Blog

Welche Schritte gehören zu einem DSGVO-Selbsttest für meine Website?

Herausgegeben von Decareto

4 Minuten lesen

Oktober 23, 2026

Ein DSGVO-Selbsttest für Ihre Website umfasst die systematische Prüfung von Cookies, Trackern, Consent-Bannern, der Datenschutzerklärung sowie technischer Sicherheitsmerkmale wie SSL-Verschlüsselung. Wer diese Schritte strukturiert durchläuft, kann typische Datenschutzschwachstellen frühzeitig erkennen und gezielt beheben, bevor sie zu einem rechtlichen Problem werden. Die folgenden Abschnitte beantworten die häufigsten Fragen rund um den DSGVO-Website-Check, von der Vorbereitung bis zur dauerhaften Überwachung.

Was wird bei einem DSGVO-Website-Check konkret geprüft?

Ein DSGVO-Website-Check untersucht alle Bereiche einer Website, in denen personenbezogene Daten erhoben oder verarbeitet werden. Dazu gehören Cookies und Tracker, die Einwilligungsverwaltung, die Datenschutzerklärung, externe Dienste sowie die technische Sicherheit der Datenübertragung. Ziel ist es, Schwachstellen zu identifizieren, die gegen die Anforderungen der Datenschutz-Grundverordnung verstoßen könnten.

Im Einzelnen deckt ein gründlicher Datenschutz-Website-Check typischerweise folgende Bereiche ab:

Cookies und Tracker: Welche Cookies werden gesetzt, wann werden sie geladen, und handelt es sich um technisch notwendige oder einwilligungspflichtige Cookies?
Consent-Banner: Ist ein Einwilligungsmechanismus vorhanden, und werden externe Dienste tatsächlich erst nach einer Nutzerinteraktion geladen?
Externe Dienste: Welche Drittanbieter wie Google Analytics, YouTube oder Meta-Pixel sind eingebunden, und werden Daten dabei in Drittländer übertragen?
Datenschutzerklärung: Sind alle auf der Website eingesetzten Dienste in der Datenschutzerklärung aufgeführt und korrekt beschrieben?
SSL-Zertifikat: Ist die Datenübertragung verschlüsselt, ist das Zertifikat gültig, und ist die Zertifikatskette vollständig?
Unterseiten: Weichen einzelne Unterseiten oder Formulare vom Standard ab und laden zusätzliche Dienste?

Wichtig ist, dass ein Website-Check immer eine Momentaufnahme darstellt. Websites ändern sich, neue Plugins oder Skripte können jederzeit neue Dienste einbinden. Eine einmalige Prüfung gibt daher nur bedingt Aufschluss über den dauerhaften Datenschutzstatus.

Wie geht man bei einem DSGVO-Selbsttest Schritt für Schritt vor?

Für einen strukturierten DSGVO-Selbsttest beginnen Sie mit der Bestandsaufnahme aller eingesetzten Dienste und Cookies, prüfen anschließend den Consent-Mechanismus, kontrollieren die Datenschutzerklärung auf Vollständigkeit und überprüfen abschließend die technische Sicherheit. Dieser Ablauf stellt sicher, dass keine wesentlichen Bereiche übersehen werden.

Schritt 1: Cookies und externe Dienste erfassen

Öffnen Sie Ihre Website in einem Browser und nutzen Sie die Entwicklertools (in den meisten Browsern über F12 erreichbar), um unter dem Reiter „Netzwerk“ oder „Anwendung“ zu sehen, welche Cookies gesetzt und welche externen Ressourcen geladen werden. Notieren Sie alle Drittanbieter, deren Skripte oder Inhalte eingebunden sind, einschließlich Schriftarten, Analyse-Tools und Social-Media-Widgets.

Schritt 2: Consent-Banner prüfen

Rufen Sie Ihre Website im Inkognito-Modus auf, um sicherzustellen, dass keine Cookies aus früheren Besuchen vorhanden sind. Prüfen Sie, ob einwilligungspflichtige Dienste bereits vor einer Nutzerinteraktion geladen werden. Klicken Sie den Ablehnen-Button und kontrollieren Sie, ob danach tatsächlich keine Tracking-Cookies gesetzt werden. Dieser Schritt ist besonders kritisch, da viele Verstöße genau hier auftreten.

Schritt 3: Datenschutzerklärung auf Vollständigkeit prüfen

Vergleichen Sie die in Schritt 1 erfassten Dienste mit dem Inhalt Ihrer Datenschutzerklärung. Jeder externe Dienst, der personenbezogene Daten verarbeitet, sollte dort namentlich erwähnt und beschrieben sein. Prüfen Sie außerdem, ob Rechtsgrundlagen, Empfänger und gegebenenfalls Drittlandübertragungen angegeben sind. Für Unterstützung bei der Erstellung einer passenden Datenschutzerklärung bietet sich ein Datenschutzgenerator an.

