Technical Compliance
DSGVO Website Checkliste
Praktische Checkliste für Cookie-Consent, Datenschutztexte, Processor, Formulare und Auskunftsersuchen auf DE/EU-Business-Sites. Für Operatoren, die Kontrollen brauchen, keine Slogans.
Kurz gesagt
- Eine DSGVO-taugliche Website braucht funktionierenden Consent für nicht notwendige Cookies, eine treffende Datenschutzerklärung, AV-Verträge, einen echten Betroffenenrechte-Pfad, eine Processor-Liste und Formulare, die nur Nötiges erheben.
- Deutschland/EU ist der Primärrahmen: Impressum und Datenschutz müssen leicht erreichbar sein; Consent muss Marketing-/Analytics-Tags bis zur Zustimmung blockieren.
- US-Leser mit EU-Besuchern brauchen für diesen Traffic trotzdem DSGVO. US-State-Privacy (z. B. CCPA/CPRA) kann parallel für US-Residenten gelten.
- Checkliste ≠ Rechtsberatung. Lücken finden, dann mit Anwalt für Ihre Entity klären. Für einen technischen Pass: unser DSGVO-Audit.
Für wen das ist
Website-Operatoren in Deutschland und der EU, die eine prüfbare Kontrollliste brauchen.
Viele „DSGVO-konform“-Claims in Agenturangeboten bedeuten: ein Cookie-Banner wurde installiert. Das reicht nicht. Compliance auf einer Live-Site sind Kontrollen, auf die Sie zeigen können: Consent bevor Tags feuern, treffende Hinweise, Verträge mit Vendors und ein Weg, wenn jemand seine Daten verlangt.
Diese Checkliste zielt auf Marketing-Sites, Lead-Gen-WordPress und B2B-Produktseiten mit Analytics, Ads, Chat oder CRM-Embeds. Primär Deutschland/EU. US-Unternehmen mit EU-Traffic oder EU-Tochter: EU-Besucherpfad ist in Scope.
US-only Sites ohne EU-Targeting profitieren trotzdem von Hygiene (Processor-Liste, Aufbewahrung, Formular-Minimierung). Prüfen Sie separat, ob US-State-Privacy für Ihre Residenten gilt. Diese Seite ersetzt diese Prüfung nicht.
Ein Cookie-Banner ohne blockierte Tags ist Dekoration, kein Consent.
Checkliste
Zwölf Website-DSGVO-Kontrollen auf Production prüfen.
01
Verarbeitung auf der Website kartieren
Jeden Ort listen, an dem personenbezogene Daten erhoben oder geladen werden: Formulare, Chat, Booking, Newsletter, Analytics, Ads, CDN-Logs, Error-Tracker und CRM-Embeds. Was nicht auf der Karte steht, steht nicht in der Datenschutzerklärung.
02
Cookie- und ähnliche Technik inventarisieren
Cookies, localStorage, Pixel und SDKs nach Zweck dokumentieren (notwendig, funktional, Analytics, Marketing). Wer setzt sie, und feuern sie vor Consent?
03
Consent vor nicht notwendigen Tags
Marketing und Analytics dürfen erst nach Zustimmung laden. Im frischen Browser testen: Alles ablehnen, dann prüfen, dass GA, Meta, LinkedIn, Hotjar und Ähnliches still bleiben. Ablehnen und Akzeptieren gleich einfach.
04
Datenschutzerklärung, die zur Realität passt
Zwecke, Rechtsgrundlagen, Datenkategorien, Aufbewahrung, Empfänger, internationale Transfers und Rechte müssen zum Live-Stack passen. Policy aktualisieren, wenn ein Tool hinzukommt. Weiche Texte, die echte Pixel ignorieren, fallen in Audits durch.
05
Impressum und erreichbare Legal-Links (DE/EU)
Auf deutschen Sites müssen Impressum und Datenschutz praktisch von jeder Seite erreichbar sein (Footer ist üblich). Kaputte oder versteckte Links sind ein häufiger Fail in Reviews.
