Technical GDPR Audit
DSGVO-Check für Ihre Website - Cookies, Tracking, Consent rechtssicher.
Wenn EU-Besucher auf Ihre Seite kommen, feuert Ihr Tracking vermutlich vor Consent - und Ihr Analytics ist vermutlich weniger verlässlich als Sie denken. Wir auditieren die gesamte technische Schicht: Skripte, Cookies, Consent-Flows, Drittdienste und Datenflüsse. Sie behalten Sichtbarkeit ins Geschäft und bleiben rechtlich sauber.
Rechtsrahmen, an dem wir prüfen
Drei Regelwerke, die jedes Audit zugrunde legt.
- DSGVO Art. 5, 6, 7 - Rechtmäßigkeit, Einwilligung, Transparenz und Datenminimierung. Tracking vor Einwilligung verletzt Art. 6 Abs. 1 lit. a, fehlende Widerrufbarkeit verletzt Art. 7 Abs. 3.
- TTDSG § 25 (deutsches Telekommunikation-Telemedien-Datenschutz-Gesetz, gültig seit 2021) - schreibt explizite Einwilligung für jeden nicht-essenziellen Zugriff auf Endgeräte-Speicher vor (Cookies, Local Storage, Pixel). Strenger als DSGVO allein, betrifft auch deutsche Tochtergesellschaften internationaler Konzerne.
- EuGH-Urteil Schrems II (C-311/18) - verbietet pauschalen US-Datentransfer ohne zusätzliche Schutzmaßnahmen. Betrifft Google Analytics, Meta Pixel, US-CDNs, US-Hosting. Wir prüfen jeden Drittdienst auf Schrems-II-Konformität (TIA-Pflicht, Standardvertragsklauseln, EU-Hosting-Optionen).
Was Sie als Lieferung bekommen
15-20-seitiger PDF-Audit-Report mit Severity-Tiers.
Konkretes Deliverable, kein generisches „wir gucken mal drüber":
- Cookie- und Drittdienst-Inventar als Tabelle: Anbieter, Zweck, Lebensdauer, Rechtsgrundlage, Schrems-II-Status
- Befund-Liste mit Severity-Tiers (Critical / High / Medium / Low) und konkreter Fix-Empfehlung pro Befund
- Consent-Flow-Diagramm Ist-Zustand vs Soll-Zustand
- Datenfluss-Skizze für Formulare, Lead-Capture und CRM-Integrationen
- Briefing-Dokument für Datenschutzerklärung und Cookie-Richtlinie, an dem Ihre Anwältin oder Ihr Datenschutzbeauftragter ohne Site-Rekonstruktion ansetzen kann
Optional: Bei Bedarf vermitteln wir an einen Datenschutzbeauftragten oder Fachanwalt für IT-Recht aus unserem Netzwerk. Wir geben keine Rechtsberatung - wir liefern die technische Faktenbasis, auf der Rechtsberatung effizient möglich ist.
Was wir auditieren
Fünf Prüfschichten, die zu einer zusammenhängenden Fix-Liste werden.
Cookie-Inventar
Ein echtes, vollständiges Cookie-Audit - First-Party, Third-Party, persistent, Session - kategorisiert nach Zweck und Anbieter.
Consent-Flow
Wie Einwilligung erbeten, gespeichert, widerrufen und respektiert wird. Häufige Fehler: Auslösen vor Einwilligung, kein Widerruf, Dark Patterns.
Tracking & Analytics
Google Analytics 4, Meta Pixel, LinkedIn Insight, Hotjar / Heatmaps und Ähnliches - sauber an Consent gekoppelt.
Drittskripte
Embeds, Fonts, Maps, Chat-Widgets, Videoplayer - jedes Script, das von Ihrer Domain nach Hause telefoniert, geprüft und gelabelt.
Datenflüsse
Formulare, Lead Capture, CRM- und E-Mail-Integrationen. Wohin Daten fließen, wer verarbeitet, welche Offenlegung nötig ist.
Dokumentations-Hooks
Ein Briefing-Dokument, an dem Ihre Datenschutzerklärung, Cookie-Richtlinie und das AVV-Inventar ausgerichtet werden können - ohne dass Ihre Anwälte die Seite rekonstruieren müssen.
Warum es zählt
Compliantes Tracking ist auch besseres Tracking.
Ein sauberes Consent-Setup schaltet Analytics nicht ab - es macht die Daten, die Sie erheben, vertrauenswürdig. Und es entfernt eine Klasse rechtlicher Risiken, die viele Unternehmen einfach ignorieren, bis etwas schiefgeht.
Für Nicht-EU-Unternehmen mit europäischen Kunden ist das nicht optional. Für DACH-orientierte Firmen ist es Mindeststandard.
- Skripte finden, die vor Consent feuern - und stoppen.
- Jedes Cookie auf Zweck und Rechtsgrundlage mappen.
- Consent-UX schärfen, ohne Dark Patterns oder unnötige Hürden zu bauen.
