Der DSGVO Website-Check untersucht Webseiten automatisch auf datenschutzrelevante
Merkmale. Die Ergebnisse werden als farbige Indikatoren dargestellt.
Diese Seite erklärt, was jeder Indikator bedeutet und welche Konsequenzen sich daraus
ergeben können.
Wichtig: Eine automatisierte Prüfung kann keine Rechtsberatung ersetzen und
liefert Hinweise, die einer manuellen Überprüfung durch eine Fachkraft bedürfen.
Cookies sind kleine Datenpakete, die eine Webseite im Browser des Besuchers speichert. Technisch notwendige Cookies (z. B. für den Login oder Warenkorb) sind ohne Einwilligung erlaubt. Marketing- und Tracking-Cookies hingegen erfordern eine aktive, freiwillige Einwilligung der Nutzerin bzw. des Nutzers.
Als „unsichere Tools" werden Plugins, Skripte und eingebundene Dienste eingestuft, die Daten in Drittstaaten – insbesondere in die USA – übertragen können. Ob ein solcher Datentransfer zulässig ist, hängt maßgeblich davon ab, ob der jeweilige Anbieter unter dem EU-US Data Privacy Framework (EU-US DPF) zertifiziert ist.
Kritische Tools sind Plugins, Skripte und Dienste, die ohne eine vorherige, ausdrückliche Einwilligung der Nutzerinnen und Nutzer nicht eingesetzt werden dürfen. Dazu zählen typischerweise Analyse-, Werbe- und Social-Media-Dienste, die personenbezogene Daten erheben oder verarbeiten.
Gemäß DSGVO (Art. 13/14) müssen Datenschutzhinweise für Nutzerinnen und Nutzer jederzeit und von jeder Unterseite der Website aus leicht erreichbar sein. Der Check prüft, ob ein entsprechender Link vorhanden und erreichbar ist.
Beim Laden einer Webseite können Ressourcen (Bilder, Skripte, Schriftarten etc.) von externen Servern nachgeladen werden. Dies ist datenschutzrechtlich relevant, da dabei die IP-Adresse der Besucherin bzw. des Besuchers an fremde Server übertragen wird.
Gelistet werden Dateien, die:
- weder der eigenen Top-Level-Domain noch einem bekannten, eingestuften Dienst zugeordnet werden konnten,
- von Subdomains der geprüften Website geladen werden (können eigene Server sein, aber auch Drittanbieter).
Google-Dienste erhalten einen eigenen Indikator, weil sie erfahrungsgemäß besonders
umfangreich Nutzerdaten erheben. Besonders kritisch sind Cookies auf allgemeinen
Google-Domains (z. B. google.de, google.com),
da deren Verhalten von der Browserhistorie der Besucherin bzw. des Besuchers abhängt –
der Website-Betreiber hat darüber keine vollständige Kontrolle und Transparenz.
Tracking-Skripte verfolgen das Verhalten von Website-Besucherinnen und -Besuchern über Seitenaufrufe, Klicks, Scroll-Verhalten oder geräteübergreifend hinweg. Unabhängig davon, ob dabei Cookies eingesetzt werden, ist von einer Einwilligungspflicht auszugehen.
Typische Beispiele sind: Analysedienste (z. B. Matomo ohne Anonymisierung, Hotjar), Retargeting-Pixel (z. B. Meta Pixel, LinkedIn Insight Tag) oder Session-Recording-Tools.
SSL/TLS-Verschlüsselung schützt die Übertragung von Daten zwischen Browser und Webserver vor Abhören und Manipulation. Art. 32 DSGVO schreibt geeignete technische Schutzmaßnahmen vor – eine aktuelle, korrekt eingerichtete HTTPS-Verbindung gehört zum Mindeststandard.