06
Processor-Liste und AV-Verträge
Jeder Vendor, der personenbezogene Daten für Sie verarbeitet, braucht einen Auftragsverarbeitungsvertrag (Art. 28). Hosting, E-Mail, CRM, Analytics, Chat, Formular-Backends und Error-Logging zählen. Unterschriebene Kopien aufbewahren.
07
Internationale Transfers dokumentieren
Geht Daten in die USA oder andere Drittländer, Transfer-Tool festhalten (Angemessenheit, SCCs, plus Transfer-Impact-Notizen wo nötig). „Wir nutzen US-SaaS“ ohne Papier ist eine Lücke.
08
Betroffenenrechte / DSAR-Pfad
Veröffentlichen, wie Menschen Auskunft, Löschung oder Berichtigung verlangen. Inbox an eine menschliche Owner-Person mit Frist (meist ein Monat). Testen, dass Sie Website- und CRM-Datensätze wirklich exportieren oder löschen können.
09
Formulare: Minimierung und Zweck
Nur Felder erheben, die Sie nutzen. Zweck benennen. Marketing-Consent nicht vorabhaken. Formulardaten in ein bekanntes System mit Aufbewahrung legen. Vermeiden Sie, Formulardaten für immer in einer Zufalls-Inbox zu parken.
10
Security-Basics auf dem Site-Pfad
HTTPS überall, Admin-Zugang begrenzt, Secrets nicht im Repo, Vendors gepatcht. Die DSGVO erwartet angemessene Sicherheit; öffentliches wp-admin mit schwachen Passwörtern untergräbt das Papier.
11
Verzeichnisse und Aufbewahrung
Wissen, wie lange Leads, Tickets und Analytics-IDs gehalten werden. Planmäßig löschen oder anonymisieren. Verwaiste CRM-Listen und ewige Formular-CSVs sind häufige Funde.
12
Nach jedem Marketing-Stack-Change erneut testen
Neues Pixel, neuer Chatbot, neues A/B-Tool: Consent-Blocking, Datenschutztext und AVV-Status vor Launch erneut prüfen. Compliance verfällt, wenn Growth-Tools ohne Review shippen.
Schnelle Evidenz-Map
Was „fertig“ für jede Kontrollfamilie heißt.
| Kontrolle | Evidenz auf der Live-Site | Häufiger Fail |
|---|---|---|
| Consent | Alles ablehnen funktioniert; Analytics-Netzwerkcalls fehlen bis Accept | Tags feuern beim Page Load vor jeder Wahl |
| Datenschutzerklärung | Listet echte Tools, Zwecke und Rechte-Kontakte | Generisches Template ohne Chat, CRM oder US-Processor |
| AVV / Processor | Unterschriebene Art.-28-Verträge für jeden Vendor | Nur der Host hat Vertrag; Pixel ignoriert |
| Betroffenenrechte | Veröffentlichte E-Mail/Formular plus getesteter Export/Lösch-Pfad | privacy@-Alias, den niemand monitort |
| Formulare | Minimale Felder, Zwecktext, bekannte Aufbewahrung | Optionale Felder als Pflicht; kein Abmeldeweg |
Deutschland / EU vs. US-Leser
Für EU-Besucher bauen, wenn sie die Site erreichen können.
Deutsche Sites sollten Impressum, Datenschutz und Consent-UX als Pflicht sehen. Aufsicht und Wettbewerberbeschwerden starten oft bei einem Banner, der Tags nicht blockiert, oder einer Policy, die echte Processor ignoriert.
US-Unternehmen mit Verkauf nach Europa brauchen dieselben Website-Kontrollen für EU-personenbezogene Daten. Parallel können US-State-Privacy-Gesetze Notice, Opt-out und Consumer Requests für US-Residenten verlangen. Beide Tracks fahren, wenn beide Audiences existieren.
Diese Checkliste entscheidet nicht Ihre Rechtsgrundlagen oder ob Sie einen DSB brauchen. Sie sagt, ob die Website-Umsetzung einer ernsthaften DSGVO-Haltung entspricht.
Ein-Stunden-Smoke-Test
Das im privaten Fenster laufen lassen, bevor die Site „fertig“ heißt.
