{"id":5748,"date":"2026-11-11T10:06:32","date_gmt":"2026-11-11T09:06:32","guid":{"rendered":"https:\/\/wwwschutz.de\/blog\/?p=5748"},"modified":"2026-10-23T16:11:37","modified_gmt":"2026-10-23T14:11:37","slug":"dsgvo-fehler-unternehmenswebsite","status":"publish","type":"post","link":"https:\/\/wwwschutz.de\/blog\/dsgvo-fehler-unternehmenswebsite\/","title":{"rendered":"DSGVO-Fehler auf Unternehmenswebsites: Die 7 h\u00e4ufigsten"},"content":{"rendered":"\n

Websites wachsen \u00fcber Jahre, die Datenschutzerkl\u00e4rung bleibt oft stehen. Der Beitrag stellt sieben DSGVO-Fehler vor, die auf Unternehmenswebsites h\u00e4ufig vorkommen, und nennt zu jedem, woran er sich erkennen l\u00e4sst und wie er sich beheben l\u00e4sst. Am Ende steht ein Kurzcheck f\u00fcr die eigene Seite.<\/em><\/p>\n\n\n\n

Einleitung: Wie aus einer sauberen Seite eine problematische wird<\/h2>\n\n\n\n

Zum Start ist eine Unternehmenswebsite meist in Ordnung: Eine Agentur oder ein Webverantwortlicher hat sie gebaut, eine Datenschutzerkl\u00e4rung wurde eingef\u00fcgt, ein Banner eingerichtet. Danach beginnt der Alltag. Ein Plugin kommt dazu, ein Video wird eingebettet, die Karte der Anfahrt wird getauscht, ein Newsletter-Dienst wechselt. Jede dieser \u00c4nderungen kann Daten an neue Empf\u00e4nger schicken. Die Datenschutzerkl\u00e4rung wird dagegen nur selten angepasst.<\/p>\n\n\n\n

Genau dort entstehen die meisten Datenschutzm\u00e4ngel. Sie sind selten b\u00f6se Absicht. Es sind Reste fr\u00fcherer Entscheidungen, die niemand mehr auf dem Schirm hat. Der Beitrag nennt sieben solcher DSGVO-Fehler auf Unternehmenswebsites. Die Auswahl ist eine redaktionelle Zusammenstellung aus der Praxis und keine statistisch belegte Rangfolge. Deshalb stehen hier bewusst keine Prozentangaben zur H\u00e4ufigkeit.<\/p>\n\n\n\n

Dargestellt wird, was Aufsichtsbeh\u00f6rden und Gerichte bislang vertreten. Einige Rechtsfragen sind ungekl\u00e4rt und werden als solche ausgewiesen.<\/p>\n\n\n\n\n

\"\u00dcbersicht
Die sieben Fehler im \u00dcberblick.<\/figcaption><\/figure>\n\n\n\n\n

Fehler 1: Eine Datenschutzerkl\u00e4rung, die nicht zur Seite passt<\/h2>\n\n\n\n

Ein typischer Befund ist eine Datenschutzerkl\u00e4rung, die zwar vorhanden ist, aber nicht beschreibt, was die Seite tats\u00e4chlich tut. Typische Varianten: Sie fehlt ganz, sie ist veraltet, sie stammt aus einer allgemeinen Vorlage, sie nennt Dienste, die l\u00e4ngst abgeschaltet wurden, und verschweigt daf\u00fcr solche, die aktuell laufen. Solche Fehler in der Datenschutzerkl\u00e4rung fallen niemandem auf, bis jemand Erkl\u00e4rung und Technik nebeneinanderlegt.<\/p>\n\n\n\n

Warum das ein Problem ist: Wer personenbezogene Daten erhebt, muss die betroffenen Personen dar\u00fcber informieren. Artikel 13<\/a> nennt daf\u00fcr unter anderem Zweck, Rechtsgrundlage, Empf\u00e4nger, Speicherdauer und Betroffenenrechte. Nach Artikel 12<\/a> muss das in pr\u00e4ziser, verst\u00e4ndlicher und leicht zug\u00e4nglicher Form geschehen. Eine Erkl\u00e4rung, die Dienste beschreibt, die gar nicht im Einsatz sind, erf\u00fcllt das ebenso wenig wie eine, die genutzte Dienste ausl\u00e4sst.<\/p>\n\n\n

\n
\n

Muss jede Unternehmenswebsite eine Datenschutzerkl\u00e4rung haben?<\/h4>\n
\n
Ja, sobald die Seite personenbezogene Daten verarbeitet, und das ist praktisch immer der Fall. Schon beim Aufruf fallen IP-Adressen in Logfiles an, dazu kommen Kontaktformulare, Newsletter oder Analysewerkzeuge. Art. 13 DSGVO verlangt eine verst\u00e4ndliche, leicht zug\u00e4ngliche Information zu Zweck, Rechtsgrundlage, Speicherdauer und Betroffenenrechten. Eine Vorlage gen\u00fcgt nur, wenn sie zur tats\u00e4chlich eingesetzten Technik passt.<\/div>\n <\/div>\n <\/div>\n\n <\/div>\n \n\n\n\n

Dass IP-Adressen als personenbezogene Daten gelten, folgt aus der Begriffsbestimmung in Artikel 4<\/a> und der Rechtsprechung des Europ\u00e4ischen Gerichtshofs. Dieser hat im Urteil Breyer (C-582\/14)<\/a> entschieden, dass auch dynamische IP-Adressen f\u00fcr den Betreiber einer Website personenbezogen sein k\u00f6nnen, wenn rechtliche Mittel bestehen, an die Identit\u00e4t des Nutzers zu gelangen. Damit ist eine Seite ohne jede Datenverarbeitung praktisch nicht denkbar. Eine einfache statische Visitenkarte im Netz verarbeitet beim Aufruf bereits Daten.<\/p>\n\n\n\n

Woran sich der Fehler erkennen l\u00e4sst: Die in der Erkl\u00e4rung genannten Dienste werden mit den tats\u00e4chlich geladenen Diensten abgeglichen. Fehlt ein geladener Dienst in der Erkl\u00e4rung oder steht ein nicht mehr genutzter Dienst noch drin, besteht Handlungsbedarf. Ebenso auff\u00e4llig sind Platzhalter wie \u201e[Firmenname einf\u00fcgen]\u201c, ein Stand von vor vielen Jahren oder Hinweise auf Rechtsgrundlagen, die zur Seite nicht passen.<\/p>\n\n\n\n

Abhilfe: Die Erkl\u00e4rung wird aus dem tats\u00e4chlichen Bestand der Seite aufgebaut und nicht aus einer Vorlage \u00fcbernommen. Eine Vorlage kann als Ger\u00fcst dienen, muss aber Punkt f\u00fcr Punkt auf die Seite zugeschnitten werden. Sinnvoll ist eine feste Zust\u00e4ndigkeit: Wer ein neues Plugin oder einen neuen Dienst einf\u00fchrt, meldet das an die Stelle, die die Erkl\u00e4rung pflegt. Das Impressum ist ein eigenes Thema. Die Pflichtangaben stehen in \u00a7 5 des Digitale-Dienste-Gesetzes<\/a> und geh\u00f6ren ebenfalls regelm\u00e4\u00dfig \u00fcberpr\u00fcft, sind hier aber nicht Gegenstand.<\/p>\n\n\n\n

