Wie erkenne ich, ob meine Website personenbezogene Daten unzulässig verarbeitet?

Ob eine Website personenbezogene Daten unzulässig verarbeitet, lässt sich in vielen Fällen durch eine gezielte technische Prüfung erkennen: Cookies und externe Dienste, die ohne gültige Rechtsgrundlage geladen werden, sind die häufigsten Indikatoren. Betroffen sind nahezu alle Unternehmenswebsites, die Analyse-Tools, Werbenetzwerke oder eingebettete Inhalte einsetzen. Die folgenden Fragen und Antworten zeigen Ihnen, worauf Sie konkret achten müssen und wie Sie systematisch vorgehen.

Welche Arten von Datenverarbeitung auf Websites sind DSGVO-relevant?

DSGVO-relevant ist jede Verarbeitung personenbezogener Daten, also alle Vorgänge, bei denen Informationen erfasst, gespeichert, übertragen oder ausgewertet werden, die sich einer natürlichen Person zuordnen lassen. Auf Websites betrifft das insbesondere IP-Adressen, Cookie-Inhalte, Nutzungsprofile und alle Daten, die an externe Anbieter übermittelt werden.

Konkret fallen folgende Kategorien unter die DSGVO-relevante Datenverarbeitung:

• Cookies und Web-Speicher: Sowohl klassische Cookies als auch Local Storage und Session Storage können personenbezogene Daten enthalten oder zur Identifikation von Nutzern beitragen.
• Externe Dienste: Bereits das bloße Einbinden eines externen Dienstes stellt eine Datenverarbeitung dar, weil dabei die IP-Adresse des Browsers an den Anbieter übertragen wird. Das gilt für Analytics-Tools, Werbenetze, Schriftarten (etwa Google Fonts), Social-Media-Buttons und eingebettete Videos gleichermaßen.
• Kontakt- und Formularfelder: Jede Eingabe, die Nutzer in Formulare machen, unterliegt der DSGVO, sofern die Daten gespeichert oder weitergeleitet werden.
• Server-Logs: Webserver speichern bei jedem Seitenaufruf automatisch IP-Adressen und Zeitstempel, was ebenfalls als Verarbeitung personenbezogener Daten gilt.

Wichtig zu verstehen: Die DSGVO unterscheidet nicht danach, ob eine Datenverarbeitung technisch notwendig oder kommerziell motiviert ist. Entscheidend ist allein, ob personenbezogene Daten im Spiel sind und ob eine gültige Rechtsgrundlage nach Artikel 6 DSGVO vorliegt.

Woran erkennt man, dass eine Website Daten ohne Rechtsgrundlage verarbeitet?

Eine Website verarbeitet Daten ohne Rechtsgrundlage, wenn Cookies gesetzt oder externe Dienste geladen werden, bevor der Nutzer eine informierte Einwilligung erteilt hat, und wenn für diese Verarbeitung weder ein berechtigtes Interesse noch eine andere Grundlage nach Artikel 6 DSGVO greift. Das lässt sich in der Praxis an mehreren Merkmalen erkennen.

Cookies und Dienste vor der Einwilligung

Ein zentrales Warnsignal ist das Vorhandensein von Tracking-Cookies oder Analyse-Diensten, die bereits beim ersten Seitenaufruf aktiv sind, also bevor der Nutzer das Consent-Banner bestätigt hat. Werbung oder Analyse erfordern in aller Regel eine ausdrückliche Einwilligung. Werden entsprechende Cookies oder Dienste dennoch sofort geladen, fehlt die Rechtsgrundlage.

Fehlendes oder fehlerhaftes Consent-Banner

Ein Consent-Banner, das keine echte Ablehnungsmöglichkeit bietet, vorausgewählte Häkchen enthält oder technisch nicht verhindert, dass Dienste vor der Zustimmung starten, erfüllt die DSGVO-Anforderungen nicht. Auch ein Banner, das lediglich informiert, ohne tatsächlich die Datenverarbeitung zu steuern, reicht nicht aus. Überprüfen Sie daher nicht nur das Vorhandensein eines Banners, sondern auch seine technische Wirkung.

