DSGVO-Check · technischer Teil · kostenlos
DSGVO-Check für Ihre Website: Was sich technisch prüfen lässt
Der DSGVO-Check der Webagentur Scherzinger ist der technische Teil des kostenlosen Website-Checks: Er prüft ohne Anmeldung, was sich an Datenschutz und Pflichtangaben messen lässt (Impressum, Datenschutzerklärung, Cookies bei der ersten Antwort, Google-Schriften, eingebettete Videos und Karten, Mailschutz) in 1–2 Minuten, ersetzt aber keine Rechtsberatung.
Prüfpunkte
Was der DSGVO-Check prüft
Diese 24 Prüfungen aus dem 343 Punkte umfassenden Prüfkatalog betreffen Datenschutz und Pflichtangaben. Sie laufen bei jedem Website-Check mit und stehen im Bericht in den Bereichen Kundenfreundlichkeit, Sicherheit und Marketing & Tracking.
Impressum und Pflichtangaben
Das Impressum ist keine Datenschutz-, sondern eine Informationspflicht (§ 5 DDG, siehe unser Ratgeber). Es gehört trotzdem zu jeder Datenschutz-Durchsicht, weil beides im Fußbereich liegt und gemeinsam geprüft wird.
| Prüfpunkt | Woran der Check ihn festmacht | Warum es zählt |
|---|---|---|
| Impressum verlinkt | Auf der Startseite gibt es einen Link, der „Impressum“ oder „Anbieterkennzeichnung“ heißt. | Ohne auffindbaren Link kann niemand erfahren, wer hinter der Seite steht. |
| Impressum mit Grundangaben | Textsuche auf der Impressumsseite nach fünf Grundangaben: Anbietername oder Rechtsform, Straße mit Hausnummer, Postleitzahl mit Ort, E-Mail-Adresse, zweiter Kontaktweg (Telefon, Formular oder Kontaktlink). | Fehlende Angaben fallen bei einer Durchsicht als Erstes auf. |
| Impressum: Vertretung und Registereintrag | Nur bei erkannter eingetragener Rechtsform (zum Beispiel GmbH): Vertretung, Registergericht und Registernummer. Einzelunternehmen werden nicht bewertet. | Für Gesellschaften sind Register und Vertretung Teil der Pflichtangaben. |
| Impressum auf jeder Seite verlinkt | Der Impressum-Link steht auf allen gecrawlten Seiten. | Das Impressum soll von jeder Seite aus leicht erreichbar sein. |
| Impressum und Datenschutz im Fußbereich verlinkt | Impressum und Datenschutz sind im Fußbereich (footer) der Seiten verlinkt. | Dort suchen Besucher die Pflichtangaben zuerst; ein Link nur im Menü oder Fließtext wird leicht übersehen. |
| Keine überholten Rechtshinweise | Suche nach alten Gesetzesverweisen (TMG, RStV) im Impressum und nach dem Hinweis auf die EU-Streitbeilegungsplattform. | Veraltete Verweise wirken ungepflegt; ob ein Hinweis noch nötig ist, klärt eine Fachperson. |
Datenschutzerklärung und Formulare
Hier sucht der Check nach Stichwörtern, nicht nach Inhalten. Er erkennt, ob ein Thema vorkommt, nicht, ob die Aussage stimmt.
| Prüfpunkt | Woran der Check ihn festmacht | Warum es zählt |
|---|---|---|
| Datenschutzerklärung verlinkt | Es gibt einen Link „Datenschutz“ oder „Datenschutzerklärung“. | Die Information über die Datenverarbeitung muss auffindbar sein. |
| Datenschutz auf jeder Seite verlinkt | Der Datenschutz-Link steht auf allen gecrawlten Seiten. | Besucher sollen die Erklärung von jeder Seite aus erreichen. |
| Datenschutzerklärung mit Pflichtangaben | Textsuche nach Verantwortlichem, Rechtsgrundlage, Beschwerderecht bei der Aufsichtsbehörde, Speicherdauer, Hosting und mindestens zwei Betroffenenrechten. | Eine Erklärung aus einem Generator-Rumpf lässt genau diese Abschnitte oft aus. |
| Formular nennt den Datenschutz | Formulare nennen einen Datenschutzhinweis (Text oder Link in der Nähe der Felder). | Wer Daten eingibt, soll vorher wissen, was damit geschieht. |
Cookies, Einwilligung und Fremdserver
Ob Cookies vor einer Einwilligung gesetzt werden, kann ein Check von außen nur eingeschränkt sehen. Die Einschränkung steht bei jedem Punkt dabei.
