Ein einfacher Cookie-Check reicht für die meisten Websites nicht aus. Er zeigt, welche Cookies gesetzt werden, liefert aber kein vollständiges Bild der datenschutzrechtlichen Lage einer Website. Ein vollständiges Datenschutz-Audit geht deutlich weiter: Es prüft externe Dienste, die Datenschutzerklärung, Drittlandtransfers und das Verhalten des Consent-Banners. Welche Prüfung Sie konkret benötigen, hängt von der Komplexität Ihrer Website und Ihrem Risikoprofil ab. Die folgenden Fragen helfen Ihnen, die richtige Entscheidung zu treffen.
Was prüft ein Cookie-Check tatsächlich?
Ein Cookie-Check erfasst die Cookies, die beim Laden einer Website gesetzt werden, und gibt Auskunft darüber, welche davon technisch notwendig sind und welche eine Einwilligung erfordern. Er liefert damit einen ersten, schnellen Überblick über den Cookie-Einsatz einer Website, deckt aber nur einen Teilbereich des Datenschutzes ab.
Konkret erfasst ein Cookie-Check in der Regel folgende Informationen:
- Name, Typ und Speicherdauer der gesetzten Cookies
- Unterscheidung zwischen First-Party- und Third-Party-Cookies
- Einträge im Local Storage und Session Storage
- Ob Cookies vor oder nach einer Nutzerinteraktion mit dem Consent-Banner gesetzt werden
Was ein reiner Cookie-Check typischerweise nicht bewertet: die rechtliche Grundlage externer Dienste, Drittlandtransfers, den Inhalt der Datenschutzerklärung oder ob alle eingesetzten Dienste dort überhaupt erwähnt werden. Auch die Frage, ob ein Consent-Banner tatsächlich eine wirksame Einwilligung im Sinne der DSGVO einholt, lässt sich durch einen Cookie-Check allein nicht beantworten. Technisch gesehen erkennt ein Scanner lediglich, ob ein Akzeptieren-Button vorhanden ist und was sich danach ändert. Ob die dahinterliegende Consent-Management-Lösung rechtlich einwandfrei konfiguriert ist, bleibt eine separate Frage.
Welche Bereiche deckt ein vollständiges Datenschutz-Audit ab?
Ein vollständiges Datenschutz-Audit für eine Website geht weit über die Cookie-Ebene hinaus. Es bewertet alle datenschutzrelevanten Aspekte einer Website systematisch und liefert eine strukturierte Grundlage für die Beurteilung der Datenschutzlage. Im Mittelpunkt stehen dabei nicht nur Cookies, sondern das gesamte Zusammenspiel aus Diensten, Datenflüssen und rechtlichen Anforderungen.
Ein umfassendes Datenschutz-Audit umfasst typischerweise folgende Bereiche:
- Cookies und Web-Speicher: Vollständige Erfassung aller gesetzten Cookies, Local-Storage- und Session-Storage-Einträge, inklusive Bewertung der Einwilligungspflicht
- Externe Dienste: Identifikation aller eingebundenen Drittanbieter, Prüfung der Rechtsgrundlage gemäß Art. 6 DSGVO und Erkennung von Diensten, die ohne Einwilligung geladen werden
- Drittlandtransfers: Prüfung, ob Dienste Daten in Länder ohne angemessenes Datenschutzniveau übertragen, und ob entsprechende Garantien wie das EU-US Data Privacy Framework vorliegen
- Datenschutzerklärung: Abgleich zwischen den tatsächlich eingesetzten Diensten und den in der Datenschutzerklärung genannten Diensten, Erkennung fehlender Nennungen
- Consent-Banner: Analyse des Verhaltens vor und nach der Nutzerinteraktion, Erkennung gängiger Consent-Management-Lösungen
- Unterseiten: Prüfung nicht nur der Startseite, sondern auch weiterer Seiten der Website, da Unterseiten häufig andere Dienste und Cookies einbinden
- Server-Sicherheit: Prüfung von TLS/SSL-Verschlüsselung und sicherheitsrelevanten HTTP-Headern
Besonders relevant ist dabei die Wechselwirkung zwischen Diensten und Cookies: Setzt ein Dienst, der eigentlich auf Basis berechtigten Interesses eingesetzt werden könnte, nicht notwendige Cookies, benötigt der gesamte Dienst eine Einwilligung. Solche Zusammenhänge zeigt ein einfacher DSGVO-Website-Check in der Regel nicht auf.
