Selbstcheck · Quellen geprüft am 29. Juli 2026
DSGVO Website Checkliste: Evidenz festhalten
Geben Sie der Website keinen Compliance-Score. Testen Sie definierte Routen und Zustände, zeichnen Sie das Verhalten auf, benennen Sie den Entscheidungs-Owner und halten Sie fest, was nicht verifiziert werden konnte. Damit können Engineering, Marketing und Datenschutz arbeiten.
Hier starten
- Nutzen Sie vier Status: beobachtet, im Test abwesend, blockiert und Entscheidung nötig. Diese Status können weder Konformität noch Nonkonformität feststellen.
- Testen Sie den Erstbesuch vor jeder Auswahl, Ablehnen, zweckbezogenes Akzeptieren und Widerrufen. Wiederholen Sie den Test auf repräsentativen Routen, Sprachen, Login-Zuständen und Märkten.
- Erfassen Sie Netzwerkanfragen, Cookies und anderen Browser-Speicher, Formularziele, Anbieterkonfiguration, Hinweise und eine synthetische Betroffenenanfrage.
- Benennen Sie bei Bedarf zwei Owner: die Person, die die Umsetzung ändern kann, und DSB, Datenschutzverantwortliche oder Rechtsberatung für die rechtliche Entscheidung.
- Diese Checkliste ist ein interner Selbstcheck. Sie entscheidet nicht, ob die DSGVO gilt, ob eine Einwilligung rechtlich wirksam ist oder ob die Organisation compliant ist.
Die Methode
Ein Score versteckt die Bedingungen. Ein Evidenzregister hält sie sichtbar.
Derselbe Tag kann auf der Startseite still bleiben und auf einem Kampagnen-Template zu früh laden. Ein Formular kann in Deutschland zum erwarteten CRM und in einem anderen Markt zu einem unerwarteten Automations-Endpunkt senden. „10 von 12“ zeigt keines der Probleme.
Erstellen Sie eine Zeile pro Beobachtung. Notieren Sie Route, Sprache, Markt, Browser- oder Login-Zustand, Consent-Status, Zeitpunkt, Request oder Workflow, Artefakt, technischen Owner, Datenschutz- oder Rechts-Owner und nächsten Test. Fehlt der Zugriff, markieren Sie blockiert. Ist das Verhalten klar, die rechtliche Behandlung aber nicht, markieren Sie Entscheidung nötig.
Das Register ist operative Evidenz, keine Rechtsmeinung. Die DSGVO setzt den rechtlichen Rahmen. Die verantwortliche Datenschutz- oder Rechtsrolle wendet ihn auf Organisation und Sachverhalt an.
Evidenzregister
Diese Spalten gehören in jeden Check.
| Feld | Festhalten | Beispiel |
|---|---|---|
| Scope | Route, Sprache, Markt, Browser-/Login-Zustand, Consent-Status | /de/contact, ausgeloggt, alles ablehnen |
| Beobachtung | Was Browser, Oberfläche, Konfiguration oder Workflow getan haben | Request zum Analytics-Anbieter erschien vor jeder Auswahl |
| Artefakt | HAR-/Network-Zeile, Screenshot, Speicherexport, Konfiguration, Dokument, synthetischer Datensatz oder Ticket | HAR-Datei und Screenshot des Tag-Manager-Triggers |
| Status | Beobachtet, im Test abwesend, blockiert oder Entscheidung nötig | Beobachtet |
| Owner | Technischer Owner und Datenschutz-/Rechts-Owner | Webteam; DSB |
| Aktion und Retest | Änderung, Abnahmekriterium und zu wiederholender Zustand | Nicht vor Analytics-Einwilligung auslösen; Erstbesuch/Ablehnen/Akzeptieren/Widerrufen wiederholen |
Zwölf Checks
Führen Sie den Website-Check in dieser Reihenfolge aus.
01
Anwendungsentscheidung dokumentieren
Gehen Sie nicht davon aus, dass die DSGVO gilt, nur weil jemand die Website öffnen kann. Halten Sie Niederlassung, Zielgruppe, Angebot und Monitoring für die verantwortliche Prüfung fest. Artikel 3 erfasst Verarbeitung im Kontext einer EU-Niederlassung und bestimmte Angebote oder Verhaltensbeobachtung von Menschen in der EU. Rechtsberatung oder DSB trifft die Schlussfolgerung.
