber hey, ich bin keine Juristin, ich bin Texterin, und wenn ich komplexe Verkaufsargumente strukturieren kann, dann doch wohl auch ein paar Datenschutzklauseln, oder?

Mitte März: 25 offene Tabs und der Geruch von kaltem Kaffee

Sechs Wochen nach dem Start war mein Browser ein Friedhof der juristischen Halbwahrheiten. Ich hatte exakt 25 offene Tabs mit Gesetzestexten und Blogbeiträgen. Es war spät am Abend, und der Geruch von abgestandenem Filterkaffee hing in der Luft, während ich zum vierten Mal meine Datenschutzerklärung auf Tippfehler prüfte. Ein Apothekenbeipackzettel ist dagegen spannende Urlaubslektüre. Ich habe in dieser Phase gelernt, dass man als Einzelkämpferin nicht alles wissen kann, aber alles dokumentieren muss.

Ein riesiger Brocken war das Thema Auftragsverarbeitung. Ich dachte erst, das betrifft nur große Agenturen. Aber falsch gedacht! Sobald mein Hoster meine Mails speichert oder mein Analysetool die Klicks zählt, brauche ich einen Vertrag. Ich erinnere mich, wie ich fluchend vor dem Rechner saß, weil ich nicht wusste, wo ich diese Verträge überhaupt finde. Falls du dich auch fragst, warum ich als Solopreneur für jedes Tool einen AV Vertrag brauche, kann ich dir sagen: Es ist wie die Versicherung beim Auto – man hofft, man braucht sie nie, aber ohne ist es einfach fahrlässig.

Ein regnerischer Donnerstag im April: Die Detektivin mit den Entwickler-Tools

Letzten Monat bin ich unter die Detektive gegangen. Ich habe gelernt, wie man die Browser-Entwicklertools nutzt, um versteckte Verbindungen zu US-Servern aufzuspüren. Es ist erschreckend, wie gesprächig so eine Website ist! Ich habe insgesamt acht Plugins auf Herz und Nieren geprüft – von SEO-Tools über Kontaktformulare bis hin zu Design-Addons. Jedes Mal, wenn im 'Network'-Tab eine Verbindung zu einer .com-Domain auftauchte, stieg mein Puls.

Besonders knifflig wurde es, als ich die Kommentarfunktion unter meinen Blogposts aktivieren wollte. Ich liebe den Austausch mit meinen Lesern, aber die Standardeinstellungen von WordPress sind ein datenschutzrechtliches Minenfeld. Da werden IP-Adressen gespeichert und Avatare von US-Servern geladen, ohne dass der Nutzer 'A' sagen kann. Ich habe Stunden damit verbracht, das so zu biegen, dass es passt. Wer das auch vorhat, sollte sich genau ansehen, wie ich Blog Kommentare DSGVO konform ohne Abmahngefahr in WordPress nutze, damit der Spaß am Bloggen nicht direkt durch einen Brief vom Anwalt stirbt.

Mitte Mai: Endlich Land in Sicht (und ein grüner Haken)

Vor ein paar Wochen gab es dann den großen Durchbruch. Ich habe es geschafft, die Google Fonts so zu bändigen, dass sie nur noch von meinem eigenen Server in Leipzig geladen werden. Als ich den Network-Tab öffnete und alles 'grün' blieb – keine einzige Anfrage an Google-Server mehr – hätte ich fast die Nachbarn aus dem Bett gejubelt. Das war der Moment, in dem ich wusste: Ich schaffe das. Das Erfolgserlebnis war größer als jeder abgeschlossene Textauftrag in diesem Monat.

Zusätzlich habe ich meine Sammlung an AV-Verträgen vervollständigt. Insgesamt fünf Stück liegen jetzt digital unterschrieben in meinem Ordner: vom Hoster über das E-Mail-Marketing-Tool bis hin zum Cloud-Backup. Es fühlt sich ein bisschen an wie ein Frühjahrsputz, den man viel zu lange aufgeschoben hat. Alles ist sortiert, beschriftet und an seinem Platz. Ich schlafe seitdem deutlich ruhiger, auch wenn ich natürlich weiß, dass die DSGVO ein lebendiges Monster ist, das man ständig füttern muss.

Anfang Juni: Meine 12-Punkte-Checkliste nach den ersten Monaten

Heute blicke ich auf die ersten Monate meiner 'neuen' Seite zurück. Ich habe mir eine Liste erstellt, die mir hilft, den Überblick zu behalten. Meine persönliche DSGVO-Checkliste besteht aus 12 Punkten, aufgeteilt in drei Bereiche, die ich jeden Monat einmal kurz durchgehe:

• 4 Technische Aufgaben: Plugins auf neue Datentransfers prüfen, SSL-Verschlüsselung auf Gültigkeit checken, Google Fonts weiterhin lokal hosten und sicherstellen, dass die IP-Anonymisierung in den Analysetools noch aktiv ist (Updates überschreiben das manchmal!).
• 4 Textliche Aufgaben: Das Impressum auf Aktualität prüfen (neue Telefonnummer?), die Datenschutzerklärung an neue Tools anpassen, Checkboxen in Formularen testen und den Cookie-Banner auf korrekte Blockierung prüfen.
• 4 Organisatorische Aufgaben: Neue AV-Verträge für neue Tools ablegen, das Verzeichnis von Verarbeitungstätigkeiten (VVT) ergänzen, alte Daten (z.B. abgelaufene Angebote) löschen und die Dokumentation meiner Schritte aktuell halten.

Aber hier kommt die wichtigste Lerneinheit, die ich beim Beobachten der Leute im Clara-Zetkin-Park hatte: Die ständige Jagd nach 100-prozentiger DSGVO-Perfektion kann deinem Business mehr schaden, als sie nutzt. Wenn ich mich nur noch in juristischen Details verliere, schreibe ich keine Texte mehr, die meine Kunden weiterbringen. Ich bin keine Anwältin, und falls du wirklich unsicher bist, solltest du immer einen Profi fragen – ich habe zum Beispiel auch einmal kurz beim Datenschutzbeauftragten nachgehakt, um sicherzugehen.

Die DSGVO ist wichtig, ja – sie ist wie der Sicherheitsgurt im Auto. Aber man darf vor lauter Gurt-Prüfen nicht vergessen, loszufahren. Wer sich zu sehr in der Angst vor Abmahnungen verliert, lenkt sich massiv von der eigentlichen Arbeit ab. Für mich war es eine riesige Erleichterung zu sehen, wie ich mit dem DSGVO Schritt für Schritt Generator meine Website absichere, ohne jedes Mal ein Jura-Studium absolvieren zu müssen. Mein Ziel für den Rest des Jahres? Den Fokus wieder auf das zu legen, was ich liebe: Worte, die verkaufen – aber eben auf einem stabilen, sicheren Fundament. Und jetzt trinke ich meinen Kaffee, solange er noch warm ist.