Blog

Wie oft sollte eine Website auf DSGVO-Konformität geprüft werden und warum?

Herausgegeben von Decareto

4 Minuten lesen

Oktober 29, 2026

Eine Website sollte mindestens einmal jährlich einer vollständigen DSGVO-Prüfung unterzogen werden. Realistisch betrachtet reicht ein jährlicher Rhythmus jedoch häufig nicht aus: Websites verändern sich laufend, neue Dienste werden eingebunden, Gesetze werden aktualisiert, und Aufsichtsbehörden verschärfen ihre Anforderungen. Für die meisten Unternehmen empfiehlt sich daher eine Kombination aus regelmäßigen Vollprüfungen und kontinuierlicher Überwachung. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um Häufigkeit, Anlass und Inhalt einer DSGVO-Website-Prüfung.

Was passiert, wenn eine Website zu selten geprüft wird?

Wird eine Website zu selten auf DSGVO-Konformität geprüft, können datenschutzrechtliche Probleme unentdeckt bleiben und sich im Laufe der Zeit aufschichten. Neue Drittanbieter-Dienste, veränderte Cookie-Einstellungen oder ein abgelaufenes SSL-Zertifikat bleiben oft unbemerkt und stellen potenzielle Risiken dar, die erst bei einer Prüfung sichtbar werden.

In der Praxis passiert Folgendes: Ein Entwickler bindet ein neues Analyse-Tool ein, ohne das Consent-Banner anzupassen. Eine Agentur aktualisiert ein Plugin, das plötzlich Daten an einen US-amerikanischen Server überträgt. Das SSL-Zertifikat läuft ab, ohne dass jemand eine Warnung bemerkt. Jedes dieser Szenarien kann einen Verstoß gegen die DSGVO darstellen, der bei einer rechtzeitigen Prüfung hätte erkannt werden können.

Datenschutzbehörden im deutschsprachigen Raum prüfen zunehmend aktiv, ob Websites Cookies ohne gültige Einwilligung setzen oder personenbezogene Daten in Drittländer übertragen, ohne ausreichende Schutzmaßnahmen nachzuweisen. Wer seinen Prüfrhythmus vernachlässigt, riskiert nicht nur behördliche Beanstandungen, sondern auch Abmahnungen durch Mitbewerber oder Verbraucherschutzverbände.

Wie oft sollte ein DSGVO-Website-Audit durchgeführt werden?

Ein vollständiges DSGVO-Website-Audit sollte mindestens einmal im Jahr durchgeführt werden, idealerweise jedoch quartalsweise. Für Websites, die sich häufig ändern oder viele externe Dienste einbinden, empfiehlt sich zusätzlich eine kontinuierliche automatisierte Überwachung, die Veränderungen unmittelbar erkennt.

Die folgende Abstufung gibt Orientierung:

Jährlich (Minimum): Geeignet für kleine, statische Websites mit wenigen externen Diensten und seltenem Inhaltswechsel.
Quartalsweise: Empfehlenswert für mittelgroße Websites, die regelmäßig aktualisiert werden oder Tracking-Tools einsetzen.
Monatlich oder kontinuierlich: Notwendig für Websites mit häufigen Änderungen, E-Commerce-Funktionen oder komplexen Drittanbieter-Integrationen.

Hinzu kommen anlassbezogene Prüfungen: Immer dann, wenn sich an der Website etwas ändert, sollte unmittelbar geprüft werden, ob die Änderung datenschutzrechtliche Konsequenzen hat. Eine rein kalendarische Prüffrequenz ohne Reaktion auf konkrete Veränderungen greift daher zu kurz. Wer mehrere Websites betreut, etwa als externer Datenschutzbeauftragter oder Agentur, sollte auf automatisierte DSGVO-Prüfung setzen, um den Überblick zu behalten.

Welche Website-Änderungen lösen sofortigen Prüfbedarf aus?

Bestimmte Änderungen an einer Website erfordern eine unmittelbare datenschutzrechtliche Prüfung, weil sie direkt beeinflussen, welche Daten erhoben, verarbeitet oder weitergegeben werden. Wer diese Auslöser kennt, kann gezielt reagieren, anstatt auf den nächsten Regeltermin zu warten.

