{"id":8585,"date":"2026-10-13T08:00:00","date_gmt":"2026-10-13T08:00:00","guid":{"rendered":"https:\/\/decareto.com\/?p=8585"},"modified":"2026-08-14T11:40:15","modified_gmt":"2026-08-14T11:40:15","slug":"welche-bereiche-werden-bei-einem-dsgvo-audit-fur-websites-gepruft","status":"publish","type":"post","link":"https:\/\/decareto.com\/de\/welche-bereiche-werden-bei-einem-dsgvo-audit-fur-websites-gepruft\/","title":{"rendered":"Welche Bereiche werden bei einem DSGVO-Audit f\u00fcr Websites gepr\u00fcft?"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Bei einem DSGVO-Audit f\u00fcr eine Website werden typischerweise Cookies, externe Dienste, Tracker, Consent-Banner, rechtliche Dokumente wie die Datenschutzerkl\u00e4rung sowie technische Sicherheitsaspekte wie SSL-Verschl\u00fcsselung untersucht. Das Audit deckt dabei sowohl die Startseite als auch Unterseiten ab und bewertet, ob personenbezogene Daten entsprechend den Anforderungen der DSGVO und des TDDDG verarbeitet werden. Die folgenden Abschnitte erl\u00e4utern, was in den einzelnen Pr\u00fcfbereichen konkret untersucht wird und welche Konsequenzen Befunde haben k\u00f6nnen.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was wird bei einem DSGVO-Audit technisch auf einer Website untersucht?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ein technisches DSGVO-Website-Audit untersucht, welche Cookies gesetzt werden, welche externen Dienste und Tracker geladen werden, ob eine SSL-Verschl\u00fcsselung vorhanden ist und ob sogenannte Security-Header korrekt konfiguriert sind. Ziel ist es, Datenschutzrisiken sichtbar zu machen, die f\u00fcr Besucher der Website nicht unmittelbar erkennbar sind.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Im Einzelnen umfasst die technische Pr\u00fcfung typischerweise folgende Bereiche:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n <li><strong>Cookies und Web-Speicher:<\/strong> Es wird erfasst, welche Cookies und Local- bzw. Session-Storage-Eintr\u00e4ge gesetzt werden, ob diese technisch notwendig sind und ob sie ohne vorherige Einwilligung gesetzt werden.<\/li>\n <li><strong>Externe Dienste und Tracker:<\/strong> Analysiert wird, welche Skripte von Drittanbietern geladen werden, welche Daten dabei \u00fcbertragen werden und ob Datenfl\u00fcsse in unsichere Drittstaaten stattfinden. Bereits das blo\u00dfe Einbinden eines externen Dienstes \u00fcbertr\u00e4gt in der Regel die IP-Adresse des Besuchers an den Anbieter.<\/li>\n <li><strong>SSL-Zertifikat und Serverkonfiguration:<\/strong> Gepr\u00fcft wird, ob das Zertifikat g\u00fcltig und korrekt konfiguriert ist, ob die Zertifikatskette vollst\u00e4ndig ist und ob das Zertifikat nicht abgelaufen ist. Eine fehlerhafte SSL-Konfiguration kann ein datenschutzrechtliches Risiko darstellen, da die DSGVO eine angemessene Sicherheit bei der \u00dcbertragung personenbezogener Daten verlangt.<\/li>\n <li><strong>Security-Header:<\/strong> \u00dcber eine Integration externer Sicherheitsdienste wird gepr\u00fcft, ob relevante HTTP-Sicherheitsheader gesetzt sind, die das Risiko bestimmter Angriffe reduzieren.<\/li>\n <li><strong>Serverstandort und Hosting-Infrastruktur:<\/strong> Ermittelt wird, wo der Webserver betrieben wird und ob ein Content-Delivery-Network oder eine Cloud-Infrastruktur im Einsatz ist. Auf m\u00f6gliche Risiken durch Datenverarbeitung in unsicheren Drittstaaten wird gesondert hingewiesen.