Fehler 2: Tracking und Cookies ohne wirksame Einwilligung<\/h2>\n\n\n\n

Der zweite Fehler ist der bekannteste und zugleich einer der sichtbarsten. Analysewerkzeuge, Werbepixel oder Z\u00e4hldienste laden bereits, bevor ein Besucher auf dem Banner geklickt hat. Oder das Banner bietet nur \u201eAkzeptieren\u201c an. In beiden F\u00e4llen liegt Tracking ohne Einwilligung vor, auch wenn das Banner auf den ersten Blick ordentlich aussieht.<\/p>\n\n\n\n

Die Grundlage ist \u00a7 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG)<\/a>. Wer Informationen auf dem Endger\u00e4t eines Nutzers speichert oder dort ausliest, braucht daf\u00fcr grunds\u00e4tzlich eine Einwilligung. Ausgenommen ist, was f\u00fcr den ausdr\u00fccklich gew\u00fcnschten Dienst unbedingt erforderlich ist, etwa ein Warenkorb oder eine Sitzungskennung. Nicht jede Technik braucht also ein Banner. Eine Seite, die ausschlie\u00dflich technisch notwendige Mittel nutzt, kommt ohne aus. Die Datenschutzkonferenz der Aufsichtsbeh\u00f6rden hat ihre Sicht dazu in der Orientierungshilfe Telemedien<\/a> zusammengefasst.<\/p>\n\n\n\n

Woran sich der Fehler erkennen l\u00e4sst: Die Seite wird in einem privaten Browserfenster ge\u00f6ffnet, ohne auf das Banner zu reagieren. Im Netzwerk-Tab der Entwicklertools (meist mit F12 erreichbar) zeigt sich, ob schon Anfragen an Analyse- oder Werbeadressen gehen. Ein zweiter Test: Ablehnen w\u00e4hlen und pr\u00fcfen, ob die Anfragen danach ausbleiben. Au\u00dferdem lohnt der Blick, ob \u201eAblehnen\u201c auf der ersten Ebene des Banners so leicht erreichbar ist wie \u201eAkzeptieren\u201c.<\/p>\n\n\n\n

Abhilfe: Dienste, die eine Einwilligung brauchen, werden erst nach dem Klick geladen, und das technisch, nicht nur optisch. Dazu gen\u00fcgt es oft, das Skript \u00fcber den Consent-Manager zu steuern, statt es fest in die Seite einzubauen. Ablehnen und Zustimmen sollten gleichwertig gestaltet sein. Eine ausf\u00fchrliche Darstellung, woran sich Scheinbanner erkennen lassen, bietet der Beitrag Cookies und Cookie-Tools: Probleme mit dem Datenschutz vorprogrammiert<\/a>. Hier bleibt es bei dem Hinweis, dass ein vorhandenes Banner noch keine wirksame Einwilligung bedeutet.<\/p>\n\n\n\n

Fehler 3: Schriften, Karten und Videos von fremden Servern<\/h2>\n\n\n\n

Der dritte Fehler ist f\u00fcr Besucher unsichtbar und gerade deshalb so verbreitet. Viele Websites laden Schriftarten, Kartenausschnitte, Videos, Social-Media-Schaltfl\u00e4chen oder Bibliotheken von Servern Dritter. Dabei verbindet sich der Browser des Besuchers direkt mit diesem Server und \u00fcbertr\u00e4gt zwangsl\u00e4ufig seine IP-Adresse. Das ist ein typischer Fall von Datenabfluss \u00fcber externe Ressourcen: Die Seite sieht normal aus, der Datenfluss spielt sich im Hintergrund ab.<\/p>\n\n\n\n\n

\"Schema:
Bei einem Seitenaufruf werden oft mehrere Server angesprochen.<\/figcaption><\/figure>\n\n\n\n\n

Besonders oft betrifft das Webfonts. Ein Theme oder ein Seitenbaukasten bindet eine Schrift standardm\u00e4\u00dfig vom Server des Anbieters ein, und niemand merkt es. Wer die Seite sp\u00e4ter umbaut, kann diese Einbindung versehentlich neu erzeugen. Dasselbe gilt f\u00fcr Karten, Videoplattformen und Content-Delivery-Netzwerke f\u00fcr Skripte.<\/p>\n\n\n\n

Die Rechtsprechung dazu ist \u00fcberschaubar, aber bekannt. Das Landgericht M\u00fcnchen I sprach in einem Urteil vom 20.01.2022 (Az. 3 O 17493\/20) einem Website-Besucher 100 Euro immateriellen Schadensersatz zu, weil die IP-Adresse beim Aufruf einer Seite mit eingebundenen Google Fonts ohne Einwilligung an Google \u00fcbermittelt worden war. Die IHK Bergische Region fasst das Urteil zusammen<\/a>. Wichtig ist die Einordnung: Es handelt sich um eine erstinstanzliche Entscheidung in einem Einzelfall. Sie bindet andere Gerichte nicht, und zur Rechtskraft sowie zu sp\u00e4teren Entscheidungen macht die Quelle keine Angaben. Als Hinweis darauf, dass die \u00dcbermittlung der IP-Adresse an Dritte rechtlich relevant sein kann, taugt sie dennoch.<\/p>\n\n\n\n

Woran sich der Fehler erkennen l\u00e4sst: Im Netzwerk-Tab der Entwicklertools werden die Anfragen nach Domain sortiert. Alles, was nicht zur eigenen Domain oder zum eigenen Hoster geh\u00f6rt, ist ein externer Empf\u00e4nger. Jeder dieser Empf\u00e4nger geh\u00f6rt in die Datenschutzerkl\u00e4rung und braucht eine tragf\u00e4hige Grundlage. Bei manchen reicht ein berechtigtes Interesse, bei anderen ist eine Einwilligung erforderlich, abh\u00e4ngig vom Dienst.<\/p>\n\n\n\n

Abhilfe: Schriften werden lokal auf dem eigenen Server gehostet, das ist technisch einfach und bringt oft einen Geschwindigkeitsvorteil. Karten und Videos lassen sich mit einer Zwei-Klick-L\u00f6sung einbinden, bei der zun\u00e4chst nur ein Platzhalterbild erscheint und erst nach einem Klick eine Verbindung zum Anbieter entsteht. Bei Diensten, die eine Einwilligung brauchen, wird die Einbettung erst nach der Zustimmung geladen. Nach jedem Relaunch und nach gr\u00f6\u00dferen Plugin-Updates sollte die Liste der externen Empf\u00e4nger neu gepr\u00fcft werden.<\/p>\n\n\n\n

Die meisten Datenschutzverst\u00f6\u00dfe auf Websites sind keine Absicht, sondern Reste fr\u00fcherer Entscheidungen.<\/p><\/blockquote><\/figure>\n\n\n\n

