Wie erkenne und kontrolliere ich Drittanbieter als DSGVO-Risiko auf meiner Website?

Drittanbieter auf einer Website lassen sich am zuverlässigsten erkennen, indem Sie die Netzwerkaufrufe Ihrer Website systematisch analysieren und jeden externen Dienst auf seine datenschutzrechtliche Grundlage prüfen. Für Website-Betreiber, Datenschutzbeauftragte und Compliance-Teams ist diese Prüfung keine einmalige Aufgabe, sondern ein fortlaufender Prozess. Der folgende Artikel beantwortet die wichtigsten Fragen rund um Drittanbieter als DSGVO-Risiko und zeigt, wie Sie strukturiert vorgehen können.

Welche Drittanbieter sind typischerweise auf Websites eingebunden?

Auf den meisten Websites sind zahlreiche externe Dienste eingebunden, die Daten an Dritte übermitteln. Zu den häufigsten Kategorien gehören Webanalyse-Tools, Werbedienste, Social-Media-Plugins, Schriftartenbibliotheken, Content-Delivery-Netzwerke und Zahlungsdienstleister. Viele dieser Dienste werden durch externe JavaScript-Dateien oder eingebettete Inhalte aktiviert und übertragen dabei Nutzerdaten an ihre Anbieter.

In der Praxis begegnen Website-Betreibern vor allem folgende Drittanbieter:

• Analyse- und Tracking-Tools: Google Analytics, Matomo, etracker oder ähnliche Dienste, die das Nutzerverhalten messen
• Werbeplattformen: Google Ads, Meta Pixel oder andere Retargeting-Lösungen
• Externe Schriftarten und Medien: Google Fonts, YouTube-Videos oder Kartendienste wie Google Maps
• Consent-Management-Plattformen: Usercentrics, Cookiebot oder vergleichbare Tools zur Einwilligungsverwaltung
• Chat- und Support-Widgets: Live-Chat-Dienste oder Helpdesk-Lösungen
• Social-Media-Einbindungen: Share-Buttons, Feeds oder Login-Funktionen von Facebook, LinkedIn oder X

Besonders tückisch ist, dass viele dieser Dienste nicht bewusst eingebunden werden. Häufig lädt ein einzelner Drittanbieter weitere externe Dienste nach. So kann beispielsweise die Einbindung von YouTube dazu führen, dass zusätzlich Google Fonts, Google Static oder AdSense for YouTube geladen werden, ohne dass der Website-Betreiber dies explizit konfiguriert hat.

Warum stellen Drittanbieter ein DSGVO-Risiko für Website-Betreiber dar?

Drittanbieter stellen ein DSGVO-Risiko dar, weil bereits das bloße Einbinden eines externen Dienstes eine Datenverarbeitung auslöst. Sobald ein Nutzer Ihre Website aufruft, wird dessen IP-Adresse an den Server des Drittanbieters übermittelt. Das gilt unabhängig davon, ob Cookies gesetzt werden oder nicht, und begründet eine datenschutzrechtliche Verantwortung des Website-Betreibers.

Die rechtlichen Risiken ergeben sich aus mehreren Faktoren:

• Fehlende Rechtsgrundlage: Für viele Drittanbieter, insbesondere in den Kategorien Werbung und Tracking, ist eine ausdrückliche Einwilligung der Nutzer erforderlich. Wird diese nicht eingeholt, fehlt die Rechtsgrundlage nach Art. 6 DSGVO.
• Datentransfer in Drittstaaten: Dienste, die Daten in Länder außerhalb der EU übertragen, unterliegen zusätzlichen Anforderungen. Ist das Unternehmen nicht im EU-US Data Privacy Framework zertifiziert oder fehlen anderweitige Garantien, kann der Transfer rechtswidrig sein.
• Fehlende Transparenz in der Datenschutzerklärung: Alle eingesetzten Drittanbieter müssen in der Datenschutzerklärung genannt werden. Fehlen Dienste oder sind sie unvollständig beschrieben, stellt das einen eigenständigen Verstoß dar.
• Besonders risikobehaftete Dienste: Bestimmte Dienste werden von Datenschutzbehörden und Gerichten als besonders problematisch eingestuft. Google Fonts etwa wurde in Deutschland und Österreich durch Gerichtsentscheidungen in den Jahren 2022 und 2023 als datenschutzrechtlich riskant bewertet, wenn es über externe Server von Google geladen wird.

Für Datenschutzbeauftragte und Compliance-Teams bedeutet das: Die Verantwortung für die datenschutzkonforme Einbindung von Drittanbietern liegt beim Website-Betreiber, nicht beim Anbieter des Dienstes. Eine sorgfältige Prüfung ist daher unerlässlich.

Wie lassen sich Drittanbieter auf einer Website erkennen und analysieren?

