Eine Nachricht behauptet, auf Ihrer Unternehmenswebsite gebe es Probleme mit Google Fonts, Cookies, externen Diensten, Impressum oder Datenschutzerklärung. Dazu erhalten Sie einen Link zu einem Prüfbericht mit Warnungen, Punkten oder einer Risikobewertung. Das wirkt schnell wie eine Abmahnung. Ein automatisierter Website-Check ist jedoch zunächst genau das: eine technische Analyse. Entscheidend ist anschließend, welche Befunde tatsächlich zutreffen, wie die Website technisch arbeitet und welche rechtlichen Anforderungen im konkreten Fall gelten.
1. Website-Scan oder Abmahnung: Was ist der Unterschied?
Der erste Schritt ist nicht die technische Reparatur.
Der erste Schritt lautet:
Verstehen, was Sie überhaupt erhalten haben.
Ein automatisierter Prüfbericht kann beispielsweise von einem Dienstleister stammen, der öffentlich erreichbare Websites technisch analysiert und anschließend auf gefundene Auffälligkeiten hinweist.
Das ist nicht automatisch eine Abmahnung.
Eine tatsächliche rechtliche Aufforderung sollte deshalb nicht mit einem technischen Prüfbericht gleichgesetzt werden.
Prüfen Sie den Absender und das Dokument
- Wer hat die Nachricht verschickt?
- Handelt es sich um einen technischen Dienstleister, eine Kanzlei, einen Verband oder eine andere Stelle?
- Wird lediglich auf mögliche Probleme hingewiesen?
- Wird eine konkrete Rechtsverletzung behauptet?
- Werden Forderungen gestellt?
- Gibt es Fristen?
- Wird eine Unterlassungserklärung oder Zahlung verlangt?
Diese Unterscheidung ist wichtig, weil die angemessene Reaktion unterschiedlich ausfallen kann.
Prüfen Sie zweifelhafte Absender über einen unabhängig aufgerufenen Kontaktweg. Öffnen Sie verdächtige Links oder Anhänge nicht ungeprüft, geben Sie keine Zugangsdaten ein und veranlassen Sie keine Zahlung allein aufgrund einer Scanner-Warnung. Die äußere Gestaltung oder Absenderbezeichnung allein beweist weder die Echtheit noch die rechtliche Bedeutung eines Schreibens.
2. Was prüfen automatisierte Website-Scanner?
Ein Scanner ruft eine Website technisch auf und sucht nach definierten Mustern.
Je nach Werkzeug können beispielsweise folgende Bereiche untersucht werden:
- extern geladene Schriftarten,
- Tracking- und Marketingdienste,
- eingebettete Videos oder Karten,
- gesetzte Cookies und andere Speicherzugriffe,
- Cookie- beziehungsweise Consent-Mechanismen,
- HTTPS und technische Sicherheitsmerkmale,
- Formulare,
- auffindbare Rechtstexte,
- technische Informationen über das verwendete CMS.
Welche Muster ein bestimmtes Werkzeug prüft und welche Grenzen es nennt, muss anhand des konkreten Reports und seiner Dokumentation nachvollzogen werden. Eine automatisch vergebene Risikostufe ist noch kein Beleg für eine bestimmte Rechtsverletzung.
Ein Befund ist zunächst ein Prüfauftrag
Wenn ein Scanner beispielsweise erkennt, dass eine Verbindung zu einem externen Anbieter hergestellt wurde, ist diese Beobachtung technisch relevant.
Die rechtliche Bewertung kann jedoch weitere Informationen benötigen:
- Wann wird die Verbindung hergestellt?
- Vor oder nach einer Einwilligung?
- Welche Daten werden tatsächlich übertragen?
- Welche Funktion erfüllt der Dienst?
- Welche Einstellungen wurden verwendet?
- Was steht in der Datenschutzerklärung?
Deshalb sollte ein automatischer Befund weder ignoriert noch ungeprüft als endgültiges Urteil übernommen werden.