Fehler 4: Kontaktformulare und Newsletter ohne saubere Grundlage<\/h2>\n\n\n\n

Formulare sind der Ort, an dem Besucher aktiv Daten eingeben. Entsprechend sorgf\u00e4ltig muss das Kontaktformular gestaltet sein. H\u00e4ufige M\u00e4ngel: Es fehlt ein Hinweis direkt am Formular, welche Daten zu welchem Zweck verarbeitet werden. Es gibt Pflichtfelder, die f\u00fcr die Anfrage gar nicht n\u00f6tig sind, etwa die Telefonnummer bei einer reinen E-Mail-Anfrage. Es ist nicht geregelt, wie lange Anfragen gespeichert bleiben. Und die \u00dcbertragung l\u00e4uft unverschl\u00fcsselt.<\/p>\n\n\n\n

Warum das ein Problem ist: Daten d\u00fcrfen nur im Umfang verarbeitet werden, der f\u00fcr den Zweck erforderlich ist. Der Grundsatz der Datenminimierung steht in Artikel 5 DSGVO. Wer nur eine Frage per Formular stellen will, muss daf\u00fcr nicht Anrede, Firma, Telefon und Adresse angeben. Au\u00dferdem verlangt Artikel 32 DSGVO angemessene technische Ma\u00dfnahmen, wozu bei Formularen mit pers\u00f6nlichen Angaben eine verschl\u00fcsselte \u00dcbertragung geh\u00f6rt.<\/p>\n\n\n\n

Bei Newslettern kommt ein weiterer Punkt hinzu: Die Einwilligung muss nachweisbar sein. Gemeint ist ein sauberes Anmeldeverfahren, bei dem die Adresse erst nach Best\u00e4tigung durch den Inhaber aufgenommen wird, und eine Dokumentation, wann und wozu zugestimmt wurde. Vorausgew\u00e4hlte K\u00e4stchen oder eine Anmeldung, die an einen Kauf gekoppelt ist, gelten als problematisch. Ein einfacher Abmeldeweg geh\u00f6rt dazu.<\/p>\n\n\n\n

Woran sich der Fehler erkennen l\u00e4sst: Das Formular wird einmal selbst ausgef\u00fcllt. Ist neben dem Absenden ein verst\u00e4ndlicher Hinweis mit Link zur Datenschutzerkl\u00e4rung zu sehen? Welche Felder sind Pflicht? Erscheint in der Adresszeile ein Schloss? Kommt nach dem Absenden eine Best\u00e4tigung, und landet die Anfrage dort, wo sie hingeh\u00f6rt, oder in einem Postfach, auf das mehrere Personen ohne Notwendigkeit Zugriff haben? Beim Newsletter hilft eine Testanmeldung.<\/p>\n\n\n\n

Abhilfe: Pflichtfelder auf das N\u00f6tige beschr\u00e4nken, einen Kurzhinweis direkt am Formular einf\u00fcgen, die Speicherdauer festlegen und Anfragen nach Abschluss l\u00f6schen. Die \u00dcbertragung l\u00e4uft ausschlie\u00dflich \u00fcber HTTPS. Beim Newsletter kommt ein Double-Opt-in-Verfahren zum Einsatz, und die Einwilligung wird protokolliert.<\/p>\n\n\n\n

Fehler 5: Dienstleister ohne Vertrag und Daten in Drittl\u00e4ndern<\/h2>\n\n\n\n

Kaum eine Website kommt ohne Dienstleister aus: Hoster, Newsletter-Tool, Analysewerkzeug, Agentur mit Zugang zum Backend, Anbieter der Terminbuchung. Wenn diese Dienstleister im Auftrag Daten verarbeiten, verlangt der Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Er legt fest, was der Dienstleister mit den Daten tun darf und welche Schutzma\u00dfnahmen gelten. Bei der Auftragsverarbeitung der Website fehlt dieser Vertrag mitunter, weil der Dienst \u201eeinfach nur dazugebucht\u201c wurde.<\/p>\n\n\n\n

Hinzu kommt die Frage nach dem Ort. Sitzt der Dienstleister oder ein Unterauftragnehmer au\u00dferhalb der EU, etwa in den USA, ist f\u00fcr die \u00dcbermittlung eine eigene Grundlage n\u00f6tig. F\u00fcr die USA besteht seit dem 10.07.2023 ein Angemessenheitsbeschluss der EU-Kommission, das EU-US Data Privacy Framework. Er gilt f\u00fcr US-Unternehmen, die sich unter dem Framework zertifiziert haben. Das Gericht der Europ\u00e4ischen Union hat die Klage gegen den Beschluss mit Urteil vom 03.09.2025 (T-553\/23) abgewiesen. Dagegen wurde Berufung beim EU-Gerichtshof eingelegt (Rechtssache C-703\/25 P<\/a>). Nach dem Stand der Recherche vom 22.10.2026 liegt keine best\u00e4tigte Entscheidung des Gerichtshofs vor. Der Beschluss gilt damit weiter, die Lage ist aber nicht endg\u00fcltig gekl\u00e4rt.<\/p>\n\n\n\n

Daraus folgt f\u00fcr die Praxis: Ob ein US-Anbieter auf dieser Grundlage genutzt werden kann, h\u00e4ngt davon ab, ob er tats\u00e4chlich zertifiziert ist. Das l\u00e4sst sich in der \u00f6ffentlichen Liste des Frameworks pr\u00fcfen. Ist er es nicht, braucht es eine andere Grundlage, etwa Standardvertragsklauseln samt Risikobewertung.<\/p>\n\n\n\n

Woran sich der Fehler erkennen l\u00e4sst: Eine Liste aller Dienstleister der Seite zeigt, f\u00fcr welche ein Vertrag vorliegt. F\u00fcr jeden Eintrag werden drei Fragen gestellt: Gibt es einen Vertrag nach Artikel 28? Wo werden die Daten verarbeitet? Steht der Dienst in der Datenschutzerkl\u00e4rung? Fehlt bei einer der drei Fragen die Antwort, besteht eine L\u00fccke.<\/p>\n\n\n\n

Abhilfe: Vertr\u00e4ge nachholen, die viele Anbieter fertig zum Abschluss in ihrem Kundenbereich bereithalten. Beim Neukauf eines Dienstes die Vertragsfrage vorab kl\u00e4ren. F\u00fcr Drittlandf\u00e4lle die Rechtsgrundlage dokumentieren und bei \u00c4nderungen der Rechtslage neu bewerten.<\/p>\n\n\n\n

Fehler 6: Veraltete Technik und schwache Absicherung<\/h2>\n\n\n\n

Datenschutz h\u00e4ngt eng mit Sicherheit zusammen. Artikel 32 verlangt Ma\u00dfnahmen, die dem Risiko angemessen sind. F\u00fcr eine Unternehmenswebsite hei\u00dft das nicht, ein Hochsicherheitsrechenzentrum zu betreiben. Es hei\u00dft, die Grundlagen zu beherrschen, und gerade die werden gern vergessen.<\/p>\n\n\n\n

