Automatisierte Website-Checks: Fakten und Mythen zum Datenschutz

Kategorien: Datenschutz, Allgemein und Recht

Um den Datenschutz auf Webseiten sicherzustellen, führt an einem automatisierten Website-Checks kaum ein Weg vorbei. Ohne Automatik gelingt eine Prüfung möglicherweise, dann aber nur mit großem Aufwand, vielen Unsicherheiten und unter Hinzuziehen eines Informatik-Jura-Profis. Allerdings ist eine reine Automatik deutlich zu wenig. Deshalb gibt es professionelle Website-Checks mit manuellen Expertenprüfungen.

In Kürze

Zusammenfassung:

Automatisierte Website-Checks sind wichtig, um möglichen Handlungsbedarf schnell zu erkennen und Maßnahmen zur Einhaltung von Datenschutzregeln (DSGVO, TDDDG, was vormals TTDSG hieß) anzuzeigen. Allerdings sind sie allein nicht ausreichend, um eine rechtssichere Webseite zu gewährleisten. Professionelle Website-Checks sollten daher auch manuelle Expertenprüfungen beinhalten.

Beantwortete Fragen:

Frage: Warum sind automatisierte Website-Checks wichtig für den Datenschutz auf Webseiten?
Antwort: Sie helfen, mögliche Datenschutzprobleme schnell und effizient zu identifizieren und Handlungsbedarf aufzuzeigen.

Frage: Reichen automatische Tools allein aus, um eine rechtssichere Webseite zu gewährleisten?
Antwort: Nein, automatische Tools allein reichen nicht aus, da sie nur einen Teil der möglichen Datenschutzprobleme erkennen können und menschliche Expertise für eine umfassende Prüfung und Beratung erforderlich ist.

Frage: Was sind die Vorteile eines automatisierten Website-Checks?
Antwort: Ein automatisierter Website-Check bietet einen ersten guten Anhaltspunkt zur Identifizierung von Datenschutzproblemen.

Frage: Wie kann guter Datenschutz erreicht werden?
Antwort: Guter Datenschutz entsteht durch Beratung und die Auswahl passender Lösungen, die auf den Bedarf des Kunden zugeschnitten sind, sowie durch die Kombination von automatisierten Website-Checks und manuellen Expertenprüfungen.

Wichtige Schlagworte:

Automatisierter Website-Check, Datenschutzbericht, Rechtssicherheit, Beratung, Empfehlungen

Einleitung

Der online Website-Check auf Dr. DSGVO ist seit langem kostenfrei verfügbar und bleibt es auch. Einfach die Adresse einer Webseite eingeben, Start drücken und ein paar Sekunden warten. Auf dem Bildschirm sind die Ergebnisse einer ersten Analyse der Webseite zu sehen.

Mit den Ergebnissen aus dem Website-Check kann schnell geprüft werden, ob Handlungsbedarf auf der Seite besteht. Sogar Maßnahmen zur Einhaltung von Datenschutzregeln (DSGVO, TDDDG) werden angezeigt und helfen Website-Betreibern bei rechtssicheren Internetauftritten. Hier ein Beispiel:

Wenn mein Website-Check erkennt, dass Google Fonts eingebunden sind, kommt ebenfalls eine entsprechende Empfehlung. Zusammen mit den technischen und rechtlichen Informationen auf Dr. DSGVO erhalten Verantwortliche so eine, wie ich finde, sehr gute Entscheidungsgrundlage.

Technik und Recht

Voraussetzung ist, dass sich ein Webseitenbetreiber tiefer mit dem Thema beschäftigen möchte. Wie bei der Steuererklärung gibt es (anscheinend nur wenige) Experten, die dem Betreiber helfen, den Aufwand zu bewältigen, ohne Fehler zu machen. Unter anderem deswegen kommen einige datenschutzaffine Unternehmer auf mich zu, um keine Fehler zu machen. Oft soll eine Webseite nicht nur tiefergehend geprüft werden („Website-Check“), sondern Probleme sollen am besten auch abgestellt werden („Web-Entwicklung“).

