Ob eine Website die DSGVO einhält, kann kein Werkzeug der Welt von außen feststellen. Aber sechs der zehn wichtigsten Punkte lassen sich messen – und bei genau denen passieren die meisten Fehler. Dieser Check prüft sie mit einem echten Browser und sagt dir zu jedem Punkt, was zu tun ist.
Gleich geht es los
Der Check folgt der DSGVO-Checkliste für Websites aus der Wissensdatenbank. Sechs ihrer zehn Punkte hinterlassen Spuren, die ein Browser sehen kann. Die anderen vier sind Verträge, Fristen und Abläufe – die stehen in keinem Quelltext. Zu jedem dieser vier gibt es eine eigene Seite, die erklärt, was verlangt ist und wie du es erledigst.
Läuft jede Seite über HTTPS, leitet die unverschlüsselte Adresse weiter, und werden nirgends Dateien unverschlüsselt nachgeladen?
Kommen Schriften, Symbole und Bibliotheken vom eigenen Server – oder geht bei jedem Aufruf die IP-Adresse deiner Besucher an Dritte?
Startet Statistik, Werbung oder ein eingebettetes Video, bevor jemand zugestimmt hat? Gemessen wird zweimal: ohne Zustimmung und danach.
Welche Felder sind Pflicht, wohin gehen die Eingaben, und steht am Formular ein Hinweis auf die Datenschutzerklärung? Auch Formulare hinter Schaltflächen wie „Termin vereinbaren“ werden geöffnet.
Welche eingebundenen Anbieter haben einen US-Bezug? Das ist derzeit zulässig, muss aber begründet und benannt sein.
Ist sie von jeder Seite erreichbar – und nennt sie die Dienste, die tatsächlich gemessen wurden? Dieser Abgleich ist der Kern des Checks.
Gibt es mit Hoster, Newsletter-Dienst und Statistik-Anbieter jeweils einen Vertrag?
Ausführlich erklärt →Ist festgelegt, wann Protokolle und Anfragen gelöscht werden – und passiert es auch?
Ausführlich erklärt →Existiert das Verzeichnis, und kommt die Website darin vor?
Ausführlich erklärt →Ist geregelt, wer Anfragen von Betroffenen beantwortet – innerhalb eines Monats?
Ausführlich erklärt →Die meisten Dienste stehen gar nicht im Quelltext einer Website. Ein Tag Manager lädt Statistik und Werbepixel erst nach, wenn die Seite im Browser läuft. Wer nur das ausgelieferte HTML liest, sieht davon nichts – und hält die Seite für sauber.
Dieser Check lädt deine Seiten deshalb in einem echten Browser und schreibt mit, welche Server tatsächlich kontaktiert werden. Erst danach liest er deine Datenschutzerklärung und sucht darin nach jedem gemessenen Dienst. Das Ergebnis ist eine konkrete Liste: Das läuft auf deiner Website, und davon steht in deiner Erklärung nichts.
Umgekehrt fällt auch auf, was in der Erklärung steht, aber nirgends mehr läuft – Absätze über Werkzeuge, die längst entfernt wurden. Das ist kein Verstoß, aber ein Zeichen dafür, dass der Text nicht mehr zur Website passt.
Der Abgleich ist eine Textsuche und entsprechend vorsichtig formuliert: Was nicht gefunden wurde, heißt im Befund „bitte prüfen" und nicht „fehlt". Steht ein Dienst unter anderem Namen im Text, ist alles in Ordnung.
Ehrlichkeit gehört dazu, sonst ist ein Werkzeug wertlos.
Die Hintergründe zu allen zehn Punkten stehen im Artikel DSGVO-Checkliste für Websites. Wenn es dir nur um die Bannerfrage geht, liefert der Cookie-Banner-Check zu jedem Dienst die Belege – die konkrete Anfrage, das konkrete Cookie. Und ob deine E-Mails sauber abgesichert sind, zeigt der E-Mail-Check.
Schriften lokal einbinden, Dienste sauber blockieren, Formulare entschlacken, die Datenschutzerklärung an die Website anpassen – das ist überschaubare Arbeit mit klarem Ergebnis. Schick mir die Adresse, dann sage ich dir, was zu tun ist.
Befund besprechen → Termin vereinbaren → oder Kontaktdaten ansehen