DSGVO + AI Act Audit für Ihre Website
in 60 Sekunden
Cookie-Banner, US-Tools, AI Act §50, AV-Verträge. Sehen Sie alle Risiken auf einer Seite. Inklusive Bußgeld-Schätzung und Migrations-Empfehlungen.
Was prüft der DSGVO-Check?
7 Risiko-Ebenen, jede einzeln verständlich erklärt.
Cookie-Banner
Sind die Buttons gleich prominent? Werden Cookies VOR Klick gesetzt? Wir prüfen 10 Cookie-Banner-Lösungen.
Google Fonts ohne Einwilligung
Das LG München hat 2022 entschieden: 100 € Schadenersatz pro Besucher. Wir prüfen ob Ihre Fonts lokal oder über Google geladen werden.
US-Tool-Risiken (Schrems-II)
Google Analytics, Meta Pixel, Mailchimp, HubSpot, Calendly, Stripe. Wir erkennen 17 US-Tools und sagen Ihnen welche DPF-zertifiziert sind.
AI Act §50 (Kennzeichnungspflicht)
Wenn Sie einen Chatbot oder KI auf Ihrer Seite haben, müssen Sie das kennzeichnen (EU AI Act, Q4 2026). Wir checken 24 Chatbot-Anbieter.
Datenschutzerklärung
Ist sie da? Ist sie vollständig (Verantwortlicher, Rechtsgrundlage, Betroffenenrechte, Drittland, KI-Nutzung)? Wir checken 8 Pflicht-Sektionen automatisch.
Impressum plus UWG
Pflichtangaben nach TMG §5 plus UWG-Symmetrie bei Cookie-Banner. Klassische Abmahn-Klassiker, wir fangen sie ab.
AV-Verträge
Welche Tools auf Ihrer Seite verarbeiten personenbezogene Endkunden-Daten? Wir listen sie auf, Sie wissen sofort welche Verträge fehlen könnten.
Warum 53 Prozent der DACH-KMU Angst vor KI haben, Bitkom-Daten 2025
Bitkom 2025 hat 503 deutsche Mittelständler befragt. Ergebnis: jedes zweite KMU traut sich nicht an KI heran, wegen Datenschutz, AI Act, AV-Verträgen. Das Verrückte: Nach unserer Erfahrung sind viele dieser Risiken auf ihrer Website in 60 Sek. behebbar.
DSGVO-by-Design heißt: das System ist so gebaut, dass personenbezogene Daten gar nicht erst in problematische Hände kommen. Im Gegensatz zu DSGVO-konform (wir haben Verträge unterschrieben) reduziert es das Risiko an der Wurzel.
- Kein US-Hosting: Alles auf Hetzner Nürnberg, Frankfurt oder anderen EU-Anbietern.
- Keine Endkunden-Daten in KI-Tools: Anonymisierung vor jeder KI-Verarbeitung.
- Minimaldatenprinzip: Tools sammeln nur was nötig ist (z.B. Plausible statt GA4, keine IP, keine Cookies).
- EU-Alternativen aktiv vorintegriert: Brevo (Paris), Plausible (Tallinn), Postmark (EU-Region).
- Cookie-Banner UWG-symmetrisch: Akzeptieren und Ablehnen gleich prominent.
Google Fonts, US-Tools, AI Act, die 3 größten DSGVO-Risiken 2026
Risiko 1, Google Fonts ohne Consent (LG München 2022, Az. 3 O 17493/20):
Die Abmahnwelle 2024-2025 hat tausende KMU getroffen. Rechtsanwalt sendet Abmahnung wegen 1 IP-Übertragung an Google, Streitwert oft 5.000 €, Schadenersatz 100 € pro Besucher. Fix: Google Fonts lokal einbinden (10 Min via Plugin, z.B. OMGF für WordPress).