Fehlende oder unvollständige Datenschutzerklärung

Wenn auf einer Website externe Dienste eingebunden sind, die in der Datenschutzerklärung nicht erwähnt werden, deutet das auf eine unzulässige Verarbeitung hin. Die Datenschutzerklärung muss alle Empfänger personenbezogener Daten, die Rechtsgrundlagen und die Speicherdauer transparent benennen.

Welche technischen Methoden helfen, versteckte Tracker zu finden?

Versteckte Tracker lassen sich vor allem durch die Analyse des Netzwerkverkehrs einer Website aufdecken. Dabei wird geprüft, welche externen Domains beim Laden einer Seite kontaktiert werden, welche Cookies gesetzt werden und ob dies bereits vor einer Nutzerinteraktion geschieht.

Folgende technische Methoden kommen in der Praxis zum Einsatz:

• Browser-Entwicklertools: Im Netzwerk-Tab moderner Browser lässt sich in Echtzeit beobachten, welche Anfragen eine Website stellt. Externe Domains, die beim ersten Laden kontaktiert werden, sind potenzielle Tracker.
• Cookie-Analyse: Über den Anwendungs-Tab der Entwicklertools sehen Sie alle gesetzten Cookies inklusive ihrer Domains, Laufzeiten und Typen. Drittanbieter-Cookies (Third-Party-Cookies) sind besonders kritisch zu bewerten.
• Automatisierte Website-Scanner: Spezialisierte Tools simulieren einen Seitenaufruf, erfassen alle Netzwerkaufrufe, Cookies und geladenen Dienste und ordnen diese bekannten Anbietern zu. Ein solcher DSGVO-Website-Check kann in Minuten Ergebnisse liefern, für die eine manuelle Prüfung Stunden benötigen würde.
• Analyse der Datenschutzerklärung: Ein Abgleich zwischen den tatsächlich geladenen Diensten und den in der Datenschutzerklärung genannten Anbietern deckt Lücken auf.

Beachten Sie: Nicht jede unbekannte Domain ist automatisch ein Datenschutzproblem. Mitunter werden Bilder oder statische Dateien von unternehmenseigenen Servern mit abweichender Domain geladen, was keine Drittverarbeitung im Sinne der DSGVO darstellt. Eine sorgfältige Einordnung der Ergebnisse ist daher unerlässlich.

Was sind die häufigsten DSGVO-Verstöße auf Unternehmenswebsites?

Die häufigsten DSGVO-Verstöße auf Unternehmenswebsites betreffen das Laden von Tracking-Diensten ohne Einwilligung, fehlerhafte Consent-Banner sowie die Einbindung externer Dienste ohne ausreichende Dokumentation in der Datenschutzerklärung. Diese Probleme treten selbst bei professionell gepflegten Websites regelmäßig auf.

Die wichtigsten Verstöße im Überblick:

• Google Analytics ohne Einwilligung: Analytics-Dienste werden häufig so eingebunden, dass sie bereits vor der Zustimmung des Nutzers Daten erfassen. Da Google Daten mutmaßlich auch für eigene Zwecke nutzt, ist hier stets eine Einwilligung erforderlich.
• Google Fonts per Remote-Einbindung: Die direkte Einbindung von Google Fonts überträgt die IP-Adresse des Besuchers an Google-Server. Deutsche und österreichische Gerichte haben dies in den Jahren 2022 und 2023 als datenschutzwidrig eingestuft, wenn keine Einwilligung vorliegt. Wer Google Fonts nutzen möchte, sollte die Schriftarten lokal hosten.
• Vorausgewählte Consent-Banner: Banner, bei denen Tracking-Kategorien standardmäßig aktiviert sind, verstoßen gegen das Einwilligungserfordernis der DSGVO.
• Fehlende Datenschutzerklärung oder veraltete Inhalte: Wenn neue Dienste eingebunden werden, ohne die Datenschutzerklärung zu aktualisieren, entsteht eine Lücke zwischen der tatsächlichen Verarbeitung und der Dokumentation.
• Drittlandtransfers ohne Absicherung: Dienste mit Sitz außerhalb der EU, die nicht im EU-US Data Privacy Framework zertifiziert sind und für die keine Standardvertragsklauseln oder andere Garantien vorliegen, dürfen personenbezogene Daten grundsätzlich nur mit Einwilligung verarbeiten.
• Eingebettete Inhalte ohne Consent: YouTube-Videos, Social-Media-Widgets oder Kartendienste stellen Verbindungen zu externen Servern her, sobald sie geladen werden, auch ohne dass der Nutzer mit ihnen interagiert.