02
Beobachtbare Fläche inventarisieren
Listen Sie repräsentative Routen, Formulare, Konten, Checkout-Schritte, Tags, Pixel, Embeds, Cookies, Local Storage, CDNs, Logs, Fehlertools, CRM-Endpunkte und Anbieter. Notieren Sie, was Staging, Testkonto oder Konfigurationszugriff braucht.
03
Jeden Consent-Zustand testen
Nutzen Sie ein frisches Browserprofil. Erfassen Sie das Verhalten vor jeder Auswahl, nach Ablehnen, nach jeder zweckbezogenen Einwilligung und nach Widerruf. § 25 TDDDG regelt Speichern oder Zugreifen auf Informationen im Endgerät und enthält enge Ausnahmen. DSB oder Rechtsberatung entscheidet über die konkrete Technologie.
04
Datenschutzhinweis mit Laufzeitverhalten vergleichen
Gleichen Sie beobachtete Zwecke, Daten, Empfänger, Länder, Aufbewahrungsangaben und Kontaktwege mit dem Datenschutzhinweis ab. Erfassen Sie Auslassungen und Widersprüche. Erfinden Sie keine fehlende Rechtsgrundlage oder Formulierung, sondern geben Sie die Entscheidung an den Datenschutz-Owner.
05
Legal-Links nach der richtigen Regel prüfen
Prüfen Sie auf repräsentativen Routen und Geräten, ob Datenschutz- und Anbieterinformationen funktionieren. In Deutschland behandelt § 5 DDG Anbieterinformationen für Dienste in seinem Anwendungsbereich separat. Bezeichnen Sie nicht jedes Footer-Problem als DSGVO-Befund.
06
Rolle jedes Anbieters einordnen lassen
Halten Sie fest, was jeder Anbieter erhält und warum. Die verantwortliche Prüfung ordnet ihn als Auftragsverarbeiter, Verantwortlichen, gemeinsam Verantwortlichen oder andere Rolle ein. Artikel 28 gilt für Auftragsverarbeiter. Ein technisches Inventar darf nicht für jeden Anbieter dieselbe Rolle annehmen.
07
Empfänger und Länder festhalten
Erfassen Sie Endpunkt, Anbieter-Gesellschaft, bekannten Verarbeitungsort und mögliche Weiterleitung. Verlinken Sie den Vertrag oder Transfernachweis der Organisation. Markieren Sie Angemessenheit, Garantien, ergänzende Maßnahmen und Hinweistexte als Datenschutz- oder Rechtsentscheidungen.
08
Synthetische Betroffenenanfrage verfolgen
Nutzen Sie einen synthetischen Datensatz. Testen Sie Eingang, Übergabe der Identitätsprüfung, Suche im Website-Stack und verbundenen Systemen, Review, Antwort, Berichtigung sowie Lösch- oder Einschränkungsschritte. Dokumentieren Sie Ausnahmen und Fristentscheidungen. Die EDSA-Leitlinien erklären den Rechtsprozess; der Test belegt nur den beobachteten Workflow.
09
Jedes Formularziel verfolgen
Erfassen Sie für jedes Feld Zweck, Pflicht- oder Optionalstatus, Ziel, Empfänger, Bestätigung, Marketingauswahl und geplante Aufbewahrung. Prüfen Sie mit synthetischen Einsendungen, wo der Datensatz erscheint. Geben Sie vorgewählte Marketingoptionen und undokumentierte Kopien zur Prüfung.
10
Sicherheitsevidenz für den Pfad sammeln
Prüfen Sie Transportsicherheit, Admin-Zugriffe, Umgang mit Secrets, Patch-Verantwortung, Drittanbieter-Skripte, Logging, Backups und Wiederherstellung im Scope. Artikel 32 ist risikobasiert. Eine Browser-Checkliste kann Evidenz und Lücken benennen, aber keine Sicherheitsmaßnahmen der Organisation zertifizieren.