Risiko 2, US-Tools nach Schrems-II:
EuGH hat 2020 das Privacy-Shield-Abkommen gekippt. Seit Juli 2023 gilt das Data Privacy Framework (DPF), aber NUR wenn das US-Tool zertifiziert ist UND Ihre Konfiguration die Garantien einhält. Google Analytics, Meta Pixel, Mailchimp sind die häufigsten Risiko-Tools bei KMU.
Risiko 3, AI Act §50 (Kennzeichnungspflicht, Q4 2026):
Chatbots, KI-Texte und Deepfakes müssen gekennzeichnet werden. Verstoß: bis 15 Millionen € oder 3 Prozent weltweiter Umsatz. Für KMU realistisch: Abmahnungen und Aufsichtsbehörden-Verfahren. Nach unserer Einschätzung ist ein Großteil der KMU aktuell nicht vorbereitet.
DSGVO-by-Design, was Bot-Agent anders macht (Hetzner Nürnberg, kein AV-Vertrag)
Standard-Setup bei KMU plus KI-Automation: Anbieter X bekommt Ihre Endkunden-Daten (Namen, Emails, Anfragen). Sie unterschreiben einen AV-Vertrag (Art. 28 DSGVO). Sie hoffen, dass der Anbieter sorgfältig ist. Sie haften trotzdem.
Bot-Agent-Setup:
- Bot-Agent bekommt KEINE Endkunden-Daten von Ihren Kunden.
- Wir verarbeiten nur Ihre eigenen Daten (Briefings, Templates, Wissensbasis).
- Endkunden-Daten landen direkt in IHRER Datenbank (auf Hetzner Nürnberg).
- Kein AV-Vertrag mit uns nötig, weil keine Auftragsverarbeitung stattfindet.
DSGVO-by-Design ist eine architektonische Entscheidung, kein Marketing-Claim. Konkurrenten können das nicht nachträglich einbauen, ohne ihr Produkt neu zu denken.
Häufige Fragen (FAQ)
Darf ich überhaupt ChatGPT im Geschäft nutzen?
Ja, wenn Sie keine personenbezogenen Daten Ihrer Kunden in ChatGPT eingeben. Anonymisierte Inhalte (Texte, Konzepte, Code) sind unproblematisch. Sobald Kundendaten reinfließen, brauchen Sie AV-Vertrag mit OpenAI (kostenpflichtig, ChatGPT Teams/Enterprise) und einen Schrems-II-Check.
Wie hoch sind realistische Bußgelder bei DSGVO-Verstößen für KMU?
Studien zeigen: 95 Prozent aller Bußgelder gegen KMU liegen zwischen 500 € und 50.000 €. Die plakativen 20-Millionen-Fälle treffen fast immer Großkonzerne. Abmahnungen (z.B. Google Fonts) typisch 250-1.500 € Streitwert. Trotzdem: jede vermeidbare Strafe ist eine zu viel.
Brauche ich einen AV-Vertrag mit US-Tools wie ChatGPT oder HubSpot?
Sobald Sie personenbezogene Endkunden-Daten verarbeiten lassen: ja. Bei reiner interner Nutzung (z.B. Marketing-Texte erstellen): nein. Bot-Agent verarbeitet KEINE Endkunden-Daten unserer Kunden, also brauchen Sie mit uns keinen AV-Vertrag. Der DSGVO-Check prüft in Layer 7 Ihre Datenschutzerklärung auf explizite AVV-Hinweise (Art. 28 DSGVO und DPA-URLs). Score 100 erhalten Sie, wenn alle erkannten Tools im AVV-Abschnitt aufgeführt sind.
Dürfen meine Kundendaten in ein US-Automation-Tool oder in ChatGPT?
Mit Data Privacy Framework (DPF) und AV-Vertrag: ja. Ohne: heikel (Schrems-II). EU-Alternativen existieren für die meisten US-Tools, wir zeigen sie im PDF-Bericht. Unsere Infrastruktur läuft komplett auf Hetzner Nürnberg.
Was ist der AI Act §50 und was bedeutet er für mich?
