„Ist unsere Website eigentlich DSGVO-konform?" ist eine der Fragen, die uns fast bei jedem Erstgespräch begegnet, meist erst nachdem eine Abmahnung im Briefkasten lag oder ein Kunde nach der Datenschutzerklärung gefragt hat. Die ehrliche Antwort lautet fast immer: teilweise. Kaum eine gewachsene Website ist an jeder Stelle sauber, weil sich Cookie-Banner, Formulare und eingebundene Tools über Jahre angesammelt haben, ohne dass jemand sie noch einmal komplett durchgesehen hat. Ein DSGVO-Website-Audit bringt genau diese Punkte ans Licht und sagt konkret, wo Handlungsbedarf besteht.
Warum ein Audit sinnvoll ist, bevor die Aufsichtsbehörde fragt
Viele Betreiber warten, bis eine Abmahnung oder eine Anfrage einer Aufsichtsbehörde kommt, bevor sie sich mit dem Datenschutz ihrer Website beschäftigen. Das ist der teuerste Zeitpunkt, denn dann laufen Fristen, es entstehen Anwaltskosten und im schlimmsten Fall auch Bußgelder. Ein Audit im Vorfeld kostet einen Bruchteil davon und lässt sich in Ruhe abarbeiten.
Dazu kommt ein Punkt, der oft unterschätzt wird: Datenschutzmängel sind über automatisierte Scanner leicht auffindbar. Wer eine Website betreibt und dort zum Beispiel Google Fonts noch von Google-Servern lädt oder den Cookie-Banner so gestaltet, dass „Alle akzeptieren" hervorgehoben ist und „Ablehnen" versteckt, macht sich angreifbar, unabhängig davon, ob ein Wettbewerber, ein Verbraucherschutzverein oder ein spezialisierter Dienstleister danach sucht. Diese Art von Mängeln lässt sich in großer Zahl automatisiert aufspüren, und genau das passiert in der Praxis auch.
Ein weiterer Aspekt: Datenschutz ist inzwischen auch ein Vertrauenssignal. Wer als B2B-Anbieter oder im sensiblen Bereich (Gesundheit, Recht, Finanzen) unterwegs ist, bekommt bei Ausschreibungen oder Kooperationen zunehmend Fragen zur Datenverarbeitung gestellt. Eine sauber dokumentierte Website ist dann kein Nice-to-have mehr, sondern Teil der Geschäftsfähigkeit.
Die rechtliche Grundlage kurz erklärt
Für Websites greifen im Wesentlichen zwei Regelwerke ineinander: die Datenschutz-Grundverordnung (DSGVO) und das Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG), das in Deutschland die ePrivacy-Vorgaben umsetzt. Vereinfacht gesagt regelt das TTDSG, wann überhaupt etwas auf dem Endgerät des Nutzers gespeichert oder ausgelesen werden darf (Cookies, Tracking-Pixel, Local Storage), während die DSGVO regelt, was mit personenbezogenen Daten passieren darf, sobald sie erhoben wurden.
Aus DSGVO-Sicht sind vor allem drei Artikel für ein Website-Audit relevant: Art. 5 (Grundsätze wie Datenminimierung und Zweckbindung), Art. 6 (Rechtsgrundlage jeder Verarbeitung) und Art. 13 (Informationspflichten, die praktisch in der Datenschutzerklärung erfüllt werden müssen). Ein Audit prüft also nicht nur, ob irgendwo ein Cookie-Banner existiert, sondern ob jede einzelne Datenverarbeitung auf der Website eine gültige Rechtsgrundlage hat und ob diese korrekt kommuniziert wird.
Was ein DSGVO-Website-Audit konkret prüft
Ein vollständiges Audit arbeitet sich Schritt für Schritt durch alle Stellen, an denen eine Website personenbezogene Daten verarbeitet oder Informationen auf dem Endgerät der Besucherinnen und Besucher speichert. Das sind in der Praxis meist mehr Stellen, als man vermutet.
Cookie-Banner und Einwilligungsmanagement
Der Cookie-Banner ist meist der sichtbarste Teil, aber auch der, bei dem am häufigsten technische Details schiefgehen. Geprüft wird unter anderem: Werden Cookies erst nach Einwilligung gesetzt oder laufen im Hintergrund schon Skripte, bevor der Nutzer geklickt hat? Sind „Akzeptieren" und „Ablehnen" gleichwertig gestaltet, oder wird die Ablehnung optisch benachteiligt (sogenanntes Dark Pattern)? Lässt sich die Einwilligung genauso einfach widerrufen, wie sie erteilt wurde? Wird die Einwilligung protokolliert, damit man sie im Streitfall nachweisen kann? Gerade bei Website-Baukästen und älteren Consent-Tools ist Punkt eins, das vorzeitige Laden von Skripten, ein Dauerbrenner.