11
Aufbewahrung und Löschung testen
Dokumentieren Sie freigegebene Aufbewahrungsregel, System-Owner, Lösch- oder Anonymisierungsmechanismus, Ausnahmen und Ausführungsevidenz. Eine Zahl im Datenschutzhinweis beweist nicht, dass CRM, Inbox, Analytics-Tool, Backups und Exporte ihr folgen.
12
Änderungsauslöser und Retest definieren
Wiederholen Sie betroffene Checks, wenn sich Route, Tag, Consent-Konfiguration, Formular, Anbieter, Ziel, Zweck, Aufbewahrungsregel, Markt oder Rechtsentscheidung ändert. Verknüpfen Sie Release-Ticket und zu wiederholende Zustände. Änderungsauslöser bilden die reale Ursache ab; ein erfundenes Kalenderintervall kann das nicht.
Begrenzter Browser-Smoke-Test
Führen Sie diesen Test vor dem Release auf repräsentativen Routen aus.
✓
Mit frischem Profil starten. Route, Sprache, Markt, Zeit, Netzwerklog und Browser-Speicher vor jeder Auswahl sichern.
✓
Optionale Zwecke ablehnen. Festhalten, welche Requests und Speichereinträge erscheinen, verschwinden oder bleiben.
✓
Einen Zweck nach dem anderen akzeptieren. Nur die durch diese Auswahl verursachte Änderung festhalten.
✓
Auswahl widerrufen oder ändern. Künftige Requests, neuen Speicher sowie veränderte oder verbleibende Kennungen erfassen.
✓
Jedes repräsentative Formular mit synthetischen Daten absenden. Alle Ziele und Bestätigungen verfolgen.
✓
Beobachtete Anbieter und Zwecke mit aktuellem Datenschutzhinweis und internem Inventar vergleichen.
✓
Blockierte Tests und Rechtsentscheidungen markieren. Fehlenden Zugriff nicht in einen Pass umdeuten.
Nächster Schritt: Compliance
Compliance-Check zu: DSGVO Website Checkliste
Schicken Sie uns den aktuellen Stand Ihrer Website. Wir antworten mit den Risiken, die wirklich zählen, nicht mit einer generischen Checkliste.
Rechtlicher Rahmen
Regel, Beobachtung und Entscheidung getrennt halten.
| Quelle | Welche Frage sie strukturiert | Was der Selbstcheck belegen kann |
|---|---|---|
| DSGVO auf EUR-Lex ↗ | Anwendung, Grundsätze, Information, Rechte, Technikgestaltung, Auftragsverarbeitung, Verzeichnisse und Sicherheit | Nur beobachtete Umsetzung und verfügbare Artefakte |
| § 25 TDDDG ↗ | Speichern von oder Zugriff auf Informationen im Endgerät und Ausnahmen | Was in jedem Testzustand gespeichert oder ausgelesen wurde |
| DSK Orientierungshilfe Digitale Dienste ↗ | Deutsche Aufsichtsauslegung zu Einwilligung und Umsetzung digitaler Dienste | Oberflächen- und Laufzeitverhalten unter dokumentierten Bedingungen |
| EDSA-Leitlinien zur Einwilligung ↗ | Freiwilligkeit, Spezifität, Informiertheit, Eindeutigkeit und Widerruf | Auswahlweg, Darstellung und technische Wirkung; abschließende Rechtswirksamkeit außerhalb des Tests |
| EDSA-Leitlinien zum Auskunftsrecht ↗ | Eingang, Identität, Suche, Antwort, Kopien, Fristen und Grenzen | Synthetische Workflow-Spur; reale Anfragen und Rechtsausnahmen außerhalb des Tests |
| § 5 DDG ↗ | Anbieterinformationen für digitale Dienste im Anwendungsbereich | Ob Link und angezeigte Informationen vorhanden und erreichbar sind |
Wo der Selbstcheck endet
Entscheidung eskalieren. Evidenz behalten.
Stoppen Sie an der Grenze, wenn DSGVO-Anwendbarkeit, Rechtsgrundlage, TDDDG-Erforderlichkeit, Rollen von Verantwortlichen oder Auftragsverarbeitern, Transfergarantien, Hinweistext, Aufbewahrungsausnahmen, Identitätsprüfung, Ablehnung einer Betroffenenanfrage, DSFA-Bedarf oder rechtliche Priorität entschieden werden müssen. Geben Sie dem Reviewer die konkrete Registerzeile und das zugehörige Artefakt.
