Datenschutz-Audit

Prüft die Website auf die Datenschutzregeln der Region, in der sie tätig ist: DSGVO und ePrivacy, UK GDPR, das russische 152-FZ, CCPA/CPRA, LGPD und weitere — Tracker, Einwilligung, Cookies und Pflichtdokumente.

• Alle Leistungen

Datenschutzrecht ist zu einem der häufigsten Gründe für Bußgelder und Beschwerden gegen gewöhnliche Websites geworden. Nicht weil Betreiber absichtlich Daten sammeln, sondern weil eine typische Website ein Dutzend Drittanbieter-Skripte lädt, Cookies setzt, bevor jemand zugestimmt hat, und auf eine Datenschutzerklärung verweist, die vor Jahren von einer fremden Website kopiert wurde. Ein Datenschutz-Audit zeigt, was die Website tatsächlich mit Besucherdaten macht, und vergleicht es mit dem, was die Regeln ihrer Region verlangen.

Welche Regeln gelten

Der erste Schritt ist festzustellen, wo die Website tätig ist. Das Audit betrachtet die Domain-Endung, die Sprache der Seiten, Währung und Kontaktdaten sowie den Serverstandort. Danach wird der Maßstab gewählt:

• EU und EWR — DSGVO und ePrivacy-Richtlinie bzw. TDDDG: keine Analyse- oder Werbe-Cookies vor der Einwilligung, Ablehnen muss so einfach sein wie Zustimmen, und die Erklärung nennt jeden Empfänger der Daten;
• Vereinigtes Königreich — UK GDPR und PECR, dieselben Grundsätze mit eigener Aufsichtsbehörde;
• Russland — das Gesetz 152-FZ: Meldung bei Roskomnadzor, Speicherung der Daten russischer Bürger in Russland, eine gesonderte Einwilligung in die Verarbeitung und eine veröffentlichte Verarbeitungsrichtlinie;
• USA — CCPA/CPRA in Kalifornien und ähnliche Gesetze anderer Bundesstaaten: ein Link „Do Not Sell or Share My Personal Information“, die Beachtung des Signals Global Privacy Control, eine Liste der Datenkategorien;
• Brasilien, Kanada, Schweiz und weitere — LGPD, PIPEDA, das revidierte DSG und ihre Anforderungen an Hinweise und Einwilligung.

Eine Website, die sich an mehrere Regionen richtet, wird nach jeder geprüft, und der Bericht sagt, aus welchem Gesetz jede Anforderung stammt. Eine Regel, die für die Website nicht gilt, wird nicht als Verstoß angezeigt — der Bericht erschreckt Sie also nicht mit einer fremden Aufsichtsbehörde.

Was auf den Seiten geprüft wird

Tracker und Dritte. Der Scanner öffnet die Seiten in einem echten Browser und zeichnet jede Anfrage an einen externen Dienst auf: Analytics, Werbepixel, Chat-Widgets, Videoplayer, Karten, Schriften, Social-Buttons. Zu jedem sehen Sie, welches Unternehmen dahintersteht, in welchem Land es Daten verarbeitet und wofür es üblicherweise genutzt wird. Genau dieser Liste muss die Datenschutzerklärung entsprechen.

Einwilligung vor dem Tracking. Die entscheidende Frage ist nicht, ob die Website ein Cookie-Banner hat, sondern was passiert, bevor der Besucher darauf klickt. Das Audit erfasst, welche Cookies gesetzt und welche Anfragen beim allerersten Besuch gesendet werden, lehnt dann die Einwilligung ab und prüft erneut. Läuft die Analyse auch nach „Ablehnen“ weiter oder fehlt die Ablehnen-Schaltfläche ganz, sagt der Bericht das mit Belegen.

Cookies. Jedes Cookie wird mit Domain, Laufzeit und Zweck aufgeführt: technisch notwendig, funktional, Analyse oder Werbung. Gesondert markiert sind Cookies mit Laufzeiten von Jahren, Drittanbieter-Cookies und Cookies ohne die Flags Secure und SameSite.

Formulare und Datenübermittlung. Kontakt-, Registrierungs- und Bestellformulare werden auf eine HTTPS-Verbindung, einen Link zur Erklärung und — wo die Region es verlangt — eine gesonderte, nicht vorab angekreuzte Einwilligungs-Checkbox geprüft. Daten, die an eine fremde Domain oder unverschlüsselt gesendet werden, werden gemeldet.

Pflichtdokumente. Das Audit sucht nach Datenschutzerklärung, Cookie-Richtlinie, Nutzungsbedingungen, Impressum (in Deutschland und Österreich Pflicht) und einer Barrierefreiheitserklärung, wo der European Accessibility Act gilt. Es prüft, ob sie von jeder Seite verlinkt sind, fehlerfrei öffnen und in der Sprache der Website verfasst sind.

Was Sie erhalten

Der Bericht gibt eine Konformitätsbewertung für jedes anwendbare Gesetz und eine nach Risiko geordnete Liste der Befunde. Jeder Befund nennt die Anforderung, die Seite, auf der das Problem gefunden wurde, den Beleg — eine Anfrage, ein Cookie, einen Screenshot — und die Korrektur: den Consent-Modus der Analyse einrichten, ein Skript hinter die Einwilligung verschieben, einen fehlenden Abschnitt in der Erklärung ergänzen. Die Liste der gefundenen Tracker und Cookies lässt sich exportieren und als Grundlage für die Cookie-Tabelle der Erklärung verwenden.

Gut zu wissen

Das Audit ist eine technische Prüfung, keine Rechtsberatung. Es zeigt, was die Website tut und wo das von der üblichen Auslegung der Regeln abweicht — genau das, womit ein Anwalt oder Datenschutzbeauftragter beginnen sollte. Mit regelmäßigem Monitoring wird ein neu hinzugefügtes Pixel oder ein nach einem Release defektes Einwilligungsbanner innerhalb eines Tages bemerkt und nicht erst in einer Beschwerde bei der Aufsichtsbehörde.