Der DSGVO-Webseiten-Check: Features und Nutzen

Viele nutzen mein online Tool, um Webseiten auf Datenschutzprobleme hin zu untersuchen. Gelegentlich bezweifelt jemand das Ergebnis. Eine persönliche Nachprüfung zeigt, dass mein Tool eigentlich immer recht hat. Dennoch empfehle ich zusätzlich zur rein automatisierten Analyse („Website-Check") auch eine manuelle Inspektion, weil eine Software (glücklicherweise) den Menschen nicht ersetzen kann.

Der DSGVO-Website-Check liegt grundsätzlich so gut wie immer richtig.

Bezieht sich auf den Gesamtbefund sowie die Erfahrungen aus der Praxis.

Was untersucht das Tool?

Das Online Tool prüft Webseiten auf verschiedene Datenschutzprobleme hin. Hier die wichtigsten Prüfungen:

• Cookies, die einer Einwilligung bedürfen
• Datentransfers zu Dritten, die einer Einwilligung bedürfen. Hierzu gehören insbesondere Tools & Plugins, die die Einwilligung als Rechtsgrundlage haben (siehe Art. 6 Abs. 1 DSGVO)
• SSL-Zertifikatsprüfung

Die ersten beiden Punkte lassen sich auf den Einsatz von Tools (Diensten) zurückführen. Ein solches Tool ist etwa Google reCAPTCHA. Nur durch Tools entstehen Cookies. Die Frage nach Cookies ist also auf die Frage des Einsatzes von Tools zurückzuführen. Cookies alleine gibt es nicht.

Über 50.000 Webseiten wurden bereits mit dem Online Website-Check geprüft.

Mittlerweile wahrscheinlich noch deutlich mehr.

Datentransfers zu Dritten sind ebenfalls auf Tools zurückzuführen. Beispielsweise bei Google Analytics. Allerdings können solche einwilligungspflichtigen Datentransfers auch vorliegen, wenn ein Bild von einer externen Adresse eingebunden wird. Das ist illegitim, weil leicht vermeidbar. Das mildere Mittel ist eben entscheidend. Daher kann eine rechtliche Bewertung für Webseiten erst vorgenommen werden, nachdem ein technisches Verständnis über die Vorgänge auf der Homepage gewonnen wurde. Deswegen erscheint es aus meiner Sicht keine gute Idee zu sein, einen Anwalt zu beauftragen, eine Webseite „abzusichern“ (es wäre höchstens dann eine gute Idee, wenn der Anwalt einen Technikprofi hinzuzieht, der sich mit rechtlichen Fragestellungen ein wenig auskennt).

Nicht jede Webseite muss ein SSL-Zertifikat aufweisen. Der aktuelle Rechtsstand ist, dass dieses nur erforderlich ist, wenn die Webseite ein Kontaktformular anbietet. Ein vorhandenes SSL-Zertifikat, welches fehlerhaft ist (Weiterleitung fehlt, Verschlüsselung zu gering, Herausgeber nicht vertrauenswürdig, nicht mehr gültig, nicht gültig für Domäne), wird vom Tool als Fehler ausgewiesen. Hier muss genauer geschaut werden, ob tatsächlich ein Datenschutzproblem vorliegt. Sofern auch Probleme aus den vorigen beiden genannten Kategorien vorliegen, ist die Sachlage eindeutiger.

Warum hat das Tool fast immer recht?

Der DSGVO-Scanner kann mit vollständiger Sicherheit folgendes feststellen:

• Werden Cookies ohne Einwilligung verwendet?
• Werden Dateien abgerufen?

Aus der ersten Frage heraus kann mit hoher Sicherheit gefolgert werden, ob die verwendeten Cookies einwilligungspflichtig sind. Die Unsicherheit ist sehr gering. Bisher hatte mein Tool immer recht. Zumindest hat sich nie jemand mit einem berechtigten Einwand gemeldet. Alle Meldungen konnten entkräftet werden.