Typische M\u00e4ngel: Die Seite ist nur teilweise per HTTPS erreichbar oder nutzt ein abgelaufenes Zertifikat. Das Redaktionssystem und seine Plugins sind seit Monaten nicht aktualisiert, obwohl Sicherheitsl\u00fccken bekannt sind. Der Admin-Zugang ist mit einem einfachen Passwort und ohne zweiten Faktor von \u00fcberall erreichbar. Verzeichnisse mit Sicherungskopien, Exportdateien oder Formularanfragen liegen offen im Netz. Eine kompromittierte Seite kann Kontaktdaten preisgeben, und dann wird aus einem Technikproblem ein Datenschutzvorfall.<\/p>\n\n\n\n

Woran sich der Fehler erkennen l\u00e4sst: Das Schloss in der Adresszeile ist auf allen Unterseiten vorhanden, ein Aufruf per http leitet auf https um. Im Backend zeigt sich der Versionsstand von System und Plugins. Ein Blick auf die Sicherheits-Header der Antworten und auf die Frage, ob Verzeichnislisten oder Testseiten \u00f6ffentlich abrufbar sind, erg\u00e4nzt das. Daf\u00fcr gibt es automatische Pr\u00fcfungen, etwa die Security-Checks auf wwwschutz.de<\/a>.<\/p>\n\n\n\n

Abhilfe: Automatische Updates oder ein fester Wartungstermin, ungenutzte Plugins l\u00f6schen, starke Passw\u00f6rter mit zweitem Faktor, Sicherungskopien nicht im Webverzeichnis ablegen und Testsysteme nicht \u00f6ffentlich zug\u00e4nglich lassen. Wer die Wartung an eine Agentur gegeben hat, sollte schriftlich kl\u00e4ren, wer f\u00fcr Updates zust\u00e4ndig ist.<\/p>\n\n\n\n

Fehler 7: Kein Prozess f\u00fcr Auskunft, L\u00f6schung und \u00c4nderungen an der Seite<\/h2>\n\n\n\n

Der letzte Fehler ist organisatorisch und deshalb von au\u00dfen am wenigsten sichtbar. Betroffene haben Rechte, etwa auf Auskunft und auf L\u00f6schung. Anfragen m\u00fcssen nach Artikel 12 Absatz 3 grunds\u00e4tzlich innerhalb eines Monats beantwortet werden. Das scheitert in der Praxis oft nicht am Willen, sondern daran, dass niemand wei\u00df, wer zust\u00e4ndig ist. Die Anfrage landet im allgemeinen Postfach, wird als Spam gewertet oder liegt wochenlang unbeantwortet.<\/p>\n\n\n\n

Weitere typische L\u00fccken: In der Datenschutzerkl\u00e4rung steht kein erreichbarer Kontakt f\u00fcr Datenschutzanfragen. F\u00fcr Server-Logfiles, Bewerbungen und Formularanfragen gibt es keine festen L\u00f6schfristen, sodass alles auf unbestimmte Zeit liegt. Und nach einem Relaunch oder dem Einbau eines neuen Plugins wird die Erkl\u00e4rung nicht \u00fcberarbeitet, obwohl sich die Datenfl\u00fcsse ge\u00e4ndert haben.<\/p>\n\n\n\n

Woran sich der Fehler erkennen l\u00e4sst: Eine interne Probeanfrage zeigt, wie lange es dauert, bis jemand antwortet und ob die Daten auffindbar sind. Au\u00dferdem hilft die Frage, wann die Erkl\u00e4rung zuletzt angepasst wurde und ob das Datum zu den letzten \u00c4nderungen an der Seite passt.<\/p>\n\n\n\n

Abhilfe: Eine benannte Stelle f\u00fcr Datenschutzanfragen mit Vertretung, ein kurzer schriftlicher Ablauf, feste L\u00f6schfristen und ein \u00c4nderungsprozess, der bei jeder technischen Neuerung die Frage stellt, ob Datenschutzerkl\u00e4rung und Verzeichnis der Verarbeitungst\u00e4tigkeiten angepasst werden m\u00fcssen. Das braucht keine schweren Dokumente. Eine Seite mit klaren Zust\u00e4ndigkeiten ist besser als ein dickes Konzept, das niemand liest.<\/p>\n\n\n\n

DSGVO-Fehler auf der Website finden: So l\u00e4sst sich die eigene Seite pr\u00fcfen<\/h2>\n\n\n\n

Eine DSGVO-Pr\u00fcfung einer Website muss nicht aufwendig sein. F\u00fcr den ersten \u00dcberblick gen\u00fcgen etwa zehn Minuten und ein Browser. Der Ablauf besteht aus drei Schritten.<\/p>\n\n\n\n\n

\"Ablauf
Der Kurzcheck besteht aus drei Schritten.<\/figcaption><\/figure>\n\n\n\n\n
    \n
  1. Datenschutzerkl\u00e4rung mit den tats\u00e4chlich geladenen Diensten abgleichen: Welche Werkzeuge nennt die Erkl\u00e4rung, welche sind im Einsatz?<\/li>\n\n\n\n
  2. Die Seite in einem privaten Fenster \u00f6ffnen, die Entwicklertools starten und im Netzwerk-Tab ansehen, welche fremden Adressen ohne Zutun angesprochen werden. Danach das Banner ablehnen und wiederholen.<\/li>\n\n\n\n
  3. Formulare einmal selbst ausf\u00fcllen und auf Hinweis, Pflichtfelder, Verschl\u00fcsselung und Best\u00e4tigung achten.<\/li>\n<\/ol>\n\n\n\n

    Dieser Kurzcheck findet vor allem die Fehler 1 bis 4. Bei Dienstleistern, Absicherung und Abl\u00e4ufen helfen die Listen aus den Abschnitten zu den Fehlern 5 bis 7. Wichtig ist der Rhythmus: Die Pr\u00fcfung geh\u00f6rt nach jeder \u00c4nderung an der Seite wiederholt, also nach einem Relaunch, einem neuen Plugin oder einer neuen Einbettung, und sonst in festen Abst\u00e4nden, etwa viertelj\u00e4hrlich.<\/p>\n\n\n\n

    Wer die Pr\u00fcfung der Verbindungen und geladenen Dienste nicht von Hand durchf\u00fchren m\u00f6chte, kann sie automatisieren. Der DSGVO-Webseiten-Check<\/a> untersucht eine Seite auf Drittanbieter-Verbindungen und geladene Dienste und macht sichtbar, was im Hintergrund passiert. F\u00fcr die technische Seite, also Zertifikat, Header und Versionsst\u00e4nde, gibt es die bereits genannten Security-Checks.<\/p>\n\n\n\n

    Ein Pr\u00fcfergebnis ersetzt keine Rechtsberatung. Bei Zweifeln, etwa zur Rechtsgrundlage eines bestimmten Dienstes oder zu einem Drittlandfall, ist ein Datenschutzbeauftragter oder eine auf das Thema spezialisierte Kanzlei die richtige Anlaufstelle. Die Rechtslage \u00e4ndert sich: Urteile, Leitlinien der Aufsichtsbeh\u00f6rden und der Stand zum Data Privacy Framework k\u00f6nnen sich verschieben. Der Quellen-Stand dieses Beitrags ist der 22.10.2026.<\/p>\n","protected":false},"excerpt":{"rendered":"

