Bei einem DSGVO-Audit für eine Website werden typischerweise Cookies, externe Dienste, Tracker, Consent-Banner, rechtliche Dokumente wie die Datenschutzerklärung sowie technische Sicherheitsaspekte wie SSL-Verschlüsselung untersucht. Das Audit deckt dabei sowohl die Startseite als auch Unterseiten ab und bewertet, ob personenbezogene Daten entsprechend den Anforderungen der DSGVO und des TDDDG verarbeitet werden. Die folgenden Abschnitte erläutern, was in den einzelnen Prüfbereichen konkret untersucht wird und welche Konsequenzen Befunde haben können.
Was wird bei einem DSGVO-Audit technisch auf einer Website untersucht?
Ein technisches DSGVO-Website-Audit untersucht, welche Cookies gesetzt werden, welche externen Dienste und Tracker geladen werden, ob eine SSL-Verschlüsselung vorhanden ist und ob sogenannte Security-Header korrekt konfiguriert sind. Ziel ist es, Datenschutzrisiken sichtbar zu machen, die für Besucher der Website nicht unmittelbar erkennbar sind.
Im Einzelnen umfasst die technische Prüfung typischerweise folgende Bereiche:
- Cookies und Web-Speicher: Es wird erfasst, welche Cookies und Local- bzw. Session-Storage-Einträge gesetzt werden, ob diese technisch notwendig sind und ob sie ohne vorherige Einwilligung gesetzt werden.
- Externe Dienste und Tracker: Analysiert wird, welche Skripte von Drittanbietern geladen werden, welche Daten dabei übertragen werden und ob Datenflüsse in unsichere Drittstaaten stattfinden. Bereits das bloße Einbinden eines externen Dienstes überträgt in der Regel die IP-Adresse des Besuchers an den Anbieter.
- SSL-Zertifikat und Serverkonfiguration: Geprüft wird, ob das Zertifikat gültig und korrekt konfiguriert ist, ob die Zertifikatskette vollständig ist und ob das Zertifikat nicht abgelaufen ist. Eine fehlerhafte SSL-Konfiguration kann ein datenschutzrechtliches Risiko darstellen, da die DSGVO eine angemessene Sicherheit bei der Übertragung personenbezogener Daten verlangt.
- Security-Header: Über eine Integration externer Sicherheitsdienste wird geprüft, ob relevante HTTP-Sicherheitsheader gesetzt sind, die das Risiko bestimmter Angriffe reduzieren.
- Serverstandort und Hosting-Infrastruktur: Ermittelt wird, wo der Webserver betrieben wird und ob ein Content-Delivery-Network oder eine Cloud-Infrastruktur im Einsatz ist. Auf mögliche Risiken durch Datenverarbeitung in unsicheren Drittstaaten wird gesondert hingewiesen.
Diese technische Bestandsaufnahme bildet die Grundlage für die datenschutzrechtliche Bewertung. Sie ersetzt keinen vollständigen Penetrationstest und deckt in der Regel die wichtigsten, praxisrelevanten Schwachstellen ab, ohne Anspruch auf vollständige Abdeckung aller denkbaren technischen Risiken zu erheben.
Wie wird ein Consent-Banner bei einem DSGVO-Audit bewertet?
Bei einem DSGVO-Audit wird geprüft, ob überhaupt ein Consent-Management-Tool vorhanden ist, ob es die gängigen Anforderungen erfüllt und ob tatsächlich nur nach erteilter Einwilligung nicht notwendige Cookies und Dienste geladen werden. Entscheidend ist nicht nur das Vorhandensein eines Banners, sondern seine technische Wirksamkeit.
Ein häufig übersehenes Problem: Viele Websites verfügen zwar über ein Consent-Banner, laden aber trotzdem Cookies oder Tracker, bevor der Nutzer eine Auswahl getroffen hat. Ein sorgfältiges Audit deckt genau diese Diskrepanz auf. Konkret wird dabei bewertet:
- Ob ein Consent-Tool erkannt wurde oder nicht
- Ob trotz vorhandenem Tool Cookies oder Dienste ohne Einwilligung gesetzt werden
- Welche Rechtsgrundlage für jeden einzelnen Dienst herangezogen wird, etwa Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO oder berechtigtes Interesse gemäß Art. 6 Abs. 1 lit. f DSGVO
- Ob Dienste, die Daten in unsichere Drittstaaten übertragen, zwingend eine Einwilligung erfordern
Für Cookies gilt dabei ein strengerer Maßstab als für externe Dienste: Technisch nicht notwendige Cookies benötigen nach deutschem Recht stets eine Einwilligung, ein berechtigtes Interesse reicht hier nicht aus. Setzt ein externer Dienst, der grundsätzlich auf berechtigtem Interesse beruht, nicht notwendige Cookies, benötigt der gesamte Dienst eine Einwilligung. Diese Wechselwirkung wird bei einem gründlichen DSGVO-Website-Check berücksichtigt.
