Die eigene Website ist für die meisten Unternehmen der erste Kontaktpunkt mit Kunden — und gleichzeitig die am leichtesten überprüfbare Datenschutz-Baustelle. Aufsichtsbehörden, Wettbewerber und spezialisierte Kanzleien können jede öffentlich erreichbare Seite mit wenigen Klicks analysieren. Wer nicht weiß, welche Dienste auf der eigenen Seite mitladen, läuft Gefahr, gegen die DSGVO und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) zu verstoßen. Ein DSGVO-Website-Check macht diese Risiken in Sekunden sichtbar. Dieser Beitrag erklärt, was ein solcher Check technisch prüft und wie Sie die Ergebnisse einordnen.

Was ein DSGVO-Website-Check ist

Ein DSGVO-Website-Check ist ein automatisiertes Werkzeug, das eine Website so lädt wie ein Besucher und dabei den Datenverkehr im Hintergrund mitliest. Der Scanner protokolliert, welche Cookies gesetzt werden, welche externen Dienste eingebunden sind, ob die Verbindung verschlüsselt läuft und ob Pflichtangaben wie Impressum und Datenschutzerklärung vorhanden sind. Das Ergebnis ist eine Momentaufnahme der Datenschutz-Konformität — kein Rechtsgutachten, aber ein verlässlicher Hinweisgeber auf die offensichtlichen Lücken.

Der große Vorteil: Was bei einer manuellen Prüfung leicht übersehen wird, fällt dem Scanner sofort auf. Viele Tracking-Dienste laden im Hintergrund, ohne dass der Betreiber es bewusst eingebaut hat — etwa über Plugins, eingebettete Videos oder Schriftarten von externen Servern.

Cookies und Tracking: der häufigste Fehler

Der mit Abstand häufigste Befund betrifft Cookies und Tracking. Nach § 25 TDDDG dürfen nicht technisch notwendige Cookies und vergleichbare Technologien erst gesetzt werden, nachdem der Nutzer aktiv eingewilligt hat. Genau hier scheitern viele Seiten: Das Cookie-Banner ist zwar sichtbar, im Hintergrund laden Analyse- und Marketing-Skripte aber schon, bevor der Besucher überhaupt geklickt hat. Ein Scanner deckt das auf, indem er prüft, welche Cookies bereits beim ersten Seitenaufruf — ohne jede Zustimmung — gesetzt werden.

Typische Kandidaten sind Reichweitenanalyse, Karten-Einbindungen, Schriftarten von externen Servern, Werbe-Pixel und eingebettete Videos. Jeder dieser Dienste kann personenbezogene Daten wie die IP-Adresse an Dritte übertragen, oft in Länder ohne angemessenes Datenschutzniveau. Der Check listet diese Dienste auf und ordnet sie ein — so erkennen Sie auf einen Blick, welche Einbindungen eine Einwilligung brauchen oder besser durch datensparsame Alternativen ersetzt werden.

SSL, Impressum und Datenschutzerklärung

Neben Cookies prüft ein guter Check die technische und formale Pflicht-Ebene. Eine TLS-Verschlüsselung (erkennbar am „https” und dem Schloss-Symbol) ist heute Standard und faktisch verpflichtend, sobald über die Seite personenbezogene Daten übertragen werden — etwa über ein Kontaktformular. Der Scanner prüft, ob das Zertifikat gültig, aktuell und für die Domain korrekt ausgestellt ist.

Auf der formalen Seite gehören Impressum und Datenschutzerklärung zu den Pflichtangaben. Das Impressum ist nach dem Digitale-Dienste-Gesetz (DDG) vorgeschrieben, die Datenschutzerklärung ergibt sich aus den Informationspflichten der Art. 13 und 14 DSGVO. Ein Check verifiziert, ob beide Dokumente vorhanden, leicht erreichbar und von jeder Unterseite aus verlinkt sind. Fehlende oder versteckte Pflichtangaben sind ein klassischer Abmahngrund.

