DSGVO-Website-Checkliste: Die technischen Baustellen im Überblick

Ist meine Website DSGVO-konform?

Technisch lässt sich das nicht abschließend beantworten — dafür braucht es eine rechtliche Bewertung durch Anwalt oder Datenschutzbeauftragten. Was sich aber technisch prüfen lässt: ob typische Fehlerquellen vorliegen, etwa Tracking vor Einwilligung, extern geladene Google Fonts oder US-Einbettungen ohne Klick-Schutz. Diese Checkliste deckt genau diese technische Ebene ab, nicht die juristische.

Die häufigsten technischen Baustellen

Aus unseren Website-Checks kristallisieren sich immer wieder dieselben Punkte heraus. Keiner davon ersetzt eine Rechtsberatung — aber jeder davon lässt sich technisch klar feststellen und beheben.

1. Consent-Banner vor dem Laden von Tracking

Der klassische Fehler: Das Cookie-Banner erscheint, aber Google Analytics, Facebook-Pixel oder andere Tracking-Skripte laden bereits im Hintergrund — noch bevor jemand eine Wahl getroffen hat. Technisch korrekt ist: Tracking-Skripte dürfen erst nach einer aktiven Einwilligung nachgeladen werden, nicht vorher und nicht per „impliziter“ Zustimmung durch Weiterscrollen.

2. Google Fonts selbst hosten statt von Google laden

Werden Schriftarten direkt von `fonts.googleapis.com` eingebunden, überträgt jeder Seitenaufruf die IP-Adresse des Besuchers an Google-Server in den USA — ohne dass eine Einwilligung eingeholt wird. Die technische Lösung ist einfach: Fonts als Dateien selbst hosten (self-hosted WOFF2) statt extern einzubinden. Kein Drittanbieter-Kontakt, kein Problem.

3. US-Einbettungen erst nach Klick laden

Google Maps, YouTube-Videos, Analytics-Snippets, Social-Media-Widgets: Alle laden standardmäßig sofort und übertragen Daten in die USA. Technisch sauber ist ein Zwei-Klick-Mechanismus: Erst ein Platzhalter mit Vorschaubild, die eigentliche Einbindung startet erst nach aktivem Klick des Besuchers — oder nach erteilter Einwilligung über den Consent-Manager.

4. Server- und CDN-Standort

Wo liegen die Daten wirklich — bei einem Hoster in der EU, oder bei einem US-Anbieter, dessen Server-Standort und Datentransfer-Mechanismen unklar sind? Das lässt sich technisch nachvollziehen (Hosting, CDN, E-Mail-Versand, Formular-Backend) und ist eine wichtige Grundlage für die rechtliche Bewertung durch Ihren Datenschutzbeauftragten.

5. TLS/HTTPS lückenlos

Läuft die gesamte Seite über HTTPS, auch alle eingebundenen Ressourcen (Bilder, Skripte, Schriften)? Gemischter Inhalt (HTTP-Ressourcen auf einer HTTPS-Seite) ist ein technischer Mangel, der schnell zu finden und zu beheben ist.

6. Datenschutzerklärung vorhanden, erreichbar und aktuell

Technisch prüfbar ist: Gibt es eine Datenschutzerklärung, ist sie von jeder Seite aus erreichbar, und deckt sie die tatsächlich eingesetzten Dienste ab — oder listet sie noch Tools, die längst ausgetauscht wurden? Der Inhalt und die rechtliche Vollständigkeit der Erklärung selbst gehört wieder in die Hände von Anwalt oder Datenschutzbeauftragtem.

7. Formulare: Verschlüsselung, Datensparsamkeit, Einwilligung

Kontakt- und Bewerbungsformulare sind ein Klassiker unter den Fundstellen: Werden nur die Felder abgefragt, die wirklich gebraucht werden? Ist eine Einwilligungs-Checkbox vorhanden, die nicht vorausgewählt ist? Läuft die Übertragung verschlüsselt? Landen die Daten bei einem Formular-Dienstleister außerhalb der EU?

8. Cookie-Laufzeiten technisch angemessen

Speichern Cookies länger, als für ihren Zweck nötig ist — etwa ein Tracking-Cookie mit zwei Jahren Laufzeit statt weniger Monate? Das lässt sich technisch auslesen und ist ein häufiger Hinweis darauf, dass Standard-Einstellungen von Tools nie angepasst wurden.

9. Auftragsverarbeitung mit eingesetzten Dienstleistern

Für jeden Dienst, der personenbezogene Daten verarbeitet (Hoster, Mail-Versand, Analytics, Formular-Tool, CDN), sollte technisch dokumentiert sein, welcher Dienst das ist und wo er sitzt. Ob und mit wem ein Auftragsverarbeitungsvertrag (AVV) tatsächlich vorliegt, ist wiederum eine organisatorisch-rechtliche Frage, keine technische.

Was ein technischer Check leisten kann — und was nicht

Ein technischer DSGVO-Website-Check zeigt zuverlässig, ob eine Website eine der oben genannten Baustellen hat: Tracking vor Consent, externe Google Fonts, ungeschützte Drittanbieter-Einbindungen, unsichere Formulare. Was er nicht leisten kann und nicht leisten soll: eine rechtliche Aussage darüber, ob Ihre Website „DSGVO-konform“ im juristischen Sinne ist. Das ist und bleibt die Aufgabe von Anwalt oder Datenschutzbeauftragtem — der technische Befund ist dafür eine gute Arbeitsgrundlage, aber kein Ersatz.