Um die DSGVO-Konformit\u00e4t Ihrer Website gegen\u00fcber Datenschutzbeh\u00f6rden nachzuweisen, ben\u00f6tigen Sie eine strukturierte Kombination aus aktueller Dokumentation, nachvollziehbaren Prozessen und regelm\u00e4\u00dfigen Pr\u00fcfnachweisen. Entscheidend ist dabei nicht nur der aktuelle Zustand Ihrer Website, sondern die F\u00e4higkeit, diesen Zustand jederzeit belegen zu k\u00f6nnen. Die folgenden Fragen und Antworten zeigen Ihnen, worauf es in der Praxis ankommt.<\/p>\n\n\n\n
Datenschutzbeh\u00f6rden verlangen in der Regel ein Verzeichnis von Verarbeitungst\u00e4tigkeiten (VVT), eine aktuelle und vollst\u00e4ndige Datenschutzerkl\u00e4rung, Nachweise \u00fcber eingeholte Einwilligungen, abgeschlossene Auftragsverarbeitungsvertr\u00e4ge (AVVs) mit Drittanbietern sowie Dokumentationen \u00fcber technische und organisatorische Ma\u00dfnahmen (TOMs). Diese Unterlagen m\u00fcssen auf Anfrage unverz\u00fcglich vorgelegt werden k\u00f6nnen.<\/p>\n\n\n\n
Im Website-Kontext bedeutet das konkret: Sie m\u00fcssen nachweisen k\u00f6nnen, welche Cookies und Tracker auf Ihrer Website aktiv sind, auf welcher Rechtsgrundlage diese eingesetzt werden und ob Nutzer wirksam eingewilligt haben, bevor Daten verarbeitet werden. Fehlt ein AVV mit einem externen Dienstleister wie einem Analytics-Anbieter oder einem Werbepartner, stellt das bereits ein dokumentierbares Risiko dar.<\/p>\n\n\n\n
Besonders wichtig ist die Aktualit\u00e4t der Datenschutzerkl\u00e4rung. Beh\u00f6rden pr\u00fcfen, ob die dort genannten Dienste tats\u00e4chlich mit dem \u00fcbereinstimmen, was auf der Website technisch aktiv ist. Eine Datenschutzerkl\u00e4rung, die Google Fonts nicht erw\u00e4hnt, obwohl die Schrift aktiv eingebunden ist, kann als Versto\u00df gewertet werden.<\/p>\n\n\n\n
Cookie-Einwilligungen sind rechtssicher dokumentiert, wenn Sie nachweisen k\u00f6nnen, dass die Einwilligung freiwillig, informiert, spezifisch und unmissverst\u00e4ndlich erteilt wurde, und dass sie vor dem Laden der entsprechenden Dienste eingeholt wurde. Dazu geh\u00f6rt eine l\u00fcckenlose Protokollierung durch Ihr Consent-Management-Tool sowie eine technische Konfiguration, die sicherstellt, dass Tracker erst nach Zustimmung aktiviert werden.<\/p>\n\n\n\n
F\u00fcr die Praxis empfiehlt sich folgendes Vorgehen:<\/p>\n\n\n\n
Wichtig: Ein Consent-Banner allein gen\u00fcgt nicht als Nachweis. Entscheidend ist, ob die dahinterliegende Technik tats\u00e4chlich so funktioniert, dass Daten erst nach wirksamer Einwilligung verarbeitet werden.<\/p>\n\n\n\n
Bei einer Website-Kontrolle pr\u00fcfen Datenschutzbeh\u00f6rden typischerweise zuerst die Datenschutzerkl\u00e4rung auf Vollst\u00e4ndigkeit und Aktualit\u00e4t, dann das Verhalten der Website beim ersten Aufruf ohne Einwilligung. Konkret: Werden Cookies oder Tracker bereits vor einer Nutzerinteraktion geladen? Ist ein Consent-Banner vorhanden, und l\u00e4sst sich die Einwilligung ebenso leicht verweigern wie erteilen?<\/p>\n\n\n\n
Danach richtet sich der Blick h\u00e4ufig auf folgende Punkte:<\/p>\n\n\n\n