Der Cookie-Banner-Leitfaden vertieft die Consent-Umsetzung. Der Google-Analytics-Leitfaden behandelt Analytics-spezifische Fragen.
Für unabhängige Zustandstests, Konfigurationsevidenz, Befund-Ownership und Retest nutzen Sie das technische DSGVO-Audit. Der Kostenleitfaden zeigt, wie sich Scopes und veröffentlichte Preise vergleichen lassen.
Häufige Fragen
Fragen vor dem Website-Selbstcheck.
Beweist diese Checkliste, dass unsere Website DSGVO-konform ist?
Nein. Sie dokumentiert beobachtbare Umsetzungsevidenz und offene Entscheidungen für einen definierten Scope. DSGVO-Anwendbarkeit, Rechtsgrundlagen, Einwilligungswirksamkeit, Verträge, Transfers, Aufbewahrungsausnahmen und organisatorische Compliance brauchen eine verantwortliche Datenschutz- oder Rechtsprüfung.
Führt jeder Website-Besuch aus der EU zur DSGVO?
Reine Erreichbarkeit ist nicht der vollständige Test aus Artikel 3. Relevant sind unter anderem Verarbeitung im Kontext einer EU-Niederlassung, Angebote an Menschen in der EU und Beobachtung ihres Verhaltens in der EU. Dokumentieren Sie die Fakten und lassen Sie den verantwortlichen Reviewer den Scope entscheiden.
Braucht jedes Analytics-Tool in Deutschland eine Einwilligung?
Entscheiden Sie nicht anhand des Produktnamens. Erfassen Sie, was die Technologie im Endgerät speichert oder ausliest, ob eine Ausnahme nach § 25 TDDDG beansprucht wird, welche personenbezogenen Daten verarbeitet werden sowie Zweck und angegebene Rechtsgrundlage. DSB oder Rechtsberatung bewertet die konkrete Konfiguration.
Braucht jeder Anbieter einen Auftragsverarbeitungsvertrag?
Artikel 28 gilt, wenn ein Anbieter als Auftragsverarbeiter handelt. Anbieter können andere Rollen haben. Inventarisieren Sie Daten, Zweck, Weisungen, Gesellschaften und Vertrag. Geben Sie Einordnung und erforderliche Vereinbarung an den verantwortlichen Datenschutz- oder Rechts-Owner.
Wie oft sollten wir die Checkliste ausführen?
Nutzen Sie Änderungsauslöser. Wiederholen Sie betroffene Checks, wenn sich Route, Tag, Consent-Setup, Formular, Anbieter, Ziel, Zweck, Aufbewahrungsregel, Markt oder Rechtsentscheidung ändert. Die Organisation kann einen risikobasierten Kalenderreview ergänzen. Diese Seite erfindet kein Intervall für jede Website.
Was tun wir, wenn ein Check blockiert ist?
Dokumentieren Sie fehlenden Zugriff, System, Owner oder Artefakt und markieren Sie die Zeile als blockiert. Weisen Sie Aktion und verantwortliche Person zu. Ein blockierter Check ist eine ausdrückliche Grenze, kein Pass und nicht automatisch ein Rechtsverstoß.
Verfasst von
Vineet Talwar
Co-Founder, Tech & Operations bei Some Tech Work. WordCamp-Speaker in Europa und Asien und Host des WP-Shoutout-Podcasts.
Hier starten
Bereit fürs Gespräch.Buchen Sie eine kurze Diagnose.
Sagen Sie uns, was nicht läuft
Wir lesen jedes Briefing und antworten innerhalb eines Werktags.
Lieber erst sprechen?oder Tech-Stack-Audit anfragen →oder direkt per E-Mail →
Unklar, wo Sie anfangen sollen? Schicken Sie die hängende Entscheidung, den Workflow oder die Seite. Wir sagen, ob ein Diagnosegespräch, ein Tech-Stack-Audit oder ein anderer erster Schritt passt.