Die Datenschutzerklärung selbst
Die Datenschutzerklärung wird nicht nur auf Vorhandensein geprüft, sondern darauf, ob sie tatsächlich zur Website passt. Häufig wird ein Muster-Text eingesetzt und nie wieder angefasst, während sich die Website längst weiterentwickelt hat. Ein Audit vergleicht die Erklärung mit dem tatsächlichen technischen Bestand: Werden alle eingesetzten Tools genannt? Stimmen Speicherfristen und Empfänger der Daten? Ist die Rechtsgrundlage für jede genannte Verarbeitung angegeben? Sind die Kontaktdaten des Verantwortlichen und, falls vorhanden, des Datenschutzbeauftragten korrekt und erreichbar?
Kontaktformulare und sonstige Dateneingabe
Formulare sind der Klassiker unter den Datenschutz-Lücken. Geprüft wird, ob nur die Felder abgefragt werden, die für den jeweiligen Zweck wirklich nötig sind (Datenminimierung), ob ein Hinweis auf die Datenschutzerklärung direkt am Formular steht, ob die Übertragung verschlüsselt erfolgt und wohin die Daten anschließend fließen, etwa in ein CRM, an eine externe Mailadresse oder in einen Cloud-Dienst außerhalb der EU. Auch Datei-Uploads (zum Beispiel bei Bewerbungsformularen) und die spätere Löschung dieser Daten gehören in diesen Prüfpunkt.
Eingebundene Drittanbieter-Dienste
Kaum ein Bereich verursacht in der Praxis so viele Abmahnungen wie dieser: Google Fonts, die direkt von Google-Servern geladen werden, YouTube-Videos im klassischen Einbettungsmodus, Google Analytics ohne oder mit fehlerhafter Anonymisierung, Facebook-Pixel, Live-Chat-Widgets, Kartendienste wie Google Maps und Payment-Buttons. Jeder dieser Dienste überträgt beim Laden der Seite in der Regel die IP-Adresse des Besuchers an einen Drittanbieter, oft in die USA. Ein Audit listet auf, welche externen Verbindungen tatsächlich aufgebaut werden (das sieht man erst im Quelltext beziehungsweise im Netzwerk-Tab des Browsers), ob dafür eine Einwilligung vorliegt und ob es datenschutzfreundlichere Alternativen gibt, etwa selbst gehostete Schriften oder ein Consent-basiertes Nachladen von Videos erst nach Klick.
Verschlüsselung und technische Grundabsicherung
Hierzu zählen ein gültiges SSL-Zertifikat auf allen Seiten (inklusive aller Unterseiten und Formulare, nicht nur der Startseite), eine korrekte Weiterleitung von HTTP auf HTTPS, sichere Übertragungswege für Formulardaten und, wo technisch sinnvoll, grundlegende Schutzmaßnahmen gegen automatisierte Angriffe. Datenschutz und IT-Sicherheit greifen an dieser Stelle direkt ineinander, denn Art. 32 DSGVO verlangt „angemessene technische und organisatorische Maßnahmen". Wer sich fragt, wie es um die technische Seite insgesamt bestellt ist, findet eine tiefere Einordnung in unserem Beitrag zur IT-Sicherheit von Websites und Servern.
Auftragsverarbeitung und Hosting-Standort
Wer eine Website betreibt, gibt Daten fast immer an Dritte weiter, den Hoster, den E-Mail-Anbieter, das Cookie-Consent-Tool, gegebenenfalls ein CRM oder einen Newsletter-Anbieter. Für jeden dieser Dienstleister muss ein Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO vorliegen. Ein Audit prüft, ob solche Verträge existieren, ob sie aktuell sind und ob der Serverstandort (EU, Drittland mit Angemessenheitsbeschluss oder unsicheres Drittland) zur Datenschutzerklärung passt. Gerade bei US-Anbietern ohne aktuelle Standardvertragsklauseln entsteht hier häufig Nachbesserungsbedarf.
Newsletter und Double-Opt-In
Wird auf der Website für einen Newsletter geworben, prüft ein Audit, ob die Anmeldung per Double-Opt-In erfolgt (also mit Bestätigungsmail, nicht nur einem einfachen Formular), ob die Einwilligung protokolliert wird und ob jede Ausgabe eine funktionierende Abmeldemöglichkeit enthält. Vorausgefüllte Checkboxen oder eine Kopplung der Newsletter-Anmeldung an eine andere, eigentlich notwendige Handlung (etwa den Checkout in einem Shop) zählen zu den klassischen Fehlern.
