Welche Unterseiten und Bereiche werden bei einem DSGVO-Scan oft übersehen?

Bei einem DSGVO-Scan werden häufig Unterseiten übersehen, die nicht direkt über die Startseite verlinkt sind oder sich hinter Formularen, Login-Bereichen und dynamisch generierten Inhalten verbergen. Das betrifft vor allem Dankeseiten nach Formularabgaben, Checkout-Strecken, passwortgeschützte Mitgliederbereiche und tief verschachtelte Unterverzeichnisse. Dieser Artikel beantwortet die häufigsten Fragen dazu, welche Bereiche im DSGVO-Website-Scan typischerweise durch das Raster fallen und wie Sie systematisch vorgehen können, um Datenschutz-Schwachstellen auch in verborgenen Seitenbereichen zu identifizieren.

Welche Seitenbereiche fallen typischerweise durch das Scan-Raster?

Seitenbereiche, die nicht durch reguläre interne Links erreichbar sind, fallen bei automatisierten DSGVO-Scans besonders häufig durch das Raster. Dazu gehören passwortgeschützte Bereiche, dynamisch generierte Seiten, Checkout-Prozesse, Dankeseiten nach Formularübermittlungen sowie Seiten, die ausschließlich per JavaScript gerendert werden und für einen Crawler nicht sichtbar sind.

Ein Web-Crawler, der einen DSGVO-Scan durchführt, folgt in der Regel nur Links, die im HTML-Quelltext einer Seite verankert sind. Er bewegt sich rekursiv von der Startseite aus und folgt dabei ausschließlich internen Links innerhalb derselben Domain. Seiten, die nur über POST-Formulare, JavaScript-Events oder Weiterleitungen nach einer Nutzerinteraktion erreichbar sind, werden dabei schlicht nicht entdeckt.

Konkret betrifft das folgende Bereiche besonders häufig:

• Dankeseiten und Bestätigungsseiten nach Newsletter-Anmeldungen oder Kontaktformularen
• Checkout- und Zahlungsseiten in Online-Shops, die erst nach dem Befüllen eines Warenkorbs aufrufbar sind
• Passwortgeschützte Mitglieder- oder Kundenbereiche, die Zugangsdaten voraussetzen
• Seiten in tiefen Unterverzeichnissen, die nicht in der Hauptnavigation verlinkt sind
• Sprachvarianten oder regionale Subpages, die nur über Geolokalisierung oder Sprachauswahl erreichbar sind
• Seiten, die ausschließlich über die Sitemap oder externe Links erreichbar sind, aber intern nicht verlinkt werden

Auch Weiterleitungsketten können dazu führen, dass Bereiche einer Website nicht gescannt werden. Wenn bereits die Startseite auf eine andere Domain weiterleitet, bricht ein Vollscan unmittelbar nach dem ersten Seitenaufruf ab, da der Crawler Domain-Grenzen nicht überschreitet.

Warum werden Unterseiten mit Formularen oft nicht geprüft?

Unterseiten mit Formularen werden bei DSGVO-Scans häufig nicht vollständig geprüft, weil die eigentlich datenschutzrelevante Seite erst nach dem Absenden eines Formulars erscheint. Der Crawler kann Formulare nicht ausfüllen und absenden, weshalb er die nachgelagerten Seiten wie Bestätigungs- oder Dankeseiten gar nicht zu Gesicht bekommt.

Das ist aus datenschutzrechtlicher Perspektive besonders problematisch, denn gerade auf diesen Folgeseiten werden häufig Tracking-Pixel, Conversion-Tags oder Remarketing-Skripte geladen. Ein Unternehmen, das nach dem Absenden eines Kontaktformulars einen Google Ads Conversion-Tracker aktiviert, tut dies oft ohne Einwilligung, weil der Nutzer zu diesem Zeitpunkt bereits geklickt hat und kein erneuter Consent abgefragt wird.

Ähnliches gilt für mehrstufige Formulare, wie sie in Checkout-Prozessen, Versicherungsrechnern oder Registrierungsstrecken vorkommen. Jede einzelne Stufe kann unterschiedliche externe Dienste laden, und nicht jede dieser Stufen ist über einen statischen Link erreichbar. Der Datenschutz-Audit erfasst in solchen Fällen nur die erste sichtbare Seite des Prozesses, nicht jedoch die nachfolgenden Schritte.