Beh\u00f6rden nutzen dabei zunehmend technische Hilfsmittel, um den Netzwerkverkehr einer Website zu analysieren. Das bedeutet: Auch Dienste, die optisch unsichtbar sind, k\u00f6nnen erkannt und beanstandet werden. Eine DSGVO-Pr\u00fcfung der Website<\/a> sollte daher die technische Ebene einschlie\u00dfen, nicht nur die sichtbaren Inhalte.<\/p>\n\n\n\n Die DSGVO schreibt keine feste Pr\u00fcffrequenz vor, verlangt aber eine kontinuierliche Rechenschaftspflicht. In der Praxis bedeutet das: Eine Website sollte immer dann auf DSGVO-Konformit\u00e4t gepr\u00fcft werden, wenn sich technische oder inhaltliche \u00c4nderungen ergeben, mindestens jedoch einmal j\u00e4hrlich im Rahmen eines strukturierten Audits.<\/p>\n\n\n\n Konkrete Anl\u00e4sse f\u00fcr eine erneute Pr\u00fcfung sind unter anderem:<\/p>\n\n\n\n Websites ver\u00e4ndern sich h\u00e4ufig schneller als geplant. Ein Theme-Update, ein neu installiertes Plugin oder eine \u00c4nderung durch einen externen Dienstleister kann dazu f\u00fchren, dass pl\u00f6tzlich neue Tracker aktiv sind, ohne dass dies bewusst entschieden wurde. Reaktive Pr\u00fcfungen nach Beschwerden sind daher keine ausreichende Strategie.<\/p>\n\n\n\n Ein Datenschutz-Audit f\u00fcr Websites ist ein strukturierter Nachweis dar\u00fcber, dass die Website zu einem bestimmten Zeitpunkt auf datenschutzrechtliche Schwachstellen gepr\u00fcft wurde und welche Ma\u00dfnahmen daraufhin ergriffen wurden. Gegen\u00fcber Beh\u00f6rden dient es als Beleg f\u00fcr die Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO.<\/p>\n\n\n\n Ein aussagekr\u00e4ftiger Audit-Report sollte folgende Informationen enthalten:<\/p>\n\n\n\n Wichtig: Ein Audit-Report ist kein G\u00fctesiegel und ersetzt keine rechtliche Beratung. Er zeigt jedoch, dass Sie Ihre Pflichten ernst nehmen und systematisch vorgehen. Beh\u00f6rden bewerten diesen Nachweis der Sorgfalt in der Regel positiv, auch wenn beim Audit Schwachstellen gefunden wurden, sofern diese dokumentiert und adressiert wurden.<\/p>\n\n\n\n Automatisierte Compliance-Software kann den Nachweisprozess erheblich erleichtern, indem sie Website-Scans systematisch durchf\u00fchrt, Ergebnisse strukturiert dokumentiert und \u00c4nderungen kontinuierlich \u00fcberwacht. Sie ersetzt weder einen qualifizierten Datenschutzbeauftragten noch rechtliche Beratung, reduziert aber den manuellen Aufwand f\u00fcr Audits erheblich und schafft eine nachvollziehbare Dokumentationsbasis.<\/p>\n\n\n\n Konkret unterst\u00fctzt automatisierte Software beim Nachweisprozess in folgenden Bereichen:<\/p>\n\n\n\n Manuelles Vorgehen mit Browser-Entwicklertools ist grunds\u00e4tzlich m\u00f6glich, aber zeitaufw\u00e4ndig, fehleranf\u00e4llig und schwer skalierbar, insbesondere wenn mehrere Websites regelm\u00e4\u00dfig gepr\u00fcft werden m\u00fcssen.<\/p>\n\n\n\n Wir haben decareto entwickelt, um genau die L\u00fccken zu schlie\u00dfen, die beim manuellen Nachweisprozess entstehen. Unsere Plattform unterst\u00fctzt Datenschutzbeauftragte, Kanzleien, Agenturen und Compliance-Teams dabei, die DSGVO-Konformit\u00e4t von Websites systematisch zu pr\u00fcfen, zu dokumentieren und nachzuweisen:<\/p>\n\n\n\nWie oft muss die DSGVO-Konformit\u00e4t einer Website \u00fcberpr\u00fcft werden?<\/h2>\n\n\n\n
\n
Welche Rolle spielt ein Datenschutz-Audit beim Beh\u00f6rdennachweis?<\/h2>\n\n\n\n
\n
Kann automatisierte Compliance-Software den Nachweisprozess erleichtern?<\/h2>\n\n\n\n
\n
Wie decareto den Nachweisprozess unterst\u00fctzt<\/h2>\n\n\n\n
\n