Blog

Wann muss eine Website nach Änderungen erneut auf DSGVO geprüft werden?

Herausgegeben von Decareto

4 Minuten lesen

November 4, 2026

Eine Website muss immer dann erneut auf DSGVO-Konformität geprüft werden, wenn sich technische oder inhaltliche Aspekte ändern, die die Verarbeitung personenbezogener Daten betreffen. Das gilt insbesondere nach der Integration neuer Cookies, Tracking-Dienste oder Drittanbieter-Tools sowie nach Änderungen am Consent-Banner oder der Datenschutzerklärung. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um den richtigen Zeitpunkt, den Umfang und die Automatisierung von DSGVO-Website-Prüfungen.

Welche Website-Änderungen lösen eine neue DSGVO-Prüfpflicht aus?

Eine neue DSGVO-Prüfung ist immer dann erforderlich, wenn eine Änderung an der Website dazu führt, dass personenbezogene Daten auf neue Weise verarbeitet werden. Das betrifft vor allem die Einbindung neuer externer Dienste, Cookies oder Tracking-Technologien, aber auch Anpassungen am Consent-Management oder an der Datenschutzerklärung selbst.

Konkret sollte ein erneuter DSGVO-Check ausgelöst werden, wenn eine der folgenden Änderungen vorgenommen wurde:

Neue externe Dienste: Jede Einbindung eines Drittanbieter-Dienstes, zum Beispiel ein neues Analytics-Tool, ein Zahlungsanbieter, ein Social-Media-Plugin oder ein Chatbot, stellt eine neue Datenverarbeitung dar. Bereits das bloße Laden eines externen Skripts überträgt die IP-Adresse des Nutzers an den Anbieter.
Änderungen am Cookie-Verhalten: Wenn neue Cookies gesetzt werden oder bestehende Cookies ihren Zweck oder ihre Speicherdauer ändern, muss geprüft werden, ob eine Einwilligung erforderlich ist und ob das Consent-Banner entsprechend aktualisiert wurde.
Neue Unterseiten oder Funktionsbereiche: Ein neuer Shop-Bereich, ein Mitgliederbereich oder ein Kontaktformular kann eigene datenschutzrelevante Prozesse einführen, die bisher nicht erfasst waren.
Wechsel des Hosting-Anbieters oder der technischen Infrastruktur: Ein Serverwechsel kann Auswirkungen auf den Speicherort personenbezogener Daten, die SSL-Konfiguration und damit auf die Anforderungen nach Art. 32 DSGVO haben.
Einbindung von Google Fonts, Google Maps oder ähnlichen Google-Diensten: Diese Dienste stehen seit Urteilen aus den Jahren 2022 und 2023 besonders im Fokus. Wer solche Dienste nachträglich integriert oder ändert, sollte umgehend prüfen, ob eine Einwilligung eingeholt wird.
Aktualisierung des Consent-Banners oder des Consent-Management-Tools: Änderungen an der Einwilligungslogik können dazu führen, dass Dienste mit oder ohne Einwilligung geladen werden, was unmittelbar datenschutzrechtliche Relevanz hat.

Kurz gesagt: Jede technische oder inhaltliche Änderung, die die Datenflüsse einer Website beeinflusst, ist ein Anlass für einen erneuten Website-Check auf DSGVO-Konformität.

Wie schnell muss nach einer Website-Änderung eine DSGVO-Prüfung erfolgen?

Die DSGVO sieht keine explizite Frist vor, innerhalb derer nach einer Website-Änderung eine Prüfung stattfinden muss. Der Grundsatz der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO verlangt jedoch, dass Verantwortliche die Einhaltung der Datenschutzprinzipien jederzeit nachweisen können. Das bedeutet: Prüfungen sollten zeitnah, idealerweise unmittelbar nach einer relevanten Änderung, erfolgen.

In der Praxis empfiehlt sich folgendes Vorgehen:

Vor dem Go-live: Neue Funktionen oder Dienste sollten bereits in der Test- oder Staging-Umgebung auf datenschutzrechtliche Anforderungen geprüft werden, bevor sie produktiv gehen.
Unmittelbar nach der Veröffentlichung: Sobald eine Änderung live ist, sollte ein Scan der betroffenen Seiten erfolgen, um sicherzustellen, dass Cookies und Dienste korrekt im Consent-Banner abgebildet sind.
Spätestens innerhalb weniger Tage: Wenn eine sofortige Prüfung nicht möglich ist, sollte sie innerhalb weniger Werktage nachgeholt werden. Je länger eine potenziell datenschutzwidrige Konfiguration unentdeckt bleibt, desto länger besteht das entsprechende Risiko.

Wichtig: Eine zeitnahe Prüfung dokumentiert den Willen zur Compliance und unterstützt die Rechenschaftspflicht, ersetzt jedoch nicht die rechtliche Beurteilung durch einen qualifizierten Datenschutzbeauftragten oder Rechtsanwalt.