    Die sieben h\u00e4ufigsten DSGVO-Fehler auf Unternehmenswebsites von der Datenschutzerkl\u00e4rung bis zu externen Schriften, mit Erkennung, Abhilfe und Kurzcheck.<\/p>\n","protected":false},"author":4,"featured_media":5744,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[7],"tags":[98,11,72,9,30],"class_list":["post-5748","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-datenschutz","tag-auftragsverarbeitung","tag-datenschutzerklaerung","tag-google-fonts","tag-tracking","tag-website","entry"],"blocks":"\n

    Websites wachsen \u00fcber Jahre, die Datenschutzerkl\u00e4rung bleibt oft stehen. Der Beitrag stellt sieben DSGVO-Fehler vor, die auf Unternehmenswebsites h\u00e4ufig vorkommen, und nennt zu jedem, woran er sich erkennen l\u00e4sst und wie er sich beheben l\u00e4sst. Am Ende steht ein Kurzcheck f\u00fcr die eigene Seite.<\/em><\/p>\n\n\n\n

    Einleitung: Wie aus einer sauberen Seite eine problematische wird<\/h2>\n\n\n\n

    Zum Start ist eine Unternehmenswebsite meist in Ordnung: Eine Agentur oder ein Webverantwortlicher hat sie gebaut, eine Datenschutzerkl\u00e4rung wurde eingef\u00fcgt, ein Banner eingerichtet. Danach beginnt der Alltag. Ein Plugin kommt dazu, ein Video wird eingebettet, die Karte der Anfahrt wird getauscht, ein Newsletter-Dienst wechselt. Jede dieser \u00c4nderungen kann Daten an neue Empf\u00e4nger schicken. Die Datenschutzerkl\u00e4rung wird dagegen nur selten angepasst.<\/p>\n\n\n\n

    Genau dort entstehen die meisten Datenschutzm\u00e4ngel. Sie sind selten b\u00f6se Absicht. Es sind Reste fr\u00fcherer Entscheidungen, die niemand mehr auf dem Schirm hat. Der Beitrag nennt sieben solcher DSGVO-Fehler auf Unternehmenswebsites. Die Auswahl ist eine redaktionelle Zusammenstellung aus der Praxis und keine statistisch belegte Rangfolge. Deshalb stehen hier bewusst keine Prozentangaben zur H\u00e4ufigkeit.<\/p>\n\n\n\n

    Dargestellt wird, was Aufsichtsbeh\u00f6rden und Gerichte bislang vertreten. Einige Rechtsfragen sind ungekl\u00e4rt und werden als solche ausgewiesen.<\/p>\n\n\n\n\n

    \"\u00dcbersicht
    Die sieben Fehler im \u00dcberblick.<\/figcaption><\/figure>\n\n\n\n\n

    Fehler 1: Eine Datenschutzerkl\u00e4rung, die nicht zur Seite passt<\/h2>\n\n\n\n

    Ein typischer Befund ist eine Datenschutzerkl\u00e4rung, die zwar vorhanden ist, aber nicht beschreibt, was die Seite tats\u00e4chlich tut. Typische Varianten: Sie fehlt ganz, sie ist veraltet, sie stammt aus einer allgemeinen Vorlage, sie nennt Dienste, die l\u00e4ngst abgeschaltet wurden, und verschweigt daf\u00fcr solche, die aktuell laufen. Solche Fehler in der Datenschutzerkl\u00e4rung fallen niemandem auf, bis jemand Erkl\u00e4rung und Technik nebeneinanderlegt.<\/p>\n\n\n\n

    Warum das ein Problem ist: Wer personenbezogene Daten erhebt, muss die betroffenen Personen dar\u00fcber informieren. Artikel 13<\/a> nennt daf\u00fcr unter anderem Zweck, Rechtsgrundlage, Empf\u00e4nger, Speicherdauer und Betroffenenrechte. Nach Artikel 12<\/a> muss das in pr\u00e4ziser, verst\u00e4ndlicher und leicht zug\u00e4nglicher Form geschehen. Eine Erkl\u00e4rung, die Dienste beschreibt, die gar nicht im Einsatz sind, erf\u00fcllt das ebenso wenig wie eine, die genutzte Dienste ausl\u00e4sst.<\/p>\n\n\n\n[faq]Muss jede Unternehmenswebsite eine Datenschutzerkl\u00e4rung haben?|=|Ja, sobald die Seite personenbezogene Daten verarbeitet, und das ist praktisch immer der Fall. Schon beim Aufruf fallen IP-Adressen in Logfiles an, dazu kommen Kontaktformulare, Newsletter oder Analysewerkzeuge. Art. 13 DSGVO verlangt eine verst\u00e4ndliche, leicht zug\u00e4ngliche Information zu Zweck, Rechtsgrundlage, Speicherdauer und Betroffenenrechten. Eine Vorlage gen\u00fcgt nur, wenn sie zur tats\u00e4chlich eingesetzten Technik passt.[\/faq]\n\n\n\n

    Dass IP-Adressen als personenbezogene Daten gelten, folgt aus der Begriffsbestimmung in Artikel 4<\/a> und der Rechtsprechung des Europ\u00e4ischen Gerichtshofs. Dieser hat im Urteil Breyer (C-582\/14)<\/a> entschieden, dass auch dynamische IP-Adressen f\u00fcr den Betreiber einer Website personenbezogen sein k\u00f6nnen, wenn rechtliche Mittel bestehen, an die Identit\u00e4t des Nutzers zu gelangen. Damit ist eine Seite ohne jede Datenverarbeitung praktisch nicht denkbar. Eine einfache statische Visitenkarte im Netz verarbeitet beim Aufruf bereits Daten.<\/p>\n\n\n\n

    Woran sich der Fehler erkennen l\u00e4sst: Die in der Erkl\u00e4rung genannten Dienste werden mit den tats\u00e4chlich geladenen Diensten abgeglichen. Fehlt ein geladener Dienst in der Erkl\u00e4rung oder steht ein nicht mehr genutzter Dienst noch drin, besteht Handlungsbedarf. Ebenso auff\u00e4llig sind Platzhalter wie \u201e[Firmenname einf\u00fcgen]\u201c, ein Stand von vor vielen Jahren oder Hinweise auf Rechtsgrundlagen, die zur Seite nicht passen.<\/p>\n\n\n\n

    Abhilfe: Die Erkl\u00e4rung wird aus dem tats\u00e4chlichen Bestand der Seite aufgebaut und nicht aus einer Vorlage \u00fcbernommen. Eine Vorlage kann als Ger\u00fcst dienen, muss aber Punkt f\u00fcr Punkt auf die Seite zugeschnitten werden. Sinnvoll ist eine feste Zust\u00e4ndigkeit: Wer ein neues Plugin oder einen neuen Dienst einf\u00fchrt, meldet das an die Stelle, die die Erkl\u00e4rung pflegt. Das Impressum ist ein eigenes Thema. Die Pflichtangaben stehen in \u00a7 5 des Digitale-Dienste-Gesetzes<\/a> und geh\u00f6ren ebenfalls regelm\u00e4\u00dfig \u00fcberpr\u00fcft, sind hier aber nicht Gegenstand.<\/p>\n\n\n\n

