{"id":8590,"date":"2026-10-19T08:00:00","date_gmt":"2026-10-19T08:00:00","guid":{"rendered":"https:\/\/decareto.com\/?p=8590"},"modified":"2026-08-14T11:40:16","modified_gmt":"2026-08-14T11:40:16","slug":"wer-haftet-fur-die-dsgvo-konformitat-einer-website-betreiber-agentur-oder-datenschutzbeauftragter","status":"publish","type":"post","link":"https:\/\/decareto.com\/de\/wer-haftet-fur-die-dsgvo-konformitat-einer-website-betreiber-agentur-oder-datenschutzbeauftragter\/","title":{"rendered":"Wer haftet f\u00fcr die DSGVO-Konformit\u00e4t einer Website \u2013 Betreiber, Agentur oder Datenschutzbeauftragter?"},"content":{"rendered":"\n

F\u00fcr die DSGVO-Konformit\u00e4t einer Website haftet in erster Linie der Betreiber der Website<\/strong> als datenschutzrechtlich Verantwortlicher. Weder die beauftragte Webagentur noch der Datenschutzbeauftragte \u00fcbernehmen diese Haftung automatisch, auch wenn beide eine wichtige unterst\u00fctzende Rolle spielen. Die folgenden Abschnitte erl\u00e4utern, wer welche Pflichten tr\u00e4gt, wann mehrere Parteien gemeinsam haften und wie Sie die DSGVO-Konformit\u00e4t Ihrer Website systematisch pr\u00fcfen k\u00f6nnen.<\/p>\n\n\n\n

Wer ist nach der DSGVO der Verantwortliche f\u00fcr eine Website?<\/h2>\n\n\n\n

Nach der DSGVO ist der Verantwortliche<\/strong> diejenige nat\u00fcrliche oder juristische Person, die allein oder gemeinsam mit anderen \u00fcber die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. F\u00fcr eine Website ist das in der Regel der Unternehmer, Verein oder die Organisation, die die Website betreibt und deren Inhalte sowie technische Ausgestaltung bestimmt.<\/p>\n\n\n\n

Ma\u00dfgeblich ist dabei nicht, wer die Website technisch gebaut hat, sondern wer die wirtschaftliche und inhaltliche Kontrolle aus\u00fcbt. Ein Online-Shop-Betreiber entscheidet beispielsweise, welche Tracking-Tools eingesetzt, welche Daten erhoben und zu welchem Zweck sie verarbeitet werden. Genau diese Entscheidungshoheit begr\u00fcndet die datenschutzrechtliche Verantwortlichkeit nach Artikel 4 Nr. 7 DSGVO.<\/p>\n\n\n\n

Praktisch bedeutet das: Selbst wenn eine externe Agentur die Website technisch umsetzt oder ein Dienstleister das Hosting \u00fcbernimmt, bleibt der Betreiber f\u00fcr die Einhaltung der datenschutzrechtlichen Anforderungen verantwortlich. Er muss sicherstellen, dass die Website zum Zeitpunkt des Betriebs den Anforderungen der DSGVO entspricht, und kann sich bei Verst\u00f6\u00dfen gegen\u00fcber Aufsichtsbeh\u00f6rden nicht auf Dritte berufen.<\/p>\n\n\n\n

Haftet die Webagentur mit, wenn die Website nicht DSGVO-konform ist?<\/h2>\n\n\n\n

Eine Webagentur haftet grunds\u00e4tzlich nicht unmittelbar gegen\u00fcber der Datenschutzaufsichtsbeh\u00f6rde<\/strong> f\u00fcr Datenschutzverst\u00f6\u00dfe auf einer Kundenwebsite. Die datenschutzrechtliche Au\u00dfenhaftung trifft den Betreiber als Verantwortlichen. Allerdings kann die Agentur im Verh\u00e4ltnis zum Auftraggeber zivilrechtlich haftbar werden, wenn sie ihre vertraglichen Pflichten verletzt hat.<\/p>\n\n\n\n

