Ein DSGVO-Scanner prüft bei Unterseiten einer Website vor allem, welche Cookies, Tracker und externe Dienste geladen werden, ob dies mit oder ohne Einwilligung der Nutzer geschieht, und ob die Datenschutzerklärung die eingesetzten Dienste korrekt ausweist. Die Prüfung der Unterseiten ist dabei ebenso wichtig wie die Analyse der Startseite, da viele datenschutzrelevante Elemente erst auf Produkt-, Blog- oder Kontaktseiten aktiv werden. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um den DSGVO-Check von Unterseiten.
Welche Unterseiten werden bei einem DSGVO-Scan erfasst?
Bei einem vollständigen DSGVO-Scan werden alle öffentlich erreichbaren Unterseiten einer Website durch einen Web-Crawler automatisch erfasst und geprüft. Der Crawler folgt dabei den internen Verlinkungen der Website und erstellt eine vollständige Liste aller gefundenen URLs. Typischerweise umfasst das neben der Startseite auch Produkt-, Kategorie-, Blog-, Kontakt- und Impressumsseiten.
Wichtig zu wissen: Nicht alle Seiten sind von Haus aus öffentlich zugänglich. Passwortgeschützte Bereiche wie Intranets, Mitgliederportale oder Testserver können mit einem speziell konfigurierten Login-Skript ebenfalls gescannt werden. Dabei wird der Anmeldevorgang automatisiert durchgeführt, sodass auch diese Seiten in die Prüfung einbezogen werden können.
Der Umfang des Unterseiten-Scans hat direkte Auswirkungen auf die Aussagekraft des Audits. Eine Website, bei der nur die Startseite geprüft wird, kann ein erheblich verzerrtes Bild der tatsächlichen Datenschutzlage liefern. Gerade auf Unterseiten finden sich häufig eingebettete Videos, Karten-Widgets oder Social-Media-Elemente, die personenbezogene Daten übertragen, ohne dass dies auf der Startseite erkennbar wäre.
Welche Cookies und Tracker prüft ein DSGVO-Scanner auf Unterseiten?
Ein DSGVO-Scanner prüft auf Unterseiten, welche Cookies gesetzt und welche externen Dienste geladen werden, und unterscheidet dabei, ob dies vor oder nach einer Nutzerinteraktion mit dem Consent-Banner geschieht. Dabei werden sowohl First-Party-Cookies als auch Drittanbieter-Tracker wie Google Analytics, Facebook Pixel oder eingebettete Kartendienste erfasst.
Die Analyse geht über das bloße Erkennen von Cookie-Namen hinaus. Ein guter Website-Scanner reichert die gefundenen Daten mit Informationen aus umfangreichen Datenbanken an: Er identifiziert anhand der URL des externen Dienstes das dahinterstehende Unternehmen, seinen Firmensitz und ob sich dieser innerhalb oder außerhalb der EU befindet. Letzteres ist für die Bewertung von Drittlandtransfers nach Art. 44 ff. DSGVO besonders relevant.
Für jede Unterseite lässt sich so nachvollziehen, welche Dienste dort aktiv sind und in welchen Abhängigkeiten sie zueinander stehen. So kann es beispielsweise vorkommen, dass ein eingebetteter Kartendienst automatisch weitere Dienste nachlädt, die in der Datenschutzerklärung gar nicht erwähnt sind. Diese Abhängigkeitsketten sichtbar zu machen, ist ein wesentlicher Mehrwert eines automatisierten DSGVO-Websitechecks.
Wie bewertet ein DSGVO-Scanner den Consent-Banner auf Unterseiten?
Ein DSGVO-Scanner bewertet den Consent-Banner, indem er erkennt, ob ein Consent-Management-Tool vorhanden ist, und dann simuliert, wie sich die Website vor und nach dem Klick auf „Alle akzeptieren“ verhält. Werden Cookies oder externe Dienste bereits vor dieser Interaktion geladen, weist der Scanner dies als potenzielles Datenschutzproblem aus.