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Diese technische Bestandsaufnahme bildet die Grundlage f\u00fcr die datenschutzrechtliche Bewertung. Sie ersetzt keinen vollst\u00e4ndigen Penetrationstest und deckt in der Regel die wichtigsten, praxisrelevanten Schwachstellen ab, ohne Anspruch auf vollst\u00e4ndige Abdeckung aller denkbaren technischen Risiken zu erheben.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Wie wird ein Consent-Banner bei einem DSGVO-Audit bewertet?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Bei einem DSGVO-Audit wird gepr\u00fcft, ob \u00fcberhaupt ein Consent-Management-Tool vorhanden ist, ob es die g\u00e4ngigen Anforderungen erf\u00fcllt und ob tats\u00e4chlich nur nach erteilter Einwilligung nicht notwendige Cookies und Dienste geladen werden. Entscheidend ist nicht nur das Vorhandensein eines Banners, sondern seine technische Wirksamkeit.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ein h\u00e4ufig \u00fcbersehenes Problem: Viele Websites verf\u00fcgen zwar \u00fcber ein Consent-Banner, laden aber trotzdem Cookies oder Tracker, bevor der Nutzer eine Auswahl getroffen hat. Ein sorgf\u00e4ltiges Audit deckt genau diese Diskrepanz auf. Konkret wird dabei bewertet:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n <li>Ob ein Consent-Tool erkannt wurde oder nicht<\/li>\n <li>Ob trotz vorhandenem Tool Cookies oder Dienste ohne Einwilligung gesetzt werden<\/li>\n <li>Welche Rechtsgrundlage f\u00fcr jeden einzelnen Dienst herangezogen wird, etwa Einwilligung gem\u00e4\u00df Art. 6 Abs. 1 lit. a DSGVO oder berechtigtes Interesse gem\u00e4\u00df Art. 6 Abs. 1 lit. f DSGVO<\/li>\n <li>Ob Dienste, die Daten in unsichere Drittstaaten \u00fcbertragen, zwingend eine Einwilligung erfordern<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Cookies gilt dabei ein strengerer Ma\u00dfstab als f\u00fcr externe Dienste: Technisch nicht notwendige Cookies ben\u00f6tigen nach deutschem Recht stets eine Einwilligung, ein berechtigtes Interesse reicht hier nicht aus. Setzt ein externer Dienst, der grunds\u00e4tzlich auf berechtigtem Interesse beruht, nicht notwendige Cookies, ben\u00f6tigt der gesamte Dienst eine Einwilligung. Diese Wechselwirkung wird bei einem gr\u00fcndlichen <a href=\"https:\/\/decareto.com\/de\/dsgvo\/check\/\">DSGVO-Website-Check<\/a> ber\u00fccksichtigt.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Welche rechtlichen Dokumente werden im Rahmen eines Website-Audits gepr\u00fcft?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Im Rahmen eines Website-Datenschutz-Audits wird in erster Linie die Datenschutzerkl\u00e4rung gepr\u00fcft. Dabei wird untersucht, ob die auf der Website eingesetzten externen Dienste in der Datenschutzerkl\u00e4rung erw\u00e4hnt werden und ob die Erkl\u00e4rung inhaltlich zum tats\u00e4chlichen Einsatz von Diensten und Cookies passt.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Konkret wird bei der Pr\u00fcfung der Datenschutzerkl\u00e4rung ermittelt, ob die im Scan erkannten externen Dienste im Text der Erkl\u00e4rung genannt werden. Dabei kommen auch Synonyme und alternative Bezeichnungen zum Einsatz, um Treffer nicht zu verpassen. Wird ein Dienst gefunden, erscheint dies im Audit-Ergebnis als best\u00e4tigt; fehlt ein Dienst, wird dies als Hinweis auf m\u00f6glichen Handlungsbedarf ausgewiesen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Wichtig zu verstehen ist, was ein automatisiertes Audit bei der Datenschutzerkl\u00e4rung <em>nicht<\/em> leisten kann: Es pr\u00fcft nicht, ob Betroffenenrechte korrekt beschrieben werden, ob die Rechtsgrundlagen vollst\u00e4ndig und inhaltlich korrekt angegeben sind oder ob die Formulierungen den Anforderungen der Aufsichtsbeh\u00f6rden entsprechen. F\u00fcr eine vollst\u00e4ndige rechtliche Bewertung der Datenschutzerkl\u00e4rung empfiehlt sich erg\u00e4nzend die Einbindung eines qualifizierten Datenschutzbeauftragten oder einer Kanzlei.