Welche rechtlichen Dokumente werden im Rahmen eines Website-Audits geprüft?
Im Rahmen eines Website-Datenschutz-Audits wird in erster Linie die Datenschutzerklärung geprüft. Dabei wird untersucht, ob die auf der Website eingesetzten externen Dienste in der Datenschutzerklärung erwähnt werden und ob die Erklärung inhaltlich zum tatsächlichen Einsatz von Diensten und Cookies passt.
Konkret wird bei der Prüfung der Datenschutzerklärung ermittelt, ob die im Scan erkannten externen Dienste im Text der Erklärung genannt werden. Dabei kommen auch Synonyme und alternative Bezeichnungen zum Einsatz, um Treffer nicht zu verpassen. Wird ein Dienst gefunden, erscheint dies im Audit-Ergebnis als bestätigt; fehlt ein Dienst, wird dies als Hinweis auf möglichen Handlungsbedarf ausgewiesen.
Wichtig zu verstehen ist, was ein automatisiertes Audit bei der Datenschutzerklärung nicht leisten kann: Es prüft nicht, ob Betroffenenrechte korrekt beschrieben werden, ob die Rechtsgrundlagen vollständig und inhaltlich korrekt angegeben sind oder ob die Formulierungen den Anforderungen der Aufsichtsbehörden entsprechen. Für eine vollständige rechtliche Bewertung der Datenschutzerklärung empfiehlt sich ergänzend die Einbindung eines qualifizierten Datenschutzbeauftragten oder einer Kanzlei.
Ein automatisierter Datenschutzgenerator kann dabei helfen, eine auf den tatsächlichen Website-Scan abgestimmte Datenschutzerklärung zu erstellen, die die erkannten Dienste berücksichtigt.
Werden auch Unterseiten und passwortgeschützte Bereiche geprüft?
Ja, ein vollständiges DSGVO-Audit für Websites sollte nicht nur die Startseite, sondern auch Unterseiten und, sofern vorhanden, passwortgeschützte Bereiche umfassen. Datenschutzrelevante Cookies und externe Dienste werden häufig nicht auf der Startseite, sondern auf spezifischen Unterseiten geladen.
Bei der Prüfung von Unterseiten folgt ein Web-Crawler rekursiv allen internen Links innerhalb der gleichen Domain. So werden Cookies und externe Dienste auch dann erkannt, wenn sie nur auf bestimmten Unterseiten eingebunden sind, etwa auf einer Kontaktseite mit eingebettetem Google Maps oder auf einer Produktseite mit YouTube-Video. Das Audit-Ergebnis weist dabei aus, auf welchen Unterseiten ein bestimmter Dienst gefunden wurde und ob er dort mit oder ohne Einwilligung geladen wurde.
Passwortgeschützte Bereiche, wie etwa Kundenportale oder Mitgliederbereiche, können ebenfalls in das Audit einbezogen werden, wenn entsprechende Zugangsdaten hinterlegt werden. Das ist besonders relevant, weil gerade in geschlossenen Bereichen häufig sensible personenbezogene Daten verarbeitet werden.
Ein Hinweis zur Praxis: Der Crawler folgt ausschließlich Links innerhalb der eigenen Domain. Weiterleitet ein Link auf eine externe Domain, wird diese nicht weiterverfolgt. Leitet bereits die Startseite auf eine andere Domain weiter, sollte die finale Ziel-URL als Startseite im Audit eingetragen werden.
Wie oft sollte ein DSGVO-Audit für eine Website durchgeführt werden?
Ein DSGVO-Audit für eine Website sollte mindestens einmal jährlich vollständig durchgeführt werden. In der Praxis empfiehlt sich jedoch eine kontinuierliche Überwachung, da Websites sich laufend verändern: Neue Plugins, aktualisierte Themes oder neu eingebundene Drittanbieter-Dienste können jederzeit neue Datenschutzrisiken einführen.
Besonders relevant sind anlassbezogene Audits in folgenden Situationen:
- Nach einem Website-Relaunch oder einer größeren technischen Überarbeitung
- Nach der Einbindung neuer Drittanbieter-Dienste oder Marketing-Tools
- Nach Änderungen am Content-Management-System oder installierten Plugins
- Bei Änderungen der rechtlichen Rahmenbedingungen, etwa neuen Urteilen oder Leitlinien der Datenschutzaufsichtsbehörden
- Nach Hinweisen von Nutzern oder Aufsichtsbehörden auf mögliche Datenschutzprobleme
Für Unternehmen, die mehrere Websites betreiben oder als externe Datenschutzbeauftragte für verschiedene Mandanten tätig sind, ist ein monatlicher automatischer Scan-Rhythmus eine bewährte Praxis. Automatische Benachrichtigungen bei relevanten Änderungen helfen dabei, nicht erst beim nächsten geplanten Audit von neuen Risiken zu erfahren.
