Datenschutz auf der Website: Prüfliste zum DSGVO-Jahrestag
Prüfen Sie mindestens einmal im Jahr fünf Punkte: welche Daten Ihre Website erhebt, welche externen Dienste sie lädt, was mit Formulardaten passiert, ob für jeden Dienstleister ein Auftragsverarbeitungsvertrag vorliegt und ob die Datenschutzerklärung noch zur Technik passt.
Der Grund für die jährliche Prüfung: Websites ändern sich schneller als ihre Datenschutzerklärung. Ein neues Plugin, ein eingebettetes Video oder ein Wechsel des Newsletter-Anbieters reichen, und die Erklärung beschreibt eine Technik, die es so nicht mehr gibt. Die DSGVO gilt seit dem 25. Mai 2018, der Jahrestag eignet sich als fester Termin für diese DSGVO-Checkliste.
Wie wir Sicherheit und Datenschutz in Projekten von Anfang an berücksichtigen, beschreiben wir auf unserer Seite zu Sicherheit und Compliance. Ob Ihre Website zusätzlich barrierefrei sein muss, ist eine eigene Pflicht, die der Beitrag BFSG: Welche Websites seit Juni 2025 barrierefrei sein müssen beschreibt.
Punkt 1
Welche Daten Ihre Website tatsächlich verarbeitet
Grundlage jeder Prüfung ist eine Liste dessen, was die Website wirklich tut, nicht dessen, was in der Datenschutzerklärung steht. Personenbezogene Daten fallen schon beim bloßen Aufruf an, denn der Webserver sieht die IP-Adresse jedes Besuchers.
So erstellen Sie die Bestandsaufnahme:
Öffnen Sie die wichtigsten Seiten im Browser mit geöffneten Entwicklerwerkzeugen und notieren Sie jede Domain, die im Netzwerk-Tab auftaucht.
Prüfen Sie Server-Logs: Was wird gespeichert, wie lange, und wer hat Zugriff?
Listen Sie alle Stellen auf, an denen Besucher selbst Daten eingeben: Kontakt, Newsletter, Bewerbung, Login, Kommentare.
Notieren Sie, welche Cookies und welche Einträge im lokalen Speicher des Browsers gesetzt werden und von wem.
Typische Funde im Netzwerk-Tab, die in keiner Datenschutzerklärung stehen:
fonts.googleapis.com und fonts.gstatic.com: Google Fonts, oft von einem Theme oder Plugin nachgeladen, obwohl die Schriften lokal liegen
www.youtube.com, i.ytimg.com und www.youtube-nocookie.com: eingebettete Videos und ihre Vorschaubilder
maps.googleapis.com: eine Karte auf der Kontaktseite
www.google.com/recaptcha und www.gstatic.com: ein Captcha im Kontaktformular
cdn.jsdelivr.net, unpkg.com oder cdnjs.cloudflare.com: Skript-Bibliotheken von einem CDN
www.googletagmanager.com und connect.facebook.net: Tracking, das ein früherer Dienstleister eingebaut hat
Gleichen Sie das Ergebnis mit der Datenschutzerklärung ab. Jeder Dienst, der dort fehlt, und jeder Eintrag, der dort steht, aber nicht mehr genutzt wird, ist ein Arbeitspunkt.
Datenschutzerklärung der Website aktuell halten
Die Datenschutzerklärung erfüllt die Informationspflichten nach Art. 13 DSGVO: wer verantwortlich ist, welche Daten zu welchem Zweck und auf welcher Rechtsgrundlage verarbeitet werden, an wen sie gehen, wie lange sie gespeichert werden und welche Rechte Besucher haben. Sie ist nur so gut wie ihr Abgleich mit der Technik. Praktisch ist, jede technische Änderung an der Website mit der Frage zu verbinden, ob die Erklärung angepasst werden muss, und das Datum der letzten Prüfung intern festzuhalten.
Auch Server-Logs gehören in diese Betrachtung. Webserver schreiben in der Standardeinstellung Zugriffsprotokolle, oft mit vollständiger IP-Adresse. Prüfen Sie, ob die Speicherdauer bekannt und begrenzt ist und ob eine Kürzung der IP-Adressen möglich ist.