Schritt 4: SSL-Zertifikat kontrollieren

Prüfen Sie, ob Ihre Website ausschließlich über HTTPS erreichbar ist und ob das Schloss-Symbol im Browser erscheint. Kontrollieren Sie das Ablaufdatum des Zertifikats und stellen Sie sicher, dass HTTP-Anfragen automatisch auf HTTPS umgeleitet werden. Ein abgelaufenes oder fehlerhaft konfiguriertes Zertifikat ist nicht nur ein Datenschutzrisiko, sondern schreckt auch Besucher ab.

Schritt 5: Unterseiten und Formulare einbeziehen

Beschränken Sie Ihren Datenschutz-Selbsttest nicht auf die Startseite. Kontaktformulare, Shop-Seiten, Blog-Beiträge und Karriereseiten können eigene Dienste laden oder Daten erheben. Gehen Sie gezielt durch die wichtigsten Unterseiten und wiederholen Sie die Prüfung aus Schritt 1 und 2.

Welche typischen Datenschutzverstöße finden sich auf Websites?

Die häufigsten Datenschutzmängel auf Websites sind das Laden von Tracking-Cookies vor einer Einwilligung, eine unvollständige Datenschutzerklärung sowie fehlende oder unwirksame Consent-Banner. Diese Probleme treten auch bei sorgfältig gepflegten Websites regelmäßig auf, weil Plugins und externe Dienste sich ohne aktives Zutun der Betreiber verändern können.

Zu den besonders häufig festgestellten Schwachstellen beim DSGVO-Website-Check gehören:

Cookies vor der Einwilligung: Analyse- oder Marketing-Cookies werden bereits beim ersten Seitenaufruf gesetzt, bevor der Nutzer dem zugestimmt hat.
Fehlende Dienste in der Datenschutzerklärung: Neu eingebundene Plugins oder Widgets erscheinen nicht in der Datenschutzerklärung, weil diese nach der initialen Erstellung nicht aktualisiert wurde.
Nicht funktionierender Ablehnen-Button: Das Consent-Banner bietet zwar eine Ablehnungsoption an, Tracking-Skripte werden aber trotzdem geladen.
Drittlandübertragungen ohne Rechtsgrundlage: Dienste wie Google Fonts oder bestimmte CDN-Anbieter übertragen IP-Adressen in die USA, ohne dass dies transparent kommuniziert wird.
Abgelaufene oder fehlerhafte SSL-Zertifikate: Die verschlüsselte Übertragung ist nicht sichergestellt, was die Anforderung der DSGVO an angemessene technische Sicherheitsmaßnahmen verletzt.
Eingebettete Videos ohne Zwei-Klick-Lösung: YouTube- oder Vimeo-Videos laden beim Seitenaufruf automatisch Tracking-Daten, ohne eine Einwilligung einzuholen.

Wann reicht ein manueller Selbsttest nicht mehr aus?

Ein manueller DSGVO-Selbsttest stößt an seine Grenzen, sobald mehrere Websites zu prüfen sind, Unterseiten in größerer Zahl vorhanden sind oder Websites sich häufig ändern. Ab einer gewissen Komplexität ist die manuelle Prüfung zu zeitaufwändig und zu fehleranfällig, um verlässliche Ergebnisse zu liefern.

Konkret wird ein manueller Datenschutz-Selbsttest problematisch in folgenden Situationen:

Viele Unterseiten: Eine Website mit Dutzenden oder Hunderten von Unterseiten lässt sich manuell nicht vollständig prüfen. Einzelne Seiten können abweichende Dienste laden, die beim stichprobenhaften Check übersehen werden.
Mehrere Websites gleichzeitig: Datenschutzbeauftragte, Agenturen oder Kanzleien, die mehrere Mandanten betreuen, können den Aufwand einer manuellen Prüfung pro Website kaum skalieren.
Häufige Website-Änderungen: Jedes Update eines Content-Management-Systems, jede neue Plugin-Version oder jedes neue Werbe-Skript kann neue Datenschutzprobleme einführen. Manuelle Prüfungen finden solche Änderungen oft erst mit großer Verzögerung.
Passwortgeschützte Bereiche: Intranet-Bereiche, Kundenportale oder Login-Bereiche sind mit manuellen Browser-Tools schwer systematisch zu prüfen.
Nachweispflicht: Wenn Datenschutzprüfungen dokumentiert und nachgewiesen werden müssen, reichen handschriftliche Notizen oder Screenshots nicht aus.

Wie unterstützen automatisierte Tools den DSGVO-Website-Check?

Automatisierte Tools für den DSGVO-Website-Check scannen Websites systematisch auf Cookies, Tracker, Consent-Mechanismen und die Vollständigkeit der Datenschutzerklärung, typischerweise in Minuten statt Stunden. Sie reduzieren menschliche Fehler, decken Unterseiten vollständig ab und liefern strukturierte Berichte, die als Grundlage für Datenschutzaudits genutzt werden können.