3. Warum werden Google Fonts häufig gemeldet?
Bei Webfonts ist technisch entscheidend, von welchem Server die Schrift beim Seitenaufruf geladen wird.
Eine Website kann eine Schrift lokal auf dem eigenen Webserver bereitstellen oder sie beim Besuch von einem externen Dienst abrufen.
Bei einem externen Abruf stellt der Browser des Besuchers eine Verbindung zu diesem externen Server her.
Lokal eingebundene Schriftarten vermeiden den externen Abruf
Wenn eine benötigte Schrift technisch und lizenzrechtlich zulässig lokal bereitgestellt werden kann, muss der Browser sie nicht bei jedem Seitenaufruf von einem externen Font-Server anfordern.
Deshalb gehört die Prüfung der tatsächlichen Font-Einbindung zu einem sinnvollen Website-Audit.
Nicht nur im sichtbaren Design suchen
Externe Fonts können auch durch Themes, Plugins oder eingebettete Komponenten geladen werden.
Eine bloße Sichtprüfung der Website reicht deshalb nicht aus.
Nach einer Änderung sollte technisch kontrolliert werden, ob die externe Verbindung tatsächlich verschwunden ist.
4. Was ist mit YouTube, Maps, Tracking und anderen externen Diensten?
Websites bestehen heute selten nur aus HTML, Bildern und Text vom eigenen Server.
Häufig werden Funktionen externer Anbieter eingebunden.
Dazu können beispielsweise gehören:
- Videos,
- Karten,
- Analysewerkzeuge,
- Werbe- und Conversion-Tracking,
- Chat-Funktionen,
- Terminbuchungen,
- Bewertungs-Widgets,
- externe Formulare oder andere eingebettete Inhalte.
Bei der Prüfung sollte nicht nur gefragt werden, ob ein Dienst vorhanden ist.
Entscheidend ist auch, wann und unter welchen Bedingungen eine Verbindung hergestellt wird.
Ein sichtbarer Platzhalter kann einen Unterschied machen
Bei manchen externen Inhalten kann technisch zunächst ein lokaler Platzhalter angezeigt werden.
Der eigentliche externe Inhalt wird dann erst nach einer vorgesehenen Nutzeraktion beziehungsweise erforderlichen Einwilligung geladen.
Welche Lösung geeignet ist, hängt vom jeweiligen Dienst und Einsatzzweck ab.
5. Was bedeutet ein Cookie-Befund?
Ein Scanner kann erkennen, dass beim Websitebesuch Cookies gesetzt oder Informationen im Browser gespeichert beziehungsweise ausgelesen werden.
Damit beginnt die Prüfung – sie endet dort nicht.
Nach § 25 TDDDG ist für die Speicherung von Informationen in der Endeinrichtung eines Nutzers oder den Zugriff auf bereits gespeicherte Informationen grundsätzlich eine Einwilligung vorgesehen. Das Gesetz enthält zugleich Ausnahmen, unter anderem wenn der Zugriff unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.
Deshalb müssen Cookies technisch eingeordnet werden
Prüfen Sie beispielsweise:
- Welches Cookie oder welcher Speicherzugriff wurde erkannt?
- Welcher Dienst setzt ihn?
- Wann geschieht das?
- Welchem Zweck dient er?
- Ist er für die gewünschte Funktion erforderlich?
- Wird eine gegebenenfalls notwendige Einwilligung vor dem Zugriff eingeholt?
- Entspricht die Beschreibung im Consent-System der tatsächlichen technischen Nutzung?
Ein Cookie-Banner allein macht eine Website deshalb noch nicht automatisch korrekt.
Wenn ein einwilligungsbedürftiger Dienst bereits vor der Auswahl des Besuchers geladen wird, löst die bloße Existenz eines Banners das technische Problem nicht.
Mehr dazu finden Sie im Beitrag Cookie-Banner prüfen: Lädt Tracking bereits vor der Einwilligung?.
6. Kann ein Scanner das Impressum vollständig prüfen?
Ein Scanner kann feststellen, ob eine Impressumsseite gefunden wurde und ob bestimmte typische Angaben erkennbar sind.