Übersicht: Prüfbereiche und typische Mängel
| Prüfbereich | Was geprüft wird | Typischer Mangel in der Praxis |
|---|---|---|
| Cookie-Banner | Vorabladung, Gestaltung, Widerruf, Protokollierung | Skripte laden vor Einwilligung |
| Datenschutzerklärung | Vollständigkeit, Aktualität, Passung zum Ist-Zustand | Veraltetes Muster, fehlende Dienste |
| Formulare | Datenminimierung, Verschlüsselung, Zielort der Daten | Unnötige Pflichtfelder |
| Drittanbieter-Dienste | Externe Verbindungen, Einwilligungspflicht | Google Fonts direkt von Google geladen |
| Technik/Verschlüsselung | SSL auf allen Seiten, sichere Übertragung | Formularseite ohne HTTPS |
| Auftragsverarbeitung | AVV-Verträge, Serverstandort | Kein AVV mit dem Hoster |
| Newsletter | Double-Opt-In, Abmeldelink, Protokoll | Kein Double-Opt-In vorhanden |
Die häufigsten Mängel, die uns in der Praxis begegnen
Über die Jahre wiederholen sich bestimmte Muster. Ganz vorne steht die Google-Fonts-Problematik: Viele Websites, gerade ältere WordPress- oder Baukasten-Seiten, laden Schriftarten weiterhin live von Google-Servern statt sie lokal zu hosten. Das ist technisch in wenigen Minuten behoben, wird aber trotzdem übersehen, weil es unsichtbar im Quelltext steckt.
Zweitplatziert sind Cookie-Banner, die zwar vorhanden sind, aber technisch nichts bewirken, das Skript für Google Analytics oder ein Werbe-Pixel feuert bereits beim Laden der Seite, unabhängig von der Nutzerentscheidung. Das ist besonders ärgerlich, weil der Betreiber im guten Glauben ist, alles richtig gemacht zu haben, weil ja ein Banner erscheint.
Drittens: Datenschutzerklärungen, die seit dem Website-Relaunch nicht mehr aktualisiert wurden. Ein neues Kontaktformular-Tool, ein neuer Chat-Anbieter oder ein neues Buchungssystem kommt hinzu, die Erklärung bleibt aber auf dem Stand des Vorgänger-Tools stehen. Wer regelmäßig neue Funktionen einbaut, etwa im Rahmen eines Webdesign-Relaunches oder beim Aufbau eines Online-Shops, sollte die Datenschutzerklärung deshalb als lebendes Dokument behandeln, nicht als einmalige Pflichtübung.
Viertens, speziell bei Shops: eingebundene Bewertungs-Widgets, Payment-Buttons und Retargeting-Pixel, die alle eigene Cookies setzen und im Consent-Tool schlicht nicht erfasst sind, weil sie nachträglich vom Marketing-Team eingebaut wurden, ohne dass jemand die Datenschutzerklärung informiert hat.
Fünftens: fehlende oder veraltete AVV-Verträge, vor allem bei kleineren Tool-Anbietern, die nicht proaktiv einen Vertrag anbieten. Hier hilft nur, aktiv nachzufragen und den Vertrag einzufordern, bevor man den Dienst weiter einsetzt.
Wie ein Audit bei uns abläuft
Ein DSGVO-Website-Audit sollte kein reiner Text-Abgleich sein, sondern die Website technisch tatsächlich durchleuchten. Der Ablauf sieht bei uns in etwa so aus:
- Technischer Scan: Alle Seiten werden auf externe Verbindungen, gesetzte Cookies vor und nach Einwilligung sowie eingebundene Skripte geprüft.
- Abgleich mit der Datenschutzerklärung: Jede gefundene Verarbeitung wird der Erklärung gegenübergestellt, Lücken und veraltete Angaben werden markiert.
- Formular- und Prozessprüfung: Kontaktformulare, Newsletter-Anmeldung und Checkout-Prozesse (bei Shops) werden einzeln durchlaufen.
- Vertragsprüfung: Vorhandene AVV-Verträge werden gesichtet, fehlende identifiziert.
- Priorisierter Maßnahmenkatalog: Am Ende steht keine reine Fehlerliste, sondern eine nach Dringlichkeit sortierte Liste, was zuerst behoben werden sollte und was warten kann.
Wichtig ist uns dabei die Trennung zwischen technischer Umsetzung und rechtlicher Bewertung: Wir setzen die technischen Maßnahmen um (Cookie-Banner korrekt einbinden, Skripte auf Consent-Ladung umstellen, Fonts lokal hosten, SSL-Konfiguration prüfen), die finale rechtliche Formulierung der Datenschutzerklärung sollte im Zweifel weiterhin von einer auf Datenschutzrecht spezialisierten Kanzlei oder einem externen Datenschutzbeauftragten abgesegnet werden. Ein technisches Audit ersetzt keine Rechtsberatung, macht sie aber deutlich effizienter, weil die Anwältin oder der Anwalt nicht erst selbst suchen muss, was überhaupt eingebunden ist.
