Was ein Website-DSGVO-Check leisten kann
Die DSGVO verlangt von jedem Website-Betreiber, dass er weiß, welche personenbezogenen Daten beim Besuch seiner Seite verarbeitet werden, und dass er darüber informiert. Auf der Website selbst entsteht der größte Teil davon ohne Ihr Zutun. Jedes eingebundene Skript, jede Schriftart von einem fremden Server und jedes eingebettete Video baut eine Verbindung zu einem Drittanbieter auf und überträgt dabei mindestens die IP-Adresse Ihrer Besucher.
Genau diesen Teil prüft ein automatischer Website-DSGVO-Check: das, was ein Browser beim Aufruf Ihrer Seite sieht. Andere Pflichten bleiben außen vor. Ihr Verzeichnis von Verarbeitungstätigkeiten, die Verträge zur Auftragsverarbeitung, Ihr Löschkonzept und der Umgang mit Auskunftsanfragen liegen nicht auf Ihrer Website. Kein Scan kann sie prüfen. Der Check deckt also einen Ausschnitt ab, aber den, an dem Außenstehende einen Fehler am leichtesten sehen.
Was Vigilex auf Ihrer Website prüft
- Drittanbieter-Dienste. Jede Verbindung zu einem fremden Server wird protokolliert und mit einem Katalog von über 500 Diensten in 21 Kategorien abgeglichen: von Analyse-Tools und Werbe-Pixeln über Schriften, Karten und eingebettete Videos bis zu Zahlungsanbietern, Live-Chats und Bewertungs-Widgets. Zu jedem Dienst steht der Nachweis, aus dem er erkannt wurde: die beobachtete Verbindung, ein Code-Marker im HTML oder ein Cookie.
- Einordnung je Dienst. Badges zeigen, ob ein Dienst nach unserem Katalog eine Einwilligung braucht, ob Daten in die USA gehen und ob ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig ist. Was nur über ein indirektes Signal erkannt wurde, ist als „unsicher“ markiert.
- Cookies. Jedes Cookie mit Name, Domain, Speicherdauer und dem Zeitpunkt: vor oder nach der Einwilligung im Cookie-Banner.
- Nicht zugeordnete Hosts. Verbindungen, die wir keinem Anbieter zuordnen können, führen wir offen auf.
- Infrastruktur. Shop-System oder CMS, CDN, Webserver und Frontend-Framework, soweit sie erkennbar sind. Dazu sechs Sicherheitsheader: Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy.
So läuft der Check ab
Ein Chromium-Browser mit leerem Profil ruft Ihre Startseite auf und scrollt sie bis zum Ende, damit auch nachgeladene Inhalte ausgeführt werden. Findet er einen Cookie-Banner, bestätigt er ihn mit „Alle akzeptieren“, lädt die Seite neu und erfasst den Zustand danach getrennt. Dann folgt er dem Footer-Link zu Ihrer Datenschutzerklärung und öffnet, falls verlinkt, eine Produktseite. Welche Seiten er besucht hat und mit welchem Status sie geantwortet haben, steht im Ergebnis unter „Geprüfte Seiten“. Der ganze Vorgang dauert meist 30 bis 60 Sekunden.
Typische Befunde
- Google Fonts vom Google-Server. Lädt Ihr Theme Schriften von Google, geht die IP-Adresse jedes Besuchers an Google. Das LG München I hat das 2022 ohne Einwilligung als unzulässig bewertet (Az. 3 O 17493/20). Der Check nennt als Alternative, die Schriften selbst zu hosten oder Bunny Fonts zu nutzen.
- Tag Manager und Analyse vor der Einwilligung. Google Tag Manager oder Google Analytics laden, bevor der Banner gefragt hat.
- Eingebettete Inhalte. YouTube-Videos oder Google Maps laden direkt beim Seitenaufruf statt erst nach einem Klick.
- Bibliotheken von öffentlichen CDNs. jQuery und andere Skripte kommen von Diensten wie cdnjs, jsDelivr, unpkg oder den Google Hosted Libraries. Auch das sind Empfänger.
- Fehlende Sicherheitsheader. Sie sind keine ausdrückliche DSGVO-Pflicht, geben aber einen Hinweis auf den Stand der technischen Absicherung, die Art. 32 DSGVO verlangt.
Das Ergebnis: Befund und Entwurf
Oben im Ergebnis sehen Sie die Kennzahlen auf einen Blick: erkannte Dienste, Kategorien, Dienste mit US-Transfer, Dienste mit Einwilligungspflicht und offene Punkte. Darunter folgt die Technik-Analyse mit allen Nachweisen.
Aus derselben Analyse entsteht ein Entwurf Ihrer Datenschutzerklärung nach Art. 13 DSGVO. Jeder erkannte Empfänger erscheint dort im Abschnitt zu Empfängern und Auftragsverarbeitern, gruppiert nach Rechtsgrundlage. Was der Scan nicht wissen kann, markiert der Entwurf als offenen Punkt: „Pflicht“ für alles, was vor der Veröffentlichung ergänzt werden muss, zum Beispiel Ihren Hosting-Anbieter oder die Rechtsgrundlage eines Dienstes. „Prüfen“ steht bei allem, was Sie bestätigen sollten. Den Entwurf laden Sie als Word-Datei herunter oder kopieren ihn als Markdown oder HTML.
Nächste Schritte
- Offene Punkte abarbeiten. Beginnen Sie mit allem, was als „Pflicht“ markiert ist.
- Dienste vor der Einwilligung abstellen. Was einwilligungspflichtig ist, sollte erst nach der Zustimmung laden.
- Verträge prüfen. Für jeden Dienst mit dem Hinweis „AVV nötig“ brauchen Sie einen Vertrag zur Auftragsverarbeitung.
- Erneut scannen und veröffentlichen. Ein zweiter Scan zeigt, ob die Änderungen greifen. Lassen Sie die Datenschutzerklärung vor der Veröffentlichung anwaltlich prüfen.
Keine Rechtsberatung
Der Website-DSGVO-Check liefert Information, keine Rechtsberatung. Er beschreibt, was beim Aufruf Ihrer Seite technisch passiert, und erstellt daraus einen Entwurf. Die rechtliche Bewertung im Einzelfall ersetzt er nicht. Vigilex ist in der Beta-Phase, Scan und Entwurf können unvollständig sein.