Bei einem DSGVO-Website-Scan durchl\u00e4uft eine Website automatisiert drei aufeinanderfolgende Phasen: Crawling, Analyse und Reporting. Der Crawler ruft dabei systematisch alle erreichbaren Unterseiten auf, die Analyse-Engine wertet die gesammelten Daten auf Datenschutzrelevanz aus, und das Ergebnis wird in einem strukturierten Report mit konkreten Handlungsempfehlungen aufbereitet. Die folgenden Abschnitte erl\u00e4utern, was in jeder Phase technisch geschieht und was das f\u00fcr Ihre Datenschutzpr\u00fcfung bedeutet.<\/p>\n\n\n\n
Beim Crawling im Rahmen eines DSGVO-Website-Scans folgt ein automatisierter Web-Crawler rekursiv allen internen Links einer Website, beginnend bei der Startseite. Er ruft dabei Unterseite f\u00fcr Unterseite auf, l\u00e4dt den jeweiligen Seiteninhalt und erfasst dabei alle technischen Elemente, die datenschutzrechtlich relevant sein k\u00f6nnten. Externe Domains werden dabei nicht verfolgt.<\/p>\n\n\n\n
Konkret bedeutet das: Der Crawler startet auf der angegebenen Start-URL und folgt ausschlie\u00dflich Links, die zur gleichen Domain geh\u00f6ren. Leitet ein Link scheinbar auf die eigene Domain, aber tats\u00e4chlich auf eine andere Domain weiter, wird er ignoriert. Leitet bereits die Startseite selbst auf eine andere Domain weiter, bricht der Vollscan unmittelbar ab und zeigt eine entsprechende Fehlermeldung an. In diesem Fall sollte die finale Ziel-URL nach der Weiterleitung als neue Start-URL eingetragen werden.<\/p>\n\n\n\n
Neben dem eigentlichen Vollscan der Unterseiten laufen parallel weitere spezialisierte Scans ab:<\/p>\n\n\n\n
Diese Scans laufen zu unterschiedlichen Zeitpunkten und werden unabh\u00e4ngig voneinander gespeichert. Ein vollst\u00e4ndiger Report enth\u00e4lt stets die Daten des jeweils aktuellsten Scans jedes Typs. Der Vollscan ist technisch auf maximal 500 Unterseiten begrenzt. Bei sehr gro\u00dfen Websites kann es daher vorkommen, dass nicht alle Seiten erfasst werden. Auch Seiten, die nur \u00fcber ausgef\u00fcllte Formulare erreichbar sind, etwa einzelne Schritte eines Checkout-Prozesses, werden durch den Crawler typischerweise nicht aufgerufen.<\/p>\n\n\n\n
Bei der Datenschutz-Analyse einer Website werden insbesondere Cookies, externe Dienste und Tracker, das Consent-Management sowie die technische Serverinfrastruktur untersucht. Ziel ist es, Elemente zu identifizieren, die ohne g\u00fcltige Rechtsgrundlage oder ohne wirksame Einwilligung personenbezogene Daten verarbeiten k\u00f6nnten.<\/p>\n\n\n\n
Im Einzelnen umfasst die Analyse folgende Pr\u00fcfbereiche:<\/p>\n\n\n\n
Wichtig: Kein automatisierter DSGVO-Website-Scan<\/a> kann garantieren, alle vorhandenen Schwachstellen zu erkennen. Seiten, die nur durch Interaktion erreichbar sind, oder Elemente, die erst nach bestimmten Nutzeraktionen geladen werden, k\u00f6nnen in manchen F\u00e4llen unentdeckt bleiben. Die Ergebnisse sollten daher als fundierte Grundlage f\u00fcr die weitere Datenschutzpr\u00fcfung verstanden werden, nicht als abschlie\u00dfende rechtliche Bewertung.