Punkt 2
Externe Dienste, Schriftarten und Einbettungen
Jeder externe Dienst, den die Website beim Laden anfragt, erhält mindestens die IP-Adresse des Besuchers. Das gilt für Schriftarten, Kartendienste, Videos, Captchas, Chat-Widgets und Skripte von einem CDN.
Wie ernst das genommen wird, zeigt ein Urteil des Landgerichts München I vom 20. Januar 2022 (Az. 3 O 17493/20): Ein Websitebetreiber hatte Google Fonts dynamisch von Google-Servern geladen und damit die IP-Adresse eines Besuchers ohne dessen Einwilligung an Google übermittelt. Das Gericht sprach dem Besucher 100 Euro Schadensersatz zu.
Prüfpunkte für diesen Bereich:
Schriftarten: Lokal vom eigenen Server ausliefern statt von einem fremden Dienst laden.
Videos und Karten: Erst nach einem Klick laden (Zwei-Klick-Lösung) oder ein statisches Vorschaubild zeigen.
Skripte und Bibliotheken: Möglichst selbst hosten. Wo das nicht geht, den Anbieter in der Datenschutzerklärung nennen und die Rechtsgrundlage klären.
Drittlandübermittlung: Bei Anbietern außerhalb der EU prüfen, auf welcher Grundlage Daten übermittelt werden. Mehr dazu in unserem Beitrag EU-Hosting: Mehr als nur Schrems II.
Ob und wie Sie für einzelne Dienste eine Einwilligung einholen müssen, hängt auch vom Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) ab.
Punkt 3
Formulare und Speicherfristen
Formulare sind die Stelle, an der Ihre Website die meisten personenbezogenen Daten sammelt. Die DSGVO verlangt, dass Daten nur so lange gespeichert werden, wie es für den Zweck nötig ist (Art. 5 Abs. 1 lit. e DSGVO). Das Problem liegt selten im Formular selbst, sondern in den Kopien, die es erzeugt.
Prüfen Sie für jedes Formular:
Wohin gehen die Daten? Nur per E-Mail, zusätzlich in eine Datenbank, in ein CRM oder an ein Automatisierungswerkzeug?
Werden Formulareinträge im CMS gespeichert, und wann werden sie gelöscht?
Ist die Übertragung verschlüsselt, auch beim Versand der Benachrichtigungs-E-Mail?
Steht am Formular ein Hinweis auf die Datenschutzerklärung?
Gibt es eine dokumentierte Löschroutine, idealerweise automatisch?
Für die jährliche Prüfung reicht es, die Wege der Daten und die Löschung nachzuvollziehen. Ein häufiger Fund dabei: Das CMS speichert jede Formularanfrage zusätzlich zur E-Mail, und niemand hat je eine Löschfrist eingestellt. Nach einigen Jahren liegen dort Tausende Anfragen samt Telefonnummern.
Punkt 4
Auftragsverarbeitungsverträge mit Dienstleistern
Für jeden Dienstleister, der in Ihrem Auftrag personenbezogene Daten verarbeitet, brauchen Sie einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Bei einer Website sind das typischerweise:
Hosting-Anbieter und gegebenenfalls Backup-Dienst
Agentur oder Entwickler mit Zugriff auf Server oder Datenbank
Newsletter- und E-Mail-Versanddienste
Analyse- und Formulardienste
Externe Supportdienste mit Zugriff auf Kundendaten
Klären Sie bei Dienstleistern mit Serverzugriff auch, ob sie für ihre Arbeit tatsächlich echte Kundendaten brauchen. Für Entwicklung und Tests reichen in den meisten Fällen anonymisierte oder erfundene Testdaten. Das verringert das Risiko und den Umfang dessen, was der Vertrag abdecken muss.
Gleichen Sie die Liste aus Punkt 1 mit Ihren vorhandenen Verträgen ab. Fehlende Verträge lassen sich bei den meisten Anbietern online abschließen. Achten Sie auch auf die Liste der Unterauftragnehmer, die viele Anbieter veröffentlichen und gelegentlich ändern.