✓
Homepage mit Alles ablehnen: keine Analytics/Ads-Requests im Network-Panel.
✓
Nur Analytics akzeptieren: nur diese Tags feuern; Marketing bleibt aus, wenn nicht akzeptiert.
✓
Datenschutzerklärung öffnen: jedes Live-Tool aus dem Network-Panel ist genannt.
✓
Test-Lead absenden: Daten landen im erwarteten System; Bestätigungsmail passt zum Hinweis.
✓
Test-DSAR an die veröffentlichte Adresse: jemand bestätigt innerhalb Ihrer SLA.
✓
AVVs für Host, E-Mail, CRM und jeden Tag, der personenbezogene Daten verarbeitet, bestätigen.
Audit vs. Checkliste
Checkliste wöchentlich. Audit, wenn der Einsatz hoch ist.
Smoke-Test nach jedem Stack-Change. Tiefere Prüfung vor Funding, Enterprise-Security-Review oder nach Jahren unkontrollierter Pixel. Unser technisches DSGVO-Audit schaut darauf, was Site und Vendors wirklich tun. Preiskontext: DSGVO-Audit Kosten.
Website-Fixes mit ehrlichem Datenschutztext und Anwaltsreview für Entity-Fragen koppeln. Engineering kann Tags blocken; eine Rechtsgrundlage erfinden kann es nicht.
Häufige Fragen
Was Leute zur DSGVO auf Websites fragen.
Was ist eine DSGVO Website Checkliste?
Eine praktische Kontrollliste: Consent, der nicht notwendige Cookies blockiert, treffende Datenschutzerklärung, AV-Verträge, Betroffenenrechte-Pfad, Processor-Inventar, HTTPS/Admin-Hygiene und Formulare, die nur Nötiges erheben. Sie prüft die Live-Site. Eine Folie allein ist unvollständig.
Reicht ein Cookie-Banner für die DSGVO?
Nein. Der Banner muss gültigen Consent einholen, bevor Analytics- und Marketing-Tags laden, eine echte Ablehnen-Option bieten und zur Datenschutzerklärung passen. Ein Banner als Dekoration, während Tags sofort feuern, ist unvollständig. Deutschland-spezifisch: Cookie Banner DSGVO. Für Analytics: Google Analytics DSGVO.
Brauchen US-Unternehmen DSGVO auf ihrer Website?
Wenn Sie über die Site personenbezogene Daten von Menschen in der EU/EWR (bzw. UK-GDPR wo anwendbar) verarbeiten, gelten diese Regeln für diese Verarbeitung. US-State-Privacy kann zusätzlich für US-Residenten gelten. Beide Audiences klar scopen.
Was ist ein AVV und wer braucht einen?
Ein Auftragsverarbeitungsvertrag (Art. 28 DSGVO) ist der Vertrag zwischen Ihnen (Verantwortlicher) und einem Vendor, der personenbezogene Daten für Sie verarbeitet. Hosting, E-Mail, CRM, Analytics, Chat und Formular-Backends brauchen typischerweise einen.
Wie behandle ich Betroffenenanfragen von der Website?
Kontaktweg veröffentlichen, Owner zuweisen, Anfragen bestätigen und personenbezogene Daten im Site-Stack und verbundenen CRM innerhalb der gesetzlichen Frist finden, exportieren, berichtigen oder löschen können. Den Pfad testen, bevor Sie ihn brauchen.
Wie oft sollten wir Website-DSGVO-Kontrollen neu prüfen?
Nach jedem neuen Pixel, Chatbot oder Formular-Tool, und mindestens quartalsweise den Smoke-Test. Marketing-Stacks ändern sich schneller als Legal-Seiten. So entstehen die meisten Lücken.
Hier starten
Bereit fürs Gespräch.Schicken Sie uns die Eckdaten.
oder 15-Minuten-Gespräch buchen →oder direkt per E-Mail →
Unklar, wo Sie anfangen sollen? Schicken Sie die Seite, den Workflow oder das Backlog, das gerade stört. Wir sagen Ihnen, ob ein Scope-Gespräch, eine kurze Diagnose oder ein anderer erster Schritt passt.