Was genau wird bei einer DSGVO-Website-Prüfung untersucht?

Bei einer DSGVO-Website-Prüfung werden alle technischen und inhaltlichen Aspekte einer Website analysiert, die personenbezogene Daten betreffen. Dazu gehören Cookies, externe Dienste, das Consent-Management, die Datenschutzerklärung sowie die Sicherheit der Datenübertragung.

Im Einzelnen umfasst eine gründliche DSGVO-Prüfung typischerweise folgende Bereiche:

Cookies und externe Dienste

Es wird erfasst, welche Cookies gesetzt und welche externen Dienste geladen werden, sowohl vor als auch nach einer Nutzerinteraktion mit dem Consent-Banner. Entscheidend ist dabei, ob einwilligungspflichtige Dienste tatsächlich erst nach einer aktiven Zustimmung geladen werden oder ob sie bereits beim Seitenaufruf aktiv sind.

Consent-Banner und Einwilligungslogik

Geprüft wird, ob ein Consent-Management-Tool vorhanden ist, ob es korrekt zwischen einwilligungsfreien und einwilligungspflichtigen Diensten unterscheidet und ob die Nutzereinwilligung rechtskonform eingeholt wird. Fehlt die Einwilligung trotz Erfordernis, stellt das ein datenschutzrechtliches Risiko dar.

Datenschutzerklärung

Die Datenschutzerklärung wird daraufhin überprüft, ob alle tatsächlich eingesetzten Dienste und Verarbeitungen darin dokumentiert sind. Dienste, die auf der Website gefunden werden, aber in der Datenschutzerklärung fehlen, sind ein häufiger Befund bei Website-Audits.

SSL-Verschlüsselung und Serversicherheit

Die DSGVO verlangt nach Art. 32 eine angemessene technische Absicherung der Datenverarbeitung. Dazu gehört die verschlüsselte Übertragung personenbezogener Daten. Geprüft wird daher, ob ein gültiges SSL-Zertifikat vorhanden ist, ob die Zertifikatskette korrekt konfiguriert ist und ob grundlegende Sicherheitsheader gesetzt sind.

Wie oft sollte eine Website ohne konkrete Änderungen auf DSGVO geprüft werden?

Auch ohne aktive Änderungen an einer Website sollte sie mindestens einmal monatlich auf DSGVO-Konformität geprüft werden. Externe Dienste können ihr Verhalten eigenständig ändern, neue Cookies einführen oder Daten in andere Länder übertragen, ohne dass der Website-Betreiber davon unmittelbar Kenntnis erlangt.

Folgende Faktoren machen regelmäßige Prüfungen auch ohne eigene Änderungen notwendig:

Änderungen durch Drittanbieter: Ein eingebundenes Analytics-Tool oder ein Werbedienst kann Updates einspielen, die das Cookie-Verhalten oder die Datenweitergabe verändern.
Ablauf von SSL-Zertifikaten: Zertifikate sind zeitlich begrenzt. Läuft ein Zertifikat ab, zeigen Browser Warnmeldungen an, was sowohl ein Sicherheits- als auch ein Datenschutzproblem darstellt.
Neue Rechtsprechung und Behördenentscheidungen: Was gestern noch als datenschutzrechtlich unbedenklich galt, kann durch neue Urteile oder Leitlinien der Aufsichtsbehörden anders bewertet werden.
Technische Drift: Content-Management-Systeme, Plugins und Themes werden regelmäßig aktualisiert. Dabei können unbemerkt neue Dienste oder Tracking-Skripte eingebunden werden.

Für Unternehmen mit mehreren Websites oder für externe Datenschutzbeauftragte, die viele Mandanten betreuen, ist eine monatliche manuelle Prüfung aller Websites kaum realisierbar. Hier bietet sich eine kontinuierliche automatisierte Überwachung als praktikable Alternative an.

Welche Risiken entstehen, wenn eine DSGVO-Prüfung nach Änderungen ausbleibt?

Wenn nach relevanten Website-Änderungen keine erneute DSGVO-Prüfung erfolgt, können datenschutzrechtliche Verstöße unbemerkt bestehen bleiben. Das erhöht das Risiko von Beschwerden bei Aufsichtsbehörden, Abmahnungen durch Mitbewerber sowie eines Vertrauensverlusts bei Nutzern.

