Automatisierte Prüfung · DSGVO & TTDSG · kostenlos
DSGVO Check — Website auf Datenschutz prüfen
Kostenlose DSGVO-Prüfung für Ihre Website: Der Online-Prüfer sieht sich Tracking, Cookie-Consent, Datenschutzerklärung, Google Fonts und Formulare an und zeigt Ihnen die gefundenen Punkte mit Fundstelle — in unter einer Minute, ohne Anmeldung.
So prüft Web-Prüfer Ihren Datenschutz
Tracker & Einwilligung
Werden Tracking-Dienste (Google Analytics, Facebook Pixel, etc.) ohne Cookie-Consent geladen? TTDSG §25 verlangt eine aktive Einwilligung.
Datenschutzerklärung
Ist eine vollständige Datenschutzerklärung vorhanden? Enthält sie Verantwortlichen, Rechtsgrundlagen, Betroffenenrechte und alle genutzten Dienste?
Cookie-Banner
Gibt es einen Cookie-Banner mit gleichwertiger Ablehnen-Option? Werden Cookies erst nach Einwilligung gesetzt?
Google Fonts & Drittanbieter
Werden Google Fonts extern geladen? Wie viele Drittanbieter-Dienste sind eingebunden? Jeder muss in der Datenschutzerklärung dokumentiert sein.
Formular-Sicherheit
Werden Formulardaten verschlüsselt (HTTPS) übertragen? Ist die Datenübermittlung in der Datenschutzerklärung beschrieben?
SSL-Verschlüsselung
Ist Ihre Website per HTTPS erreichbar? Leitet HTTP automatisch auf HTTPS weiter? Ein gültiges SSL-Zertifikat ist für jede Website mit Formularen dringend empfohlen (Art. 32 DSGVO).
Was ein DSGVO-Check leisten kann — und was nicht
Ein Online-DSGVO-Prüfer betrachtet Ihre Website von außen, so wie ein Besucher sie sieht. Er kann deshalb sehr genau sagen, was beim Laden Ihrer Seite technisch passiert: welche Verbindungen zu Dritten entstehen, welche Cookies gesetzt werden, welche Skripte starten und ob die Dokumentation dazu passt. Das ist der Teil, der sich zuverlässig automatisieren lässt — und zugleich der Teil, an dem in der Praxis die meisten Abweichungen entstehen.
Was ein Scan von außen nicht sehen kann, ist ebenso wichtig: Ihr Verzeichnis von Verarbeitungstätigkeiten, die Verträge mit Ihren Auftragsverarbeitern, Ihre Löschkonzepte, die internen Zugriffsrechte, technische und organisatorische Maßnahmen jenseits der Website. Wer diese Ebene braucht, kommt an einer inhaltlichen Prüfung nicht vorbei.
Wir bewerten Ihren Einzelfall hier deshalb nicht rechtlich. Der Check zeigt den technischen Ist-Zustand mit konkreten Fundstellen und gibt Ihnen damit eine belastbare Grundlage, um zu entscheiden, wo Sie genauer hinsehen — allein oder mit anwaltlicher Unterstützung.
Datenschutzprüfung: die häufigsten Befunde
Über die Scans hinweg wiederholen sich einige Muster. Am häufigsten laufen Tracking-Skripte vor der Einwilligung: Der Banner ist vorhanden, aber die Tags sind fest im Template eingebunden statt an das Consent-Tool gekoppelt. Der Banner fragt dann nach einer Zustimmung, die technisch längst gegenstandslos ist.
Zweitens die Lücke zwischen Dokumentation und Realität. Die Datenschutzerklärung beschreibt einen Stand, der überholt ist — sie nennt einen Dienst, der längst entfernt wurde, oder sie schweigt zu einem Dienst, der neu dazugekommen ist. Das passiert fast zwangsläufig, weil Technik und Text von unterschiedlichen Anlässen getrieben werden.
Drittens vergessene Einbindungen: eine Kartenansicht im Footer, ein eingebettetes Video auf einer Unterseite, eine Icon-Bibliothek aus einem alten Theme, ein Chat-Widget aus einer beendeten Kampagne. Jede dieser Verbindungen überträgt beim Seitenaufruf die IP-Adresse Ihrer Besucher an einen Dritten — auch dann, wenn niemand mehr weiß, dass sie eingebunden ist.