Wann reicht ein Cookie-Check nicht mehr aus?
Ein Cookie-Check reicht nicht mehr aus, sobald Ihre Website externe Dienste einbindet, Daten in Drittländer überträgt, über mehrere Unterseiten verfügt oder Sie eine nachweisbare Grundlage für Ihre Datenschutz-Compliance benötigen. In diesen Situationen deckt ein reiner Cookie-Scan zu wenige der relevanten Risikobereiche ab.
Im Einzelnen sollten Sie ein vollständiges Datenschutz-Audit in Betracht ziehen, wenn:
- Ihre Website Analyse-, Marketing- oder Social-Media-Dienste einbindet, zum Beispiel Google Analytics, Meta Pixel oder YouTube-Embeds
- Sie Dienste von US-amerikanischen Anbietern nutzen, bei denen Drittlandtransfers geprüft werden müssen
- Ihre Website aus mehr als einer Handvoll Unterseiten besteht, da auf Unterseiten häufig andere Dienste aktiv sind als auf der Startseite
- Sie als Datenschutzbeauftragter, Agentur oder Kanzlei regelmäßig Websites Dritter prüfen und dokumentieren müssen
- Sie nach einer Abmahnung oder Anfrage einer Datenschutzbehörde eine strukturierte Prüfung Ihrer Website benötigen
- Ihre Datenschutzerklärung längere Zeit nicht aktualisiert wurde und möglicherweise nicht mehr den tatsächlich eingesetzten Diensten entspricht
Ein Praxisbeispiel: Ein Webanalyse-Tool wie etracker kann unter bestimmten Voraussetzungen einwilligungsfrei eingesetzt werden. Setzt es jedoch Cookies, kann selbst ein technisch notwendig erscheinendes Cookie einwilligungspflichtig werden, wenn der dahinterliegende Dienst Daten in einem unsicheren Drittstaat verarbeitet. Solche Zusammenhänge lassen sich nur in einem vollständigen Audit zuverlässig erkennen.
Wie läuft ein automatisiertes Datenschutz-Audit ab?
Ein automatisiertes Datenschutz-Audit scannt eine Website systematisch in mehreren Schritten: Es lädt die Startseite und Unterseiten, erfasst alle gesetzten Cookies und externen Dienste, simuliert eine Nutzerinteraktion mit dem Consent-Banner und vergleicht das Verhalten vor und nach der Interaktion. Anschließend werden die Ergebnisse bewertet und in einem strukturierten Report zusammengefasst.
Der typische Ablauf eines automatisierten Audits sieht so aus:
- Laden der Startseite: Erfassung aller Request-URLs, externen Dienste und Cookies beim initialen Seitenaufruf
- Consent-Simulation: Automatisches Klicken des Akzeptieren-Buttons, sofern ein Consent-Tool erkannt wird, und erneute Erfassung von Diensten und Cookies nach der Interaktion
- Analyse der Datenschutzerklärung: Prüfung, ob die erkannten externen Dienste in der Datenschutzerklärung genannt werden
- Vollscan der Unterseiten: Rekursive Prüfung weiterer Seiten der Website, begrenzt auf die eigene Domain
- Bewertung und Priorisierung: Zuweisung von Rechtsgrundlagen, Erkennung einwilligungspflichtiger Dienste und Cookies, Berechnung eines Risiko-Scores
- Report-Generierung: Zusammenfassung aller Ergebnisse mit konkreten Handlungsempfehlungen
Wichtig zu verstehen: Ein automatisiertes Audit kann typischerweise erkennen, ob ein Akzeptieren-Button vorhanden ist und was sich nach dem Klick ändert. Es kann jedoch nicht beurteilen, ob die Einwilligung im rechtlichen Sinne wirksam ist. Automatisierte Audits sind ein wertvolles Werkzeug zur Identifikation von Schwachstellen, ersetzen jedoch nicht die rechtliche Beurteilung durch einen qualifizierten Datenschutzbeauftragten oder eine Kanzlei.
Wie oft sollte eine Website auf Datenschutz geprüft werden?