Wie lässt sich eine Website systematisch auf Datenschutzverstöße prüfen?

Eine systematische Datenschutzprüfung einer Website folgt einem strukturierten Prozess: Zunächst werden alle Cookies und externen Dienste erfasst, dann deren Rechtsgrundlagen bewertet, anschließend das Consent-Management überprüft und schließlich die Datenschutzerklärung mit den tatsächlichen Verarbeitungen abgeglichen.

Ein bewährter Prüfablauf sieht wie folgt aus:

1. Inventarisierung aller Dienste und Cookies: Erfassen Sie vollständig, welche externen Dienste eingebunden sind und welche Cookies gesetzt werden, sowohl vor als auch nach einer Nutzerinteraktion mit dem Consent-Banner.
2. Bewertung der Rechtsgrundlagen: Ordnen Sie jedem Dienst und jedem Cookie eine Rechtsgrundlage nach Artikel 6 DSGVO zu. Werbedienste erfordern stets eine Einwilligung; für andere Kategorien kann je nach Kontext ein berechtigtes Interesse in Betracht kommen.
3. Prüfung des Consent-Managements: Stellen Sie sicher, dass das Consent-Banner technisch wirksam ist, also dass einwilligungspflichtige Dienste erst nach der Zustimmung geladen werden.
4. Abgleich mit der Datenschutzerklärung: Vergleichen Sie die gefundenen Dienste mit den in der Datenschutzerklärung genannten Anbietern. Fehlende oder veraltete Einträge müssen ergänzt werden.
5. Prüfung von Drittlandtransfers: Identifizieren Sie Dienste, deren Anbieter außerhalb der EU ansässig sind, und prüfen Sie, ob ausreichende Garantien für den Datentransfer bestehen.
6. Regelmäßige Wiederholung: Websites ändern sich kontinuierlich. Neue Plugins, Updates oder Änderungen am Code können jederzeit neue Dienste einbinden. Eine einmalige Prüfung reicht daher nicht aus; eine laufende Überwachung ist notwendig.

Für Websites mit vielen Unterseiten oder für Dienstleister, die mehrere Kundenwebsites betreuen, empfiehlt sich der Einsatz automatisierter Tools, die auch passwortgeschützte Bereiche und Unterseiten einbeziehen können. Ein automatisierter DSGVO-Check unterstützt dabei, Schwachstellen strukturiert zu identifizieren, ersetzt jedoch nicht die abschließende rechtliche Bewertung durch einen qualifizierten Datenschutzbeauftragten.

Was droht Unternehmen bei unzulässiger Datenverarbeitung auf der Website?

Unternehmen, die auf ihrer Website personenbezogene Daten ohne gültige Rechtsgrundlage verarbeiten, riskieren Bußgeldverfahren durch Datenschutzbehörden, zivilrechtliche Abmahnungen sowie Reputationsschäden. Die DSGVO sieht empfindliche Sanktionen vor, deren Höhe sich am Schweregrad des Verstoßes und am Umsatz des Unternehmens orientiert.