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ein automatisierter <a href=\"https:\/\/decareto.com\/de\/website-datenschutz\/generator\/\">Datenschutzgenerator<\/a> kann dabei helfen, eine auf den tats\u00e4chlichen Website-Scan abgestimmte Datenschutzerkl\u00e4rung zu erstellen, die die erkannten Dienste ber\u00fccksichtigt.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Werden auch Unterseiten und passwortgesch\u00fctzte Bereiche gepr\u00fcft?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ja, ein vollst\u00e4ndiges DSGVO-Audit f\u00fcr Websites sollte nicht nur die Startseite, sondern auch Unterseiten und, sofern vorhanden, passwortgesch\u00fctzte Bereiche umfassen. Datenschutzrelevante Cookies und externe Dienste werden h\u00e4ufig nicht auf der Startseite, sondern auf spezifischen Unterseiten geladen.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Bei der Pr\u00fcfung von Unterseiten folgt ein Web-Crawler rekursiv allen internen Links innerhalb der gleichen Domain. So werden Cookies und externe Dienste auch dann erkannt, wenn sie nur auf bestimmten Unterseiten eingebunden sind, etwa auf einer Kontaktseite mit eingebettetem Google Maps oder auf einer Produktseite mit YouTube-Video. Das Audit-Ergebnis weist dabei aus, auf welchen Unterseiten ein bestimmter Dienst gefunden wurde und ob er dort mit oder ohne Einwilligung geladen wurde.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Passwortgesch\u00fctzte Bereiche, wie etwa Kundenportale oder Mitgliederbereiche, k\u00f6nnen ebenfalls in das Audit einbezogen werden, wenn entsprechende Zugangsdaten hinterlegt werden. Das ist besonders relevant, weil gerade in geschlossenen Bereichen h\u00e4ufig sensible personenbezogene Daten verarbeitet werden.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ein Hinweis zur Praxis: Der Crawler folgt ausschlie\u00dflich Links innerhalb der eigenen Domain. Weiterleitet ein Link auf eine externe Domain, wird diese nicht weiterverfolgt. Leitet bereits die Startseite auf eine andere Domain weiter, sollte die finale Ziel-URL als Startseite im Audit eingetragen werden.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Wie oft sollte ein DSGVO-Audit f\u00fcr eine Website durchgef\u00fchrt werden?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Ein DSGVO-Audit f\u00fcr eine Website sollte mindestens einmal j\u00e4hrlich vollst\u00e4ndig durchgef\u00fchrt werden. In der Praxis empfiehlt sich jedoch eine kontinuierliche \u00dcberwachung, da Websites sich laufend ver\u00e4ndern: Neue Plugins, aktualisierte Themes oder neu eingebundene Drittanbieter-Dienste k\u00f6nnen jederzeit neue Datenschutzrisiken einf\u00fchren.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Besonders relevant sind anlassbezogene Audits in folgenden Situationen:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n <li>Nach einem Website-Relaunch oder einer gr\u00f6\u00dferen technischen \u00dcberarbeitung<\/li>\n <li>Nach der Einbindung neuer Drittanbieter-Dienste oder Marketing-Tools<\/li>\n <li>Nach \u00c4nderungen am Content-Management-System oder installierten Plugins<\/li>\n <li>Bei \u00c4nderungen der rechtlichen Rahmenbedingungen, etwa neuen Urteilen oder Leitlinien der Datenschutzaufsichtsbeh\u00f6rden<\/li>\n <li>Nach Hinweisen von Nutzern oder Aufsichtsbeh\u00f6rden auf m\u00f6gliche Datenschutzprobleme<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">F\u00fcr Unternehmen, die mehrere Websites betreiben oder als externe Datenschutzbeauftragte f\u00fcr verschiedene Mandanten t\u00e4tig sind, ist ein monatlicher automatischer Scan-Rhythmus eine bew\u00e4hrte Praxis. Automatische Benachrichtigungen bei relevanten \u00c4nderungen helfen dabei, nicht erst beim n\u00e4chsten geplanten Audit von neuen Risiken zu erfahren.