<\/p>\n\n\n\n Nach dem Scan werden die gefundenen Schwachstellen anhand eines Risiko-Scores bewertet und nach Schweregrad priorisiert. Diese Risikobewertung fasst die wichtigsten Ergebnisse zusammen und gibt erste Handlungsempfehlungen, damit Datenschutzverantwortliche erkennen k\u00f6nnen, wo dringender Handlungsbedarf besteht und wo geringere Risiken vorliegen.<\/p>\n\n\n\n Die Bewertungslogik ber\u00fccksichtigt unter anderem:<\/p>\n\n\n\n Neben dem Risiko-Score zeigt die Auswertung die Gesamtzahl der erkannten Cookies und externen Dienste. Durch diese Priorisierung k\u00f6nnen Datenschutzbeauftragte und Compliance-Teams die gefundenen Punkte gezielt abarbeiten, anstatt sich durch eine unstrukturierte Liste von Einzelbefunden zu arbeiten. Die Bewertung ersetzt jedoch keine rechtliche Einsch\u00e4tzung durch qualifiziertes Fachpersonal.<\/p>\n\n\n\n Ein automatisch generierter DSGVO-Report enth\u00e4lt eine strukturierte \u00dcbersicht aller gefundenen Datenschutzschwachstellen, eine Risikobewertung mit Handlungsempfehlungen sowie technische Details zu Cookies, externen Diensten und der Serverinfrastruktur. Er dokumentiert au\u00dferdem, bei welchem Scan-Durchlauf bestimmte Elemente entdeckt wurden.<\/p>\n\n\n\n Im Kopfbereich des Reports sind folgende Informationen einsehbar:<\/p>\n\n\n\n Der Hauptteil des Reports gliedert sich in thematische Abschnitte: Serverstandort und Hosting, Consent-Management-Status, erkannte Cookies und Tracker, externe Dienste und deren Erw\u00e4hnung in der Datenschutzerkl\u00e4rung sowie Ergebnisse der Sicherheitsscans. Zu jedem Befund werden konkrete Hinweise auf den Handlungsbedarf gegeben.<\/p>\n\n\n\n Reports lassen sich per Share-URL, als PDF oder als Word-Dokument exportieren und direkt mit Kunden oder internen Stakeholdern teilen. F\u00fcr externe Dienstleister steht eine Whitelabel-Funktion zur Verf\u00fcgung, mit der Reports unter eigenem Logo ausgeliefert werden k\u00f6nnen. \u00dcber ein Dropdown k\u00f6nnen zudem die letzten 20 Reports aufgerufen werden, um Ver\u00e4nderungen im Zeitverlauf nachzuvollziehen. F\u00fcr Websites, auf denen ein Dienst f\u00e4lschlicherweise als Schwachstelle markiert wird, lassen sich einzelne Eintr\u00e4ge im Report manuell \u00fcberschreiben und kommentieren.<\/p>\n\n\n\n Ein einmaliger DSGVO-Website-Scan liefert eine Momentaufnahme des Datenschutzstatus einer Website zum Zeitpunkt des Scans. Eine dauerhafte \u00dcberwachung hingegen f\u00fchrt Scans in regelm\u00e4\u00dfigen Abst\u00e4nden automatisch durch und benachrichtigt bei \u00c4nderungen, sodass neu auftretende Schwachstellen zeitnah erkannt werden k\u00f6nnen.<\/p>\n\n\n\n Der entscheidende Unterschied liegt in der Reaktionsf\u00e4higkeit. Websites ver\u00e4ndern sich kontinuierlich: Plugins werden aktualisiert, neue Drittanbieter-Skripte werden eingebunden, Consent-Konfigurationen werden angepasst. Ein einmaliger Scan kann diese nachtr\u00e4glichen \u00c4nderungen nicht erfassen. Wer sich ausschlie\u00dflich auf periodische manuelle Pr\u00fcfungen verl\u00e4sst oder darauf wartet, dass Kunden \u00c4nderungen melden, riskiert, dass datenschutzrelevante Probleme zwischen den Pr\u00fcfzyklen unentdeckt bleiben.