| Prüfpunkt | Woran der Check ihn festmacht | Warum es zählt |
|---|---|---|
| Keine Tracking-Cookies vor der Einwilligung | Nur die erste Serverantwort der Startseite wird auf bekannte Tracking-Cookie-Namen untersucht. Cookies, die erst per JavaScript entstehen, sieht der Check nicht. | Zählcookies und Werbecookies brauchen in der Regel vorher eine Einwilligung (§ 25 TDDDG). |
| Videos und Karten laden erst nach Klick | Videos und Karten bekannter Anbieter, die schon beim Öffnen der Seite im HTML eingebunden sind, gelten als „sofort geladen“. | Beim Laden fragt der Browser den Anbieter ab und übermittelt dabei mindestens die IP-Adresse. |
| Keine Google-Schriften von fremden Servern | Verweise auf fonts.googleapis.com oder fonts.gstatic.com im HTML. | Beim Abruf der Schriften bei Google wird die IP-Adresse der Besucher an Google übertragen. |
| Einwilligungslösung bei Tracking | Erkennt, ob bei vorhandenem Tracking ein Consent-Manager oder Google Consent Mode im Code steht. | Tracking ohne erkennbare Einwilligungslösung ist ein Warnzeichen. |
| Tracking-Skripte an die Einwilligung gebunden | Prüft am Quelltext, ob Tracking-Skripte an die Einwilligung gebunden sind. Wo das statisch nicht erkennbar ist, steht „nicht prüfbar“. | Skripte, die schon vor dem Klick laufen, helfen dem Banner nichts. |
| Ablehnen ist so leicht wie Zustimmen | Sucht im Banner-Code nach einem Ablehnen-Knopf auf der ersten Ebene. | Ablehnen soll so leicht sein wie Zustimmen. |
| Einwilligung jederzeit änderbar | Sucht nach einem Link, über den sich die Einwilligung später ändern lässt. | Wer eingewilligt hat, soll das widerrufen können. |
| Datenschutzerklärung nennt die eingebundenen Dienste | Vergleicht eingebundene Fremd-Server mit den Diensten, die in der Datenschutzerklärung stehen. | Dienste, die nicht genannt werden, fallen bei Rückfragen auf. |
| Teilen-Schaltflächen laden nicht von Fremdservern vor dem Klick | Sucht nach Teilen- und Gefällt-mir-Knöpfen, deren Skripte oder Frames schon beim Öffnen der Seite von Facebook, X und ähnlichen Diensten laden. | Solche Knöpfe übermitteln Besuchsdaten an den Anbieter, auch wenn niemand klickt. |
| Newsletter-Anmeldung nennt Einwilligung und Abmeldung | Nur wenn ein Newsletter-Formular erkannt wird: Steht daneben ein Hinweis auf Einwilligung oder Abmeldung? Das Bestätigungsverfahren selbst sieht der Check nicht. | Wer sich einträgt, soll wissen, wofür und wie er sich wieder abmeldet. |
E-Mail-Schutz
Gefälschte Absender sind kein Datenschutzthema im engeren Sinn, aber eines der Sicherheit rund um Kundendaten. Die Prüfung liest nur öffentliche DNS-Einträge. Erklärt wird sie im Ratgeber „SPF, DKIM, DMARC erklärt“.
| Prüfpunkt | Woran der Check ihn festmacht | Warum es zählt |
|---|---|---|
| SPF-Eintrag schützt vor gefälschten Absendern | Genau ein SPF-Eintrag, der mit ~all oder -all endet und höchstens zehn DNS-Abfragen auslöst. | Ohne SPF kann jeder im Namen Ihrer Domain Mails verschicken. |
| DKIM-Schlüssel gefunden | Stichprobe gängiger Schlüsselnamen unter _domainkey; ein Nicht-Fund ist kein Beweis, dass DKIM fehlt. | DKIM belegt, dass eine Mail unterwegs nicht verändert wurde. |
| DMARC-Eintrag vorhanden | Ein TXT-Eintrag unter _dmarc der Domain. | DMARC legt fest, was mit gefälschten Mails passieren soll. |
| DMARC weist Fälschungen nicht nur beobachtend ab | Die Richtlinie ist quarantine oder reject, nicht nur none. | Mit none beobachtet man nur, es wird nichts abgewiesen. |
Grenzen
Was der Check nicht prüft
- Ob die Verarbeitung personenbezogener Daten auf Ihrer Website rechtmäßig ist.
- Ob Einwilligungstexte und Datenschutzerklärung inhaltlich richtig und vollständig sind.
