Compliance & DSGVO
Wie Sie die DSGVO-Konformität Ihrer Website 2026 prüfen
Ein Cookie-Banner beweist nichts. Die DSGVO-Konformität einer Website zeigt sich im Browser: was vor dem ersten Klick ausgelöst wird und was wirklich passiert, wenn man ablehnt. So prüfen Sie Ihre Website — von Hand, in etwa zehn Minuten.
Die meisten Websites, die wir prüfen, zeigen ein Banner und halten sich für konform. Doch in den meisten Fällen werden Tracker — Google Analytics, Meta Pixel, Retargeting — ausgelöst, bevor der Besucher irgendwohin klickt, oder laufen nach einer Ablehnung weiter. Das Banner beruhigt, blockiert aber nichts. Ein DSGVO-Audit dient genau dazu, diese Lücke zwischen dem, was Sie glauben, und dem, was Ihre Website tatsächlich tut, zu messen.
Was ein DSGVO-Audit wirklich prüft
Ein nützliches Audit liest nicht Ihre Datenschutzerklärung — es beobachtet das technische Verhalten der Seite. Die zu kontrollierenden Punkte:
- Tracker vor der Einwilligung — welche Cookies und Skripte beim Laden ausgelöst werden, vor jeder Besucheraktion.
- Wirksamkeit der Ablehnung — Stoppen Marketing-Tracker nach einem Klick auf « Ablehnen » wirklich, oder verschwindet nur das Banner?
- Nicht-EU-Transfers — an welche Server und CDNs die Daten gehen (oft in die USA, ohne Garantien).
- Einwilligungsbanner — Vorhandensein und vor allem Symmetrie « Akzeptieren » / « Ablehnen ».
- Google Consent Mode v2 — korrekt konfiguriert oder im Modus « standardmäßig gewährt »?
- Getarnte Tracker (CNAME-Cloaking) — als First-Party-Subdomain getarnte Tracker.
Die manuelle Methode: 10 Minuten mit den DevTools
Eine erste Einschätzung können Sie selbst vornehmen, ohne Tool. Öffnen Sie Ihre Website im privaten Fenster, dann die Entwicklertools des Browsers (F12):
- Tab « Application » → Cookies: Laden Sie die Seite neu, ohne das Banner zu berühren. Jedes Cookie außer den strikt notwendigen (Warenkorb, Sitzung, Sicherheit, das Einwilligungs-Cookie selbst) sollte nicht da sein.
- Tab « Network »: Achten Sie auf Drittanbieter-Domains. Sehen Sie Aufrufe an
google-analytics.com,facebook.netoderdoubleclick.netvor Ihrem Klick? Das ist eine Lücke. - Klicken Sie auf « Ablehnen » und laden Sie neu: Kommen dieselben Aufrufe zurück? Wenn ja, ist Ihre Ablehnung nicht wirksam.
Diese Methode ist zuverlässig, aber mühsam, und sie übersieht durch CNAME-Cloaking getarnte oder zeitverzögert ausgelöste Tracker. Um sie zu erwischen, warten Sie einige Sekunden, bevor Sie den Tab « Network » lesen, und prüfen Sie per DNS-Abfrage, ob eine First-Party-Subdomain (etwa metrics.ihre-site.de) per CNAME auf einen Dritten zeigt.
Konformität liest man nicht in einer Datenschutzerklärung: Sie zeigt sich im Browser, vor dem Klick und nach einer Ablehnung. Läuft in einer dieser beiden Phasen ein Marketing-Tracker, haben Sie eine Lücke zu schließen.
Das Ergebnis lesen: die häufigsten Lücken
Vier Feststellungen kommen fast immer vor:
- Analytics vor der Einwilligung — Google Analytics beim ersten Rendern geladen. Die Lücke Nr. 1; siehe auch unseren Beitrag über die SEO-Kosten des Cookie-Banners.
