DSGVO-Schnelltest für deine Website: 10 Prüfpunkte in 10 Minuten

Zehn Minuten. So lange dauert es, die Stellen zu finden, an denen die meisten Firmenseiten hängen. Die Reparatur dauert länger, der Befund nicht.

Ob deine Website DSGVO-konform ist, entscheidet sich an zehn Punkten, die du selbst nachsehen kannst. Ohne Kanzlei, ohne Audit-Angebot vorweg. Du brauchst einen Browser, ein privates Fenster und die Entwicklertools, die sich mit F12 öffnen. Gerechnet mit 50 Euro internen Stundenkosten kostet dich der Durchlauf gut acht Euro.

Kein Punkt hier fragt nach deiner Einschätzung. Jeder ist erfüllt oder nicht. Die zehn Minuten decken den Durchlauf ab, nicht das Aufräumen danach. Wo ein Punkt mehr Zeit braucht, steht die Zahl dabei.

Zehn Prüfpunkte, mit denen du deine Website DSGVO-konform bekommst

1. Datenschutzerklärung erreichbar und ehrlich. Öffne drei zufällige Unterseiten, eine Produkt- oder Leistungsseite, einen Beitrag und die Kontaktseite. Führt von jeder ein Link zur Datenschutzerklärung? Dann lies sie einmal gegen die Realität: Steht jeder Dienst drin, den du wirklich einsetzt? Artikel 13 DSGVO verlangt die Information zum Zeitpunkt der Erhebung, also bevor jemand ein Formular abschickt. Fehlt der Link auf einer der drei Seiten, hast du keine Formulierungsfrage, sondern eine verletzte Informationspflicht.

2. Impressum in maximal zwei Klicks. Von der Startseite aus zählen. Der Bundesgerichtshof hat am 20. Juli 2006 unter dem Aktenzeichen I ZR 228/03 entschieden, dass zwei Klicks für die Anbieterkennzeichnung reichen. Ab dem dritten wird es eng, und versteckt in den AGB oder in der Datenschutzerklärung zählt es gar nicht. Grundlage ist seit Mai 2024 § 5 DDG, nicht mehr das TMG. Fehlbefund heißt hier vor allem: abmahnbar, und zwar von jedem Wettbewerber.

3. TLS wirklich überall. Das Schloss in der Adresszeile ist kein Beweis. Ruf deine Seite ausdrücklich über http://deinedomain.de auf. Landest du nicht automatisch auf der verschlüsselten Fassung, fehlt die Weiterleitung. Danach die Konsole in den Entwicklertools öffnen und nach Mixed-Content-Warnungen schauen, also Bildern oder Skripten, die noch über HTTP nachgeladen werden. Verschlüsselung nach dem Stand der Technik ist keine Kür, sie steht in Artikel 32 DSGVO.

4. Externe Schriften und Karten. Strg und U öffnet den Seitenquelltext, Strg und F durchsucht ihn. Such nach fonts.googleapis, fonts.gstatic und maps.googleapis. Jeder Treffer bedeutet, dass der Browser deiner Besucher beim Seitenaufruf eine Verbindung zu Google aufbaut und dabei die IP-Adresse überträgt. Das Landgericht München I hat am 20. Januar 2022 unter dem Aktenzeichen 3 O 17493/20 genau dafür 100 Euro Schadensersatz zugesprochen. Schriften gehören auf den eigenen Server, Karten hinter einen Platzhalter.

5. Tracking vor der Einwilligung. Privates Fenster, F12, Netzwerk-Tab, Seite laden, nichts anklicken. Filtere nach google-analytics, googletagmanager und connect.facebook.net. Jeder Treffer vor deinem ersten Klick ist ein Befund. Dieser Punkt ist umfangreich genug für einen eigenen Text, deshalb steht die vollständige Banner-Prüfung mit TDDDG, Consent Mode und den Ausnahmen im Beitrag zu Cookie-Consent nach DSGVO.