- Analytics, das eingewilligt, akkurat und erklärbar ist.
- Der Rechtsabteilung ein Briefing übergeben, mit dem sie wirklich arbeiten kann.
Was wir typischerweise finden
Die acht Fehlermuster, die in fast jedem Audit auftauchen.
Nach Dutzenden Websites ist das Muster deprimierend stabil. Keiner dieser Punkte ist theoretisch - jeder hat schon DACH-Unternehmen reales Geld gekostet, in Form von Abmahnungen, Bußgeldern oder verlorenen Rankings.
1. Google Fonts extern geladen
Das LG-München-Urteil von 2022 hat daraus ein dokumentiertes Risiko von 100 EUR pro Fall gemacht. Wir finden es immer noch auf rund der Hälfte aller Audits. Lösung: Schriftdateien selbst hosten - einmaliger CSS-Tausch.
2. Analytics feuert vor Consent
GA4 wird direkt im <head> geladen, nicht über den Consent-Layer gegated. Jeder Besucher wird getrackt, bevor er ablehnen kann. Die Daten sind rechtlich nicht einmal verwertbar.
3. Maps- und Video-Embeds laden bei Page-View
Google-Maps- und YouTube-Embeds setzen Cookies und übertragen IPs in dem Moment, in dem die Seite rendert. Beide gehören hinter expliziten Consent oder hinter Click-to-Load-Platzhalter.
4. Consent-Layer, der nicht wirklich blockt
Häufiges Muster: Banner sieht konform aus, lädt aber Skripte vor dem „Annehmen"-Klick - oder respektiert keinen Widerruf. Rechtlich entspricht das einem fehlenden Banner.
5. Kontaktformular-Empfänger passt nicht
Formular geht an ein privates Gmail, die Datenschutzerklärung nennt einen anderen Auftragsverarbeiter, das Impressum eine dritte Adresse. Drei Adressen, die auf derselben Site auseinanderlaufen - sehen wir regelmäßig.
6. Fehlerhaftes oder unvollständiges Impressum
DE/AT verlangt Pflichtangaben: juristische Person, vertretungsberechtigte Person, Adresse, Kontakt, Registernummer und USt-ID, sofern vorhanden. Fehlende Felder = §5-TMG-Verstoß = Abmahnrisiko. Schnell-Check vorab mit unserem kostenlosen Impressum-Generator.
7. Cookie-Banner ohne Widerrufspfad
Wenn ein Besucher seine Meinung nicht ändern kann, ohne Cookies manuell zu löschen, ist die Einwilligung nicht gültig. Wir prüfen, ob „Einwilligung widerrufen" auf jeder Seite in zwei Klicks erreichbar ist.
8. Dritt-Skripte, die niemand mehr eingebaut hat
Marketing-Pixel aus alten Kampagnen, A/B-Test-Snippets eines Tools, das längst abgelöst wurde, Chat-Widgets eines abgeschalteten Anbieters. Jedes ist ein Datenleck ohne verbleibenden Business-Wert.
FAQ
Häufige Fragen.
Sobald Sie EU/EWR-Besucher, -Kunden oder -Nutzer ansprechen, gilt die DSGVO - unabhängig vom Sitz. Die meisten Unternehmen außerhalb der EU mit europäischen Kunden fallen in den Anwendungsbereich.
Nein. Wir auditieren die technische Umsetzung: Cookies, Consent-Flows, Drittskripte, Tracking, Datenflüsse. Mit Ihrer Rechtsberatung stimmen wir zur Policy-Formulierung ab - wir ersetzen sie nicht.
Ja - besser sogar. Korrekt eingewilligtes Tracking ist verlässlicher als lückenhaftes Tracking, das vor Consent feuert. Sie behalten Sichtbarkeit und bleiben sauber.
Ja, optional. Viele Kunden setzen selbst um; andere lassen die Fixes von uns gleich mitliefern. Beides geht.
Wer das DSGVO-Audit durchführt
Patrick Sosath, Gründer & Stratege.
Ausgebildeter IT-Kaufmann, Studium Management & Technology an der OTH Regensburg. Berufsstationen im B2B-Software- und IT-Umfeld.
Das DSGVO-Audit führen wir persönlich durch. Compliance-Arbeit, die von jemandem geleistet wird, der auch Websites baut, gibt Ihnen etwas Seltenes: Eine technische Einschätzung, die versteht, was in einem Tag behebbar ist - und was einen Anbieterwechsel erfordert.
Audit holen
Schicken Sie uns Ihre URL. Wir senden einen fixen Scope zurück.
Wenn Sie lieber breiter starten wollen, ist eine Clarity Session der richtige Einstieg - wir decken DSGVO-Red-Flags als Teil der technischen Linse mit ab.
Kurzer Draht
Schreiben Sie uns eine kurze Nachricht.
Zwei Sätze reichen, echte Antwort innerhalb eines Werktages. Oder nutzen Sie das ausführliche Formular auf der Kontaktseite.