Ab Q4 2026 müssen Chatbots, KI-Inhalte und Deepfakes gekennzeichnet sein. Wenn Sie z.B. einen Live-Chat mit KI-Antwort haben, muss als KI sichtbar sein. Verstoß: bis 15 Millionen € oder 3 Prozent weltweiter Umsatz. Wir zeigen Ihnen, ob Ihre Seite ready ist.
Muss ich offenlegen, dass mein Chatbot KI ist?
Ja, ab Q4 2026 Pflicht. Schon heute empfohlen. Konkret: sichtbarer Hinweis am Chat-Trigger (KI-Assistent) plus Sektion in der Datenschutzerklärung. Wir checken beides.
Was tun bei einer Google-Fonts-Abmahnung?
Nicht sofort zahlen. Viele Abmahnungen sind rechtsmissbräuchlich (Massenmailings durch Anwaltskanzleien). Brief an Anwalt mit Anfrage zur Aktivlegitimation, parallel Fonts auf lokal umstellen. Bei realer Klage: Streitwert meist 500-1.500 €. Anwalt einschalten, nicht selbst antworten.
Wie lange dauert ein DSGVO-sicheres Setup?
Mit Bot-Agent: 24-48 Stunden für Setup (Migration von US-Tools, Cookie-Banner-Aufsetzung, DSE-Anpassung, AV-Verträge). Selbst gemacht: 2-6 Wochen je nach Komplexität.
Ist Selbst-Hosting auf Hetzner schwierig?
Selbst: ja (Server, Updates, Backups). Mit Bot-Agent: nein, wir hosten alles für Sie, Sie nutzen es. Migration-Setup einmalig 99 € (BAFA-Eigenanteil 60 €), dann ab 49 € pro Monat.
Welche EU-Alternativen gibt es zu Google Analytics?
Plausible (Tallinn, EE) 9 €/Mo, Matomo (selbst-gehostet) 0 € plus Hosting, Fathom (Kanada/EU) 15 €/Mo, Etracker (Hamburg) 19 €/Mo. Im PDF-Bericht zeigen wir konkrete Migrations-Pfade.
Mein Anbieter sagt DSGVO-konform. Reicht das?
Nein. DSGVO-konform heißt meist: wir haben einen AV-Vertrag. Es heißt NICHT: keine Daten in USA, keine Schrems-II-Risiken, AI Act ready. Konkret nachfragen: Wo werden die Daten gespeichert? DPF-zertifiziert? AI-Act-Disclosure dokumentiert?
Gibt es Förderungen für DSGVO-Migration?
Ja, BAFA Förderung von Unternehmensberatungen für KMU (bis 31.12.2026): 50-80 Prozent Zuschuss auf Beratungsleistungen. Bot-Agent-Setup-Pakete sind BAFA-fähig. Eigenanteil 60 € statt 99 €. Wir helfen beim Antrag.
Brauche ich nicht einen Datenschutz-Anwalt oder Cookiebot/Usercentrics?
Doch, abhängig vom Risiko. Dieses Tool ersetzt keine Rechtsberatung, sondern zeigt technische DSGVO-Signale auf Ihrer Website. Stand der Recherche: 2026-06-01, gemäss öffentlich verfügbarer Pricing-Seiten.
- Cookiebot / Usercentrics(Subscription ab ca. €9–50/Monat) sind etablierte Consent-Management-Plattformen (CMP). Sie blockieren Tracking bis zur Zustimmung und liefern einen rechtskonformen Cookie-Banner. Fokus: Consent-Layer.
- Datenschutz-Anwalt(Erstberatung ab ca. €150–500/Stunde) bewertet rechtliche Risiken individuell und schreibt eine rechtsverbindliche Stellungnahme.
