Blog

Wie prüfe ich als Agentur Kundenwebsites effizient auf DSGVO?

Herausgegeben von Decareto

4 Minuten lesen

September 23, 2026

Als Agentur prüfen Sie Kundenwebsites auf DSGVO-Konformität am effizientesten durch eine Kombination aus strukturierter Checkliste und automatisierten Scan-Tools. Der manuelle Ansatz allein ist für mehr als eine Handvoll Websites schlicht nicht skalierbar: Ein gründliches Datenschutz-Audit einer einzelnen Website kann mehrere Stunden in Anspruch nehmen und ist fehleranfällig. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um den DSGVO-Check von Kundenwebsites und zeigen, wie Sie Ihren Prüfprozess professionell aufstellen.

Welche DSGVO-Anforderungen müssen Websites erfüllen?

Websites müssen gemäß DSGVO und TDDDG sicherstellen, dass personenbezogene Daten nur rechtmäßig erhoben und verarbeitet werden, Nutzer transparent informiert werden und technische Schutzmaßnahmen vorhanden sind. Für Agenturen, die Kundenwebsites betreuen, bedeutet das: Sie müssen die Anforderungen kennen, um Ihre Kunden kompetent beraten zu können.

Die zentralen Anforderungen lassen sich in vier Bereiche gliedern:

Consent-Management: Cookies und Tracking-Technologien, die nicht technisch notwendig sind, dürfen erst nach ausdrücklicher Einwilligung gesetzt werden. Ein rechtssicheres Consent-Banner ist Pflicht.
Datenschutzerklärung: Die Datenschutzerklärung muss vollständig, aktuell und verständlich sein. Sie muss alle eingesetzten externen Dienste, Drittanbieter und Datenübermittlungen in Drittländer abdecken.
Drittland-Datenflüsse: Werden Dienste wie Google Analytics, Google Fonts oder ähnliche US-amerikanische Anbieter eingebunden, entstehen Datentransfers in Drittländer, die einer gesonderten Rechtsgrundlage bedürfen. Das Thema DSGVO und Google Fonts ist dabei besonders praxisrelevant, da viele Websites Fonts direkt von Google-Servern laden, ohne dass Nutzer eingewilligt haben.
Technische und organisatorische Maßnahmen: SSL-Verschlüsselung, sichere Kontaktformulare und der Einsatz von Auftragsverarbeitungsverträgen (AVV) mit Dienstleistern gehören zur Grundausstattung.

Für Agenturen ist außerdem relevant: Wenn Sie selbst Daten im Auftrag Ihrer Kunden verarbeiten, etwa durch Hosting oder Website-Wartung, sind Sie als Auftragsverarbeiter tätig und benötigen einen AVV mit Ihren Kunden.

Wie läuft eine manuelle DSGVO-Prüfung einer Kundenwebsite ab?

Eine manuelle DSGVO-Prüfung einer Website umfasst typischerweise die Analyse von Cookies und Trackern über Browser-Entwicklertools, die inhaltliche Prüfung der Datenschutzerklärung, die Kontrolle des Consent-Banners sowie die Überprüfung externer Einbindungen wie Analyse-Tools, Schriftarten und Social-Media-Plugins.

Ein strukturierter manueller Ablauf sieht in der Praxis so aus:

Cookies und Tracker erfassen: Öffnen Sie die Website im Browser-Inkognito-Modus und prüfen Sie über die Entwicklertools (Tab „Netzwerk“ und „Anwendung“), welche Cookies vor und nach dem Klick auf „Ablehnen“ gesetzt werden.
Externe Dienste identifizieren: Notieren Sie alle externen Skripte, Fonts, CDN-Ressourcen und eingebetteten Inhalte. Prüfen Sie für jeden Dienst, ob er in der Datenschutzerklärung erwähnt wird.
Datenschutzerklärung prüfen: Gleichen Sie die gefundenen Dienste mit den Angaben in der Datenschutzerklärung ab. Fehlen Dienste oder sind Angaben veraltet, besteht Handlungsbedarf.
Consent-Banner bewerten: Ist der Banner so gestaltet, dass Ablehnen genauso einfach ist wie Zustimmen? Werden Cookies tatsächlich erst nach Einwilligung gesetzt?
Unterseiten stichprobenartig prüfen: Viele Probleme tauchen nicht auf der Startseite auf, sondern auf Unterseiten wie Blog, Shop oder Kontaktformular.
Befunde dokumentieren: Halten Sie alle Feststellungen strukturiert fest und leiten Sie konkrete Handlungsempfehlungen ab.

Für eine gründliche Prüfung einer mittelgroßen Website mit mehreren Unterseiten sollten Sie realistisch mit zwei bis vier Stunden Aufwand rechnen.

Warum stoßen Agenturen bei manuellen Datenschutz-Audits an Grenzen?

Manuelle DSGVO-Prüfungen sind für Agenturen mit mehreren Kunden kaum skalierbar, weil der Zeitaufwand pro Website zu hoch ist, menschliche Fehler bei repetitiven Aufgaben zunehmen und die Überwachung von Änderungen zwischen den Prüfterminen schlicht nicht leistbar ist.