Eine Website sollte mindestens einmal monatlich automatisiert auf Datenschutz geprüft werden, zusätzlich nach jeder größeren Änderung an der Website, nach dem Einbinden neuer Dienste oder nach relevanten Änderungen der Rechtslage. Einmalige Audits bieten nur eine Momentaufnahme und verlieren schnell an Aussagekraft.
Der Grund: Websites sind keine statischen Dokumente. Plugins werden aktualisiert, neue Dienste werden eingebunden, Drittanbieter ändern ihre Konfiguration. Was beim letzten Audit noch in Ordnung war, kann nach einem Update bereits problematisch sein. Besonders kritisch sind Änderungen, die das Laden externer Dienste betreffen, da diese unmittelbare datenschutzrechtliche Auswirkungen haben können.
Empfehlenswert ist daher eine Kombination aus:
- Täglichen oder wöchentlichen Schnellscans der Startseite, um kurzfristige Änderungen schnell zu erkennen
- Monatlichen Vollscans aller Unterseiten für ein vollständiges Bild der Website
- Anlassbezogenen Audits nach Website-Relaunches, dem Einbinden neuer Dienste oder nach Änderungen in der Rechtsprechung, die bestimmte Dienste betreffen
Für Datenschutzbeauftragte und Agenturen, die mehrere Websites betreuen, ist eine dauerhafte Überwachung mit automatischen Benachrichtigungen bei Änderungen besonders sinnvoll. So lässt sich sicherstellen, dass Abweichungen zeitnah erkannt und dokumentiert werden, ohne jede Website manuell im Blick behalten zu müssen. Eine aktuelle Datenschutzerklärung sollte dabei stets Teil der regelmäßigen Überprüfung sein.
Wie decareto Sie bei der DSGVO-Website-Prüfung unterstützt
Wir bei decareto haben eine SaaS-Plattform entwickelt, die genau die Lücke zwischen einem einfachen Cookie-Check und einem manuellen Datenschutz-Audit schließt. Unsere Software führt automatisierte DSGVO-Website-Prüfungen durch, die weit über die Cookie-Ebene hinausgehen, und liefert strukturierte Reports mit konkreten Handlungsempfehlungen.
Was decareto konkret für Sie leistet:
- Vollständige Website-Scans: Wir prüfen Startseite, Unterseiten, Cookies, externe Dienste, Drittlandtransfers und die Datenschutzerklärung in einem Durchgang
- Consent-Analyse: Wir simulieren die Nutzerinteraktion mit dem Consent-Banner und zeigen, welche Dienste und Cookies ohne Einwilligung geladen werden
- Risiko-Score und Priorisierung: Erkannte Schwachstellen werden nach Schweregrad bewertet, damit Sie wissen, wo dringender Handlungsbedarf besteht
- Dauerhafte Überwachung: Hunderte Websites lassen sich kontinuierlich überwachen, mit automatischen Benachrichtigungen bei relevanten Änderungen
- Datenschutzgenerator: Auf Basis der Scan-Ergebnisse erstellt unser Generator passgenaue Datenschutzerklärungen in 24 Sprachen
- Whitelabel-Funktion und API: Agenturen und Kanzleien können Reports unter eigenem Logo ausgeben und die Plattform in bestehende Workflows integrieren
decareto unterstützt Ihre Compliance-Arbeit, ersetzt aber nicht die rechtliche Beurteilung durch einen qualifizierten Datenschutzbeauftragten oder eine Kanzlei. Unsere Plattform identifiziert Schwachstellen und reduziert den Aufwand für Web-Audits erheblich. Überzeugen Sie sich selbst und registrieren Sie sich jetzt für einen kostenlosen Test.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Was kostet ein DSGVO-Check im Vergleich: manuell versus automatisiert?
- Wer haftet für die DSGVO-Konformität einer Website – Betreiber, Agentur oder Datenschutzbeauftragter?
- Welche Barrierefreiheitsanforderungen gelten für Fehlerhinweise in Formularen?
- Welchen Nutzen bietet Single Sign-On (SSO) für Compliance-Teams bei DSGVO-Prüfungen?
- Welche plattformunabhängigen Datenschutzschwachstellen verstecken sich im Checkout-Prozess von Online-Shops?
