Datenschutz auf der Website ist für viele Betreiber ein unangenehmes Thema: unübersichtlich, voller Fachbegriffe und mit der ständigen Sorge vor Abmahnungen. Dabei lässt sich ein großer Teil der Risiken mit einem systematischen Check selbst erkennen. Die meisten Probleme entstehen nicht durch böse Absicht, sondern durch eingebundene Dienste, die im Hintergrund Daten weitergeben, ohne dass es jemandem bewusst ist.
Diese Checkliste zeigt die wichtigsten Prüfpunkte. Wir sind eine Agentur, keine Kanzlei: Sie ersetzt keine Rechtsberatung, hilft Ihnen aber, die richtigen Fragen zu stellen – an Ihren Dienstleister oder an eine Fachperson.
Schritt 1: Die Pflichtseiten
- Datenschutzerklärung vorhanden? Von jeder Seite aus mit einem Klick erreichbar, meist im Footer, klar benannt.
- Passt sie zur Website? Die häufigste Schwachstelle: Die Datenschutzerklärung stammt aus einem Generator von vor Jahren und beschreibt Dienste, die längst nicht mehr eingebunden sind – oder lässt neue weg.
- Impressum vollständig? Kein DSGVO-Thema im engeren Sinn, aber genauso Pflicht. Was hineingehört, zeigt der Ratgeber Impressum auf der Website.
Schritt 2: Verschlüsselung
- Läuft die Website über HTTPS? In der Adresszeile steht ein Schloss-Symbol, die Adresse beginnt mit https://. Ohne Verschlüsselung dürfen Sie keine Formulare mit personenbezogenen Daten betreiben.
- Werden alle Varianten weitergeleitet? Auch der Aufruf ohne „www“ oder mit „http://“ sollte auf die verschlüsselte Adresse führen.
Schritt 3: Cookies und Einwilligung
- Welche Cookies setzt Ihre Website? In Chrome oder Firefox lassen sich die gesetzten Cookies über die Entwicklertools (Reiter „Anwendung“ bzw. „Web-Speicher“) einsehen. Rufen Sie die Seite dafür in einem privaten Fenster auf.
- Werden nicht notwendige Cookies erst nach Einwilligung gesetzt? Statistik, Marketing und Tracking dürfen erst laden, wenn Besucher aktiv zugestimmt haben – nicht schon beim ersten Seitenaufruf.
- Ist Ablehnen genauso einfach wie Zustimmen? Ein Banner mit großem „Alle akzeptieren“ und verstecktem „Ablehnen“ ist problematisch.
Ob Sie überhaupt einen Banner brauchen, klärt der Ratgeber Ist ein Cookie-Banner Pflicht?. Oft ist die beste Lösung, auf die Cookies ganz zu verzichten.
Schritt 4: Eingebundene Dienste von Drittanbietern
Hier liegen die meisten Stolperfallen. Jeder externe Dienst, der beim Seitenaufruf geladen wird, erhält mindestens die IP-Adresse des Besuchers.
So prüfen Sie es: Öffnen Sie die Entwicklertools Ihres Browsers, Reiter „Netzwerk“, und laden Sie die Seite neu. Jede Domain, die nicht Ihre eigene ist, ist ein Drittanbieter.
Typische Kandidaten:
- Google Fonts: Schriften, die direkt von Google-Servern geladen werden. Das Landgericht München hat 2022 einem Besucher deswegen Schadensersatz zugesprochen. Die Lösung ist einfach: Schriften lokal auf dem eigenen Server einbinden.
- YouTube-Videos und Google Maps: Laden beim Seitenaufruf Daten von Google. Besser: erst nach Klick laden (Zwei-Klick-Lösung) oder ein Vorschaubild mit Link verwenden.
- Statistik-Dienste: Google Analytics braucht in der Regel eine Einwilligung. Datensparsame, cookielose Alternativen stellt der Ratgeber Google-Analytics-Alternativen vor.
- Social-Media-Buttons und eingebettete Beiträge: Laden oft Skripte der Plattformen. Einfache Links ohne Skript sind unproblematisch.
- Chat-Widgets, Buchungstools, Bewertungs-Siegel: Prüfen, welche Daten sie übertragen und ob sie in der Datenschutzerklärung stehen.