    Fehler 2: Tracking und Cookies ohne wirksame Einwilligung<\/h2>\n\n\n\n

    Der zweite Fehler ist der bekannteste und zugleich einer der sichtbarsten. Analysewerkzeuge, Werbepixel oder Z\u00e4hldienste laden bereits, bevor ein Besucher auf dem Banner geklickt hat. Oder das Banner bietet nur \u201eAkzeptieren\u201c an. In beiden F\u00e4llen liegt Tracking ohne Einwilligung vor, auch wenn das Banner auf den ersten Blick ordentlich aussieht.<\/p>\n\n\n\n

    Die Grundlage ist \u00a7 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG)<\/a>. Wer Informationen auf dem Endger\u00e4t eines Nutzers speichert oder dort ausliest, braucht daf\u00fcr grunds\u00e4tzlich eine Einwilligung. Ausgenommen ist, was f\u00fcr den ausdr\u00fccklich gew\u00fcnschten Dienst unbedingt erforderlich ist, etwa ein Warenkorb oder eine Sitzungskennung. Nicht jede Technik braucht also ein Banner. Eine Seite, die ausschlie\u00dflich technisch notwendige Mittel nutzt, kommt ohne aus. Die Datenschutzkonferenz der Aufsichtsbeh\u00f6rden hat ihre Sicht dazu in der Orientierungshilfe Telemedien<\/a> zusammengefasst.<\/p>\n\n\n\n

    Woran sich der Fehler erkennen l\u00e4sst: Die Seite wird in einem privaten Browserfenster ge\u00f6ffnet, ohne auf das Banner zu reagieren. Im Netzwerk-Tab der Entwicklertools (meist mit F12 erreichbar) zeigt sich, ob schon Anfragen an Analyse- oder Werbeadressen gehen. Ein zweiter Test: Ablehnen w\u00e4hlen und pr\u00fcfen, ob die Anfragen danach ausbleiben. Au\u00dferdem lohnt der Blick, ob \u201eAblehnen\u201c auf der ersten Ebene des Banners so leicht erreichbar ist wie \u201eAkzeptieren\u201c.<\/p>\n\n\n\n

    Abhilfe: Dienste, die eine Einwilligung brauchen, werden erst nach dem Klick geladen, und das technisch, nicht nur optisch. Dazu gen\u00fcgt es oft, das Skript \u00fcber den Consent-Manager zu steuern, statt es fest in die Seite einzubauen. Ablehnen und Zustimmen sollten gleichwertig gestaltet sein. Eine ausf\u00fchrliche Darstellung, woran sich Scheinbanner erkennen lassen, bietet der Beitrag Cookies und Cookie-Tools: Probleme mit dem Datenschutz vorprogrammiert<\/a>. Hier bleibt es bei dem Hinweis, dass ein vorhandenes Banner noch keine wirksame Einwilligung bedeutet.<\/p>\n\n\n\n

    Fehler 3: Schriften, Karten und Videos von fremden Servern<\/h2>\n\n\n\n

    Der dritte Fehler ist f\u00fcr Besucher unsichtbar und gerade deshalb so verbreitet. Viele Websites laden Schriftarten, Kartenausschnitte, Videos, Social-Media-Schaltfl\u00e4chen oder Bibliotheken von Servern Dritter. Dabei verbindet sich der Browser des Besuchers direkt mit diesem Server und \u00fcbertr\u00e4gt zwangsl\u00e4ufig seine IP-Adresse. Das ist ein typischer Fall von Datenabfluss \u00fcber externe Ressourcen: Die Seite sieht normal aus, der Datenfluss spielt sich im Hintergrund ab.<\/p>\n\n\n\n\n

    \"Schema:
    Bei einem Seitenaufruf werden oft mehrere Server angesprochen.<\/figcaption><\/figure>\n\n\n\n\n

    Besonders oft betrifft das Webfonts. Ein Theme oder ein Seitenbaukasten bindet eine Schrift standardm\u00e4\u00dfig vom Server des Anbieters ein, und niemand merkt es. Wer die Seite sp\u00e4ter umbaut, kann diese Einbindung versehentlich neu erzeugen. Dasselbe gilt f\u00fcr Karten, Videoplattformen und Content-Delivery-Netzwerke f\u00fcr Skripte.<\/p>\n\n\n\n

    Die Rechtsprechung dazu ist \u00fcberschaubar, aber bekannt. Das Landgericht M\u00fcnchen I sprach in einem Urteil vom 20.01.2022 (Az. 3 O 17493\/20) einem Website-Besucher 100 Euro immateriellen Schadensersatz zu, weil die IP-Adresse beim Aufruf einer Seite mit eingebundenen Google Fonts ohne Einwilligung an Google \u00fcbermittelt worden war. Die IHK Bergische Region fasst das Urteil zusammen<\/a>. Wichtig ist die Einordnung: Es handelt sich um eine erstinstanzliche Entscheidung in einem Einzelfall. Sie bindet andere Gerichte nicht, und zur Rechtskraft sowie zu sp\u00e4teren Entscheidungen macht die Quelle keine Angaben. Als Hinweis darauf, dass die \u00dcbermittlung der IP-Adresse an Dritte rechtlich relevant sein kann, taugt sie dennoch.<\/p>\n\n\n\n

    Woran sich der Fehler erkennen l\u00e4sst: Im Netzwerk-Tab der Entwicklertools werden die Anfragen nach Domain sortiert. Alles, was nicht zur eigenen Domain oder zum eigenen Hoster geh\u00f6rt, ist ein externer Empf\u00e4nger. Jeder dieser Empf\u00e4nger geh\u00f6rt in die Datenschutzerkl\u00e4rung und braucht eine tragf\u00e4hige Grundlage. Bei manchen reicht ein berechtigtes Interesse, bei anderen ist eine Einwilligung erforderlich, abh\u00e4ngig vom Dienst.<\/p>\n\n\n\n

    Abhilfe: Schriften werden lokal auf dem eigenen Server gehostet, das ist technisch einfach und bringt oft einen Geschwindigkeitsvorteil. Karten und Videos lassen sich mit einer Zwei-Klick-L\u00f6sung einbinden, bei der zun\u00e4chst nur ein Platzhalterbild erscheint und erst nach einem Klick eine Verbindung zum Anbieter entsteht. Bei Diensten, die eine Einwilligung brauchen, wird die Einbettung erst nach der Zustimmung geladen. Nach jedem Relaunch und nach gr\u00f6\u00dferen Plugin-Updates sollte die Liste der externen Empf\u00e4nger neu gepr\u00fcft werden.<\/p>\n\n\n\n

    Die meisten Datenschutzverst\u00f6\u00dfe auf Websites sind keine Absicht, sondern Reste fr\u00fcherer Entscheidungen.<\/p><\/blockquote><\/figure>\n\n\n\n

    Fehler 4: Kontaktformulare und Newsletter ohne saubere Grundlage<\/h2>\n\n\n\n

    Formulare sind der Ort, an dem Besucher aktiv Daten eingeben. Entsprechend sorgf\u00e4ltig muss das Kontaktformular gestaltet sein. H\u00e4ufige M\u00e4ngel: Es fehlt ein Hinweis direkt am Formular, welche Daten zu welchem Zweck verarbeitet werden. Es gibt Pflichtfelder, die f\u00fcr die Anfrage gar nicht n\u00f6tig sind, etwa die Telefonnummer bei einer reinen E-Mail-Anfrage. Es ist nicht geregelt, wie lange Anfragen gespeichert bleiben. Und die \u00dcbertragung l\u00e4uft unverschl\u00fcsselt.<\/p>\n\n\n\n