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Was passiert, wenn ein DSGVO-Audit Verst\u00f6\u00dfe auf einer Website aufdeckt?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wenn ein DSGVO-Audit Verst\u00f6\u00dfe auf einer Website aufdeckt, sollten die Befunde priorisiert und systematisch behoben werden. Das Audit liefert dazu in der Regel konkrete Handlungsempfehlungen, die beschreiben, welche Ma\u00dfnahmen f\u00fcr welches Problem geeignet sind. Die Verantwortung f\u00fcr die Umsetzung liegt beim Website-Betreiber und gegebenenfalls dem zust\u00e4ndigen Datenschutzbeauftragten.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Typische n\u00e4chste Schritte nach einem Audit mit Befunden sind:<\/p>\n\n\n\n<ol class=\"wp-block-list\">\n <li><strong>Priorisierung nach Schweregrad:<\/strong> Nicht alle Befunde haben das gleiche Gewicht. Cookies, die ohne Einwilligung gesetzt werden, oder Daten\u00fcbertragungen in unsichere Drittstaaten ohne Rechtsgrundlage sind in der Regel dringlicher als kleinere Konfigurationsm\u00e4ngel.<\/li>\n <li><strong>Technische Behebung:<\/strong> Externe Dienste ohne Rechtsgrundlage werden entfernt oder korrekt in das Consent-Management eingebunden. SSL-Konfigurationen werden korrigiert, fehlerhafte Security-Header werden gesetzt.<\/li>\n <li><strong>Aktualisierung rechtlicher Dokumente:<\/strong> Die Datenschutzerkl\u00e4rung wird angepasst, um alle tats\u00e4chlich eingesetzten Dienste korrekt zu beschreiben.<\/li>\n <li><strong>Dokumentation:<\/strong> Die durchgef\u00fchrten Ma\u00dfnahmen werden dokumentiert, um bei einer m\u00f6glichen Pr\u00fcfung durch Aufsichtsbeh\u00f6rden nachweisen zu k\u00f6nnen, dass bekannte Probleme erkannt und angegangen wurden.<\/li>\n <li><strong>Nachpr\u00fcfung:<\/strong> Nach der Umsetzung der Ma\u00dfnahmen wird ein erneuter Scan durchgef\u00fchrt, um zu \u00fcberpr\u00fcfen, ob die Befunde tats\u00e4chlich behoben wurden.<\/li>\n<\/ol>\n\n\n\n<p class=\"wp-block-paragraph\">Ein automatisiertes Audit ersetzt dabei nicht die rechtliche Einsch\u00e4tzung durch einen qualifizierten Datenschutzbeauftragten oder eine Kanzlei. Es identifiziert technische Schwachstellen und macht Risiken sichtbar, die Bewertung der rechtlichen Konsequenzen und die Entscheidung \u00fcber konkrete Ma\u00dfnahmen erfordern jedoch menschliche Expertise.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">So unterst\u00fctzt decareto bei der DSGVO-Pr\u00fcfung Ihrer Website<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Wir haben decareto entwickelt, um Datenschutzbeauftragte, Kanzleien, Agenturen und Compliance-Teams dabei zu unterst\u00fctzen, DSGVO-Audits f\u00fcr Websites effizienter und strukturierter durchzuf\u00fchren. Unsere Plattform deckt die in diesem Artikel beschriebenen Pr\u00fcfbereiche automatisiert ab und macht Ergebnisse schnell, transparent und nachvollziehbar sichtbar.