Ob das Impressum für das konkrete Unternehmen vollständig ist, lässt sich jedoch nicht immer allein aus dem Website-Code bestimmen.
§ 5 DDG nennt für geschäftsmäßige, in der Regel gegen Entgelt angebotene digitale Dienste verschiedene allgemeine Informationspflichten.
Dazu gehören je nach Fall unter anderem Name und Anschrift, elektronische Kontaktmöglichkeit, Angaben zu bestimmten Registern sowie weitere Informationen.
Die erforderlichen Angaben hängen vom Anbieter ab
Bei bestimmten Tätigkeiten können zusätzliche Informationen erforderlich sein.
Das DDG nennt beispielsweise besondere Angaben für bestimmte reglementierte Berufe und für Tätigkeiten, die einer behördlichen Zulassung bedürfen.
Außerdem stellt das Gesetz ausdrücklich klar, dass weitergehende Informationspflichten aus anderen Rechtsvorschriften unberührt bleiben.
Genau deshalb ist ein universelles Impressum für jedes Unternehmen problematisch.
Eine GmbH, ein Einzelunternehmen, ein regulierter Beruf und ein Unternehmen mit erlaubnispflichtiger Tätigkeit können unterschiedliche Angaben benötigen.
Prüfen Sie deshalb die tatsächlichen Unternehmensangaben und gegebenenfalls zusätzlich geltende Vorschriften, statt nur eine automatisch erzeugte Vollständigkeitsanzeige zu übernehmen.
7. Was kann bei der Datenschutzerklärung auffallen?
Eine Datenschutzerklärung sollte die tatsächlichen Datenverarbeitungen der Website widerspiegeln. Die Informationspflichten ergeben sich insbesondere aus Artikeln 13 und 14 der DSGVO; welche Angaben erforderlich sind, hängt unter anderem davon ab, wie personenbezogene Daten erhoben und verarbeitet werden.
Problematisch ist deshalb nicht nur ein fehlender Text.
Auch eine umfangreiche Datenschutzerklärung kann unpassend sein, wenn sie Dienste beschreibt, die gar nicht eingesetzt werden, oder tatsächlich verwendete Dienste nicht berücksichtigt.
Technik und Text müssen zusammenpassen
Ein sinnvoller Audit vergleicht deshalb mindestens:
- welche Dienste technisch geladen werden,
- welche Formulare personenbezogene Daten verarbeiten,
- welche Analyse- oder Marketingwerkzeuge eingesetzt werden,
- welche externen Inhalte eingebunden sind,
- was im Consent-System konfiguriert ist,
- was die Datenschutzerklärung tatsächlich beschreibt.
Wird beispielsweise ein Dienst aus der Website entfernt, sollte anschließend auch geprüft werden, ob die zugehörige Beschreibung in den Rechtstexten noch benötigt wird.
Umgekehrt sollte ein neu eingebundener Dienst nicht einfach technisch aktiviert werden, ohne die datenschutzrechtliche Dokumentation und gegebenenfalls den Consent-Prozess zu prüfen.
8. Können automatische Website-Reports falsch liegen?
Ja. Automatisierte Prüfungen haben technische Grenzen.
Ein Scanner kann etwas erkennen, das anschließend genauer eingeordnet werden muss, oder einen Dienst unter bestimmten Bedingungen nicht sehen.
Typische Gründe für Abweichungen
- Ein Dienst wird erst nach einer bestimmten Nutzeraktion geladen.
- Unterschiedliche Consent-Auswahlen führen zu unterschiedlichen Netzwerkverbindungen.
- Die Website verhält sich je nach Unterseite unterschiedlich.
- Ein Plugin lädt Ressourcen nur in bestimmten Bereichen.
- Ein Scanner ordnet eine technische Ressource einer allgemeinen Kategorie zu.
- Eine rechtliche Pflicht hängt von Unternehmensinformationen ab, die technisch nicht erkennbar sind.
