Website-DSGVO-Check: acht Punkte, die man von außen sieht

Eine Website auf die DSGVO zu prüfen heißt von außen vor allem eines: nachsehen, was sie tut, bevor ein Besucher irgendetwas angeklickt hat. Welche Cookies setzt der Server in der ersten Antwort? Welche fremden Server lädt der Browser beim Aufruf, für Schriften, Videos, Karten, Statistik? Kommt das Kontaktformular verschlüsselt an? Und lässt der Banner das Ablehnen so leicht zu wie das Zustimmen? Diese acht Punkte prüft man in einer Viertelstunde selbst.

Ein grünes Ergebnis von außen heißt nicht, dass die Website DSGVO-konform ist. Ob die Datenschutzerklärung stimmt, ob mit jedem Dienstleister ein Auftragsverarbeitungsvertrag besteht und ob das Kontaktformular die Daten nach einem Jahr löscht, sieht man im Browser nicht. Die Prüfung von außen findet die Fehler, die jeder Besucher, jede Aufsichtsbehörde und jeder Abmahner ebenfalls in einer Minute findet. Das ist ihr Wert, und das ist ihre Grenze.

Keine Rechtsberatung. Wo eine Rechtsgrundlage genannt ist, steht der Stand vom 05.10.2026 dahinter.

Die Rechtsgrundlage in zwei Sätzen#

In Österreich verlangt § 165 Abs. 3 TKG 2021 eine Einwilligung, bevor Informationen auf dem Gerät des Besuchers gespeichert oder von dort gelesen werden, außer das ist für den ausdrücklich gewünschten Dienst unbedingt nötig. Die Datenschutzbehörde fasst das in ihren Antworten zu Cookies zusammen: „Erst Einwilligung, dann Cookies“, keine vorangekreuzten Kästchen, ein Ablehnen-Knopf so sichtbar wie der zum Zustimmen, und der Besucher darf „weder unmittelbar noch subtil“ zur Zustimmung gedrängt werden. Dazu kommt die DSGVO selbst, sobald personenbezogene Daten fließen, und dafür reicht die IP-Adresse, die jeder Browser bei jedem Abruf mitschickt.

Die acht Punkte#

Vorbereitung für alle: Startseite in einem privaten Fenster öffnen, den Banner nicht anklicken, mit F12 die Entwicklerwerkzeuge öffnen, Reiter Netzwerk, Seite neu laden. Was jetzt in der Liste steht, ist geladen, bevor jemand gefragt wurde.

1. HTTPS, und zwar immer#

Die Seite muss unter https:// laufen, und http:// muss dorthin umleiten. Zusätzlich sollte der Server den Header Strict-Transport-Security senden, damit der Browser beim nächsten Besuch gar nicht erst unverschlüsselt anfragt.

curl -sI http://beispiel.at | grep -i location
curl -sI https://beispiel.at | grep -i strict-transport-security

Die erste Zeile sollte auf https:// zeigen, die zweite eine Zeile mit max-age= liefern. Wie man HSTS sicher einführt, steht in Security-Header einrichten.

2. Cookies in der ersten Antwort#

In den Entwicklerwerkzeugen unter Anwendung (Chrome) oder Web-Speicher (Firefox) die Cookies der Seite ansehen, ohne vorher etwas angeklickt zu haben. Ein Sitzungscookie wie PHPSESSID für einen Warenkorb oder ein Login kann technisch notwendig sein. Ein Cookie, das mit _ga, _fbp oder _gcl beginnt, ist es nicht.

3. Schriften von fremden Servern#

Im Reiter Netzwerk nach fonts.googleapis.com und fonts.gstatic.com filtern. Steht dort etwas, schickt der Browser die IP-Adresse jedes Besuchers an Google, bevor der irgendetwas zustimmen konnte. Das LG München I hat dafür 2022 einem Besucher 100 € Schadenersatz zugesprochen. Die Lösung ist einfach: Schriftdateien herunterladen und vom eigenen Server ausliefern. In WordPress laden viele Themes Google Fonts im Hintergrund nach, auch wenn im Backend nichts davon steht.

4. Einbettungen von YouTube, Vimeo und Google Maps#

Ein eingebettetes Video oder eine Karte lädt beim Aufruf der Seite Inhalte vom Server des Anbieters. Im Netzwerk-Reiter erkennt man das an Hosts wie youtube.com, ytimg.com, player.vimeo.com oder maps.googleapis.com. Richtig ist eine Zwei-Klick-Lösung: Erst ein Vorschaubild vom eigenen Server, der fremde Inhalt erst nach dem Klick. Auch youtube-nocookie.com ist ein fremder Server: Die IP-Adresse geht beim Laden trotzdem hinaus.

5. Statistik, Tag Manager und Werbepixel#

Im Netzwerk-Reiter nach google-analytics.com, googletagmanager.com, connect.facebook.net, clarity.ms oder hotjar filtern. Taucht davon etwas vor dem Klick auf den Banner auf, blockiert der Banner nicht. Ein typischer Grund: Der Tag Manager ist direkt im Theme eingebaut und der Banner danach dazugekommen.

6. Formulare#

Das Ziel des Kontaktformulars muss eine https://-Adresse sein. Im Quelltext (Strg+U) nach <form suchen und das action= ansehen. Lädt die Seite für das Formular Google reCAPTCHA, gilt dasselbe wie bei Punkt 5: Das Skript überträgt Daten an Google, und zwar schon beim Laden, nicht erst beim Absenden. Wo keine Einwilligung eingeholt wird, ist ein Prüfverfahren ohne Fremddienst die sauberere Wahl.