DSGVO und TTDSG: wie die beiden zusammenspielen
Die beiden Regelwerke greifen an unterschiedlichen Stellen. § 25 TTDSG betrifft den technischen Vorgang: das Speichern von Informationen auf dem Endgerät Ihres Besuchers und den Zugriff darauf. Dafür ist grundsätzlich eine Einwilligung vorgesehen, ausgenommen sind technisch notwendige Fälle. Es geht dabei nicht nur um Cookies, sondern um jede vergleichbare Technik.
Die DSGVO setzt danach an: Sie regelt, wie mit den personenbezogenen Daten umzugehen ist, die im Zuge dessen verarbeitet werden. Dazu gehören die Rechtsgrundlage der Verarbeitung, die Informationspflichten nach Art. 13 und 14, die Betroffenenrechte und die Anforderungen an eine wirksame Einwilligung nach Art. 4 Nr. 11 und Art. 7.
Praktisch heißt das: Die Frage „Darf ich dieses Cookie überhaupt setzen?“ beantwortet das TTDSG, die Frage „Was muss ich über die dahinterliegende Verarbeitung sagen und einhalten?“ die DSGVO. Beide Ebenen prüft dieser Check aus technischer Sicht getrennt.
Gefundene Punkte abarbeiten — eine sinnvolle Reihenfolge
Beginnen Sie mit einer Bestandsaufnahme: Welche externen Dienste sind überhaupt eingebunden? Der Scan liefert diese Liste. Erfahrungsgemäß ist ein Teil davon schlicht überflüssig — Altlasten aus früheren Projekten. Was Sie nicht brauchen, entfernen Sie; das ist der schnellste Schritt und reduziert den Rest der Arbeit spürbar.
Was bleibt, teilen Sie in technisch notwendig und einwilligungsbedürftig. Die zweite Gruppe koppeln Sie an Ihr Consent-Tool, sodass nichts mehr vor der Zustimmung startet. Danach kümmern Sie sich um die Transportebene: HTTPS auf allen Seiten, Formulare eingeschlossen.
Erst zum Schluss die Dokumentation — und zwar bewusst zuletzt, weil sie den dann tatsächlich erreichten Stand beschreiben soll. Eine Datenschutzerklärung, die Sie vor dem Aufräumen schreiben, ist am Tag danach schon wieder falsch. Ein erneuter Scan zeigt Ihnen, ob Technik und Text jetzt übereinstimmen.
Häufig gestellte Fragen zum DSGVO-Check
Was prüft der DSGVO-Check?
Der DSGVO-Check analysiert Ihre Website automatisch auf die wichtigsten Datenschutz-Anforderungen: Tracker ohne Einwilligung, Cookie-Banner mit Ablehnen-Option, Cookies und Skripte vor der Einwilligung, Vollständigkeit der Datenschutzerklärung, extern geladene Google Fonts, eingebundene Drittanbieter-Dienste, Angaben zum Datenschutzbeauftragten sowie die Sicherheit von Formularen und der Datenübertragung.
Wie funktioniert die DSGVO-Prüfung?
Sie geben Ihre URL ein, der Scan ruft Ihre Seite in einem echten Browser auf und beobachtet, was beim Laden passiert: welche Verbindungen zu Dritten aufgebaut werden, welche Cookies gesetzt werden und welche Skripte starten — jeweils vor jeder Interaktion. Parallel werden Datenschutzerklärung und Impressum abgerufen und auf die üblichen Pflichtangaben hin geprüft. Das Ergebnis liegt in unter einer Minute vor.
Ist der DSGVO-Check kostenlos?
Ja. Der DSGVO-Checker ist vollständig kostenlos und ohne Anmeldung nutzbar. Sie erhalten Score und Status aller Prüfungen sowie die konkreten Fundstellen zu den gefundenen Punkten.
Kann ein automatischer Check DSGVO-Konformität feststellen?