- 7 Layer (Cookie-Banner-Symmetrie, Google Fonts ohne Consent, US-Tools/Schrems II, AI Act §50 Indikatoren, Datenschutzerklärung-Completeness, Impressum + DOI, AV-Vertrag-Relevanz)
- 17 US-Tool-Signaturen (GA, Meta Pixel, HubSpot, Stripe, Calendly, Hotjar etc.) mit DPF-Listen-Check
- Illustrative Bussgeld-Range basierend auf bekannten Urteilen (z. B. LG München 2022), keine rechtsverbindliche Bewertung
- Top-5 Sofort-Risiken mit Aufwand-Schätzung
Wichtig: Dieser Scan stellt keine Rechtsberatungdar (§ 2 RDG). Bei konkretem Risiko ist anwaltliche Beratung erforderlich. Die genannten Preise und Funktionen können sich kurzfristig ändern; die offiziellen Anbieter-Seiten sind massgeblich.
Glossar: DSGVO + AI Act verstehen
DSGVO
Datenschutz-Grundverordnung (EU 2016/679, gilt seit 25.05.2018). Regelt Verarbeitung personenbezogener Daten.
Art. 6 DSGVO
Rechtsgrundlage-Artikel. Verarbeitung nur erlaubt mit (a) Einwilligung, (b) Vertrag, (c) Gesetzespflicht, (d) lebenswichtig, (e) öffentliche Aufgabe, (f) berechtigtes Interesse.
TTDSG
Telekommunikation-Telemedien-Datenschutzgesetz (seit 01.12.2021). §25 = Cookie-Einwilligungspflicht (umsetzt ePrivacy-Richtlinie).
EU AI Act §50
Transparenzpflicht für KI-Systeme (EU AI Act, Q4 2026). Chatbots, Deepfakes müssen offengelegt werden.
Schrems-II
EuGH-Urteil 2020 (C-311/18). Kippte Privacy Shield. US-Daten-Übermittlung nur mit Garantien (Standardvertragsklauseln, zusätzliche Maßnahmen).
DPF (Data Privacy Framework)
EU-US-Datenschutzrahmen seit 10.07.2023. Ersetzt Privacy Shield. US-Unternehmen müssen sich aktiv zertifizieren.
AV-Vertrag
Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO. Pflicht wenn Dritter personenbezogene Daten für Sie verarbeitet. Der DSGVO-Check erkennt explizite AVV-Bestätigungen in Ihrer Datenschutzerklärung (Art. 28 DSGVO + Auftragsverarbeitung + DPA-URL eines Hosters) und vergibt Score 100, wenn alle erkannten Tools im AVV-Abschnitt aufgeführt sind.
UWG-Symmetry
Aus UWG plus BGH-Urteil Planet49. Akzeptieren- und Ablehnen-Button bei Cookies müssen gleich prominent sein.
TMG §5
Telemediengesetz §5, Impressumspflicht. Pflichtangaben: Firma, Vertretungsberechtigte, Adresse, Kontakt, USt-IdNr (wenn Gewerbe).
CMP
Consent Management Platform, Tool das Cookie-Einwilligung verwaltet (Cookiebot, Usercentrics, Borlabs, etc.).
DOI (Double-Opt-In)
Newsletter-Standard: User trägt sich ein, bekommt Bestätigungs-E-Mail, klickt Link, dann erst eingetragen. Pflicht nach UWG §7 plus DSGVO Art. 6.
BAFA
Bundesamt für Wirtschaft und Ausfuhrkontrolle. Vergibt KMU-Beratungs-Förderungen (50-80 Prozent Zuschuss bis 31.12.2026).
Weitere kostenlose Checks
Alle Bot-Agent-Tools sind kostenlos, ohne Anmeldung nutzbar.
DSGVO-Migration in 24 Stunden, ab 49 €/Monat netto
Bot-Agent ist die einzige DACH-Lösung, die Ihnen keinen AV-Vertrag aufzwingt, weil wir keine Daten Ihrer Endkunden verarbeiten. Alles auf Hetzner Nürnberg, alle EU-Alternativen vorintegriert, AI-Act §50 schon implementiert.