7. Der Banner selbst#

Drei Fragen aus den Antworten der Datenschutzbehörde: Gibt es auf der ersten Ebene einen Knopf zum Ablehnen, der so sichtbar ist wie der zum Zustimmen? Sind Kästchen vorangekreuzt? Lässt sich die Einwilligung später so leicht widerrufen, wie sie erteilt wurde, etwa über einen Verweis im Fuß der Seite? Wer gar keine einwilligungspflichtigen Dienste einsetzt, braucht keinen Banner. Wann er Pflicht ist, steht in Cookie-Banner: wann er Pflicht ist.

8. Impressum und Datenschutzerklärung#

Beide müssen von jeder Seite aus erreichbar sein, üblich ist ein Verweis im Fuß. Ob ihr Inhalt stimmt, ist keine technische Frage. Die technische ist nur: Nennt die Datenschutzerklärung die Dienste, die Punkt 3 bis 6 gefunden haben? Fehlt dort ein Dienst, der geladen wird, passt eines von beiden nicht.

Messung: 141 Tiroler Startseiten#

In eigener Sache: Am 05.10.2026 um 08:11 UTC habe ich die Startseiten der 149 Tiroler Domains abgerufen, die ich seit September messe, 34 Tourismusverbände und 115 Betriebe. Je ein Abruf, ohne JavaScript, ohne Klick, so wie ein Browser die Seite zuerst bekommt. 141 waren erreichbar.

• 76 haben Google Analytics oder den Google Tag Manager im ausgelieferten HTML. Ob das Skript vor der Einwilligung läuft, zeigt diese Zählung nicht: 39 der 141 Seiten haben ein erkennbares Einwilligungswerkzeug eingebunden, und das kann Skripte zurückhalten. Bei den übrigen deutet im HTML nichts darauf hin, dass etwas das Skript zurückhält.
• 46 setzen schon mit der ersten Serverantwort ein Cookie. Meist sind es Sitzungscookies von PHP, ASP.NET oder TYPO3, die technisch notwendig sein können. Ob sie es sind, entscheidet, wofür die Seite sie braucht.
• 9 laden Google Fonts von Google-Servern, 7 davon ohne erkennbares Einwilligungswerkzeug.
• 14 binden Google Maps ein, 9 das Facebook-Pixel, 5 reCAPTCHA, 4 Vimeo, 3 YouTube als iframe.
• 139 enden auf HTTPS, 2 nicht. Ein Kontaktformular schickt seine Daten an eine http://-Adresse.
• 48 laden gar keine Skripte von fremden Servern. Es geht also.

Was diese Messung nicht sieht: alles, was erst ein Skript nachlädt, und alles hinter dem ersten Klick. Ein echter Browser findet deshalb eher mehr als weniger. Namen veröffentliche ich nicht.

Mit dem Werkzeug statt von Hand#

Den Abruf aus der Messung macht der Datenschutz-Check für jede Adresse, ohne Anmeldung: Cookies aus der ersten Antwort, eingebundene Drittdienste wie Schriften, Karten, Videos und Analysewerkzeuge, und ob Impressum und Datenschutzerklärung erreichbar sind. Er hat dieselbe Grenze wie die Messung oben und sagt das auch: Cookies, die erst ein Skript setzt, sieht er nicht. Für die Punkte 3 bis 6 ist er der schnellere Weg, für Punkt 7 bleibt der Blick auf den Banner.

Was jeder gefundene Dienst überträgt und ob er eine Einwilligung braucht, steht je Dienst in Welche Dienste auf deiner Website ein Problem sind. Wer statt der eigenen eine fremde Seite einschätzen will, etwa vor einem Kauf, findet die Prüfung aus Besuchersicht in Website prüfen: ist sie seriös?.

Was nicht hilft#

Ein Banner, der alles lädt und dann fragt. Die Frage kommt zu spät, wenn die Daten schon übertragen sind.

„Anonymisierte“ Analyse mit Cookie als einwilligungsfrei verkaufen. § 165 TKG fragt nicht, ob die Daten anonymisiert werden, sondern ob etwas auf dem Gerät gespeichert oder gelesen wird.

Ein Scanner-Abo als Beleg der Konformität. Ein Scanner sieht dasselbe wie die acht Punkte oben, nicht mehr. Verträge und Datenschutzerklärung prüft er nicht.

Eine Datenschutzerklärung aus dem Generator, die Dienste aufzählt, die die Seite gar nicht nutzt. Sie ist dann genauso falsch wie eine, die einen Dienst vergisst.

Häufige Fragen#

Wenn du es nicht selbst machen willst#

In eigener Sache: cyberscale bin ich, Stefan Haun aus Tirol. Ich prüfe keine Datenschutzerklärungen und mache keine Rechtsberatung. Was ich mache, ist die technische Seite. Bei der WordPress-Wartung laufen Datenschutz-Check und Security-Scan jede Nacht über die Seite, und eine Änderung fällt am nächsten Morgen auf, etwa ein Plugin-Update, das plötzlich Google Fonts nachlädt. Den Blick von außen auf Security-Header, TLS und offen liegende Dateien gibt es einmalig als Sicherheits-Check. Wird ohnehin neu gebaut, gehört das zum Paket: Eine Website, die vor der Einwilligung nichts nachlädt, für 1.490 € braucht meist keinen Cookie-Banner.

Stand 05.10.2026. Quellen an diesem Tag abgerufen, Messung am 05.10.2026.