Für eine vollständige Prüfung ist es daher sinnvoll, die URLs solcher Folgeseiten manuell zu identifizieren und gezielt in den Scan einzubeziehen, sofern das eingesetzte Tool dies unterstützt.

Welche Cookie- und Tracker-Probleme entstehen auf übersehenen Seiten?

Auf übersehenen Unterseiten entstehen häufig schwerwiegende Cookie- und Tracker-Probleme, weil dort externe Dienste ohne gültige Einwilligung geladen werden. Besonders kritisch ist, dass Consent-Management-Tools auf diesen Seiten oft nicht greifen oder der Consent-Status nicht korrekt weitergegeben wird.

In der Praxis zeigen sich dabei typische Muster:

• Tracking ohne Consent auf Dankeseiten: Conversion-Pixel von Google, Meta oder LinkedIn werden nach einer Formularabgabe geladen, ohne dass der Nutzer zuvor eine Einwilligung für diese Dienste erteilt hat.
• Fehlerhafte Consent-Weitergabe: Ein Consent-Tool auf der Startseite speichert die Einwilligung korrekt, aber auf einer Unterseite wird der gespeicherte Consent-Status nicht ausgelesen, sodass Cookies erneut und unerlaubt gesetzt werden.
• Nachladen von Drittanbieter-Diensten durch andere Dienste: Ein eingebundenes Tool lädt seinerseits weitere externe Dienste nach, die im Consent-Banner gar nicht aufgeführt sind. Dieses sogenannte Cascading kann auf Unterseiten besonders ausgeprägt sein, wenn dort andere Plugins oder Seitenbausteine aktiv sind als auf der Startseite.
• Unterschiedliche Cookie-Konfigurationen je Unterseite: Auf einer Produktdetailseite kann ein eingebettetes Video oder eine Karte aktiv sein, das auf der Startseite nicht vorkommt, und damit neue datenschutzrechtliche Anforderungen auslösen.

Diese Probleme bleiben bei einem Datenschutz-Audit, der sich nur auf die Startseite konzentriert, vollständig unsichtbar. Erst ein Vollscan, der Unterseiten systematisch einbezieht, kann solche Schwachstellen zuverlässig aufdecken.

Wie wirken sich fehlende Datenschutztexte auf Unterseiten aus?

Fehlende oder unvollständige Datenschutztexte auf Unterseiten führen dazu, dass Nutzer auf bestimmten Seiten keinen Zugang zur Datenschutzerklärung haben oder dass die Datenschutzerklärung nicht alle auf der jeweiligen Unterseite eingesetzten Dienste beschreibt. Beides kann als datenschutzrechtliche Schwachstelle eingestuft werden.

Die Datenschutzerklärung muss von jeder Seite einer Website erreichbar sein. Fehlt der Link im Footer einer Unterseite, etwa weil eine Landingpage mit eigenem Layout ohne Footer-Navigation ausgeliefert wird, ist diese Anforderung nicht erfüllt. Das kommt häufiger vor, als man vermuten würde, insbesondere bei Seiten, die in einem Page-Builder erstellt wurden oder als eigenständige Kampagnenseiten laufen.

Ein weiteres Problem entsteht, wenn auf einer Unterseite externe Dienste eingesetzt werden, die in der zentralen Datenschutzerklärung nicht erwähnt sind. Wenn beispielsweise nur auf einer bestimmten Unterseite ein Live-Chat-Tool oder ein Videokonferenz-Widget eingebunden ist, muss dieser Dienst in der Datenschutzerklärung beschrieben sein. Wird er dort nicht genannt, entsteht eine inhaltliche Lücke.

Automatisierte Scans können prüfen, ob gefundene externe Dienste in der Datenschutzerklärung erwähnt werden. Dabei ist jedoch zu beachten, dass solche Prüfungen in der Regel auf einer Textsuche basieren und nicht alle Formulierungen und Synonyme zuverlässig erkennen. Das Ergebnis sollte daher immer manuell nachvollzogen werden.

Wie lassen sich übersehene Bereiche systematisch erfassen?