- Unwirksame Ablehnung — das Banner schließt sich, aber die Pixel laufen weiter. Bei Shopify ist das fast systematisch: wie Sie es in fünf Minuten beweisen.
- Werbe-Pixel — Meta, TikTok, Google Ads, oft von einem Tag-Manager abgelegt.
- Nicht-EU-Abhängigkeiten — CDNs und Schriften in den USA gehostet, die die IP Ihrer Besucher preisgeben.
Beheben: wo anfangen
Die Logik ist nicht, « besser um Einwilligung zu bitten », sondern zu reduzieren, was sie nötig macht. Drei Prinzipien:
- Trennen Sie die Zwecke: Reichweitenmessung auf der einen, Marketing auf der anderen Seite. Ein Messwerkzeug, das nichts auf dem Gerät liest oder schreibt, löst die Einwilligungspflicht nicht aus (Artikel 5(3) der ePrivacy-Richtlinie).
- Blockieren Sie vor dem Klick: Kein nicht-essenzieller Tracker darf laufen, bevor der Besucher zustimmt, und eine Ablehnung muss sie wirklich abschalten.
- Wählen Sie Tools, die die Debatte gar nicht erst eröffnen: Analytics ohne Cookie und ohne dauerhafte Kennung nimmt die Reichweitenmessung aus der Einwilligungsgleichung. Das ist Snorklees Ansatz — ohne Banner, ohne Cookie.
Ein Audit ist eine indikative technische Feststellung, keine Rechtsberatung: Es kann Falsch-Positive enthalten. Für eine Entscheidung lassen Sie es von einem DSB oder Juristen prüfen.
Über die DSGVO hinaus: Souveränität
« Konform » zu sein sagt nichts darüber, wohin Ihre Daten gehen. Eine Website kann die DSGVO einhalten und dennoch vollständig von US-Diensten abhängen. Um diese Abhängigkeiten zu kartieren, listen Sie die Drittanbieter-Domains im Tab « Network » auf und prüfen Sie für jede die Gerichtsbarkeit des Unternehmens dahinter: Die Methode steht in „In Europa gehostet“ heißt nicht souverän.
Kurz gesagt
Ihre Website zu prüfen heißt nicht, Ihre AGB neu zu lesen: Es heißt, den Browser zu öffnen und zu beobachten, was vor dem Klick und nach einer Ablehnung ausgelöst wird. Tun Sie es einmal, um zu verstehen, und dann erneut nach jeder Änderung an Tags, Plugins oder Banner.
Braucht Ihre Website 2026 noch einen Cookie-Banner? →
Wie prüfe ich die DSGVO-Konformität meiner Website?
Öffnen Sie Ihre Website im privaten Fenster und prüfen Sie in den DevTools die vor jedem Klick und nach einer Ablehnung ausgelösten Cookies und Netzwerkanfragen: Nur strikt notwendige Elemente sollten erscheinen. Wiederholen Sie diese Feststellung in drei Phasen: vor der Einwilligung, nach der Annahme, nach der Ablehnung.
Reicht ein Cookie-Banner für die Konformität?
Nein. Ein Banner, das Tracker nicht daran hindert, vor dem Klick auszulösen — oder sie nach einer Ablehnung nicht abschaltet —, macht nicht konform. Konformität zeigt sich im technischen Verhalten der Seite, nicht im Vorhandensein eines Banners.
Was prüft ein Website-DSGVO-Audit?
Vor der Einwilligung gesetzte Tracker, die Wirksamkeit der Ablehnung, Datenübertragungen außerhalb der EU, Vorhandensein und Symmetrie des Banners, die Google-Consent-Mode-v2-Konfiguration und durch CNAME-Cloaking getarnte Tracker.
Veröffentlicht im Juni 2026. Rechtsrahmen: Artikel 5(3) der Richtlinie 2002/58/EG (ePrivacy) — allgemeine Information, keine individuelle Rechtsberatung. Ein Audit ist indikativ und kann Falsch-Positive oder Falsch-Negative enthalten.