Die praktischen Probleme lassen sich konkret benennen:

Zeitaufwand: Mehrere Stunden pro Website bedeuten bei zehn Kunden schnell eine volle Arbeitswoche allein für Datenschutz-Audits, ohne dass laufende Projekte berücksichtigt sind.
Fehlende Konsistenz: Wechseln sich Mitarbeitende bei der Prüfung ab, variieren die Ergebnisse. Was eine Person als kritisch einstuft, übersieht eine andere möglicherweise.
Reaktiver Ansatz: Wenn ein Kunde nach dem letzten Audit ein neues Plugin installiert oder einen externen Dienst einbindet, merken Sie das erst beim nächsten manuellen Check. Bis dahin kann das Risiko bereits bestehen.
Unterseiten werden oft ausgelassen: Shops, Blogs und Formulare auf Unterseiten zu prüfen, ist manuell besonders aufwändig und wird deshalb häufig nur stichprobenartig erledigt.
Dokumentation ist zeitintensiv: Einen professionellen Report für den Kunden zu erstellen, kostet zusätzliche Zeit, die in der Kalkulation oft unterschätzt wird.

Diese Grenzen führen dazu, dass viele Agenturen entweder zu selten prüfen oder den Aufwand nicht kostendeckend abrechnen können. Genau hier setzen automatisierte DSGVO-Prüftools an.

Welche Tools helfen Agenturen bei der automatisierten DSGVO-Prüfung?

Automatisierte DSGVO-Prüftools scannen Websites systematisch auf Cookies, Tracker, Consent-Banner-Probleme, externe Dienste und Drittland-Datenflüsse. Sie liefern in Minuten Ergebnisse, die manuell Stunden erfordern würden, und ermöglichen eine konsistente Prüfqualität über alle Kundenwebsites hinweg.

Bei der Auswahl eines geeigneten Website-Scanners für die Datenschutzprüfung sollten Sie auf folgende Funktionen achten:

Vollständige Website-Crawls: Das Tool sollte nicht nur die Startseite, sondern auch Unterseiten automatisch erfassen und prüfen.
Cookie-Analyse: Ein guter Cookie-Checker erkennt, welche Cookies vor und nach der Einwilligung gesetzt werden, und bewertet das Consent-Banner auf Regelkonformität.
Erkennung externer Dienste: Der Scanner sollte Tracker, externe Skripte und Drittland-Datenflüsse identifizieren, darunter auch Dienste wie Google Analytics oder eingebettete Fonts.
Prüfung der Datenschutzerklärung: Das Tool sollte abgleichen, ob die gefundenen Dienste in der Datenschutzerklärung erwähnt sind.
Kontinuierliches Monitoring: Einmalige Scans reichen nicht. Wichtig ist, dass das Tool Websites laufend überwacht und bei Änderungen automatisch benachrichtigt.
Multi-Website-Verwaltung: Für Agenturen ist eine Dashboard-Ansicht, in der sich viele Kundenwebsites gleichzeitig verwalten lassen, unverzichtbar.

Neben spezialisierten Datenschutz-Scannern gibt es auch allgemeine Website-Check-Tools, die jedoch häufig weniger tiefgehende DSGVO-spezifische Analysen liefern. Für professionelle Datenschutz-Audits empfiehlt sich ein dedizierter DSGVO-Scanner, der nach den Kriterien der DSGVO und des TDDDG bewertet.

Wie können Agenturen DSGVO-Audits skalierbar für viele Kunden durchführen?

Agenturen machen DSGVO-Audits skalierbar, indem sie automatisierte Scan-Software mit standardisierten Prozessen kombinieren: Websites werden zentral im Tool angelegt, regelmäßig automatisch gescannt und bei Änderungen werden Benachrichtigungen ausgelöst, sodass kein manueller Überwachungsaufwand entsteht.

Folgende Maßnahmen helfen dabei, den Prozess systematisch aufzubauen:

Standardisierte Onboarding-Routine für neue Kunden

Legen Sie für jeden neuen Kunden direkt beim Projektstart die Website im Scan-Tool an. Ein erster vollständiger Website-Scan liefert sofort eine Bestandsaufnahme der Datenschutz-Situation und schafft eine dokumentierte Ausgangslage. So können Sie Veränderungen im Zeitverlauf nachvollziehen und belegen, welche Maßnahmen ergriffen wurden.

Automatisches Monitoring statt periodischer Stichproben

Statt Websites nur quartalsweise zu prüfen, übernimmt ein kontinuierliches Monitoring die laufende Überwachung. Sobald ein neuer Dienst auf einer Kundenwebsite erscheint oder sich das Verhalten des Consent-Banners ändert, erhalten Sie eine automatische Benachrichtigung. Das verwandelt Ihren Service von einem reaktiven in einen proaktiven Ansatz, was Kunden deutlich mehr Sicherheit gibt.