Drittanbieter lassen sich identifizieren, indem die Netzwerkaufrufe einer Website systematisch erfasst und ausgewertet werden. Jede externe Domain, zu der Ihr Browser beim Seitenaufruf eine Verbindung aufbaut, ist ein potenzieller Drittanbieter. Die Analyse umfasst dabei nicht nur die Startseite, sondern alle relevanten Unterseiten, da verschiedene Seiten unterschiedliche Dienste laden können.

Manuelle Analyse mit Browser-Entwicklertools

Im Browser lassen sich über die Entwicklertools (F12 oder rechte Maustaste + „Untersuchen“) unter dem Reiter „Netzwerk“ alle Verbindungen einsehen, die beim Laden einer Seite aufgebaut werden. Diese Methode ist kostenlos, aber zeitaufwendig und fehleranfällig. Für einzelne Seiten kann sie als erste Orientierung dienen, ist aber für die systematische Prüfung mehrerer Websites kaum skalierbar.

Automatisierte Analyse mit spezialisierten Tools

Automatisierte Scan-Tools analysieren Websites strukturiert und identifizieren eingebundene externe Dienste anhand ihrer Domains. Dabei wird unterschieden, ob ein Dienst vor oder nach einer Nutzerinteraktion mit dem Consent-Banner geladen wird. Wichtig zu wissen: Nicht jede externe Domain entspricht einem bekannten Dienst. Mitunter werden Bilder oder statische Dateien von Servern einer anderen Domain desselben Unternehmens eingebunden, was datenschutzrechtlich anders zu bewerten ist als die Einbindung eines echten Drittanbieters.

Bei der Analyse sollten Sie folgende Aspekte berücksichtigen:

• Wird der Dienst vor oder nach Einwilligung geladen?
• Welche Rechtsgrundlage gilt für den jeweiligen Dienst?
• Findet ein Datentransfer außerhalb der EU statt?
• Ist der Dienst in der Datenschutzerklärung genannt?
• Welche Cookies setzt der Dienst, und sind diese einwilligungspflichtig?

Um eine fundierte DSGVO-Konformität prüfen zu können, empfiehlt sich ein strukturiertes Vorgehen, das sowohl technische als auch rechtliche Aspekte berücksichtigt.

Welche Maßnahmen sind erforderlich, um Drittanbieter DSGVO-konform einzubinden?

Um Drittanbieter DSGVO-konform einzubinden, müssen Sie für jeden Dienst eine geeignete Rechtsgrundlage sicherstellen, einwilligungspflichtige Dienste über ein rechtswirksames Consent-Management-System steuern und alle Drittanbieter transparent in Ihrer Datenschutzerklärung ausweisen. Die konkreten Anforderungen hängen vom jeweiligen Dienst und seinem Verarbeitungszweck ab.

In der Praxis umfasst ein regelkonformer Umgang mit Drittanbietern typischerweise folgende Schritte:

1. Bestandsaufnahme: Erfassen Sie alle eingebundenen Drittanbieter vollständig, einschließlich der Dienste, die indirekt durch andere Dienste nachgeladen werden.
2. Rechtsgrundlage festlegen: Bestimmen Sie für jeden Dienst, ob er auf Basis eines berechtigten Interesses, zur Vertragserfüllung oder nur mit ausdrücklicher Einwilligung betrieben werden darf. Werbedienste erfordern in der Regel immer eine Einwilligung.
3. Consent-Management einrichten: Einwilligungspflichtige Dienste dürfen erst nach einer aktiven Zustimmung des Nutzers geladen werden. Ein technisch funktionierendes Consent-Banner ist dafür notwendig, reicht aber allein nicht aus, wenn es die Dienste nicht tatsächlich blockiert.
4. Datenschutzerklärung aktualisieren: Alle eingesetzten Drittanbieter müssen mit Angaben zu Zweck, Rechtsgrundlage und gegebenenfalls Drittlandtransfer in der Datenschutzerklärung aufgeführt sein. Eine automatisch generierte Datenschutzerklärung, die auf den tatsächlich erkannten Diensten basiert, kann dabei helfen, Lücken zu vermeiden.
5. Datentransfers absichern: Bei Diensten, die Daten in Drittstaaten übertragen, prüfen Sie, ob der Anbieter im EU-US Data Privacy Framework zertifiziert ist oder andere geeignete Garantien bestehen.

Bitte beachten Sie: Diese Hinweise ersetzen keine individuelle Rechtsberatung. Für verbindliche Einschätzungen zu Ihrer konkreten Situation empfehlen wir, einen qualifizierten Datenschutzbeauftragten oder eine Anwaltskanzlei hinzuzuziehen.

Wie oft sollten Drittanbieter auf einer Website überprüft werden?

Drittanbieter sollten mindestens bei jeder wesentlichen Änderung der Website sowie in regelmäßigen Abständen von zwei bis vier Mal jährlich überprüft werden. Da Websites dynamisch sind und sich die eingebundenen Dienste durch Updates, neue Plugins oder Änderungen von Dienstleistern jederzeit verändern können, reicht eine einmalige Prüfung nicht aus.

