Cyberknecht

Wissen / Checklisten / Datenschutz

DSGVO-Website-Checkliste für Betreiber

Praktische Bestandsaufnahme für typische Datenschutzfragen einer Website.

Stand: 27.10.2026 · Redaktion: Carl Thorns · Kostenlos und ohne Anmeldung

PDF herunterladenAlle Ressourcen

Dieser Leitfaden führt dich vom konkreten Ausgangsproblem über die praktische Umsetzung bis zur überprüfbaren Abnahme. Jeder Abschnitt nennt eine Methode, ein Beispiel, ein Erfolgskriterium und eine typische Fehlerquelle.

Arbeitsablauf auf einen Blick

1. Datenflüsse inventarisieren

Liste Formulare, Tracking, Fonts, Maps, Videos, Hosting, Newsletter und externe APIs mit Empfängern und Zwecken auf.

Praxisbeispiel
Tabelle: Dienst | Daten | Zweck | Rechtsgrundlage | Speicherort | Löschfrist.
So erkennst du, dass es funktioniert: Für jeden Dienst ist die Verarbeitung nachvollziehbar dokumentiert.
Typischer Fehler: Nur sichtbare Cookie-Banner prüfen und Serverlogs vergessen.

2. Rechtsgrundlagen prüfen

Unterscheide technisch erforderliche Verarbeitung von optionalem Tracking. Prüfe Einwilligungspflichten nach geltendem Recht im konkreten Kontext.

Praxisbeispiel
Marketing-Tracking vor Einwilligung nicht initialisieren, soweit Einwilligung erforderlich ist.
So erkennst du, dass es funktioniert: Einwilligungsstatus beeinflusst tatsächlich die Ausführung der Dienste.
Typischer Fehler: Cookie-Banner anzeigen, Tracker aber vorher starten.

3. Transparenz herstellen

Datenschutzhinweise sollen Verantwortliche, Zwecke, Empfänger, Betroffenenrechte und weitere Pflichtangaben verständlich beschreiben.

Praxisbeispiel
Bei Kontaktformularen Verarbeitung und Aufbewahrung konkret erläutern.
So erkennst du, dass es funktioniert: Die Hinweise stimmen mit den tatsächlich eingesetzten Diensten überein.
Typischer Fehler: Generische Vorlagen unverändert übernehmen.

4. Dienstleister kontrollieren

Prüfe erforderliche Auftragsverarbeitungsverträge, Drittlandtransfers und technische Schutzmaßnahmen.

Praxisbeispiel
Hosting- und Newsletter-Anbieter in einer Dienstleisterliste führen.
So erkennst du, dass es funktioniert: Verträge und technische Einstellungen sind dokumentiert.
Typischer Fehler: Alle Drittanbieter automatisch als Auftragsverarbeiter einstufen.

5. Löschung und Auskunft

Definiere Löschroutinen, Zuständigkeiten und Verfahren für Auskunftsersuchen. Teste, ob Datensätze tatsächlich auffindbar sind.

Praxisbeispiel
Testfall: Kontaktanfrage anhand einer E-Mail-Adresse identifizieren.
So erkennst du, dass es funktioniert: Anfragen können fristgerecht und nachvollziehbar bearbeitet werden.
Typischer Fehler: Daten nur im Frontend löschen, nicht in Backups oder Exports berücksichtigen.

Abnahmeprotokoll für die Praxis

Nutze die folgenden Punkte als dokumentierbare Abnahme. Trage bei jedem Punkt Datum, getestete URL beziehungsweise System, Ergebnis und gegebenenfalls einen offenen Befund ein.

  1. Abnahmekriterium: Für jeden Dienst ist die Verarbeitung nachvollziehbar dokumentiert.

  2. Abnahmekriterium: Einwilligungsstatus beeinflusst tatsächlich die Ausführung der Dienste.

  3. Abnahmekriterium: Die Hinweise stimmen mit den tatsächlich eingesetzten Diensten überein.

  4. Abnahmekriterium: Verträge und technische Einstellungen sind dokumentiert.

  5. Abnahmekriterium: Anfragen können fristgerecht und nachvollziehbar bearbeitet werden.

Fachquellen und weiterführende Dokumentation

Diese Primärquellen dienen zur Vertiefung und zur Prüfung versionsabhängiger Details. Bei rechtlichen Themen ersetzt der Leitfaden keine individuelle Rechtsberatung.

Praxisvertiefung: Datenflüsse statt Checkboxen

Liste jedes Formular, Tracking-Skript, eingebettete Video, Font und Drittanbieter-Widget mit Zweck, Empfänger und Speicherort auf. Unterscheide notwendige von optionalen Verarbeitungen.

Technische Umsetzung

Prüfe Netzwerkrequests vor Einwilligung, Einwilligungsprotokolle, Datenschutzhinweise und Auftragsverarbeitungsverträge, soweit erforderlich. Cookie-Banner allein macht die Website nicht compliant.

So überprüfst du das Ergebnis

Test im frischen Browserprofil: optionale Requests dürfen vor erforderlicher Einwilligung nicht ausgelöst werden. Rechtliche Bewertung ist einzelfallabhängig.