    Warum das ein Problem ist: Daten d\u00fcrfen nur im Umfang verarbeitet werden, der f\u00fcr den Zweck erforderlich ist. Der Grundsatz der Datenminimierung steht in Artikel 5 DSGVO. Wer nur eine Frage per Formular stellen will, muss daf\u00fcr nicht Anrede, Firma, Telefon und Adresse angeben. Au\u00dferdem verlangt Artikel 32 DSGVO angemessene technische Ma\u00dfnahmen, wozu bei Formularen mit pers\u00f6nlichen Angaben eine verschl\u00fcsselte \u00dcbertragung geh\u00f6rt.<\/p>\n\n\n\n

    Bei Newslettern kommt ein weiterer Punkt hinzu: Die Einwilligung muss nachweisbar sein. Gemeint ist ein sauberes Anmeldeverfahren, bei dem die Adresse erst nach Best\u00e4tigung durch den Inhaber aufgenommen wird, und eine Dokumentation, wann und wozu zugestimmt wurde. Vorausgew\u00e4hlte K\u00e4stchen oder eine Anmeldung, die an einen Kauf gekoppelt ist, gelten als problematisch. Ein einfacher Abmeldeweg geh\u00f6rt dazu.<\/p>\n\n\n\n

    Woran sich der Fehler erkennen l\u00e4sst: Das Formular wird einmal selbst ausgef\u00fcllt. Ist neben dem Absenden ein verst\u00e4ndlicher Hinweis mit Link zur Datenschutzerkl\u00e4rung zu sehen? Welche Felder sind Pflicht? Erscheint in der Adresszeile ein Schloss? Kommt nach dem Absenden eine Best\u00e4tigung, und landet die Anfrage dort, wo sie hingeh\u00f6rt, oder in einem Postfach, auf das mehrere Personen ohne Notwendigkeit Zugriff haben? Beim Newsletter hilft eine Testanmeldung.<\/p>\n\n\n\n

    Abhilfe: Pflichtfelder auf das N\u00f6tige beschr\u00e4nken, einen Kurzhinweis direkt am Formular einf\u00fcgen, die Speicherdauer festlegen und Anfragen nach Abschluss l\u00f6schen. Die \u00dcbertragung l\u00e4uft ausschlie\u00dflich \u00fcber HTTPS. Beim Newsletter kommt ein Double-Opt-in-Verfahren zum Einsatz, und die Einwilligung wird protokolliert.<\/p>\n\n\n\n

    Fehler 5: Dienstleister ohne Vertrag und Daten in Drittl\u00e4ndern<\/h2>\n\n\n\n

    Kaum eine Website kommt ohne Dienstleister aus: Hoster, Newsletter-Tool, Analysewerkzeug, Agentur mit Zugang zum Backend, Anbieter der Terminbuchung. Wenn diese Dienstleister im Auftrag Daten verarbeiten, verlangt der Artikel 28 DSGVO einen Vertrag zur Auftragsverarbeitung. Er legt fest, was der Dienstleister mit den Daten tun darf und welche Schutzma\u00dfnahmen gelten. Bei der Auftragsverarbeitung der Website fehlt dieser Vertrag mitunter, weil der Dienst \u201eeinfach nur dazugebucht\u201c wurde.<\/p>\n\n\n\n

    Hinzu kommt die Frage nach dem Ort. Sitzt der Dienstleister oder ein Unterauftragnehmer au\u00dferhalb der EU, etwa in den USA, ist f\u00fcr die \u00dcbermittlung eine eigene Grundlage n\u00f6tig. F\u00fcr die USA besteht seit dem 10.07.2023 ein Angemessenheitsbeschluss der EU-Kommission, das EU-US Data Privacy Framework. Er gilt f\u00fcr US-Unternehmen, die sich unter dem Framework zertifiziert haben. Das Gericht der Europ\u00e4ischen Union hat die Klage gegen den Beschluss mit Urteil vom 03.09.2025 (T-553\/23) abgewiesen. Dagegen wurde Berufung beim EU-Gerichtshof eingelegt (Rechtssache C-703\/25 P<\/a>). Nach dem Stand der Recherche vom 22.10.2026 liegt keine best\u00e4tigte Entscheidung des Gerichtshofs vor. Der Beschluss gilt damit weiter, die Lage ist aber nicht endg\u00fcltig gekl\u00e4rt.<\/p>\n\n\n\n

    Daraus folgt f\u00fcr die Praxis: Ob ein US-Anbieter auf dieser Grundlage genutzt werden kann, h\u00e4ngt davon ab, ob er tats\u00e4chlich zertifiziert ist. Das l\u00e4sst sich in der \u00f6ffentlichen Liste des Frameworks pr\u00fcfen. Ist er es nicht, braucht es eine andere Grundlage, etwa Standardvertragsklauseln samt Risikobewertung.<\/p>\n\n\n\n

    Woran sich der Fehler erkennen l\u00e4sst: Eine Liste aller Dienstleister der Seite zeigt, f\u00fcr welche ein Vertrag vorliegt. F\u00fcr jeden Eintrag werden drei Fragen gestellt: Gibt es einen Vertrag nach Artikel 28? Wo werden die Daten verarbeitet? Steht der Dienst in der Datenschutzerkl\u00e4rung? Fehlt bei einer der drei Fragen die Antwort, besteht eine L\u00fccke.<\/p>\n\n\n\n

    Abhilfe: Vertr\u00e4ge nachholen, die viele Anbieter fertig zum Abschluss in ihrem Kundenbereich bereithalten. Beim Neukauf eines Dienstes die Vertragsfrage vorab kl\u00e4ren. F\u00fcr Drittlandf\u00e4lle die Rechtsgrundlage dokumentieren und bei \u00c4nderungen der Rechtslage neu bewerten.<\/p>\n\n\n\n

    Fehler 6: Veraltete Technik und schwache Absicherung<\/h2>\n\n\n\n

    Datenschutz h\u00e4ngt eng mit Sicherheit zusammen. Artikel 32 verlangt Ma\u00dfnahmen, die dem Risiko angemessen sind. F\u00fcr eine Unternehmenswebsite hei\u00dft das nicht, ein Hochsicherheitsrechenzentrum zu betreiben. Es hei\u00dft, die Grundlagen zu beherrschen, und gerade die werden gern vergessen.<\/p>\n\n\n\n

    Typische M\u00e4ngel: Die Seite ist nur teilweise per HTTPS erreichbar oder nutzt ein abgelaufenes Zertifikat. Das Redaktionssystem und seine Plugins sind seit Monaten nicht aktualisiert, obwohl Sicherheitsl\u00fccken bekannt sind. Der Admin-Zugang ist mit einem einfachen Passwort und ohne zweiten Faktor von \u00fcberall erreichbar. Verzeichnisse mit Sicherungskopien, Exportdateien oder Formularanfragen liegen offen im Netz. Eine kompromittierte Seite kann Kontaktdaten preisgeben, und dann wird aus einem Technikproblem ein Datenschutzvorfall.<\/p>\n\n\n\n