<\/p>\n\n\n\n Bei der dauerhaften \u00dcberwachung l\u00e4uft der Vollscan automatisch einmal monatlich. Die Sicherheitsscans f\u00fcr Transportverschl\u00fcsselung und Security-Header werden ebenfalls regelm\u00e4\u00dfig wiederholt. Treten beim Scan Fehler auf, etwa durch Bot-Detection der Zielwebsite oder ein fehlerhaftes Login-Skript, wird dies gemeldet und der Scan kann manuell neu angesto\u00dfen werden. F\u00fcr Datenschutzbeauftragte und Agenturen, die mehrere Websites betreuen, ist die kontinuierliche \u00dcberwachung daher deutlich leistungsf\u00e4higer als ein einmaliges Datenschutz-Audit<\/a>.<\/p>\n\n\n\n Ein automatisierter DSGVO-Website-Scan eignet sich f\u00fcr alle, die Websites systematisch und effizient auf Datenschutzschwachstellen pr\u00fcfen m\u00fcssen, ohne jeden Pr\u00fcfschritt manuell durchzuf\u00fchren. Das betrifft insbesondere Datenschutzbeauftragte, Anwaltskanzleien, Web-Agenturen und Compliance-Teams, die regelm\u00e4\u00dfig mehrere Websites betreuen.<\/p>\n\n\n\n F\u00fcr interne und externe Datenschutzbeauftragte<\/strong> reduziert der automatisierte Scan den Aufwand f\u00fcr Website-Audits erheblich. Statt Browser-Entwicklertools manuell einzusetzen und Ergebnisse h\u00e4ndisch zu dokumentieren, erhalten sie in kurzer Zeit einen strukturierten Report mit priorisierten Handlungsempfehlungen.<\/p>\n\n\n\n Anwaltskanzleien und Compliance-Teams<\/strong> profitieren insbesondere von der M\u00f6glichkeit, Hunderte von Websites dauerhaft zu \u00fcberwachen und Reports direkt mit Mandanten zu teilen. Die Whitelabel-Funktion erlaubt es externen Dienstleistern, Reports unter eigenem Logo auszuliefern.<\/p>\n\n\n\n Web-Agenturen<\/strong> k\u00f6nnen automatisierte Scans nutzen, um bei der \u00dcbergabe neuer Websites oder nach Updates schnell zu pr\u00fcfen, ob datenschutzrelevante Probleme aufgetreten sind. Auch f\u00fcr KMU<\/strong> ohne eigene Datenschutzabteilung bietet ein automatisierter Scan eine erste strukturierte Orientierung, welche Bereiche ihrer Website datenschutzrechtlich gepr\u00fcft werden sollten.<\/p>\n\n\n\n Zu beachten ist: Ein automatisierter Scan unterst\u00fctzt die Datenschutzpr\u00fcfung und identifiziert typischerweise die h\u00e4ufigsten Schwachstellen, ersetzt aber keine vollst\u00e4ndige rechtliche Bewertung durch qualifiziertes Fachpersonal. F\u00fcr komplexe rechtliche Fragen bleibt die Einbindung eines Datenschutzbeauftragten oder einer spezialisierten Kanzlei notwendig.<\/p>\n\n\n\n Wir bei decareto haben eine SaaS-Plattform entwickelt, die den gesamten Prozess aus Crawling, Analyse und Reporting automatisiert und damit den Aufwand f\u00fcr Website-Audits deutlich reduziert. Konkret bieten wir:<\/p>\n\n\n\nWie werden DSGVO-Risiken nach dem Scan bewertet und priorisiert?<\/h2>\n\n\n\n
\n
Was enth\u00e4lt ein automatisch generierter DSGVO-Report?<\/h2>\n\n\n\n
\n
Wie unterscheidet sich ein einmaliger Scan von einer dauerhaften \u00dcberwachung?<\/h2>\n\n\n\n
F\u00fcr wen ist ein automatisierter DSGVO-Website-Scan geeignet?<\/h2>\n\n\n\n
So unterst\u00fctzt decareto Ihren DSGVO-Website-Scan<\/h2>\n\n\n\n
\n