6. Kontaktformular ohne unnötige Pflichtfelder. Geh die Felder durch und schau, welche mit Sternchen markiert oder im Quelltext als required gesetzt sind. Eine Pflicht-Telefonnummer für eine Anfrage, die du per E-Mail beantwortest, verletzt die Datenminimierung aus Artikel 5 Absatz 1 Buchstabe c. Zweiter Blick: Eine Zwangs-Checkbox “Ich stimme der Datenschutzerklärung zu” ist meistens sogar falsch. Die Rechtsgrundlage für die Bearbeitung einer Anfrage ist der Vertrag oder das berechtigte Interesse, nicht die Einwilligung. Ein Hinweis mit Link genügt.

7. Newsletter mit Double-Opt-in und Nachweis. Melde dich mit einer frischen Adresse selbst an. Kommt eine Bestätigungsmail, und ist die frei von Werbung? Danach der wichtigere Teil: Sieh im Newsletter-Tool nach, was zu diesem Kontakt gespeichert ist. Es müssen Datum, Uhrzeit und IP-Adresse der Anmeldung und der Bestätigung dastehen. Ohne dieses Protokoll kannst du die Einwilligung nach Artikel 7 Absatz 1 DSGVO und § 7 UWG nicht beweisen, und im Streit gilt eine unbeweisbare Einwilligung als nicht erteilt. Wie du danach sauber sequenzierst, steht im Beitrag zur Newsletter-Automation.

8. Auftragsverarbeitungsverträge. Schreib alle Dienste auf, die Daten deiner Besucher oder Kunden zu sehen bekommen: Hoster, Mailserver, Newsletter-Tool, CRM, Backup-Dienst, Formular-Anbieter, Analytics, Chat. Für jeden davon brauchst du einen abgeschlossenen Vertrag nach Artikel 28 Absatz 3. Im Durchlauf beantwortest du nur eine Frage: Gibt es einen Ordner, in dem diese Verträge liegen? Dieser Punkt fliegt bei jeder Prüfung als Erstes auf, weil ein Vertrag entweder existiert oder nicht. Das Nachziehen ist Nacharbeit und passt nicht in die zehn Minuten. Erfahrungswert aus unseren Audits: Die Liste vollständig zusammenzutragen und die Lücken zu schließen dauert ein bis zwei Stunden.

9. Verzeichnis der Verarbeitungstätigkeiten. Viele halten sich für befreit, weil Artikel 30 Absatz 5 Unternehmen unter 250 Beschäftigten ausnimmt. Die Ausnahme hat vier Rückausnahmen: Risiko für die Betroffenen, Verarbeitung, die nicht nur gelegentlich stattfindet, besondere Datenkategorien nach Artikel 9 und Daten über strafrechtliche Verurteilungen und Straftaten nach Artikel 10. Die letzten beiden werden gern in einen Topf geworfen, Artikel 10 steht aber eigenständig daneben. Wer eine Website mit Kontaktformular und einen Newsletter betreibt, verarbeitet dauerhaft, nicht gelegentlich. Praktisch bist du also in der Pflicht. Prüfschritt: Existiert die Datei überhaupt, und stehen darin getrennte Einträge für Website, Formular und Newsletter?

10. Löschkonzept, das eines ist. Nimm eine Kontaktanfrage vom Vorjahr und such sie an drei Orten: im Postfach, im CRM und im Backend deines Formular-Anbieters. Findest du sie überall, hast du kein Löschkonzept, sondern drei Archive. Artikel 5 Absatz 1 Buchstabe e verlangt eine Speicherbegrenzung, und die besteht aus einer Frist je Datenart plus jemandem, der sie anwendet.

Ab 20 Personen brauchst du einen Datenschutzbeauftragten

Die Schwelle ist eine harte Zahl und steht in § 38 Absatz 1 BDSG: Ein Datenschutzbeauftragter ist zu benennen, sobald in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind. Ständig und automatisiert klingt technisch, meint aber in der Praxis jeden, der im Job ein E-Mail-Postfach oder ein CRM bedient. Teilzeit zählt voll mit, Aushilfen auch.