Die zweite Frage lässt Schlussfolgerungen zu, ob bestimmte Tools eingesetzt werden. Diese Folgerung ist allerdings nicht wirklich wichtig. Bereits der Abruf einer externen Datei ist fast immer einwilligungspflichtig. Ob ein AVV vorliegt oder nicht, kann das Tool natürlich nicht feststellen. Für Dienste bekannter Anbieter gibt es bekanntermaßen allerdings oft entweder gar keinen AVV oder keinen rechtskonformen AVV.

Wurde ein Datentransfer einem Tool zugeordnet, stimmt die Zuordnung fast immer. Man kann das in der Praxis auch leicht nachprüfen. Das Tool muss ja nicht immer richtig liegen, sondern soll in erster Linie zeigen, ob sich ein genaues Hinsehen auf die Webseite lohnt. Und hier liegt das Tool quasi immer richtig. Beim persönlichen Nachsehen stellt man dann oft fest, dass weitere Probleme auf einer Webseite existieren, als die, welche mein DSGVO-Tool ausgespuckt hat.

Auch die SSL-Prüfung ist mit hoher Zuverlässigkeit möglich, wenngleich es hier einer manuellen Nachkontrolle bedarf, um hohe Sicherheit zu haben. Die Nachprüfung kann im Browser durch Aufruf der fraglichen Website vorgenommen werden. Links neben der Webseitenadresse steht oft ein Schild-Symbol o. ä. Ein Klick auf dieses Symbol öffnet ein Menü mit einer Möglichkeit, sich Details zu Zertifikat anzusehen. Vor allem sollte darauf geachtet werden, dass das SSL-Zertifikat durchgängig vorhanden ist. Das bedeutet, dass auch bei Aufruf der Webseite mit „http“ am Anfang der Adresse (statt „https“) eine Weiterleitung zur https-Version der Webseite stattfindet. Probieren Sie auch, die Adresse mit und ohne „www“ aufzurufen.

Mit dem Tool wurden viele tausend Webseiten geprüft, und zwar sowohl durch mich als auch durch Dritte. Meiner Firma habe ich die Nutzungsrechte für das Tool übertragen. Darüber haben zahlreiche Kunden in einer bezahlten Nutzung viele Webseiten geprüft. Wer bezahlt, will auch Qualität. Bisher gab es keine Beschwerden, sondern nur Rückfragen und Unsicherheiten, die mit Argumenten entkräftet werden konnten.

Mir selbst ist die Rechtslage zum digitalen Datenschutz, vor allem auf Webseiten, ganz gut bekannt. Lesen Sie meine Beiträge, um zu sehen, ob ich recht habe.

Haben Sie Zweifel am Ergebnis des Tools oder will Ihnen jemand einreden, alles sei in Ordnung, obwohl das Tool Datenschutzverstöße gemeldet hat? Dann schreiben Sie mich an! Wenn eine Agentur behauptet, alles sei richtig, dann fragen Sie diese nach einer Haftungsübernahme. Schnell werden Sie sehen, wie das Ausredengebäude in sich zusammenfällt.

Als betroffene Person (Privatperson) haben Sie die Möglichkeit, eine Abmahnung zu erlassen. Machen Sie das doch mal und warten Sie die Reaktion ab. Wenn Sie bzw. Ihr Anwalt als Antwort wieder Ausreden erhalten, wissen Sie, dass Sie bereits kampflos gewonnen haben. Die Formalien muss man dann vor Gericht regeln. Der Verlierer zahlt. Der Gewinner erhält Genugtuung und weiß, dass der Datenschutz einen wichtigen Schritt nach vorne gemacht hat. Oft wird es allerdings nicht zu Prozess kommen, weil der Datensünder vorher einknickt und bezahlt.

Mein Tool versus Google Fonts Checker

Kaum kamen die Massenabmahnungen wegen Google Fonts, haben sich manche berufen gefühlt, einen Fonts Checker anzubieten. Wie so oft im Leben, sind bessere Ergebnisse zu erwarten, wenn mehr Erfahrung vorhanden ist. So auch in diesem Fall. Mein Checker kann mehr als Google Fonts Checker und liefert auch bessere Ergebnisse. Hier ein realer Dialog per Mail eines Nutzers meines Website-Checks mit mir:

Nutzer: Mit Neugier habe ich Ihr Website-Check-Tool ausprobiert und war etwas erstaunt, dass auf meiner Website Google Fonts angeblich extern eingebunden werden. Diese habe ich nämlich gerade alle auf lokales Hosting umgestellt. Die Developer Tools zeigen mir auch für die geladenen Schriften lokale URLs an, die bekannten Google URLs sind nicht zu finden. Diverse andere Font-Checker geben auch alle grünes Licht.