- Verträge, zum Beispiel zur Auftragsverarbeitung mit Ihrem Hoster oder Ihren Werkzeugen.
- Was nach dem Klick im Cookie-Banner tatsächlich passiert. Dafür müsste der Check JavaScript ausführen und Bedienschritte simulieren; beides tut er nicht.
- Dienste hinter einem Login, interne Abläufe und alles, was nicht öffentlich abrufbar ist.
Selbst beheben
So beheben Sie die technischen Punkte
- Google-Schriften lokal einbinden
- Laden Sie die verwendeten Schriften herunter, legen Sie sie auf Ihren eigenen Server und binden Sie sie per @font-face ein. Danach verschwinden die Verweise auf fonts.googleapis.com und fonts.gstatic.com aus dem HTML.
- Einbettungen erst nach Klick laden
- Zeigen Sie statt des Videos oder der Karte zunächst ein Vorschaubild mit einem Knopf. Erst nach dem Klick wird der Inhalt des Anbieters geladen. Eine Zwei-Klick-Lösung leistet das ohne eigenen Code.
- Cookies prüfen, wie Besucher sie bekommen
- Öffnen Sie Ihre Website in einem privaten Fenster, ohne das Banner anzuklicken, und sehen Sie in den Entwicklerwerkzeugen des Browsers nach, was gespeichert und abgerufen wurde. Wie das geht, erklärt der Ratgeber „Cookies vor der Einwilligung prüfen“.
- Impressum und Datenschutz in den Fußbereich
- Ein Link in einem Fußbereich, der auf jeder Seite erscheint, erfüllt „von jeder Seite aus erreichbar“ ohne Pflege im Einzelfall.
- Mailschutz beim Mailanbieter einrichten
- SPF, DKIM und DMARC sind DNS-Einträge. Ihr Mailanbieter nennt die Werte, Ihr Domain-Verwalter trägt sie ein.
Ausführlich erklärt: Impressum-Pflichtangaben, Cookies vor der Einwilligung prüfen und SPF, DKIM und DMARC.
Wann Sie rechtlichen Rat brauchen
- Wenn Sie unsicher sind, ob eine Datenverarbeitung zulässig ist oder welche Rechtsgrundlage gilt.
- Wenn Sie eine Abmahnung, ein Schreiben einer Behörde oder eine Auskunftsanfrage bekommen haben.
- Wenn Sie besonders sensible Daten verarbeiten, etwa Gesundheitsdaten.
- Dafür ist eine Rechtsanwältin oder ein Rechtsanwalt für IT- und Datenschutzrecht die richtige Adresse; bei allgemeinen Fragen helfen auch die Datenschutzaufsicht Ihres Bundeslandes und Ihre Kammer.
Die Anschriften der Datenschutzaufsichten der Länder führt die Bundesbeauftragte für den Datenschutz: Liste der Landesbehörden.
FAQ
Häufige Fragen zum DSGVO-Check
Ist das eine Rechtsprüfung?
Nein. Der Check sucht technische Anzeichen und typische Angaben im Text und meldet Hinweise. Er kann nicht beurteilen, ob Ihre Website rechtlich in Ordnung ist. Dafür brauchen Sie eine Fachperson.
Muss ich mich anmelden?
Nein. Sie geben die Adresse ein und bekommen den Bericht ohne Konto und ohne E-Mail-Adresse.
Wie viele Seiten werden geprüft?
Bis zu 25 Seiten pro Analyse, nicht nur die Startseite. Das Impressum und die Datenschutzerklärung müssen dafür zu den abgerufenen Seiten gehören.
Was ist mit „Cookies vor Einwilligung“ gemeint?
Cookies, die gesetzt werden, bevor ein Besucher im Banner zugestimmt hat. Der Check kann davon nur einen Teil sehen: die Cookies in der ersten Serverantwort der Startseite. Was per JavaScript entsteht, bleibt ihm verborgen.
Wieso prüft ein Check den Mailschutz?
Weil gefälschte Absender Ihre Kunden treffen können. SPF, DKIM und DMARC sind öffentliche DNS-Einträge, die der Check ohne Zugriff auf Ihren Mailserver lesen kann.
Wo bekomme ich rechtliche Beratung?
Bei einer Rechtsanwältin oder einem Rechtsanwalt für IT- und Datenschutzrecht. Für allgemeine Fragen ist die Datenschutzaufsicht Ihres Bundeslandes zuständig; ihre Anschriften führt die Bundesbeauftragte für den Datenschutz auf.
Bereit? Der Check dauert ein bis zwei Minuten.
Sie bekommen alle Prüfbereiche, nicht nur diesen, mit Maßnahmenplan.