Übersehene Bereiche lassen sich systematisch erfassen, indem Sie einen mehrstufigen Ansatz verfolgen: automatisierter Vollscan für alle verlinkten Unterseiten, gezielte manuelle Ergänzung schwer erreichbarer Seiten und kontinuierliche Überwachung, um Änderungen auf bereits erfassten Seiten nicht zu verpassen.

Konkret empfiehlt sich folgendes Vorgehen:

1. Vollscan mit möglichst großer Tiefe konfigurieren: Stellen Sie sicher, dass der eingesetzte Scanner nicht nur die Startseite prüft, sondern rekursiv alle erreichbaren Unterseiten einbezieht. Je mehr Seiten gescannt werden, desto vollständiger ist das Bild.
2. Sitemap als Grundlage nutzen: Vergleichen Sie die gescannten Seiten mit der XML-Sitemap der Website. Seiten, die in der Sitemap stehen, aber im Scan-Report nicht auftauchen, sind ein Hinweis auf Lücken.
3. Passwortgeschützte Bereiche gesondert einrichten: Für Mitglieder- oder Kundenbereiche sollten Zugangsdaten im Scan-Tool hinterlegt werden, damit auch diese Seiten in die Prüfung einbezogen werden können.
4. Formularnachfolgeseiten manuell identifizieren: Führen Sie den Formularabsendeprozess selbst durch und notieren Sie die URLs der Danke- und Bestätigungsseiten. Diese können dann gezielt als Einzelseiten gescannt werden.
5. Regelmäßige Überwachung einrichten: Websites verändern sich laufend. Neue Plugins, aktualisierte Themes oder zusätzliche Seiten können jederzeit neue Datenschutz-Schwachstellen einführen. Eine automatische monatliche Überprüfung stellt sicher, dass Änderungen zeitnah erkannt werden.
6. Reports auf Unterseiten-Ebene auswerten: Ein guter Datenschutz-Report zeigt nicht nur, welche Dienste auf der Website gefunden wurden, sondern auch auf welchen konkreten Unterseiten sie geladen werden und ob dies mit oder ohne Einwilligung geschieht.

Wie decareto dabei unterstützt, übersehene Bereiche zu erfassen

Wir haben decareto genau für diese Herausforderung entwickelt. Unsere SaaS-Plattform führt automatisierte Vollscans durch, die rekursiv alle verlinkten Unterseiten einer Website einbeziehen, und zeigt im Report für jeden gefundenen externen Dienst an, auf welchen konkreten Unterseiten er geladen wurde und ob dies mit oder ohne Einwilligung erfolgte. So lassen sich Datenschutz-Schwachstellen auch in wenig besuchten Seitenbereichen zuverlässig aufdecken.

Im Einzelnen bietet decareto:

• Vollscans mit bis zu 500 Seiten pro Durchlauf, mit der Option auf tiefere Scans für große Websites
• Scan passwortgeschützter Bereiche durch Hinterlegung von Login-Daten im Login-Setup
• Unterseiten-Detailansicht mit Diagramm der geladenen Dienste und ihrer Abhängigkeiten je Seite
• Automatische monatliche Überwachung mit Benachrichtigung bei relevanten Änderungen
• Täglicher Scan der Startseite und Datenschutzerklärung für zeitnahe Erkennung neuer Schwachstellen
• Prüfung, ob gefundene Dienste in der Datenschutzerklärung erwähnt werden, inklusive Hinweis auf Lücken

Wenn Sie wissen möchten, welche Unterseiten Ihrer Website im nächsten DSGVO-Scan möglicherweise übersehen werden, können Sie decareto kostenlos testen. Jetzt Zugang anfordern und Ihre erste Website noch heute scannen.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.

Ähnliche Artikel

• Was ist der Unterschied zwischen DSGVO-Audit und DSGVO-Monitoring?
• Wie reduziere ich den Aufwand für DSGVO-Website-Prüfungen als Kanzlei?
• Welche Barrierefreiheitsanforderungen gelten für Tooltips und Overlays?
• Welche Rolle spielt eine Datenschutz-Folgenabschätzung (DPIA) bei der Website-Prüfung?
• Welche plattformunabhängigen Datenschutzschwachstellen verstecken sich im Checkout-Prozess von Online-Shops?