Nein, und das ist eine wichtige Einschränkung. Ein automatisierter Scan prüft technisch beobachtbare Merkmale: Was lädt die Seite, welche Cookies werden gesetzt, welche Abschnitte enthält die Datenschutzerklärung. Ob Ihre Verarbeitung insgesamt rechtmäßig ist, hängt zusätzlich von Dingen ab, die von außen nicht sichtbar sind — Auftragsverarbeitungsverträge, Verarbeitungsverzeichnis, interne Abläufe, Löschkonzepte. Der Check liefert den technischen Ausgangspunkt, keine Rechtsberatung.
Was muss in der Datenschutzerklärung stehen?
Nach Art. 13 und 14 DSGVO gehören unter anderem hinein: Name und Kontakt des Verantwortlichen, gegebenenfalls der Datenschutzbeauftragte, die Zwecke und Rechtsgrundlagen der Verarbeitung, alle eingesetzten Dienste und Empfänger, Übermittlungen in Drittländer, Speicherdauer beziehungsweise deren Kriterien, die Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), das Recht auf Widerruf einer Einwilligung sowie das Beschwerderecht bei einer Aufsichtsbehörde.
Wie kann ich Tracking auf meiner Website prüfen?
Der Check erkennt gängige Tracking-Dienste im ausgelieferten Code — darunter Google Analytics, Google Tag Manager, Facebook Pixel, Hotjar, Matomo, HubSpot, LinkedIn Insight und TikTok Pixel — und meldet, ob sie bereits vor einer Einwilligung starten. Zusätzlich werden vorbereitende Verbindungen per Preconnect oder Prefetch erfasst: Die setzen zwar noch kein Cookie, übermitteln aber bereits die IP-Adresse Ihres Besuchers an den Zielserver.
Brauche ich einen Cookie-Banner?
Relevant wird er, sobald Ihre Website Cookies oder ähnliche Techniken einsetzt, die nicht technisch notwendig sind. Grundlage ist § 25 TTDSG: Für das Speichern und Auslesen von Informationen auf dem Endgerät ist grundsätzlich eine Einwilligung vorgesehen, technisch notwendige Fälle sind ausgenommen. Der Banner sollte eine gleichwertige Ablehnen-Option auf der ersten Ebene bieten.
Sind extern geladene Google Fonts ein Datenschutz-Thema?
Werden Google Fonts direkt von Google-Servern geladen, baut der Browser Ihres Besuchers eine Verbindung dorthin auf und übermittelt dabei seine IP-Adresse. Das LG München I hat dazu im Januar 2022 entschieden (Az. 3 O 17493/20). Die einfache Lösung ist Self-Hosting: Die Schriften liegen auf Ihrem Server, es findet keine Übermittlung statt. Der Check erkennt, ob externe Fonts geladen werden.
Was wird bei Formularen geprüft?
Der Check sieht sich an, ob Formulardaten verschlüsselt übertragen werden, also ob das Ziel des Formulars über HTTPS läuft, und ob im Umfeld des Formulars auf die Datenschutzerklärung hingewiesen wird. Nicht prüfbar ist von außen, was serverseitig mit den Daten geschieht — Speicherort, Löschfristen und Weitergabe müssen Sie selbst dokumentieren.
Brauche ich einen Datenschutzbeauftragten?
Nach § 38 BDSG ist ein Datenschutzbeauftragter unter anderem dann zu benennen, wenn in der Regel mindestens 20 Personen ständig mit der automatisierten Verarbeitung personenbezogener Daten beschäftigt sind; weitere Fälle ergeben sich aus Art. 37 DSGVO, etwa bei umfangreicher Verarbeitung besonderer Datenkategorien. Ist einer benannt, gehören seine Kontaktdaten in die Datenschutzerklärung. Der Check sieht nach, ob entsprechende Angaben vorhanden sind.
Wie oft sollte ich die Prüfung wiederholen?
Sinnvoll ist ein erneuter Scan immer dann, wenn sich technisch etwas geändert hat: nach einem Theme- oder Plugin-Update, nach dem Einbinden eines neuen Dienstes, nach einem Relaunch. Genau dabei schleichen sich neue externe Einbindungen ein, ohne dass jemand es bemerkt. Ansonsten reicht ein turnusmäßiger Blick, etwa quartalsweise.
87 Prüfungen in unter einer Minute
Neben Datenschutz prüft Web-Prüfer auch Impressum, Barrierefreiheit (BFSG), SSL, SEO, Cookies und mehr.
Webseiten-Check mit allen Bereichen starten →