Auch ein unauffälliger Scan ist keine Garantie
Der umgekehrte Schluss wäre ebenfalls falsch.
Wenn ein automatisches Werkzeug keine Auffälligkeit findet, beweist das nicht, dass sämtliche rechtlichen, organisatorischen und branchenspezifischen Anforderungen erfüllt sind.
Ein Scanner sieht nur das, was seine Prüflogik technisch erfassen kann.
9. Was sollten Unternehmen nach einem solchen Report tun?
Statt alle Warnungen ungeprüft abzuarbeiten, empfiehlt sich ein strukturierter Prozess.
- Absender einordnen: Handelt es sich um einen technischen Scan, ein Angebot, eine tatsächliche Abmahnung oder eine behördliche Anfrage?
- Fristen prüfen: Bei konkreten rechtlichen Schreiben dürfen relevante Fristen nicht ignoriert werden.
- Report sichern: Dokumentieren Sie Datum, URL und die gemeldeten Befunde.
- Technische Befunde reproduzieren: Prüfen Sie Netzwerkverbindungen, Cookies und externe Ressourcen tatsächlich auf der Website.
- Consent-Zustände testen: Prüfen Sie die Website vor Einwilligung, nach Ablehnung und nach Zustimmung.
- Rechtstexte mit der Technik vergleichen: Stimmen Datenschutzerklärung, Consent-Konfiguration und tatsächlich eingesetzte Dienste überein?
- Impressum anhand des Unternehmens prüfen: Nicht nur kontrollieren, ob eine Seite vorhanden ist.
- Befunde priorisieren: Echte technische oder rechtliche Probleme von allgemeinen Hinweisen unterscheiden.
- Änderungen umsetzen: Nur Maßnahmen durchführen, deren Zweck verstanden wurde.
- Erneut testen: Nach der Änderung prüfen, ob der technische Befund tatsächlich behoben wurde.
Nicht jede Warnung erfordert eine neue Website
Viele technische Probleme können gezielt behoben werden.
Eine extern geladene Schrift, eine zu frühe Einbindung eines Dienstes oder eine fehlerhafte Consent-Konfiguration bedeutet nicht automatisch, dass die gesamte Website neu gebaut werden muss.
Ein Relaunch sollte aus den tatsächlichen technischen und geschäftlichen Anforderungen begründet werden – nicht allein aus einer niedrigen Punktzahl eines Scanners.
10. Wie lässt sich die Website dauerhaft besser kontrollieren?
Datenschutz und technische Compliance sind keine einmalige Aufgabe beim Launch.
Websites verändern sich.
Neue Plugins werden installiert, Marketingtools ergänzt, Videos eingebettet, Formulare verändert oder Tracking-Systeme ausgetauscht.
Dadurch kann eine ursprünglich geprüfte Konfiguration später wieder abweichen.
Ein einfacher regelmäßiger Website-Check
- Welche externen Domains werden aufgerufen?
- Was passiert vor einer Consent-Entscheidung?
- Was verändert sich nach Zustimmung?
- Welche Cookies und Speicherzugriffe entstehen?
- Sind neue Formulare oder externe Einbettungen hinzugekommen?
- Entspricht die Datenschutzerklärung noch der eingesetzten Technik?
- Sind Unternehmensangaben im Impressum noch aktuell?
- Sind neue geschäftliche Tätigkeiten oder Funktionen hinzugekommen, die weitere Informationspflichten auslösen können?
Änderungen dokumentieren
Bei größeren Websites kann es sinnvoll sein, wichtige technische und rechtliche Änderungen nachvollziehbar zu dokumentieren.
Dann lässt sich später leichter feststellen, wann beispielsweise ein Trackingdienst hinzugefügt, ein Consent-System geändert oder ein externer Inhalt eingebunden wurde.
Website-Check ernst nehmen – aber jeden Befund zuerst verstehen
Ein automatisierter Datenschutz- oder Abmahn-Scan kann nützlich sein, weil er technische Probleme sichtbar macht, die einem Unternehmen vorher nicht bekannt waren.