Manchmal gibt es Internetagenturen, die eine Webseite betreuen. Die Agenturen oder Webmaster kennen die Technik oft sehr gut, nicht aber rechtliche Vorgaben zum Datenschutz. Auch hier gebe ich immer wieder Hilfestellungen, und zwar dann in einer Sprache, die Techniker verstehen. Was bringt es, wenn ich dem Geschäftsführer mitteile, wie eine JavaScript-Datei einzubinden ist, damit die Cookie-Abfrage richtig funktioniert? Das will dieser nicht wissen, sondern erwartet, dass ein Dienstleister (Agentur oder ich) dies übernimmt. Der Chef hat eher ein offenes Ohr für Informationen zum rechtlichen Risiko, die er von mir gerne erhält.

Automatische Tools reichen nicht

Aus meiner täglichen Arbeit kann ich jedenfalls eines ableiten: Ohne automatisierte Website-Checks ist professioneller Datenschutz für Webseiten nicht möglich. Mit automatisierten Website-Checks alleine ist dies auch nicht möglich. Es gibt immer wieder Anbieter, die nur automatisierte Checks anbieten (oder Anwalt sind und diese Checks zwar anbieten, aber selbst nicht qualifiziert durchführen können). Diese Anbieter behaupten dann, manuelle Website-Checks seien von gestern und nicht mehr nötig. Das ist Bullshit.

Oft wird dann noch so getan, als würde es quasi ausreichen, ein Cookie-Tool zu installieren, damit alles gut ist. Das ist kompletter Unsinn. Dagegen sprechen sogar objektive, leicht beweisbare Gründe.

Auch sogenannte Cookie-Scanner, die man als Website-Check betrachten kann, haben nichts mit Rechtssicherheit zu tun. Cookie-Tools möchten bestimmte Datenverarbeitungen gar nicht bis zu einer vorliegenden Einwilligung unterdrücken, weil sonst die Kunden merken würden, dass diese Cookie-Boxen ihre Werbeversprechen nicht einhalten können. Beispielsweise wurden und werden Google Fonts nicht automatisch unterdrückt, obwohl dies erforderlich wäre. Der Grund: Die Webseite wäre in Ihrer Optik zerstört, wodurch erst erkannt werden würde, dass ein Cookie-Tool keine Lösung für guten Datenschutz ist.

Automatisierter Website-Check als guter Schritt

Wie so oft im Leben geht fast nichts rein automatisch. Beratung lässt sich eben nicht vollautomatisieren. Auch Datenschutzbeauftragte sind keine Webseiten-Berater und sollen bzw. wollen es auch gar nicht sein. Der Verkehrsrechtsanwalt hat mich jedenfalls noch nie beraten, als ich mein Auto zur Inspektion gegeben habe. Stattdessen haben mich kompetente KfZ-Meister, die die Technik verstehen und genügend Kenntnisse von Rechtsvorschriften (Straßenverkehrsordnung) haben.

Machen Sie doch einen automatisierten Website-Check und sehen Sie, wo Ihre Website oder die Ihrer Mandanten steht:

Der Check liefert einen ersten guten Anhaltspunkt. Er ist kostenfrei. Wer mehr will, bekommt es durch Einkaufen einer Leistung. In der Vollversion liefert der Check dafür nicht nur kurze Ergebnisse, sondern einen vollen Datenschutzbericht inklusive Liste gefundener Tools & Plugins, Fundstellen, Cookie-Liste, Muster-Datenschutztexten, Prüfung auf fehlende Rechtstexte, Empfehlungen für häufige Probleme und einiges mehr.

Limitationen von Website-Checks

Damit sind Sie schon gut mit dabei. Was ein automatisierter Check nicht kann, ist aber immer noch eine ganze Menge. Hier ein paar Beispiele:

• Prüfung der Erreichbarkeit von Impressum und Datenschutzhinweisen für alle möglichen Bildschirmauflösungen und Endgeräte (responsives Design). Oft werden Verlinkungen beispielsweise durch Cookie-Popups verdeckt, was eine Automatik nicht wirklich prüfen kann.
• Grundprüfung des Impressums (kein Datenschutzthema, aber immer wieder im Website-Check erwartet) samt Empfehlungen.
• Fachlich-technische Beratung, zugeschnitten auf die Bedürfnisse des Kunden. Hierzu gehört auch eine Risikoabschätzung sowie das Vorschlagen datenschutzfreundlicher Alternativen. Statt eine mit Rechtsunsicherheiten behaftete Einwilligungsabfrage für Google Maps oder YouTube Videos zu entwerfen, sollten die besseren Möglichkeiten datenschutzfreundliche Karte und datenschutzfreundliches Video-Plugin andiskutiert werden.
• Prüfung, ob Hinweis auf Widerrrufsmöglichkeit vorhanden ist.
• Prüfung, ob Hinweistexte im Cookie-Popup ausreichend sind.
• Prüfung, ob der Widerruf einer erteilten Einwilligung korrekt umgesetzt wurde.
• Prüfung von Kontaktformularen und Newsletter-Formularen
• Prüfung von Spezialseiten (oft sind Website-Betreiber überrascht, wenn ich Ihnen sage, dass auf einer Seite der Link zur Datenschutzerklärung fehlt oder dass Google Fonts eingebunden sind. Denn genau dies ist auf Seiten, die ich Spezialseiten nenne und die viele nicht prüfen, oft der Fall).