Was passiert, wenn ein DSGVO-Audit Verstöße auf einer Website aufdeckt?
Wenn ein DSGVO-Audit Verstöße auf einer Website aufdeckt, sollten die Befunde priorisiert und systematisch behoben werden. Das Audit liefert dazu in der Regel konkrete Handlungsempfehlungen, die beschreiben, welche Maßnahmen für welches Problem geeignet sind. Die Verantwortung für die Umsetzung liegt beim Website-Betreiber und gegebenenfalls dem zuständigen Datenschutzbeauftragten.
Typische nächste Schritte nach einem Audit mit Befunden sind:
- Priorisierung nach Schweregrad: Nicht alle Befunde haben das gleiche Gewicht. Cookies, die ohne Einwilligung gesetzt werden, oder Datenübertragungen in unsichere Drittstaaten ohne Rechtsgrundlage sind in der Regel dringlicher als kleinere Konfigurationsmängel.
- Technische Behebung: Externe Dienste ohne Rechtsgrundlage werden entfernt oder korrekt in das Consent-Management eingebunden. SSL-Konfigurationen werden korrigiert, fehlerhafte Security-Header werden gesetzt.
- Aktualisierung rechtlicher Dokumente: Die Datenschutzerklärung wird angepasst, um alle tatsächlich eingesetzten Dienste korrekt zu beschreiben.
- Dokumentation: Die durchgeführten Maßnahmen werden dokumentiert, um bei einer möglichen Prüfung durch Aufsichtsbehörden nachweisen zu können, dass bekannte Probleme erkannt und angegangen wurden.
- Nachprüfung: Nach der Umsetzung der Maßnahmen wird ein erneuter Scan durchgeführt, um zu überprüfen, ob die Befunde tatsächlich behoben wurden.
Ein automatisiertes Audit ersetzt dabei nicht die rechtliche Einschätzung durch einen qualifizierten Datenschutzbeauftragten oder eine Kanzlei. Es identifiziert technische Schwachstellen und macht Risiken sichtbar, die Bewertung der rechtlichen Konsequenzen und die Entscheidung über konkrete Maßnahmen erfordern jedoch menschliche Expertise.
So unterstützt decareto bei der DSGVO-Prüfung Ihrer Website
Wir haben decareto entwickelt, um Datenschutzbeauftragte, Kanzleien, Agenturen und Compliance-Teams dabei zu unterstützen, DSGVO-Audits für Websites effizienter und strukturierter durchzuführen. Unsere Plattform deckt die in diesem Artikel beschriebenen Prüfbereiche automatisiert ab und macht Ergebnisse schnell, transparent und nachvollziehbar sichtbar.
Was decareto konkret bietet:
- Automatisierter Website-Scan inklusive Unterseiten und passwortgeschützter Bereiche auf Cookies, Tracker, externe Dienste, Consent-Banner und SSL-Konfiguration
- Datenschutzrechtliche Bewertung nach DSGVO- und TDDDG-Kriterien mit Risiko-Score und konkreten Handlungsempfehlungen
- Kontinuierliches Monitoring mit automatischen Benachrichtigungen bei Änderungen, sodass neue Risiken nicht bis zum nächsten geplanten Audit unentdeckt bleiben
- Prüfung der Datenschutzerklärung auf Vollständigkeit bezüglich der erkannten externen Dienste sowie ein integrierter Datenschutzgenerator
- Skalierbarkeit für die Verwaltung und Überwachung von Hunderten Websites in einem Dashboard, inklusive Whitelabel-Reports für externe Dienstleister
Testen Sie decareto und sehen Sie in wenigen Minuten, welche Datenschutz-Schwachstellen Ihre Website aufweist: Jetzt kostenlos starten.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Wie erkennt man fehlende Tastaturzugänglichkeit auf einer Website?
- Wie erkennt man Barrierefreiheitsprobleme bei eingebetteten Karten?
- Wie liefern Agenturen DSGVO-Audit-Reports unter eigenem Whitelabel an ihre Kunden aus?
- Was prüft ein Web Accessibility Check bei der Fokusführung?
- Welche DSGVO-Anforderungen gelten für internationale Websites mit deutschsprachigem Publikum?