Zu den wichtigsten Auslösern gehören:

Einbindung neuer Dienste oder Plugins: Jedes neue JavaScript-Snippet, jedes eingebettete Video oder jedes Analyse-Tool kann Cookies setzen oder Daten an Dritte übertragen.
Wechsel des Hosting-Anbieters oder Servers: Neue Server können andere SSL-Konfigurationen mitbringen oder Daten in anderen Rechtsräumen verarbeiten.
Überarbeitung des Consent-Banners: Änderungen an der Cookie-Einwilligung können dazu führen, dass Dienste ohne gültige Rechtsgrundlage geladen werden.
Neue Formulare oder Kontaktfunktionen: Jede neue Möglichkeit zur Dateneingabe erfordert eine Prüfung der Datenverarbeitung und der Datenschutzerklärung.
Aktualisierung der Datenschutzerklärung: Änderungen am Text sollten mit dem tatsächlichen Verarbeitungsverhalten der Website abgeglichen werden.
Relaunch oder CMS-Wechsel: Nach einem vollständigen Neuaufbau müssen alle datenschutzrelevanten Aspekte von Grund auf geprüft werden.

Auch externe Ereignisse können sofortigen Handlungsbedarf auslösen: neue Urteile zur Zulässigkeit bestimmter Dienste, geänderte Standardvertragsklauseln oder aktualisierte Leitlinien der Datenschutzbehörden können dazu führen, dass bisher akzeptierte Praktiken plötzlich problematisch sind.

Was wird bei einer DSGVO-Website-Prüfung konkret untersucht?

Bei einer DSGVO-Website-Prüfung werden typischerweise Cookies, externe Dienste, das Consent-Management, die Datenschutzerklärung sowie die Serversicherheit untersucht. Ziel ist es, alle Stellen zu identifizieren, an denen personenbezogene Daten verarbeitet werden, und zu prüfen, ob dafür eine geeignete Rechtsgrundlage vorliegt.

Im Einzelnen umfasst eine vollständige Prüfung folgende Bereiche:

Cookies und Tracker: Welche Cookies werden gesetzt, wann werden sie gesetzt, und erfolgt dies vor oder nach einer Einwilligung? Besonderes Augenmerk gilt Cookies, die ohne Nutzereinwilligung aktiv sind.
Externe Dienste und Drittland-Datenflüsse: Welche externen Skripte und Dienste werden geladen? Werden dabei Daten an Anbieter in Ländern außerhalb des EWR übertragen, und wenn ja, auf welcher Grundlage?
Consent-Banner: Ist das Einwilligungs-Tool korrekt konfiguriert? Werden tatsächlich nur die Dienste geladen, denen der Nutzer zugestimmt hat?
Datenschutzerklärung: Sind alle eingesetzten Dienste in der Datenschutzerklärung aufgeführt? Ist der Text aktuell und vollständig?
SSL-Zertifikat und Serversicherheit: Ist das SSL-Zertifikat gültig, korrekt konfiguriert und noch nicht abgelaufen? Sind sicherheitsrelevante HTTP-Header gesetzt?
Unterseiten: Gelten die geprüften Einstellungen auch für alle Unterseiten der Website, oder gibt es Seiten, auf denen andere Dienste aktiv sind?

Eine sorgfältige Prüfung beschränkt sich nicht auf die Startseite. Unterseiten wie Produkt-, Kontakt- oder Blog-Seiten können eigene Tracking-Elemente enthalten, die im Gesamtbild der Website berücksichtigt werden müssen.

Wie unterscheidet sich manuelle Prüfung von automatisierter Überwachung?

Eine manuelle DSGVO-Prüfung ist eine punktuelle Bestandsaufnahme zum Zeitpunkt der Durchführung, während automatisierte Überwachung Websites dauerhaft beobachtet und bei Veränderungen sofort reagiert. Beide Ansätze ergänzen sich, ersetzen sich aber nicht gegenseitig.

Stärken und Grenzen der manuellen Prüfung

Eine manuelle Prüfung durch einen Datenschutzbeauftragten oder eine Kanzlei bietet den Vorteil, dass rechtliche Einschätzungen und Kontextfaktoren berücksichtigt werden können, die ein automatisiertes System nicht erfassen kann. Sie ist jedoch zeitintensiv, kostspielig und liefert immer nur eine Momentaufnahme. Änderungen, die nach der Prüfung vorgenommen werden, bleiben bis zur nächsten Prüfung unsichtbar.