    Woran sich der Fehler erkennen l\u00e4sst: Das Schloss in der Adresszeile ist auf allen Unterseiten vorhanden, ein Aufruf per http leitet auf https um. Im Backend zeigt sich der Versionsstand von System und Plugins. Ein Blick auf die Sicherheits-Header der Antworten und auf die Frage, ob Verzeichnislisten oder Testseiten \u00f6ffentlich abrufbar sind, erg\u00e4nzt das. Daf\u00fcr gibt es automatische Pr\u00fcfungen, etwa die Security-Checks auf wwwschutz.de<\/a>.<\/p>\n\n\n\n

    Abhilfe: Automatische Updates oder ein fester Wartungstermin, ungenutzte Plugins l\u00f6schen, starke Passw\u00f6rter mit zweitem Faktor, Sicherungskopien nicht im Webverzeichnis ablegen und Testsysteme nicht \u00f6ffentlich zug\u00e4nglich lassen. Wer die Wartung an eine Agentur gegeben hat, sollte schriftlich kl\u00e4ren, wer f\u00fcr Updates zust\u00e4ndig ist.<\/p>\n\n\n\n

    Fehler 7: Kein Prozess f\u00fcr Auskunft, L\u00f6schung und \u00c4nderungen an der Seite<\/h2>\n\n\n\n

    Der letzte Fehler ist organisatorisch und deshalb von au\u00dfen am wenigsten sichtbar. Betroffene haben Rechte, etwa auf Auskunft und auf L\u00f6schung. Anfragen m\u00fcssen nach Artikel 12 Absatz 3 grunds\u00e4tzlich innerhalb eines Monats beantwortet werden. Das scheitert in der Praxis oft nicht am Willen, sondern daran, dass niemand wei\u00df, wer zust\u00e4ndig ist. Die Anfrage landet im allgemeinen Postfach, wird als Spam gewertet oder liegt wochenlang unbeantwortet.<\/p>\n\n\n\n

    Weitere typische L\u00fccken: In der Datenschutzerkl\u00e4rung steht kein erreichbarer Kontakt f\u00fcr Datenschutzanfragen. F\u00fcr Server-Logfiles, Bewerbungen und Formularanfragen gibt es keine festen L\u00f6schfristen, sodass alles auf unbestimmte Zeit liegt. Und nach einem Relaunch oder dem Einbau eines neuen Plugins wird die Erkl\u00e4rung nicht \u00fcberarbeitet, obwohl sich die Datenfl\u00fcsse ge\u00e4ndert haben.<\/p>\n\n\n\n

    Woran sich der Fehler erkennen l\u00e4sst: Eine interne Probeanfrage zeigt, wie lange es dauert, bis jemand antwortet und ob die Daten auffindbar sind. Au\u00dferdem hilft die Frage, wann die Erkl\u00e4rung zuletzt angepasst wurde und ob das Datum zu den letzten \u00c4nderungen an der Seite passt.<\/p>\n\n\n\n

    Abhilfe: Eine benannte Stelle f\u00fcr Datenschutzanfragen mit Vertretung, ein kurzer schriftlicher Ablauf, feste L\u00f6schfristen und ein \u00c4nderungsprozess, der bei jeder technischen Neuerung die Frage stellt, ob Datenschutzerkl\u00e4rung und Verzeichnis der Verarbeitungst\u00e4tigkeiten angepasst werden m\u00fcssen. Das braucht keine schweren Dokumente. Eine Seite mit klaren Zust\u00e4ndigkeiten ist besser als ein dickes Konzept, das niemand liest.<\/p>\n\n\n\n

    DSGVO-Fehler auf der Website finden: So l\u00e4sst sich die eigene Seite pr\u00fcfen<\/h2>\n\n\n\n

    Eine DSGVO-Pr\u00fcfung einer Website muss nicht aufwendig sein. F\u00fcr den ersten \u00dcberblick gen\u00fcgen etwa zehn Minuten und ein Browser. Der Ablauf besteht aus drei Schritten.<\/p>\n\n\n\n\n

    \"Ablauf
    Der Kurzcheck besteht aus drei Schritten.<\/figcaption><\/figure>\n\n\n\n\n
      \n
    1. Datenschutzerkl\u00e4rung mit den tats\u00e4chlich geladenen Diensten abgleichen: Welche Werkzeuge nennt die Erkl\u00e4rung, welche sind im Einsatz?<\/li>\n\n\n\n
    2. Die Seite in einem privaten Fenster \u00f6ffnen, die Entwicklertools starten und im Netzwerk-Tab ansehen, welche fremden Adressen ohne Zutun angesprochen werden. Danach das Banner ablehnen und wiederholen.<\/li>\n\n\n\n
    3. Formulare einmal selbst ausf\u00fcllen und auf Hinweis, Pflichtfelder, Verschl\u00fcsselung und Best\u00e4tigung achten.<\/li>\n<\/ol>\n\n\n\n

      Dieser Kurzcheck findet vor allem die Fehler 1 bis 4. Bei Dienstleistern, Absicherung und Abl\u00e4ufen helfen die Listen aus den Abschnitten zu den Fehlern 5 bis 7. Wichtig ist der Rhythmus: Die Pr\u00fcfung geh\u00f6rt nach jeder \u00c4nderung an der Seite wiederholt, also nach einem Relaunch, einem neuen Plugin oder einer neuen Einbettung, und sonst in festen Abst\u00e4nden, etwa viertelj\u00e4hrlich.<\/p>\n\n\n\n

      Wer die Pr\u00fcfung der Verbindungen und geladenen Dienste nicht von Hand durchf\u00fchren m\u00f6chte, kann sie automatisieren. Der DSGVO-Webseiten-Check<\/a> untersucht eine Seite auf Drittanbieter-Verbindungen und geladene Dienste und macht sichtbar, was im Hintergrund passiert. F\u00fcr die technische Seite, also Zertifikat, Header und Versionsst\u00e4nde, gibt es die bereits genannten Security-Checks.<\/p>\n\n\n\n

      Ein Pr\u00fcfergebnis ersetzt keine Rechtsberatung. Bei Zweifeln, etwa zur Rechtsgrundlage eines bestimmten Dienstes oder zu einem Drittlandfall, ist ein Datenschutzbeauftragter oder eine auf das Thema spezialisierte Kanzlei die richtige Anlaufstelle. Die Rechtslage \u00e4ndert sich: Urteile, Leitlinien der Aufsichtsbeh\u00f6rden und der Stand zum Data Privacy Framework k\u00f6nnen sich verschieben. Der Quellen-Stand dieses Beitrags ist der 22.10.2026.<\/p>\n","_links":{"self":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5748","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/comments?post=5748"}],"version-history":[{"count":2,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5748\/revisions"}],"predecessor-version":[{"id":5750,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/posts\/5748\/revisions\/5750"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/media\/5744"}],"wp:attachment":[{"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/media?parent=5748"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/categories?post=5748"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/wwwschutz.de\/blog\/wp-json\/wp\/v2\/tags?post=5748"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}