Dabei ist eine wichtige Einschränkung zu beachten: Der Scanner kann technisch nicht feststellen, ob ein erkannter Akzeptieren-Button tatsächlich eine im Sinne der DSGVO wirksame Einwilligung auslöst. Er unterscheidet lediglich zwischen dem Zustand vor und nach einer Nutzerinteraktion. Im Report wird daher vereinfachend von Laden „mit“ oder „ohne Einwilligung“ gesprochen, wobei es sich technisch präziser um das Laden vor bzw. nach einer Benutzerinteraktion handelt.
Gängige Consent-Tools wie Usercentrics oder Cookiebot werden anhand charakteristischer Eigenschaften erkannt. Ist kein Consent-Tool vorhanden, obwohl Cookies und externe Dienste geladen werden, wird eine entsprechende Warnung ausgegeben. Gleiches gilt, wenn trotz aktivem Consent-Tool Dienste ohne vorherige Einwilligung geladen werden. Diese Prüfung erfolgt nicht nur auf der Startseite, sondern auf jeder gescannten Unterseite, da das Verhalten des Consent-Banners seitenabhängig variieren kann.
Was prüft ein DSGVO-Scanner in Datenschutzerklärungen und Impressum?
Ein DSGVO-Scanner prüft in der Datenschutzerklärung, ob die auf der Website tatsächlich gefundenen externen Dienste und Cookies dort auch aufgeführt sind. Dazu vergleicht er die Liste der beim Scan erkannten Dienste mit dem Inhalt des Datenschutztextes. Dienste, die auf der Website aktiv sind, aber in der Datenschutzerklärung fehlen, werden als potenzielle Lücke gekennzeichnet.
Die Prüfung erfolgt durch Textanalyse: Der Scanner liest den Inhalt der verlinkten Datenschutzerklärung und gleicht die Namen der gefundenen Dienste mit dem Dokumententext ab. Dabei können Abweichungen auftreten, etwa wenn ein Dienst unter einem anderen Namen in der Erklärung erscheint oder wenn die Datenschutzerklärung auf mehrere Seiten aufgeteilt ist. Solche Ergebnisse sollten daher immer manuell nachgeprüft werden, da automatisierte Textvergleiche nicht in jedem Fall zuverlässig sind.
Wird ein neuer Dienst auf der Website gefunden, der bisher nicht in der Datenschutzerklärung enthalten war, sollte die Erklärung entsprechend aktualisiert werden. Umgekehrt sollten Dienste, die nicht mehr auf der Website eingesetzt werden, aus dem Datenschutztext entfernt werden. Ein dynamischer Datenschutzerklärungsgenerator kann diesen Abgleich unterstützen, indem er die Texte auf Basis der aktuellen Scan-Ergebnisse aktuell hält.
Wie unterscheidet sich die Prüfung von Unterseiten und der Startseite?
Die Startseite wird bei einem DSGVO-Scan in der Regel täglich geprüft, während der vollständige Crawl aller Unterseiten typischerweise einmal monatlich stattfindet. Inhaltlich ist die Prüfung der Unterseiten umfangreicher, da dort häufig andere oder zusätzliche Dienste aktiv sind als auf der Startseite.
Auf der Startseite finden sich oft die grundlegenden Elemente wie Consent-Banner, eingebundene Schriftarten oder Analytics-Skripte. Unterseiten hingegen können spezifische Funktionen enthalten, die nur in bestimmten Kontexten aktiv werden: ein eingebettetes YouTube-Video auf einer Produktseite, ein Google-Maps-Widget auf der Kontaktseite oder ein Live-Chat-Tool im Support-Bereich. Diese Dienste sind bei einer reinen Startseiten-Prüfung unsichtbar.
Für eine aussagekräftige Datenschutzprüfung ist der Vollscan der Unterseiten deshalb unverzichtbar. Der Scan-Report fasst die Ergebnisse aller Unterseiten zusammen und ermöglicht es, für jede einzelne Seite nachzuvollziehen, welche Dienste dort gefunden wurden und ob sie korrekt in den Datenschutzprozess eingebunden sind. Einzelne Unterseiten lassen sich bei Bedarf auch manuell neu scannen, etwa wenn dort gezielt Änderungen vorgenommen wurden.