Ist Ihr Tool hier also im Irrtum oder irren sich alle anderen? 😉

Antwort von mir: Alle anderen irren sich. Auf der Seite <URL> sind Google Fonts eingebunden, wie ich eben manuell nachgeprüft habe.

Konversation per Mail mit einem Nutzer des DR. DSGVO Webseiten-Checks.

Was ist mit Webbkoll?

Webbkoll/Dataskydd ist ein online Tool, das Webseiten scannt. Es ist im Gegensatz zu meinem Tool viel stärker technisch orientiert. Das ist insofern wenig hilfreich, wenn es um die Beurteilung nach DSGVO geht. Denn hierbei spielt nicht nur die Technik, sondern auch die Rechtslage eine große Rolle. Nur in Datentransfers und Cookies zu denken, ist zu kurz gedacht.

Webbkoll/Dataskydd findet anscheinend weniger Datenschutzprobleme als mein Tool.

Meine eigene Wahrnehmung und Erkenntnis aus einigen geprüften Fällen.

Wie ich auf Mastodon erfahren habe, reden sich manche Firmen damit raus, wenn sie mit dem Ergebnis meines Tools konfrontiert werden, dass Webbkoll keine Probleme melden würde. Mein Tool berücksichtigt im Gegensatz zu Webbkoll alle möglichen Rechtsgrundlagen. Zu diesen gehören insbesondere:

• Art. 5 DSGVO
• Art. 25 DSGVO
• Art. 44 DSGVO
• § 15 Abs. 3 TMG bzw. § 25 TTDSG (jetzt: DDG bzw. TDDDG)

Mein Tool irrt sich so gut wie nie. Das belegen tausenden Beispiele aus der Praxis. Schreiben Sie mir im Zweifel. Gerne erhalten Sie die Rechtsgrundlagen, auf Basis deren ein Datenschutzproblem vorliegt. Dazu gibt es eine kurze technische Analyse, damit sich niemand herausreden kann.

Informieren Sie sich

Sie möchten mehr erfahren und Datenschutzproblemen auf den Grund gehen? Folgende Möglichkeiten biete ich Ihnen direkt und kostenfrei an:

Newsletter

Der Dr. DSGVO Newsletter erscheint regelmäßig. Finden Sie fundierte Untersuchungen, Beweise und die Darstellung komplexer Sachverhalte.

Blog

Der Dr. DSGVO Blog enthält Evergreen Artikel, also Beiträge, die aktuell bleiben und so schnell nicht veralten. Beispielsweise gilt für Google Analytics spätestens seit dem 25.05.2018 eine Einwilligungspflicht. Daran hat sich bis heute nichts geändert. Aktuelle Informationen runden das Angebot ab. Beispielsweise das Eingeständnis von Google, dass alle Analytics-Daten immer in den USA verarbeitet werden.

Persönlicher Kontakt

Gerne können Sie mich kontaktieren, wenn Sie eine Frage haben oder eine Einschätzung zum digitalen Datenschutz brauchen. Auch Anregungen und Themenvorschläge nehme ich gerne an. Gerne schaue ich mir auch Spezialseiten einer Webseite an. Ich bezeichne Seiten so, die eigentlich nicht für die Öffentlichkeit bestimmt sind, aber öffentlich erreichbar sind. Auch sogenannte 404-Seiten gehören dazu. Insbesondere bei Content Management Systemen wie WordPress, Joomla, Typo3 oder Magento gibt es weitere Spezialseiten, beispielsweise solche mit Login-Möglichkeiten für Administratoren oder Redakteure.

Wenn Sie meinen Website-Check oder meine Beiträge auf Dr. DSGVO gut finden und meine Arbeit wertschätzen, freue ich mich über Ihre Spende.