Folgende Ereignisse sollten unmittelbar eine erneute Prüfung auslösen:

• Launch einer neuen Website oder eines neuen Bereichs
• Installation oder Aktualisierung von Plugins, Themes oder CMS-Komponenten
• Einbindung neuer Marketing- oder Analyse-Tools
• Änderungen an der Datenschutzerklärung oder am Consent-Banner
• Neue Rechtsprechung oder Leitlinien von Datenschutzbehörden zu bestimmten Diensten
• Wechsel des Hosting-Anbieters oder der technischen Infrastruktur

Für Datenschutzbeauftragte, die mehrere Websites betreuen, ist eine kontinuierliche Überwachung besonders wichtig. Manuelle Prüfungen in kurzen Abständen sind bei einer größeren Anzahl von Websites kaum praktikabel, weshalb automatisierte Monitoring-Lösungen sinnvoll sind, die bei Änderungen automatisch Benachrichtigungen auslösen.

Welche Tools helfen dabei, Drittanbieter dauerhaft zu kontrollieren?

Für die dauerhafte Kontrolle von Drittanbietern eignen sich spezialisierte Compliance-Tools, die Websites automatisiert scannen, externe Dienste identifizieren und Änderungen kontinuierlich überwachen. Ergänzend dazu können Browser-Erweiterungen für schnelle Einzelprüfungen und Consent-Management-Plattformen für die technische Steuerung der Einwilligung eingesetzt werden.

Bei der Auswahl eines geeigneten Tools sollten Sie auf folgende Funktionen achten:

• Automatische Erkennung externer Dienste anhand von Netzwerkaufrufen und einer umfangreichen Dienste-Datenbank
• Prüfung des Consent-Verhaltens: Werden Dienste korrekt erst nach Einwilligung geladen?
• Überwachung mehrerer Websites mit automatischen Benachrichtigungen bei Änderungen
• Klare Handlungsempfehlungen im Report, die auch ohne tiefes technisches Vorwissen verständlich sind
• Abgleich mit der Datenschutzerklärung: Werden alle erkannten Dienste in der DSE erwähnt?

Wichtig: Kein automatisiertes Tool kann eine vollständige rechtliche Prüfung ersetzen oder garantieren, dass eine Website zu einem bestimmten Zeitpunkt vollständig DSGVO-konform ist. Automatisierte Scans liefern in den meisten Fällen eine zuverlässige Grundlage, decken aber nicht zwingend alle möglichen Compliance-Aspekte ab. Die Ergebnisse sollten daher stets im Zusammenspiel mit fachkundiger Beratung bewertet werden.

Wie decareto bei der Kontrolle von Drittanbietern unterstützt

Wir bei decareto haben eine SaaS-Plattform entwickelt, die genau für diese Aufgabe konzipiert ist: die systematische, automatisierte Prüfung und dauerhafte Überwachung von Websites auf Drittanbieter und DSGVO-Schwachstellen. Unsere Plattform unterstützt Datenschutzbeauftragte, Anwaltskanzleien, Agenturen und Compliance-Teams dabei, den Überblick zu behalten, ohne Stunden in manuelle Prüfungen zu investieren.

Das leisten wir konkret:

• Vollautomatische DSGVO-Website-Scans in Minuten statt Stunden, inklusive Unterseiten und passwortgeschützter Bereiche
• Erkennung von über 4.000 Drittanbietern anhand einer laufend aktualisierten Datenbank, mit klarer Zuordnung von Rechtsgrundlage und Einwilligungspflicht
• Prüfung des Consent-Verhaltens: Wir erkennen gängige Consent-Management-Tools und simulieren die Nutzerinteraktion, um zu prüfen, welche Dienste vor und nach Einwilligung geladen werden
• Kontinuierliches Monitoring mit automatischen Benachrichtigungen bei Änderungen auf überwachten Websites
• Dynamischer Datenschutzgenerator für passgenaue Datenschutzerklärungen in 24 Sprachen, basierend auf den tatsächlich erkannten Diensten
• Strukturierte Reports mit konkreten Handlungsempfehlungen, die direkt mit Kunden geteilt oder unter eigenem Logo ausgeliefert werden können

Wenn Sie Ihre Website oder die Websites Ihrer Kunden strukturiert auf Drittanbieter und DSGVO-Risiken prüfen möchten, können Sie decareto kostenlos testen. Jetzt kostenlos starten und sehen Sie in wenigen Minuten, welche externen Dienste auf Ihrer Website aktiv sind und wo Handlungsbedarf besteht.

Ähnliche Artikel

• Was prüft ein Barrierefreiheits-Audit bei mobilen Websites?
• Reicht ein Cookie-Check oder braucht meine Website ein vollständiges Datenschutz-Audit?
• Wie datenschutzkonform sind Live-Chat- und Chatbot-Widgets auf Websites?
• Welche Pflichtangaben dürfen in keiner Datenschutzerklärung fehlen?
• Was prüft ein WCAG Contrast Checker bei Textelementen?