Schritt 5: Formulare
- Datensparsamkeit: Fragt das Kontaktformular nur ab, was Sie wirklich brauchen? Name, E-Mail und Nachricht reichen meist. Pflichtfelder für Telefonnummer oder Anschrift sind oft unnötig.
- Hinweis auf den Datenschutz: Ein kurzer Hinweis mit Link zur Datenschutzerklärung direkt am Formular.
- Wohin gehen die Daten? Wird die Nachricht verschlüsselt übertragen und landet sie bei Ihnen – oder zusätzlich bei einem Formular-Dienstleister?
- Newsletter: Anmeldung nur mit Bestätigungs-E-Mail (Double-Opt-in), Abmeldung jederzeit möglich.
Schritt 6: Hosting und Dienstleister
- Auftragsverarbeitungsvertrag (AVV): Mit Ihrem Hoster und allen Dienstleistern, die in Ihrem Auftrag personenbezogene Daten verarbeiten, brauchen Sie einen solchen Vertrag. Seriöse Anbieter stellen ihn im Kundenkonto bereit.
- Serverstandort: Hosting in der EU vereinfacht vieles. Bei Anbietern außerhalb der EU müssen Datenübermittlungen rechtlich abgesichert und erklärt sein.
- Server-Logs: Wie lange speichert Ihr Hoster Zugriffsprotokolle mit IP-Adressen? Steht das in der Datenschutzerklärung?
Schritt 7: Sicherheit und Pflege
- Ist die Software aktuell? Veraltete Systeme und Plugins sind ein Datenschutzrisiko, weil Daten über Sicherheitslücken abfließen können. Mehr dazu im Ratgeber Website-Wartung.
- Wer hat Zugang? Admin-Zugänge ehemaliger Mitarbeiter oder Dienstleister entfernen, starke Passwörter verwenden.
Die Checkliste in Kurzform
| Bereich | Prüfpunkt |
|---|---|
| Pflichtseiten | Datenschutzerklärung aktuell und erreichbar, Impressum vollständig |
| Verschlüsselung | HTTPS auf allen Seiten |
| Cookies | Nur notwendige ohne Einwilligung, Ablehnen so einfach wie Zustimmen |
| Drittanbieter | Schriften lokal, Videos und Karten erst nach Klick, Tracking nur mit Einwilligung |
| Formulare | Nur nötige Felder, Datenschutzhinweis, Double-Opt-in beim Newsletter |
| Hosting | AVV abgeschlossen, Serverstandort bekannt, Log-Speicherung beschrieben |
| Sicherheit | Software aktuell, Zugänge aufgeräumt |
Häufige Fragen
Gibt es einen kostenlosen DSGVO-Check für Websites?
Es gibt Online-Scanner, die externe Verbindungen und Cookies auflisten. Sie sind ein guter erster Überblick, erkennen aber nicht alles und können nicht beurteilen, ob Ihre Datenschutzerklärung zu Ihrer Website passt. Der manuelle Blick in die Entwicklertools ergänzt sie gut.
Muss ich eine Website ohne Formular und ohne Tracking überhaupt prüfen?
Ja, wenn auch mit wenig Aufwand. Auch ohne Formular verarbeitet jeder Webserver IP-Adressen, und eingebundene Schriften oder Karten können Daten an Dritte übertragen. Eine Datenschutzerklärung brauchen Sie in jedem Fall.
Wie oft sollte ich meine Website prüfen?
Nach jeder Änderung, bei der ein neuer Dienst eingebunden wird, und ansonsten etwa einmal im Jahr.
Fazit: Weniger Fremddienste, weniger Risiko
Der wirksamste Datenschutz ist eine Website, die gar nicht erst unnötig Daten weitergibt: Schriften lokal, Videos auf Klick, Statistik ohne Cookies. Was gar nicht passiert, muss auch nicht erklärt, eingewilligt oder verteidigt werden.
Bei mattschach bauen wir datenschutzkonforme Websites und Websites ohne Cookies – mit genau so viel Technik wie nötig. Schreiben Sie uns, wenn wir uns Ihre Website ansehen sollen.