Die Liste könnte mit weiteren Punkten fortgesetzt werden, die allesamt nicht oder nicht zuverlässig durch eine Automatik geprüft werden können.

IP-Adressen und Server-Standorte

Übrigens ist es auch falsch, wenn eine Automatik behauptet, eine IP-Adresse eines eingebundenen Plugins (wie beispielsweise Google Analytics) sei in den USA beheimatet oder sei in Europa beheimatet. Da es bei Webseiten vorwiegend um Persönlichkeitsrechts geht, spielt die IP-Adresse, die das Website-Check Tool gesehen hat, eine ausgesprochen untergeordnete Rolle. Weiterhin sorgen Lastverteiler (oder Anycast) dafür, dass Zielserver wechseln. Ebenso ist es wichtig, wie die Rechtslage aus der Vertragsgestaltung ist und nicht, wo die IP-Adresse angeblich zu verorten ist. Erstens sind IP-Datenbanken unzuverlässig und nie aktuell. Zweitens werden für Dienste wie Google Analytics sämtliche Analysedaten immer in den USA verarbeitet, egal, wo ein Website-Check meint, die IP-Adresse verortet zu haben. Die Aussage aus dem vorigen Satz ist keine Meinung oder Behauptung, sondern eine von Google selbst zugegebene Tatsache.

Fazit

Wer eine Webseite betreibt oder die Webseiten von Mandanten betreut, sollte einen automatisierten Website-Checks nutzen. Ohne geht es für die meisten Webseiten nicht, jedenfalls nicht wirtschaftlich. Zudem sind die Kenntnisse über Technik und Datenschutz zusammen nicht so weit verbreitet. Ein Tool hilft dabei, die eigenen rechtlichen und technischen Kenntnisse zu ergänzen oder Defizite bis zu einem gewissen Maß zu kompensieren.

Wer auf seinen Webseite keine wilden Dinge tut und jetzt schon kein Cookie-Popup braucht, für den reicht eine reine Automatik erst einmal aus. Zumindest ist dann das Risiko, ein Datenschutzproblem aufgedrückt zu bekommen, sehr gering.

Alle anderen, die ihre Webseite für mehr nutzen, als nur Text darzustellen, sollten die Ergebnisse aus automatisierten Checks als Basis nutzen. Wie die obige Auflistung zeigt, sind zahlreiche Prüfschritte nur von einem Menschen durchführbar. Ein Glück, muss man fast sagen. Wie man anhand von ChatGPT sehen kann, sind Programme heute recht leistungsfähig, können aber Menschen nicht ersetzen. Alleine schon die Frage, die ChatGPT gestellt wird, muss ein Mensch eingeben. Ganz zu Schweigen vom Auswerten der Ergebnisse. Zudem sind die Ergebnisse von ChatGPT oft falsch, opportun, widersprüchlich oder unvollständig. Genau das Gleiche kann man über automatisierte Website-Checks auch sagen.

Wenig Aufwand hat nur, wer eine datenschutzfreundliche Internetpräsenz betreibt. Dass das möglich ist, zeigen mittlerweile viele gute Beispiele. Dazu gehört allerdings auch, dass man sich von Diensten wie denen von Google, Facebook und anderen Internetkonzernen verabschiedet. Wer solche Dienste einsetzen möchte, sollte den Nutzen prüfen und den Aufwand einer Beratung in Kauf nehmen.

Demnächst wird es kostenfreie Webinare auf Dr. DSGVO geben. So wird selbst Beratung kostenfrei. Schreiben Sie doch, welches Thema Sie interessiert (Kontaktmöglichkeit über Impressum oder über „Nachricht schreiben“ am Ende der Seite oder über Kommentarfunktion zum Beitrag).