Die wesentlichen Risiken im Einzelnen:

• Bußgelder durch Aufsichtsbehörden: Die Datenschutzbehörden der EU-Mitgliedstaaten sind befugt, Bußgelder zu verhängen. Die DSGVO sieht je nach Art des Verstoßes unterschiedliche Bußgeldrahmen vor. Welche Beträge im Einzelfall drohen, hängt von vielen Faktoren ab und lässt sich pauschal nicht vorhersagen.
• Abmahnungen durch Wettbewerber und Verbände: Datenschutzverstöße können auch wettbewerbsrechtlich relevant sein. Abmahnungen mit Unterlassungsansprüchen und Kostenerstattungsforderungen sind in der Praxis ein häufiges Risiko, insbesondere bei der Einbindung bestimmter Google-Dienste ohne Einwilligung.
• Schadensersatzansprüche betroffener Personen: Artikel 82 DSGVO gibt betroffenen Personen das Recht auf Schadensersatz bei Datenschutzverstößen. Auch immaterielle Schäden können geltend gemacht werden.
• Reputationsschäden: Öffentlich bekannt gewordene Datenschutzverstöße können das Vertrauen von Kunden und Geschäftspartnern nachhaltig beeinträchtigen.

Besonders wichtig: Unwissenheit schützt nicht vor Sanktionen. Unternehmen sind verpflichtet, die Datenschutzkonformität ihrer Websites aktiv sicherzustellen und zu dokumentieren. Eine proaktive Prüfung ist daher nicht nur eine rechtliche Pflicht, sondern auch ein wirksames Mittel zur Risikominimierung.

Wie decareto Sie bei der DSGVO-Prüfung Ihrer Website unterstützt

Wir bei decareto haben eine SaaS-Plattform entwickelt, die Websites automatisiert auf datenschutzrechtliche Schwachstellen scannt und dabei genau die Probleme sichtbar macht, die bei manuellen Prüfungen häufig übersehen werden. Unsere Lösung richtet sich an Datenschutzbeauftragte, Kanzleien, Agenturen und Compliance-Teams, die mehrere Websites effizient und nachweisbar überwachen möchten.

Das bietet Ihnen unsere Plattform konkret:

• Automatisierte DSGVO-Website-Scans in Minuten statt Stunden, inklusive Unterseiten und passwortgeschützter Bereiche
• Erkennung aller Cookies und externen Dienste mit Bewertung der Rechtsgrundlage nach Artikel 6 DSGVO und Warnung bei fehlender Einwilligung
• Consent-Banner-Prüfung: Wir simulieren Nutzerinteraktionen, um zu erkennen, welche Dienste vor und nach der Einwilligung geladen werden
• Risiko-Score und priorisierte Handlungsempfehlungen für eine gezielte Behebung der kritischsten Probleme zuerst
• Dauerhaftes Monitoring mit automatischen E-Mail-Benachrichtigungen bei relevanten Änderungen
• Datenschutzgenerator für passgenaue Datenschutzerklärungen in 24 Sprachen, die automatisch mit den Scan-Ergebnissen abgeglichen werden
• White-Label-Funktion für externe Dienstleister, die Reports unter eigenem Logo ausliefern möchten

Datenschutzbeauftragte und Compliance-Teams können mit unserer Plattform den Aufwand für Website-Audits typischerweise um bis zu 90 % reduzieren. Bitte beachten Sie: Unsere Scans identifizieren Schwachstellen und unterstützen Ihre Compliance-Arbeit, ersetzen jedoch nicht die abschließende rechtliche Bewertung durch einen qualifizierten Datenschutzbeauftragten oder Rechtsanwalt. Testen Sie decareto jetzt und verschaffen Sie sich in wenigen Minuten einen strukturierten Überblick über den Datenschutzstatus Ihrer Website: Jetzt kostenlos starten.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.

Ähnliche Artikel

• Was bedeutet DSGVO-Konformität für Websites und welche rechtlichen Anforderungen gelten?
• Was ist der Unterschied zwischen DSGVO-Audit und DSGVO-Monitoring?
• Was sind die häufigsten Fehler bei ARIA-Labels auf Websites?
• Welchen Nutzen bietet Single Sign-On (SSO) für Compliance-Teams bei DSGVO-Prüfungen?
• Wie lässt sich ein Barrierefreiheits-Report für Kunden aufbereiten?