DSGVO-konforme Website: Welche 10 Punkte wirklich geprüft werden müssen

Die 10 Prüfpunkte im Einzelnen

• Datenschutzerklärung vorhanden, aktuell und vollständig? Sie muss jede tatsächlich stattfindende Verarbeitung beschreiben — jeden eingebundenen Dienst, jeden Cookie, jede Datenübertragung —, von jeder Seite erreichbar sein und konkrete Angaben zu Rechtsgrundlagen, Speicherdauern und Betroffenenrechten enthalten.
• Impressum korrekt nach §5 DDG? Seit Februar 2024 gilt das Digitale-Dienste-Gesetz als Nachfolger des TMG. Pflichtangaben: vollständiger Name oder Firma, Anschrift, E-Mail-Adresse, bei juristischen Personen Vertretungsberechtigte und Handelsregisternummer — leicht auffindbar, maximal zwei Klicks von jeder Seite.
• Cookie-Consent-Tool korrekt konfiguriert? Nicht notwendige Cookies dürfen erst nach aktiver Einwilligung laden. Ablehnen muss mit einem Klick möglich sein, gleich prominent wie Akzeptieren, die Einwilligung protokolliert und jederzeit widerrufbar sein.
• Schriftarten lokal oder gar nicht? Werden Google Fonts eingesetzt, müssen sie lokal gehostet sein. Test: im Browser-Netzwerk-Tab prüfen, ob Anfragen an fonts.googleapis.com oder fonts.gstatic.com gehen.
• Analytics nur nach Einwilligung? Tracking-Skripte dürfen erst laden, nachdem der Nutzer aktiv zugestimmt hat — technisch bedeutet das: nicht im HTML-Quellcode, sondern über den Consent-Manager bedingt geladen.
• Externe Tools und Dienste in der Datenschutzerklärung aufgeführt? Jeder externe Dienst — eingebettete Videos, Social-Media-Buttons, Chatbots, externe Bildquellen, CDNs, Schriftarten — muss mit Zweck, Rechtsgrundlage und Speicherdauer beschrieben sein.
• Auftragsverarbeitungsvertrag mit allen Dienstleistern? Hosting, E-Mail-Marketing, Formular-Anbieter, CRM-Systeme, Analyse-Tools und Newsletter-Dienste sind Auftragsverarbeiter und brauchen einen entsprechenden Vertrag.
• Kontaktformular mit Datenschutzhinweis? Direkt am Formular, nicht nur in der allgemeinen Erklärung: welche Daten zu welchem Zweck, wie lange gespeichert, wo die vollständige Erklärung zu finden ist.
• SSL-Verschlüsselung aktiv? Die gesamte Website muss über HTTPS ausgeliefert werden, das Zertifikat gültig sein und HTTP konsequent auf HTTPS weiterleiten.
• Verzeichnis von Verarbeitungstätigkeiten vorhanden? Es dokumentiert alle Verarbeitungen personenbezogener Daten im Unternehmen, nicht nur auf der Website, und ist bei einer Behördenprüfung eines der ersten angeforderten Dokumente.

Priorisierung statt Aktionismus

Nicht alle zehn Punkte lassen sich gleichzeitig umsetzen. Sinnvoll ist eine Reihenfolge: zuerst die technisch einfachen, rechtlich kritischen Punkte — Schriftarten lokal einbinden, Cookie-Banner korrekt konfigurieren, SSL-Zertifikat prüfen. Das lässt sich in wenigen Stunden umsetzen und beseitigt die häufigsten Abmahnrisiken. Danach folgen Datenschutzerklärung, Formularhinweise und Auftragsverarbeitungsverträge — das braucht Recherche und teilweise Abstimmung mit Dienstleistern. Das Verzeichnis von Verarbeitungstätigkeiten kommt zuletzt, weil es den größten Aufwand verursacht, aber auch den größten Nutzen bei einer Behördenanfrage hat. Jede umgesetzte Maßnahme sollte dokumentiert werden — das ist im Fall einer Prüfung ein wichtiges Beweismittel.

Wiederholung statt Einmal-Check

Diese Prüfung muss mindestens einmal jährlich wiederholt werden — und nach jedem Wechsel oder Hinzufügen von Tools, Plugins oder Diensten. Websites sind keine statischen Gebilde: Jedes Plugin-Update kann neue Datenschutzfragen aufwerfen. Wer alle umgesetzten Maßnahmen dokumentiert, verschafft sich im Fall einer Abmahnung oder Behördenprüfung ein wichtiges Beweismittel für Compliance-Bereitschaft.