Stärken und Grenzen der automatisierten Überwachung

Automatisierte Systeme scannen Websites in kurzer Zeit, decken typischerweise Cookies, Tracker, Consent-Einstellungen und Serverkonfiguration ab und können bei Änderungen sofort Benachrichtigungen auslösen. Sie sind skalierbar und eignen sich besonders für die laufende Überwachung vieler Websites gleichzeitig. Allerdings können automatisierte Scans keine vollständige rechtliche Bewertung ersetzen und bilden in der Regel nicht alle denkbaren Compliance-Aspekte ab.

Für die Praxis empfiehlt sich eine Kombination: Automatisierte Überwachung als kontinuierliche Frühwarnung, ergänzt durch regelmäßige manuelle oder fachlich begleitete Audits, bei denen die Ergebnisse rechtlich eingeordnet und bewertet werden.

Wer ist dafür verantwortlich, eine Website regelmäßig zu prüfen?

Die Verantwortung für die regelmäßige DSGVO-Prüfung einer Website liegt beim Verantwortlichen im Sinne der DSGVO, also in der Regel beim Unternehmen oder der Organisation, die die Website betreibt. Diese Pflicht kann intern wahrgenommen oder an externe Dienstleister wie Datenschutzbeauftragte oder spezialisierte Kanzleien delegiert werden.

In der Praxis sind häufig mehrere Rollen beteiligt:

Interne Datenschutzbeauftragte: Koordinieren und überwachen die Prüfprozesse, bewerten Ergebnisse und berichten an die Unternehmensleitung.
Externe Datenschutzbeauftragte: Übernehmen die Prüfung für Unternehmen, die keine eigene Kapazität haben, und betreuen häufig mehrere Mandanten gleichzeitig.
Web-Agenturen: Sind verantwortlich, wenn sie Websites erstellen oder pflegen, und sollten datenschutzrechtliche Anforderungen von Anfang an berücksichtigen.
IT- und Compliance-Teams: Stellen sicher, dass technische Änderungen an der Website datenschutzrechtlich begleitet werden.

Wichtig: Die Delegation der Prüfaufgabe an einen externen Dienstleister entbindet das Unternehmen nicht von seiner datenschutzrechtlichen Verantwortung. Der Verantwortliche bleibt gegenüber den Aufsichtsbehörden rechenschaftspflichtig und muss nachweisen können, dass geeignete Maßnahmen ergriffen wurden, um die Website datenschutzkonform zu betreiben.

Wie decareto Sie bei der regelmäßigen DSGVO-Prüfung unterstützt

Wir bei decareto haben unsere Plattform speziell dafür entwickelt, den Aufwand für regelmäßige DSGVO-Website-Prüfungen erheblich zu reduzieren und gleichzeitig die Prüfqualität zu verbessern. Unsere Software unterstützt Datenschutzbeauftragte, Kanzleien, Agenturen und Compliance-Teams dabei, Websites strukturiert und nachvollziehbar zu prüfen. Wir ersetzen dabei keine rechtliche Beratung, sondern liefern die technische Grundlage, auf der fundierte Entscheidungen getroffen werden können.

Konkret bieten wir Folgendes:

Tägliche automatische Scans der Startseite und Datenschutzerklärung, damit Veränderungen unmittelbar erkannt werden
Monatliche Vollscans aller Unterseiten, inklusive Cookies, Tracker, Consent-Banner und externer Dienste
Automatische Benachrichtigungen bei Änderungen, sodass kein Prüfanlass übersehen wird
SSL- und Sicherheits-Checks für Transportverschlüsselung und HTTP-Security-Header
Priorisierte Handlungsempfehlungen im Report, die konkrete nächste Schritte aufzeigen
Whitelabel-Berichte, die direkt mit Mandanten oder Kunden geteilt werden können
Skalierbarkeit für die Überwachung von Hunderten Websites gleichzeitig

Wenn Sie Websites DSGVO-konform prüfen möchten, ohne dafür unverhältnismäßig viel Zeit zu investieren, ist decareto der richtige Ausgangspunkt. Testen Sie decareto jetzt und verschaffen Sie sich in wenigen Minuten einen strukturierten Überblick über den Datenschutzstatus Ihrer Website.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.