Entscheidend ist hier die vertragliche Grundlage. Wenn eine Agentur ausdr\u00fccklich zugesagt hat, eine DSGVO-konforme L\u00f6sung zu liefern, und die Website zum Beispiel Cookies ohne Einwilligung setzt oder keine Datenschutzerkl\u00e4rung enth\u00e4lt, kann der Auftraggeber Schadensersatzanspr\u00fcche geltend machen. Umgekehrt tr\u00e4gt die Agentur keine Verantwortung f\u00fcr Entscheidungen, die der Auftraggeber nach der \u00dcbergabe eigenst\u00e4ndig getroffen hat, etwa das nachtr\u00e4gliche Einbinden eines neuen Tracking-Tools ohne R\u00fccksprache.<\/p>\n\n\n\n

Besondere Relevanz hat die Frage der Auftragsverarbeitung: Wenn eine Agentur im laufenden Betrieb auf personenbezogene Daten der Website-Besucher zugreift, beispielsweise beim Hosting oder bei Wartungsarbeiten, muss ein Auftragsverarbeitungsvertrag (AVV)<\/strong> nach Artikel 28 DSGVO abgeschlossen werden. Fehlt dieser Vertrag, liegt bereits darin ein Datenschutzversto\u00df, f\u00fcr den der Betreiber verantwortlich ist.<\/p>\n\n\n\n

Welche Pflichten hat der Datenschutzbeauftragte gegen\u00fcber der Website?<\/h2>\n\n\n\n

Der Datenschutzbeauftragte (DSB) hat gegen\u00fcber einer Website beratende und \u00fcberwachende Pflichten<\/strong>, tr\u00e4gt aber keine eigene datenschutzrechtliche Haftung. Seine Aufgaben sind in Artikel 39 DSGVO geregelt und umfassen unter anderem die Unterrichtung und Beratung des Verantwortlichen sowie die \u00dcberwachung der Einhaltung der DSGVO.<\/p>\n\n\n\n

F\u00fcr Websites bedeutet das konkret: Der DSB sollte regelm\u00e4\u00dfig pr\u00fcfen, welche Cookies und Tracker eingesetzt werden, ob ein rechtswirksames Consent-Management-System vorhanden ist, ob die Datenschutzerkl\u00e4rung vollst\u00e4ndig und aktuell ist und ob Drittlandtransfers ordnungsgem\u00e4\u00df abgesichert sind. Diese Pr\u00fcfung ist keine einmalige Aufgabe, denn Websites ver\u00e4ndern sich kontinuierlich durch Updates, neue Plugins oder ge\u00e4nderte Dienstleister.<\/p>\n\n\n\n

Wichtig zu verstehen: Der DSB kann und darf dem Verantwortlichen gegen\u00fcber Empfehlungen aussprechen, ist aber nicht berechtigt, Entscheidungen zu treffen oder Ma\u00dfnahmen eigenst\u00e4ndig umzusetzen. Kommt der Verantwortliche einer Empfehlung des DSB nicht nach, entbindet das den DSB von der Mitverantwortung, sofern er seine Bedenken dokumentiert hat. Externe Datenschutzbeauftragte, die f\u00fcr mehrere Mandanten t\u00e4tig sind, stehen vor der Herausforderung, viele Websites regelm\u00e4\u00dfig im Blick zu behalten, ohne dabei unverh\u00e4ltnism\u00e4\u00dfig viel Zeit aufzuwenden.<\/p>\n\n\n\n

Was passiert, wenn mehrere Parteien gemeinsam f\u00fcr eine Website verantwortlich sind?<\/h2>\n\n\n\n

Wenn zwei oder mehr Parteien gemeinsam \u00fcber Zwecke und Mittel<\/strong> der Datenverarbeitung auf einer Website entscheiden, liegt eine gemeinsame Verantwortlichkeit im Sinne von Artikel 26 DSGVO vor. In diesem Fall haften alle gemeinsam Verantwortlichen gegen\u00fcber den betroffenen Personen, und es muss eine transparente Vereinbarung \u00fcber die jeweiligen Zust\u00e4ndigkeiten getroffen werden.<\/p>\n\n\n\n