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Was decareto konkret bietet:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n <li><strong>Automatisierter Website-Scan<\/strong> inklusive Unterseiten und passwortgesch\u00fctzter Bereiche auf Cookies, Tracker, externe Dienste, Consent-Banner und SSL-Konfiguration<\/li>\n <li><strong>Datenschutzrechtliche Bewertung<\/strong> nach DSGVO- und TDDDG-Kriterien mit Risiko-Score und konkreten Handlungsempfehlungen<\/li>\n <li><strong>Kontinuierliches Monitoring<\/strong> mit automatischen Benachrichtigungen bei \u00c4nderungen, sodass neue Risiken nicht bis zum n\u00e4chsten geplanten Audit unentdeckt bleiben<\/li>\n <li><strong>Pr\u00fcfung der Datenschutzerkl\u00e4rung<\/strong> auf Vollst\u00e4ndigkeit bez\u00fcglich der erkannten externen Dienste sowie ein integrierter Datenschutzgenerator<\/li>\n <li><strong>Skalierbarkeit<\/strong> f\u00fcr die Verwaltung und \u00dcberwachung von Hunderten Websites in einem Dashboard, inklusive Whitelabel-Reports f\u00fcr externe Dienstleister<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Testen Sie decareto und sehen Sie in wenigen Minuten, welche Datenschutz-Schwachstellen Ihre Website aufweist: <a href=\"https:\/\/decareto.com\/de\/signup\/\">Jetzt kostenlos starten<\/a>.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><em>Dieser Text wurde mit Hilfe von KI erstellt und k\u00f6nnte Fehler beinhalten.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>DSGVO-Audit: Welche Bereiche auf Ihrer Website gepr\u00fcft werden \u2013 und welche Konsequenzen Verst\u00f6\u00dfe haben k\u00f6nnen.<\/p>\n","protected":false},"author":6,"featured_media":8927,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","_seopress_robots_follow":"","_seopress_robots_imageindex":"","_seopress_robots_snippet":"","_seopress_robots_primary_cat":"","_seopress_robots_breadcrumbs":"","_seopress_robots_freeze_modified_date":"","_seopress_robots_custom_modified_date":"","_seopress_robots_canonical":"","_seopress_social_fb_title":"","_seopress_social_fb_desc":"","_seopress_social_fb_img":"","_seopress_social_fb_img_attachment_id":0,"_seopress_social_fb_img_width":0,"_seopress_social_fb_img_height":0,"_seopress_social_twitter_title":"","_seopress_social_twitter_desc":"","_seopress_social_twitter_img":"","_seopress_social_twitter_img_attachment_id":0,"_seopress_social_twitter_img_width":0,"_seopress_social_twitter_img_height":0,"_seopress_redirections_value":"","_seopress_redirections_enabled":"","_seopress_redirections_enabled_regex":"","_seopress_redirections_logged_status":"","_seopress_redirections_param":"","_seopress_redirections_type":0,"_seopress_analysis_target_kw":"","_seopress_news_disabled":"","_seopress_video_disabled":"","_seopress_video":[],"_seopress_pro_schemas_manual":[],"_seopress_pro_rich_snippets_disable_all":"","_seopress_pro_rich_snippets_disable":[],"_seopress_pro_schemas":[],"footnotes":""},"categories":[43],"tags":[],"class_list":["post-8585","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog"],"acf":[],"_links":{"self":[{"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/posts\/8585","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/users\/6"}],"replies":[{"embeddable":true,"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/comments?post=8585"}],"version-history":[{"count":2,"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/posts\/8585\/revisions"}],"predecessor-version":[{"id":9119,"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/posts\/8585\/revisions\/9119"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/media\/8927"}],"wp:attachment":[{"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/media?parent=8585"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/categories?post=8585"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/decareto.com\/de\/wp-json\/wp\/v2\/tags?post=8585"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}