Konkret können folgende Probleme entstehen:

Unerlaubte Datenverarbeitung: Wenn ein neuer Dienst ohne Einwilligung geladen wird, obwohl eine solche erforderlich wäre, liegt ein datenschutzrechtlicher Verstoß vor, der von Aufsichtsbehörden geahndet werden kann.
Veraltete Datenschutzerklärung: Eine Datenschutzerklärung, die neue Dienste nicht abbildet, ist unvollständig. Nutzer können nicht informiert zustimmen, was die Wirksamkeit der Einwilligung infrage stellt.
Wettbewerbsrechtliche Abmahnungen: Datenschutzverstöße auf Websites können in Deutschland auch wettbewerbsrechtlich relevant sein und Abmahnungen durch Mitbewerber nach sich ziehen.
Reputationsschäden: Werden Datenschutzmängel öffentlich bekannt, kann das das Vertrauen von Kunden und Partnern dauerhaft beschädigen.
Fehlendes Nachweisvermögen: Ohne dokumentierte Prüfungen lässt sich die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO im Ernstfall schwer belegen.

Besonders kritisch ist die Situation bei Diensten, die nach aktueller Rechtsprechung als besonders risikoreich eingestuft werden, etwa bestimmte Google-Dienste, die Daten in die USA übertragen. Hier ist eine lückenlose Dokumentation der Prüfungen besonders wichtig.

Wie lässt sich die DSGVO-Prüfung nach Website-Änderungen automatisieren?

Die DSGVO-Prüfung nach Website-Änderungen lässt sich durch automatisierte Monitoring-Tools erheblich vereinfachen. Solche Tools scannen Websites regelmäßig und automatisch, erkennen Änderungen im Cookie- und Diensteverhalten und senden Benachrichtigungen, wenn neue datenschutzrelevante Befunde auftreten.

Ein automatisierter Ansatz bietet gegenüber manuellen Prüfungen mehrere Vorteile:

Tägliche Überwachung: Automatisierte Scans der Startseite und der Datenschutzerklärung können täglich durchgeführt werden, sodass Änderungen im Diensteverhalten zeitnah erkannt werden.
Monatliche Vollscans: Regelmäßige Vollscans aller Unterseiten stellen sicher, dass auch tief verlinkte Seiten auf Cookies und externe Dienste geprüft werden, nicht nur die Startseite.
Automatische Benachrichtigungen: Wenn ein neuer Dienst auf der Website gefunden wird oder ein bisher enthaltener Dienst wegfällt, löst das System eine Benachrichtigung aus. So lässt sich die Datenschutzerklärung aktuell halten, ohne jede Änderung manuell nachverfolgen zu müssen.
Skalierbarkeit: Wer als Datenschutzbeauftragter oder Agentur viele Websites betreut, kann Hunderte von Websites gleichzeitig überwachen, ohne dass der Aufwand linear mit der Anzahl der Websites steigt.
Dokumentation und Nachweisbarkeit: Automatisch erstellte Reports mit Zeitstempel unterstützen die Rechenschaftspflicht und erleichtern die Kommunikation mit Mandanten oder internen Stakeholdern.

Wichtig: Automatisierte Scans identifizieren Schwachstellen und liefern eine strukturierte Grundlage für die weitere Bearbeitung. Sie ersetzen jedoch nicht die rechtliche Beurteilung durch einen qualifizierten Datenschutzbeauftragten oder Rechtsanwalt.

Wie decareto die DSGVO-Prüfung nach Website-Änderungen unterstützt

Wir bei decareto haben unsere Plattform genau für diesen Anwendungsfall entwickelt: die automatisierte, skalierbare Überwachung von Websites auf datenschutzrechtliche Schwachstellen. Damit unterstützen wir Datenschutzbeauftragte, Agenturen und Compliance-Teams dabei, den Überblick zu behalten, auch wenn sich Websites laufend verändern.

Was unsere Lösung konkret leistet:

Tägliche Scans der Startseite und Datenschutzerklärung, die automatisch jede Nacht starten oder manuell ausgelöst werden können
Monatliche Vollscans aller Unterseiten, einschließlich passwortgeschützter Bereiche, mit bis zu 500 Seiten pro Scan
Automatische Benachrichtigungen per E-Mail, wenn neue Dienste gefunden oder bekannte Dienste nicht mehr erkannt werden
KI-gestützte Analyse von Cookies, Trackern und Consent-Bannern für konsistente, nachvollziehbare Ergebnisse
Integrierter Datenschutzgenerator für stets aktuelle Datenschutzerklärungen in 24 Sprachen, der auf den Scan-Ergebnissen basiert
SSL- und Sicherheitsheader-Prüfung als Teil jedes Scans
Übersichtliche Reports mit konkreten Handlungsempfehlungen, die direkt mit Kunden geteilt oder unter eigenem Logo ausgeliefert werden können

Datenschutzbeauftragte und Compliance-Teams, die viele Websites betreuen, können mit unserer Plattform den Aufwand für Web-Audits typischerweise um bis zu 90 % reduzieren. Testen Sie decareto und starten Sie noch heute mit dem automatisierten Website-Monitoring.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.