Was nach dem Audit passiert und was es kostet
Nach dem Audit steht ein klarer Umsetzungsplan, meist unterteilt in „sofort beheben" (zum Beispiel vorzeitig ladende Tracking-Skripte, fehlendes SSL), „kurzfristig" (Datenschutzerklärung überarbeiten, AVV-Verträge einholen) und „mittelfristig" (grundsätzliche Überarbeitung des Cookie-Konzepts, Wechsel auf datenschutzfreundlichere Alternativen bei Analyse-Tools). Die konkreten Kosten hängen stark vom Umfang der Website ab, von einer einfachen Landingpage bis zu einem gewachsenen Shop mit vielen Drittanbieter-Integrationen. Als Orientierung für neue Projekte gilt bei uns: Eine neue Website inklusive sauberer Datenschutz-Grundausstattung ab 1.990 Euro, ein Shopify-Shop ab 1.490 Euro, ein Shopify-Plus-Projekt ab 3.990 Euro. Für bestehende Websites lässt sich der Aufwand eines Audits erst nach einer kurzen Sichtung seriös beziffern, weil er stark davon abhängt, wie viele Altlasten sich angesammelt haben.
Sinnvoll ist ein Audit übrigens nicht nur reaktiv, sondern auch vor größeren Schritten: vor einem Relaunch, vor der Einführung eines neuen CRM oder Newsletter-Tools, oder wenn ohnehin ein Website-Audit zu Performance und Sichtbarkeit ansteht, denn viele Datenschutzmaßnahmen wirken sich auch direkt auf Ladezeit und Nutzererlebnis aus, etwa wenn Skripte erst nach Einwilligung statt pauschal beim Seitenaufruf geladen werden. Wer ohnehin gerade an der technischen Auffindbarkeit seiner Seite arbeitet, sollte den Datenschutz-Check gleich mitlaufen lassen, denn eine SEO-Agentur, die Trust-Signale und technische Sauberkeit im Blick hat, stößt bei der Arbeit ohnehin regelmäßig auf genau diese Baustellen.
Häufige Fragen
Wie lange dauert ein DSGVO-Website-Audit?
Für eine überschaubare Website mit wenigen Unterseiten ist der technische Scan meist innerhalb weniger Tage abgeschlossen. Bei größeren Shops oder Websites mit vielen Drittanbieter-Tools kann die vollständige Prüfung inklusive Vertragssichtung ein bis zwei Wochen in Anspruch nehmen.
Ersetzt ein technisches Audit den Datenschutzbeauftragten?
Nein. Ein technisches Audit deckt auf, was auf der Website tatsächlich passiert, und liefert die Grundlage für die rechtliche Bewertung. Die finale Formulierung der Datenschutzerklärung und rechtliche Einzelfragen gehören weiterhin in die Hände eines Datenschutzbeauftragten oder einer spezialisierten Kanzlei.
Reicht ein Cookie-Banner allein für die DSGVO-Konformität?
Nein. Ein Banner ohne technische Umsetzung im Hintergrund, also ohne tatsächliche Blockade von Skripten vor Einwilligung, bringt rechtlich nichts. Entscheidend ist, dass Cookies und Tracking-Tools erst nach aktiver Zustimmung geladen werden.
Was passiert, wenn Google Fonts direkt von Google geladen werden?
Dabei wird die IP-Adresse der Besucherin oder des Besuchers ohne Einwilligung an Google übertragen, was in mehreren Gerichtsentscheidungen als Verstoß gewertet wurde und in der Praxis zu Abmahnwellen geführt hat. Die Lösung ist technisch einfach: Schriften lokal auf dem eigenen Server einbinden statt über eine externe Verbindung.
Wie oft sollte man ein DSGVO-Audit wiederholen?
Immer dann, wenn sich an der Website etwas Grundlegendes ändert, neue Tools, ein neuer Shop-Bereich, ein neues Newsletter-System, sowie zusätzlich als Routine etwa einmal jährlich, da sich sowohl die Rechtslage als auch die eingesetzten Drittanbieter-Dienste laufend weiterentwickeln.
Gilt das auch für kleine Websites ohne Onlineshop?
Ja. Sobald eine Website ein Kontaktformular, einen Newsletter, eingebettete Karten oder Videos oder ein Analyse-Tool nutzt, verarbeitet sie personenbezogene Daten und unterliegt den gleichen Grundsätzen wie ein großer Shop. Die Größe der Website ändert nichts an der rechtlichen Pflicht, nur am Umfang der zu prüfenden Punkte.
Kann ich mein Cookie-Consent-Tool einfach selbst konfigurieren?
Grundsätzlich ja, allerdings scheitert es in der Praxis oft daran, dass nicht jedes eingebundene Skript korrekt kategorisiert und tatsächlich blockiert wird. Ein Audit zeigt zuverlässig, ob die Konfiguration technisch das tut, was sie auf dem Papier verspricht.