Unter 20 Personen ist der Beauftragte keine Pflicht, mit zwei Ausnahmen, die unabhängig von der Kopfzahl greifen: wenn eine deiner Verarbeitungen eine Datenschutz-Folgenabschätzung nach Artikel 35 DSGVO auslöst, oder wenn du Daten geschäftsmäßig zur Übermittlung oder für Markt- und Meinungsforschung verarbeitest. Adresshandel und Scoring fallen darunter, ein normaler Onlineshop nicht. Dazu kommen die Fälle aus Artikel 37 DSGVO, etwa wenn deine Kerntätigkeit in umfangreicher systematischer Überwachung besteht.

Für die externe Prüfung setzen wir eine andere Schwelle an, und die ist ein Erfahrungswert aus unseren Projekten, keine Rechtsregel: Bleiben nach diesem Durchlauf mehr als fünf Befunde offen, oder verarbeitest du Gesundheits-, Bewerber- oder Zahlungsdaten, hol jemanden dazu. Darunter räumst du die Punkte selbst weg und sparst dir das Honorar für Erkenntnisse, die du gerade schon hattest.

Wo du beim Datenschutz Aufwand verbrennst

Ein gekauftes Datenschutz-Siegel im Footer bringt an keinem der zehn Punkte etwas. Die einzige Zertifizierung mit rechtlicher Wirkung ist die nach Artikel 42 DSGVO, und die dürfen nur nach Artikel 43 akkreditierte Stellen vergeben. In Deutschland sind die bis heute selten. Der hessische Datenschutzbeauftragte hat am 10. Juni 2025 mit PwC Certification Services die erste Stelle in Hessen akkreditiert, und deren Zulassung gilt nur für einen Kriterienkatalog für Cloud-Dienste. Alles andere im Footer ist ein privates Prüfzeichen ohne Vermutungswirkung.

Der zweite Aufwandsfresser ist die Panikreaktion nach dem ersten Befund: Analytics rausreißen. Damit ist der Rechtspunkt erledigt und die Datenbasis auch. Danach entscheidest du über Seitenstruktur, Werbebudget und Sortiment wieder nach Gefühl. Sauber aufgesetzt, also hinter dem Consent, mit Auftragsverarbeitungsvertrag und begrenzter Aufbewahrung, kostet dich Analytics einmalig weniger als ein Quartal Blindflug.

Der Fehler, der am häufigsten auffliegt: die kopierte Datenschutzerklärung

Die Ursache ist immer dieselbe. Irgendwann lief ein Generator, oder jemand hat den Text von einer befreundeten Firma übernommen. Seitdem hat sich der Werkzeugkasten der Website zweimal geändert, der Text kein einziges Mal.

Das erzeugt zwei Schäden gleichzeitig. Erstens stehen Dienste drin, die es bei dir nie gab, Facebook-Pixel und Google Ads sind die Klassiker. Kommt eine Auskunftsanfrage nach Artikel 15, musst du Verarbeitungen erklären, die nicht stattfinden, und wirkst dabei unglaubwürdig für alles Weitere. Zweitens fehlen die Dienste, die tatsächlich laufen, und genau dort greift Artikel 13. Der Abgleich ist der eine Schritt, den du nach dem Durchlauf machst, nicht während. Nimm dir dafür eine ruhige Viertelstunde: Liste aus Punkt 8 nehmen und jeden Eintrag in der Datenschutzerklärung abhaken. Was übrig bleibt, ist in beide Richtungen dein Handlungsbedarf.

Dieser Beitrag gibt unsere Projektpraxis wieder und ersetzt keine Rechtsberatung. Für die verbindliche Bewertung deines Falls fragst du einen Fachanwalt für IT-Recht oder deinen Datenschutzbeauftragten.

Wenn die Liste bei dir mehr Kreuze als Haken hat: Wir räumen solche Befunde im Rahmen unserer Webentwicklung ab, ohne dabei dein Tracking abzuschalten. Dafür gibt es die Fokus-Session: 60 Minuten für die Punkte, die nach deinem Zehn-Minuten-Durchlauf offen geblieben sind, sortiert nach dem, was du selbst abstellst, und dem, was vor den Fachanwalt gehört.