Was ein Scanner prüft — und was nicht

Ein automatisierter Check ist schnell und objektiv, hat aber Grenzen. Diese Übersicht zeigt, was er zuverlässig leistet und wo der menschliche Blick ergänzen muss:

Prüfpunkt	Was der Scanner erkennt	Bewertung nötig durch Mensch?
Cookies vor Consent	Welche Cookies vor der Einwilligung gesetzt werden	Selten — Befund ist eindeutig
Externe Dienste	Eingebundene Drittanbieter und deren Datenflüsse	Teilweise — Einordnung der Rechtsgrundlage
SSL/TLS	Verschlüsselung, Zertifikatsgültigkeit	Nein — rein technisch
Impressum/Datenschutz	Vorhandensein und Verlinkung	Ja — inhaltliche Vollständigkeit prüfen
Inhaltliche Korrektheit	Erkennt das Vorhandensein, nicht die juristische Qualität	Ja — gehört in fachkundige Hände

Für eine erste, ehrliche Bestandsaufnahme ist ein Scanner ideal. Wer schnell wissen will, wo seine Seite steht, nutzt am besten Hugo Check — DSGVO-Scanner und erhält in unter einer Minute eine strukturierte Auswertung der wichtigsten Prüfpunkte. Die anschließende rechtliche Bewertung und das Schließen der Lücken gehören dann in fachkundige Hände.

Auch die Server-Seite gehört zum Datenschutz

Ein Website-Check betrachtet vor allem das, was im Browser des Besuchers passiert. Datenschutz endet aber nicht im Frontend. Auf der Infrastruktur-Ebene — ob klassischer Webserver oder virtualisierte Umgebung — fallen weitere personenbezogene Daten an, allen voran in den Server-Logfiles. Jeder Seitenaufruf hinterlässt dort typischerweise die IP-Adresse des Besuchers, Zeitstempel und aufgerufene Ressourcen. Dynamische IP-Adressen gelten nach gefestigter Rechtsprechung als personenbezogene Daten, ihre Speicherung braucht also eine Rechtsgrundlage und eine angemessene Löschfrist.

Wer seine Server- oder Virtualisierungslandschaft selbst betreibt, sollte deshalb prüfen, wie lange Logfiles aufbewahrt werden. Eine pauschal monatelange Speicherung ohne sachlichen Grund ist datenschutzrechtlich heikel; für reine Betriebs- und Sicherheitszwecke wird häufig eine kurze Frist im Bereich weniger Tage als angemessen angesehen. Sicherheitsrelevante Ereignisse dürfen länger vorgehalten werden, sollten aber begründet und dokumentiert sein. Eine saubere Konfiguration auf der Server-Ebene ergänzt den Frontend-Check zu einem Gesamtbild — und genau dieses Zusammenspiel aus Anwendung und Infrastruktur entscheidet über echte Konformität.

Die typischen Befunde und ihre Lösung

In der Praxis tauchen immer wieder dieselben Schwachstellen auf. Die gute Nachricht: Die meisten lassen sich mit überschaubarem Aufwand beheben.

• Tracking vor Consent: Skripte erst nach Einwilligung laden, idealerweise über ein sauber konfiguriertes Consent-Management.
• Externe Schriftarten: Schriften lokal auf dem eigenen Server einbinden, statt sie von Drittservern zu laden.
• Veraltetes Zertifikat: TLS-Zertifikat automatisch erneuern lassen, damit keine Lücke entsteht.
• Unvollständige Datenschutzerklärung: Alle eingesetzten Dienste benennen und die Rechtsgrundlage transparent machen.
• Fehlende Verlinkung: Impressum und Datenschutz von jeder Seite aus erreichbar machen, üblicherweise im Footer.

FAQ

Fazit

Ein DSGVO-Website-Check ist der schnellste Weg, die größten Datenschutz-Risiken einer Website sichtbar zu machen. In unter einer Minute deckt er auf, welche Cookies und Tracking-Dienste ohne Einwilligung laden, ob die Verbindung verschlüsselt ist und ob die Pflichtangaben stimmen. Für Unternehmen ist das ein idealer Einstieg: erst wissen, was tatsächlich passiert, dann gezielt nachbessern. Wer die Befunde ernst nimmt und die Lücken systematisch schließt, reduziert das Abmahnrisiko deutlich — und behandelt die Daten seiner Besucher so, wie es DSGVO und TDDDG verlangen.