Er ist jedoch nicht dasselbe wie eine Abmahnung und nicht automatisch eine vollständige rechtliche Bewertung der Website.
Besonders bei Cookies, externen Diensten, Fonts und Consent-Konfigurationen ist eine technische Gegenprüfung sinnvoll.
Bei Impressum und Datenschutzerklärung kommt zusätzlich hinzu, dass erforderliche Inhalte vom tatsächlichen Unternehmen, seinen Tätigkeiten und den eingesetzten Datenverarbeitungen abhängen.
Die richtige Reaktion lautet deshalb weder „ignorieren“ noch „sofort alles umbauen“, sondern: Absender einordnen, Befunde verifizieren, Anforderungen bestimmen und anschließend gezielt beheben.
Häufige Fragen zu DSGVO- und Abmahn-Scans
Ist ein automatischer Abmahn- oder DSGVO-Check bereits eine Abmahnung?
Nein. Ein automatisierter technischer Prüfbericht ist nicht allein deshalb eine Abmahnung, weil er mögliche Rechts- oder Datenschutzprobleme nennt. Prüfen Sie Absender, Inhalt, Forderungen und mögliche Fristen. Bei einer tatsächlichen rechtlichen Aufforderung sollte der konkrete Fall fachkundig geprüft werden.
Sollte man einen solchen Website-Report ignorieren?
Nein. Auch ein kommerzieller oder automatisierter Scan kann echte technische Probleme aufdecken. Die einzelnen Befunde sollten jedoch reproduziert und eingeordnet werden, bevor Änderungen vorgenommen werden.
Sind extern geladene Google Fonts problematisch?
Beim externen Laden stellt der Browser des Besuchers eine Verbindung zum Font-Anbieter her. Deshalb sollte geprüft werden, ob und auf welcher Grundlage diese Verbindung erfolgt. Eine lokale Bereitstellung kann den externen Abruf vermeiden, sofern die konkrete Schrift technisch und lizenzrechtlich entsprechend genutzt werden kann.
Reicht ein Cookie-Banner für eine datenschutzkonforme Website?
Nicht automatisch. Entscheidend ist auch das technische Verhalten der Website. Ein einwilligungsbedürftiger Dienst sollte nicht bereits vor der erforderlichen Einwilligung geladen werden. Deshalb müssen Banner-Konfiguration und tatsächliche Netzwerkaktivität gemeinsam geprüft werden.
Kann ein Scanner feststellen, ob mein Impressum vollständig ist?
Nur begrenzt. Ein Scanner kann vorhandene Angaben erkennen. Welche Angaben im konkreten Fall erforderlich sind, kann jedoch von Rechtsform, Registereintrag, Tätigkeit, Berufsrecht und weiteren gesetzlichen Informationspflichten abhängen.
Braucht jede Unternehmenswebsite dieselben Rechtstexte?
Nein. Es gibt allgemeine Anforderungen, daneben können aber Geschäftsmodell, Rechtsform, Datenverarbeitung, Online-Vertragsabschluss, berufliche Regulierung und weitere Faktoren zusätzliche Informationspflichten auslösen. Deshalb sollte der notwendige Umfang für das konkrete Unternehmen bestimmt werden.
Muss wegen kritischer Scanner-Ergebnisse die Website neu gebaut werden?
Nein. Viele Befunde lassen sich gezielt beheben. Ob ein Relaunch sinnvoll ist, hängt vom Gesamtzustand der Website und den tatsächlichen Anforderungen ab, nicht allein von einer automatisch erzeugten Punktzahl.
Wie oft sollte eine Unternehmenswebsite erneut geprüft werden?
Ein fester Zeitraum passt nicht zu jeder Website. Eine erneute Prüfung ist besonders nach relevanten technischen Änderungen sinnvoll, beispielsweise nach neuen Plugins, Trackingdiensten, Formularen, externen Einbettungen oder Änderungen am Consent-System. Zusätzlich können regelmäßige Kontrollen helfen, unbeabsichtigte Veränderungen früh zu erkennen.