Ein typisches Beispiel ist die Einbindung von Social-Media-Plugins wie dem Facebook-Pixel oder Like-Buttons. Der Europ\u00e4ische Gerichtshof hat in mehreren Urteilen best\u00e4tigt, dass Website-Betreiber und die jeweiligen Plattformbetreiber in solchen Konstellationen als gemeinsam Verantwortliche anzusehen sein k\u00f6nnen. \u00c4hnliche Fragen stellen sich bei der Nutzung von Google Analytics oder anderen Diensten, bei denen der Anbieter die Daten auch f\u00fcr eigene Zwecke nutzt.<\/p>\n\n\n\n

Die Vereinbarung nach Artikel 26 DSGVO muss festlegen, wer welche Informationspflichten gegen\u00fcber den Betroffenen erf\u00fcllt und wer f\u00fcr die Beantwortung von Auskunftsanfragen zust\u00e4ndig ist. Betroffene Personen k\u00f6nnen ihre Rechte gegen\u00fcber jedem der gemeinsam Verantwortlichen geltend machen, unabh\u00e4ngig davon, wie die interne Zust\u00e4ndigkeit geregelt ist.<\/p>\n\n\n\n

Welche Bu\u00dfgelder und Konsequenzen drohen bei DSGVO-Verst\u00f6\u00dfen auf Websites?<\/h2>\n\n\n\n

DSGVO-Verst\u00f6\u00dfe auf Websites k\u00f6nnen erhebliche Konsequenzen nach sich ziehen. Der Bu\u00dfgeldrahmen der DSGVO sieht je nach Schwere des Versto\u00dfes Sanktionen von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes<\/strong> vor, wobei der jeweils h\u00f6here Betrag gilt. Dar\u00fcber hinaus drohen Abmahnungen durch Mitbewerber oder Verbraucherschutzverb\u00e4nde sowie zivilrechtliche Schadensersatzanspr\u00fcche betroffener Personen.<\/p>\n\n\n\n

In der Praxis zeigen die Aufsichtsbeh\u00f6rden im DACH-Raum ein zunehmendes Interesse an der datenschutzkonformen Ausgestaltung von Websites. H\u00e4ufige Beanstandungen betreffen das Setzen von Cookies ohne vorherige Einwilligung, fehlende oder unvollst\u00e4ndige Datenschutzerkl\u00e4rungen, die Einbindung von US-amerikanischen Diensten ohne ausreichende Rechtsgrundlage sowie fehlende Auftragsverarbeitungsvertr\u00e4ge mit Dienstleistern.<\/p>\n\n\n\n

Neben Bu\u00dfgeldern k\u00f6nnen Aufsichtsbeh\u00f6rden auch Anordnungen erlassen, bestimmte Verarbeitungst\u00e4tigkeiten einzustellen oder technische Ma\u00dfnahmen umzusetzen. F\u00fcr Unternehmen, die auf ihre Website angewiesen sind, kann eine solche Anordnung unmittelbare gesch\u00e4ftliche Auswirkungen haben. Pr\u00e4ventive Ma\u00dfnahmen sind daher nicht nur aus rechtlicher, sondern auch aus wirtschaftlicher Perspektive sinnvoll.<\/p>\n\n\n\n

Wie l\u00e4sst sich die DSGVO-Konformit\u00e4t einer Website systematisch pr\u00fcfen?<\/h2>\n\n\n\n

Die systematische Pr\u00fcfung der DSGVO-Konformit\u00e4t einer Website umfasst mehrere Bereiche, die regelm\u00e4\u00dfig und strukturiert untersucht werden sollten. Eine vollst\u00e4ndige DSGVO-Konformit\u00e4tspr\u00fcfung<\/a> beinhaltet mindestens die folgenden Pr\u00fcfbereiche:<\/p>\n\n\n\n