Tagging und Gruppenstruktur im Dashboard

Professionelle Tools erlauben es, Websites mit internen Tags zu versehen und nach Kunden zu gruppieren. Das erleichtert die Übersicht bei vielen Mandanten erheblich und ermöglicht es, Wiedervorlagen und Prüfintervalle strukturiert zu verwalten.

Mit diesem Ansatz lässt sich der Aufwand für Web-Audits erheblich reduzieren, ohne an Prüfqualität einzubüßen. Agenturen können so mehr Kunden mit demselben Team betreuen und Datenschutz-Audits als eigenständige Dienstleistung wirtschaftlich anbieten.

Was sollte ein DSGVO-Audit-Report für Kunden enthalten?

Ein professioneller DSGVO-Audit-Report für Kunden sollte eine Übersicht der gefundenen Datenschutzprobleme mit Schweregrad-Einstufung, eine Liste der identifizierten Cookies, Tracker und externen Dienste, den Prüfstatus der Datenschutzerklärung sowie konkrete, priorisierte Handlungsempfehlungen enthalten.

Im Einzelnen sind folgende Bestandteile sinnvoll:

Executive Summary: Eine kurze Zusammenfassung der Gesamtsituation, die auch Kunden ohne technisches Vorwissen verstehen. Klare Aussage, ob dringender Handlungsbedarf besteht oder ob zum Zeitpunkt des Scans keine kritischen Probleme festgestellt wurden.
Cookie- und Tracker-Übersicht: Welche Cookies werden gesetzt, wann werden sie gesetzt (vor oder nach Einwilligung), und welche Kategorie haben sie (notwendig, Analyse, Marketing)?
Bewertung des Consent-Banners: Entspricht der Cookie-Check der Website den Anforderungen an ein rechtskonformes Consent-Management?
Externe Dienste und Drittland-Transfers: Liste aller eingebundenen Dienste mit Hinweis auf mögliche Drittland-Datenflüsse und Abgleich mit der Datenschutzerklärung.
Prüfung der Datenschutzerklärung: Welche Dienste fehlen in der Erklärung, welche sind veraltet?
Priorisierte Handlungsempfehlungen: Geordnet nach Dringlichkeit, mit konkreten nächsten Schritten, nicht nur einer Problembeschreibung.
Prüfdatum und Hinweis auf Scan-Zeitpunkt: Der Report dokumentiert den Zustand der Website zum Zeitpunkt des Scans. Spätere Änderungen an der Website sind darin nicht erfasst.

Ein gut strukturierter Report schafft Transparenz, stärkt das Vertrauen Ihrer Kunden und belegt Ihre Expertise als Datenschutz-Partner. Wenn Sie Reports unter Ihrem eigenen Logo ausliefern möchten, ist eine Whitelabel-Funktion im eingesetzten Tool besonders wertvoll.

So unterstützt decareto Agenturen bei der DSGVO-Prüfung von Kundenwebsites

Wir haben decareto speziell für Agenturen, externe Datenschutzbeauftragte und Compliance-Teams entwickelt, die regelmäßig viele Websites prüfen und überwachen müssen. Konkret bieten wir Ihnen:

Vollautomatischer DSGVO-Website-Scanner: Wir scannen Startseite, Unterseiten und Datenschutzerklärung auf Cookies, Tracker, Consent-Banner-Probleme und Drittland-Datenflüsse, typischerweise in wenigen Minuten statt in Stunden.
Kontinuierliches Monitoring: Hunderte Kundenwebsites lassen sich dauerhaft überwachen. Bei Änderungen erhalten Sie automatische Benachrichtigungen, ohne manuell nachschauen zu müssen.
Datenschutzgenerator: Unser Datenschutzgenerator erstellt auf Basis des Scans passgenaue Datenschutzerklärungen in 24 Sprachen, die sich direkt per HTML-Snippet in die Kundenwebsite einbinden lassen.
Whitelabel-Reports: Berichte können direkt unter Ihrem Agentur-Logo an Kunden ausgeliefert werden, inklusive automatischem Report-Versand an Mandanten.
Multi-Website-Dashboard: Websites lassen sich mit Tags gruppieren, Wiedervorlagen verwalten und Prüfergebnisse strukturiert dokumentieren.
Scan-Widgets zur Leadgenerierung: Mit einem Widget auf Ihrer eigenen Website können Interessenten ihre URL scannen lassen, Kontaktdaten hinterlegen und werden automatisch als potenzielle Kunden in Ihrem Account angelegt.

Unser Ziel ist es, Ihren Aufwand für Web-Audits erheblich zu reduzieren, damit Sie mehr Kunden mit demselben Team betreuen und Datenschutz-Audits als skalierbaren Service anbieten können. decareto ersetzt dabei nicht die rechtliche Beurteilung durch einen qualifizierten Datenschutzbeauftragten oder Rechtsanwalt, sondern unterstützt Sie dabei, Schwachstellen systematisch zu identifizieren und zu dokumentieren. Jetzt kostenlos testen und sehen, wie viele Ihrer Kundenwebsites beim nächsten Scan auffällig werden.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.