Die wichtigsten Vorteile automatisierter Lösungen für den Datenschutz-Website-Check im Überblick:

Vollständige Abdeckung: Ein automatisierter Crawler prüft nicht nur die Startseite, sondern crawlt systematisch alle erreichbaren Unterseiten und findet so Abweichungen, die bei einer Stichprobe unsichtbar bleiben würden.
Konsistente Ergebnisse: Automatisierte Scans folgen immer denselben Prüfkriterien und sind nicht von Tagesform, Erfahrungsstand oder Zeitdruck abhängig.
Dauerhafte Überwachung: Statt einmaliger Prüfungen können Websites kontinuierlich beobachtet werden. Bei Änderungen, die neue Datenschutzrisiken einführen, werden automatisch Benachrichtigungen ausgelöst.
Dokumentation und Reporting: Scan-Ergebnisse werden strukturiert aufbereitet und können als Nachweis für durchgeführte Datenschutzprüfungen gespeichert und geteilt werden.
Skalierbarkeit: Hunderte von Websites lassen sich mit demselben Aufwand überwachen wie eine einzelne.

Es ist wichtig zu betonen, dass auch automatisierte Tools keine vollständige Abdeckung aller denkbaren Datenschutzfragen garantieren können. Sie identifizieren technisch erkennbare Schwachstellen und unterstützen die Compliance-Arbeit, ersetzen aber nicht die rechtliche Beurteilung durch einen qualifizierten Datenschutzbeauftragten oder eine Anwaltskanzlei.

Wie oft sollte eine Website auf DSGVO-Konformität geprüft werden?

Eine Website sollte mindestens einmal jährlich einem vollständigen DSGVO-Website-Check unterzogen werden, in der Praxis empfiehlt sich jedoch eine deutlich häufigere Prüfung. Immer dann, wenn neue Plugins eingebunden, Design-Updates eingespielt oder neue Marketing-Kampagnen gestartet werden, kann sich der Datenschutzstatus verändern.

Als Orientierung für die Prüfhäufigkeit beim Datenschutz-Selbsttest gilt:

Nach jedem größeren Website-Update: Neue Themes, Plugins oder CMS-Updates können unbemerkt externe Dienste einbinden.
Nach dem Start neuer Marketing-Aktivitäten: Werbe-Pixel, Retargeting-Skripte oder neue Analyse-Tools sollten unmittelbar auf ihre datenschutzkonforme Einbindung geprüft werden.
Quartalsweise als Routineprüfung: Auch ohne sichtbare Änderungen können sich externe Dienste im Hintergrund verändern oder neue Cookies setzen.
Anlassbezogen bei regulatorischen Änderungen: Neue Leitlinien der Datenschutzbehörden oder geänderte Rechtsprechung können dazu führen, dass bisher akzeptierte Praktiken neu bewertet werden müssen.

Für Unternehmen, die mehrere Websites betreuen oder deren Websites sich häufig ändern, ist eine kontinuierliche automatisierte Überwachung die effizienteste Lösung. So werden Änderungen unmittelbar erkannt, anstatt erst bei der nächsten manuellen Prüfung aufzufallen.

So unterstützt decareto Ihren DSGVO-Website-Check

Wir haben decareto entwickelt, um genau die Lücken zu schließen, die manuelle DSGVO-Selbsttests offen lassen. Unsere SaaS-Plattform scannt Websites automatisiert und KI-gestützt auf Datenschutzschwachstellen und liefert strukturierte Berichte in Minuten statt Stunden. Das bedeutet für Sie konkret:

Vollständige Website-Scans: Wir prüfen Startseite, Unterseiten, Cookies, Tracker, Consent-Banner und die Datenschutzerklärung in einem einzigen Scan, einschließlich passwortgeschützter Bereiche.
Automatische Überwachung: Hunderte Websites lassen sich dauerhaft beobachten. Bei Änderungen, die neue Datenschutzrisiken einführen, erhalten Sie automatisch eine Benachrichtigung.
Datenschutzgenerator: Basierend auf den Scan-Ergebnissen erstellt unser Generator passgenaue Datenschutzerklärungen in 24 Sprachen, die sich bei jedem neuen Scan automatisch aktualisieren lassen.
Strukturierte Reports: Die Ergebnisse werden übersichtlich aufbereitet, priorisiert und können direkt mit Kunden oder Mandanten geteilt werden, auf Wunsch unter Ihrem eigenen Logo.
Skalierbarkeit: Datenschutzbeauftragte, Agenturen und Kanzleien können den Aufwand für Web-Audits in der Praxis erheblich reduzieren und mehr Mandate effizient betreuen.

Starten Sie jetzt und überzeugen Sie sich selbst davon, wie schnell ein automatisierter Scan Schwachstellen auf Ihrer Website identifiziert. Jetzt kostenlos testen und Ihren ersten DSGVO-Website-Check in wenigen Minuten durchführen.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.