Punkt 5
Wann Sie einen Datenschutzbeauftragten fragen sollten
Einen Datenschutzbeauftragten müssen Unternehmen in Deutschland benennen, wenn sie in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigen (§ 38 Abs. 1 BDSG). Unabhängig von der Zahl gilt die Pflicht unter anderem, wenn eine Datenschutz-Folgenabschätzung nötig ist. Dazu kommen die Fälle aus Art. 37 DSGVO.
Diese Schwelle soll entfallen. Bund und Länder haben am 04.12.2025 im Rahmen der Föderalen Modernisierungsagenda vereinbart, dass der Bund bis zum 31.12.2026 eine Aufhebung von § 38 Abs. 1 BDSG einbringt. Dann gälte für Unternehmen nur noch Art. 37 DSGVO, also eine Pflicht nur, wenn die Kerntätigkeit in umfangreicher, regelmäßiger Überwachung von Personen oder in umfangreicher Verarbeitung besonders schutzwürdiger Daten besteht. Bis zu einer Gesetzesänderung gilt die Grenze von 20 Personen weiter.
Aktualisierung vom 02.11.2026: § 38 Abs. 1 BDSG gilt unverändert. Einen veröffentlichten Gesetzentwurf zur Aufhebung haben wir bei der Prüfung nicht gefunden.
Auch ohne Pflicht ist eine fachkundige Person sinnvoll, wenn:
die Website Gesundheits-, Bewerber- oder andere besonders schutzwürdige Daten verarbeitet,
Daten in ein Land außerhalb der EU übermittelt werden,
neue Werkzeuge mit Tracking- oder Profilbildung eingeführt werden sollen,
eine Anfrage oder Beschwerde eines Betroffenen oder einer Aufsichtsbehörde eingeht.
Ein fester Termin im Jahr
Der Jahrestag der DSGVO am 25. Mai eignet sich als fester Prüftermin. Halten Sie das Ergebnis jeder Prüfung kurz schriftlich fest: Datum, geprüfte Punkte, gefundene Abweichungen, erledigte Maßnahmen. Damit können Sie bei einer Anfrage der Aufsichtsbehörde zeigen, dass Sie Ihrer Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO nachkommen.
Die technische Seite der Prüfung kann Ihr Entwicklungs- oder Hosting-Partner übernehmen.
Kurz beantwortet
Häufige Fragen
-
Wenn Sie die Schriften lokal von Ihrem eigenen Server ausliefern, fließen keine Daten an Google, und die Frage stellt sich nicht. Beim Nachladen von Google-Servern wird die IP-Adresse übermittelt; das Landgericht München I hat das 2022 ohne Einwilligung als rechtswidrig bewertet. Lokales Einbinden ist deshalb der übliche und technisch unkomplizierte Weg.
-
Die DSGVO nennt keine feste Frist, sondern verlangt Löschung, sobald der Zweck erfüllt ist. Eine erledigte Anfrage ohne weiteren Kontakt sollte daher nach einer festgelegten, kurzen Frist gelöscht werden. Wird aus der Anfrage ein Auftrag, gelten für geschäftliche Korrespondenz die handels- und steuerrechtlichen Aufbewahrungsfristen. Die konkrete Frist legen Sie am besten mit Ihrem Datenschutzbeauftragten fest.
Technische Datenschutzprüfung für Ihre Website
Wir erstellen die Liste der Datenflüsse Ihrer Website, finden externe Einbindungen und schlagen technische Lösungen vor. Die rechtliche Bewertung bleibt bei Ihrem Datenschutzbeauftragten.
Nachweise
Quellen und Stand
Geprüft am 02.11.2026: DSGVO, § 38 BDSG, § 25 TDDDG und der Stand der angekündigten BDSG-Änderung. Dieser Beitrag ist eine technische Prüfliste und keine Rechtsberatung. Rechtliche Fragen klären Sie mit Ihrem Datenschutzbeauftragten oder einem Anwalt.
Artikel teilen