DSGVO-Website-Compliance-Checkliste für britische Unternehmen (2026)
17. August 2026
Ein praktischer, auf Großbritannien ausgerichteter GDPR-Website-Compliance-Checkliste für 2026. Deckt Cookies, Datenschutzrichtlinien, Einwilligungen, DSARs und mehr ab.
Legen Sie Ihre Rechtsgrundlage fest und aktualisieren Sie Ihre Datenschutzerklärung
Bevor Sie irgendetwas anderes tun, dokumentieren Sie die Rechtsgrundlage für jede Art personenbezogener Daten, die Sie über Ihre Website verarbeiten. Im Vereinigten Königreich verlangen der Data Protection Act 2018 und die britische DSGVO bestimmte Gründe, wie Einwilligung, berechtigtes Interesse oder Vertrag. Seien Sie in Ihrer Datenschutzerklärung konkret: Listen Sie auf, welche Daten Sie erheben, warum Sie sie erheben, wie lange Sie sie aufbewahren und ob Sie sie an Dritte weitergeben. Ihre Erklärung muss in klarem, einfachem Englisch verfasst sein und über die Fußzeile jeder Seite erreichbar sein. Viele britische Unternehmen vergessen, ihre Erklärung zu aktualisieren, nachdem sie neue Tools wie Analysetools oder Marketing-Pixel hinzugefügt haben. Führen Sie alle sechs Monate eine regelmäßige Überprüfung durch.
Überprüfen Sie Ihre Cookies und Tracking-Technologien
Nach der britischen DSGVO (UK GDPR) und den Privacy and Electronic Communications Regulations (PECR) müssen Sie eine ausdrückliche Einwilligung einholen, bevor Sie nicht notwendige Cookies auf dem Gerät eines Nutzers platzieren. Dazu gehören Analyse-Cookies, Werbe-Pixel und Social-Media-Widgets. Führen Sie mit einem kostenlosen oder kostenpflichtigen Cookie-Scanner eine technische Prüfung Ihrer Website durch, um jedes Skript und jeden Tracker zu identifizieren. Implementieren Sie eine Einwilligungsverwaltungsplattform (CMP), die die Nutzereinwilligung mit Zeitstempel und IP-Adresse aufzeichnet. Denken Sie daran: Der britische „Opt-in“-Standard für Cookies unterscheidet sich von einigen EU-Ansätzen – Nutzer sollten nicht belästigt werden, aber sie müssen aktiv zustimmen. Bieten Sie eine klare Schaltfläche „Alle ablehnen“, die ebenso prominent ist wie „Alle akzeptieren“.
Implementieren Sie einen reibungslosen Prozess für Anträge betroffener Personen (DSAR)
Ihre Website muss in der Lage sein, DSARs effizient zu bearbeiten. Gemäß der UK-DSGVO haben Einzelpersonen das Recht, auf ihre Daten zuzugreifen, sie zu berichtigen, zu löschen, die Verarbeitung einzuschränken und ihre Daten zu übertragen. Stellen Sie sicher, dass Ihre Website eine eigene Kontaktmöglichkeit für die Einreichung von DSARs bietet – ein Formular oder eine veröffentlichte E-Mail-Adresse. Richten Sie interne Arbeitsabläufe ein, um die Identität zu überprüfen, alle relevanten Systeme innerhalb der Ein-Monats-Frist zu durchsuchen und auf Anfrage in einem maschinenlesbaren Format zu antworten. Kleine britische Unternehmen tun sich oft schwer mit den Fristen, daher sollten Sie Antwortvorlagen im Voraus vorbereiten. Erwägen Sie die Einrichtung eines Self-Service-Portals, über das Nutzer ihre eigenen Daten herunterladen oder löschen können. Dokumentieren Sie jede Anfrage und jedes Ergebnis für Ihre Compliance-Unterlagen.
Überprüfen Sie die Website-Sicherheit und Datenspeicherungspraktiken
Die britische DSGVO verlangt geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Für Ihre Website bedeutet das: Durchsetzung von HTTPS mit einem gültigen TLS-Zertifikat, Verwendung sicherer Passwörter für Administratorkonten, Aktivierung der Zwei-Faktor-Authentifizierung sowie die regelmäßige Aktualisierung Ihres Content-Management-Systems und Ihrer Plugins. Legen Sie außerdem eine Richtlinie zur Datenspeicherung fest, die Ihren angegebenen Zwecken entspricht – löschen Sie Daten, die Sie rechtlich nicht mehr benötigen. Führen Sie regelmäßige Schwachstellenscans durch und lassen Sie mindestens einmal jährlich einen Penetrationstest durchführen. Wenn Sie erhebliche Datenmengen verarbeiten, ziehen Sie Pseudonymisierung und Verschlüsselung in Betracht. Halten Sie Verfahren zur Reaktion auf Datenschutzverletzungen bereit, denn 72 Stunden sind die Obergrenze für die Meldung an die ICO.
Aufzeichnungen, DSFAs und fortlaufende Compliance-Dokumentation führen
Das UK GDPR verlangt den Nachweis der Einhaltung, nicht nur entsprechende Maßnahmen. Sie müssen Ihre Verarbeitungstätigkeiten in einem zentralen Verzeichnis dokumentieren, einschließlich Zwecken, Datenkategorien, Empfängern und Aufbewahrungsfristen. Wenn Sie eine neue Verarbeitung mit hohem Risiko planen, führen Sie eine Datenschutz-Folgenabschätzung (DSFA) durch und überprüfen Sie bestehende DSFAs regelmäßig. Für Websites, die Daten außerhalb des Vereinigten Königreichs übertragen, stellen Sie sicher, dass gültige Übermittlungsmechanismen wie Standardvertragsklauseln oder Angemessenheitsbeschlüsse vorhanden sind. Führen Sie ein internes Protokoll aller Entscheidungen und Verbesserungen. Legen Sie einen Compliance-Kalender mit vierteljährlichen Überprüfungen an. Das ICO erwartet eine proaktive Meldung von Verstößen, daher sollten Sie ein Vorfallregister führen, auch für Beinahe-Vorfälle. Eine wirksame Dokumentation kann Bußgelder erheblich reduzieren, falls es zu einer Untersuchung kommt.
FAQ
Die UK GDPR ist das Datenschutzgesetz nach dem Brexit und spiegelt die EU-DSGVO wider. Sie gilt für jede Website, die personenbezogene Daten von Personen im Vereinigten Königreich verarbeitet, unabhängig davon, wo das Unternehmen ansässig ist. Selbst Hobby-Websites mit einem Kontaktformular, das Namen und E-Mails erfasst, müssen die Vorschriften einhalten. Wenn Sie ein Unternehmen im Ausland sind und Besucher im Vereinigten Königreich ansprechen, müssen Sie in einigen Fällen einen Vertreter im Vereinigten Königreich benennen.