Wie oft sollten Unterseiten mit einem DSGVO-Scanner überwacht werden?
Unterseiten sollten mindestens einmal monatlich vollständig gescannt werden, da sich der Einsatz von Drittanbieter-Diensten durch Updates, Plug-in-Wechsel oder Content-Änderungen jederzeit verändern kann. Für Websites mit häufigen Änderungen oder hohem Datenvolumen empfiehlt sich eine kontinuierliche Überwachung mit automatischen Benachrichtigungen bei relevanten Änderungen.
Ein einmaliger DSGVO-Check reicht in der Praxis nicht aus, um dauerhaft auf dem Stand der tatsächlichen Datenschutzlage zu bleiben. Websites sind dynamische Systeme: Ein neues Theme, ein aktualisiertes Plug-in oder ein eingebettetes Formular eines Drittanbieters kann dazu führen, dass plötzlich Dienste geladen werden, die zuvor nicht vorhanden waren. Ohne regelmäßige Überwachung bleiben solche Änderungen oft unbemerkt.
Besonders relevant ist die laufende Überwachung für Datenschutzbeauftragte und Agenturen, die mehrere Websites gleichzeitig betreuen. Hier ist eine manuelle Prüfung aller Unterseiten in regelmäßigen Abständen kaum praktikabel. Automatisierte Monitoring-Lösungen, die bei Änderungen eine Benachrichtigung auslösen, helfen dabei, den Überblick zu behalten und zeitnah reagieren zu können, ohne den gesamten Audit-Prozess wiederholen zu müssen.
Wie decareto die Prüfung von Unterseiten unterstützt
Wir bei decareto haben unsere SaaS-Plattform speziell dafür entwickelt, die vollständige Prüfung von Websites einschließlich aller Unterseiten so effizient und nachvollziehbar wie möglich zu gestalten. Dabei unterstützen wir Datenschutzbeauftragte, Kanzleien, Agenturen und Compliance-Teams mit folgenden Funktionen:
- Vollständiger Unterseiten-Scan: Unser Web-Crawler erfasst automatisch alle öffentlich erreichbaren Unterseiten und prüft Cookies, Tracker und externe Dienste auf jeder einzelnen Seite.
- Consent-Analyse: Wir erkennen gängige Consent-Tools und simulieren das Nutzerverhalten vor und nach der Einwilligung, um zu identifizieren, welche Dienste ohne vorherige Zustimmung geladen werden.
- Abhängigkeitsvisualisierung: Für jede Unterseite stellen wir dar, welche Dienste aktiv sind und welche weiteren Dienste sie automatisch nachladen.
- Automatische Benachrichtigungen: Bei relevanten Änderungen auf überwachten Websites erhalten Sie automatisch eine E-Mail, sodass Sie zeitnah reagieren können.
- Passwortgeschützte Bereiche: Auf Anfrage konfigurieren wir Login-Skripte, um auch geschützte Bereiche wie Intranets oder Testserver in den Scan einzubeziehen.
- Datenschutzgenerator: Unser Generator erstellt auf Basis der Scan-Ergebnisse passgenaue Datenschutzerklärungen in 24 Sprachen und hält diese aktuell.
- Whitelabel-Reports: Externe Dienstleister können Berichte unter eigenem Logo an ihre Kunden weitergeben.
Wenn Sie Ihre Website systematisch auf Datenschutz-Schwachstellen prüfen und dauerhaft überwachen möchten, starten Sie jetzt mit decareto und erhalten Sie in wenigen Minuten einen vollständigen Scan-Report für Ihre Website und alle Unterseiten.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Was ist der Unterschied zwischen BITV-Prüfung und WCAG-Test?
- Wie erkenne ich, ob meine Website personenbezogene Daten unzulässig verarbeitet?
- Welche Barrierefreiheitsanforderungen gelten für digitale Dokumente?
- Welche Datenschutzlücken entstehen durch unsichere Cookie-Einbindungen?
- Was prüft ein WCAG Contrast Checker bei Textelementen?
