DSGVO und TDDDG 2026/2027: So prüfen Sie Ihre Website systematisch

Eine Besucherin öffnet Ihre Website. Noch bevor sie im Einwilligungsdialog eine Auswahl trifft, erhält der Webserver ihre IP-Adresse. Vielleicht versucht gleichzeitig ein Analyse-Skript zu starten, eine externe Schriftart zu laden oder der Browser eine Verbindung zu einem Videoanbieter aufzubauen. Was in diesen ersten Sekunden technisch geschieht, entscheidet darüber, welche Datenschutzregeln Sie beachten müssen.

Deshalb beginnt eine verlässliche Datenschutzprüfung nicht bei den Formulierungen im Cookie-Banner oder in der Datenschutzerklärung. Sie beginnt mit dem tatsächlichen Verhalten Ihrer Website. Erst wenn Sie die Datenflüsse kennen, können Sie diese rechtlich einordnen, erforderliche Einwilligungen technisch umsetzen und die Besucher zutreffend informieren.

Rechtlicher Hinweis: Der Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung. Ob eine konkrete Gestaltung zulässig ist, muss im Einzelfall rechtlich bewertet werden.

Das Wichtigste in Kürze

• Prüfen Sie zuerst, welche Dienste und Verbindungen Ihre Website tatsächlich startet.
• Trennen Sie anschließend zwei wesentliche rechtsrelevante Aspekte:
  • Darf auf das Endgerät zugegriffen werden?
  • Darf die folgende Verarbeitung personenbezogener Daten stattfinden?
• Blockieren Sie einwilligungspflichtige Komponenten, bis eine wirksame Einwilligung vorliegt.
• Stimmen Sie Einwilligungsdialog, Datenschutzerklärung und technische Konfiguration aufeinander ab.
• Wiederholen und dokumentieren Sie die Prüfung nach relevanten technischen Änderungen.

So prüfen Sie Ihre Website in fünf Schritten

Die folgenden Schritte bilden einen wiederholbaren Prüfzyklus. Das eingangs beschriebene Beispiel begleitet uns dabei: eine Website mit Analyse-Skript, externer Schriftart, eingebettetem Video und Kontaktformular. Es handelt sich um ein vereinfachtes Beispiel; welche Bewertung im Einzelfall zutrifft, hängt von der eingesetzten Technik und ihrer Konfiguration ab.

1. Inventarisieren: Was geschieht beim Aufruf der Website?

Öffnen Sie die Website in einem frischen Browserprofil. Löschen Sie vorhandene Cookies und andere Speicherstände. Beobachten Sie dann bereits vor einer Auswahl im Einwilligungsdialog, welche Verbindungen der Browser aufbaut und welche Informationen er speichert oder ausliest. Die Entwicklerwerkzeuge des Browsers geben darüber meist mehr Auskunft als ein Blick in das installierte Consent-Tool.

Prüfen Sie nicht nur die Startseite. Rufen Sie typische Unterseiten, Formulare, eingebettete Medien und geschützte Bereiche auf. Manche Verbindungen entstehen erst, wenn jemand ein Video startet, eine Karte öffnet, ein Formular absendet oder sich anmeldet. Ein externes Scan-Tool kann bei der Suche helfen. Es ersetzt aber nicht die Prüfung unterschiedlicher Seitentypen und Nutzungssituationen.

Für die Bestandsaufnahme beantworten Sie insbesondere diese Fragen:

• Welche Domains kontaktiert der Browser vor und nach einer Einwilligung?
• Welche Informationen legt die Website in Cookies, Local Storage oder anderen Browserspeichern ab?
• Welche Anbieter erhalten IP-Adressen, Kennungen, Nutzungsdaten oder Formulareingaben?
• Welche Daten werden außerhalb des Europäischen Wirtschaftsraums verarbeitet?
• Welche Funktion erfüllt jeder einzelne Dienst auf der Website?

Auch Formulare, Newsletter und Administrationsbereiche erfassen

Die Inventur darf nicht beim sichtbaren Seitenaufruf enden. Bei Kontakt- und Bewerbungsformularen sollten Sie feststellen, welche Felder wirklich benötigt werden, wo die Angaben gespeichert werden und wer darauf zugreifen kann. Formulardaten können zugleich per E-Mail, im Content-Management-System und bei einem externen Dienstleister landen. Alle diese Wege gehören in die Bestandsaufnahme.

Für Newsletter ist zusätzlich zu klären, wie Anmeldung, Nachweis und Abmeldung funktionieren. Ein Double-Opt-in ist nicht als Verfahren gesetzlich vorgeschrieben. Er hat sich aber als belastbarer Nachweis etabliert. Hinweise zur technischen Einbindung finden Sie auf unserer Seite zur Newsletter-Integration.

Auch Benutzerkonten, Zugriffsprotokolle, Backups und Staging-Systeme können personenbezogene Daten enthalten. Prüfen Sie deshalb Rollen und Berechtigungen, Aufbewahrungsfristen, Schutz vor unbefugtem Zugriff und geregelte Löschwege.

2. Einordnen: Zwei Rechtsfragen statt einer Cookie-Frage

Nach der technischen Inventur folgt die rechtliche Einordnung. Dabei sind zwei Vorgänge zu unterscheiden. Diese Trennung ist der Schlüssel zum Verständnis von TDDDG und DSGVO.

Erste Frage: Greift die Website auf das Endgerät zu?

§ 25 TDDDG regelt, wann Informationen auf einem Endgerät gespeichert oder von dort ausgelesen werden dürfen. Mit Endgerät sind beispielsweise Computer, Smartphone oder Tablet gemeint. Die Vorschrift erfasst nicht nur klassische HTTP‑Cookies, auch Local Storage, Gerätekennungen, Pixel, Skripte und vergleichbare Verfahren können darunterfallen.

Grundsätzlich ist für diesen Zugriff auf das Endgerät eine vorherige Einwilligung erforderlich. Ohne Einwilligung ist der Zugriff nur zulässig, wenn er allein der Übertragung einer Nachricht dient oder unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Zum Beispiel kann ein temporärer Warenkorb technisch erforderlich sein. Eine Reichweitenmessung ist für das Anzeigen einer normalen Informationsseite dagegen regelmäßig nicht zwingend. Entscheidend bleibt die konkrete Funktion und Konfiguration.

Zweite Frage: Werden personenbezogene Daten verarbeitet?

Sobald personenbezogene Daten verarbeitet werden, greift zusätzlich die Datenschutz-Grundverordnung. Bei Websites betrifft dies häufig IP-Adressen, Kontaktdaten, Kontodaten oder Nutzungskennungen. Für jede Verarbeitung benötigen Sie einen festgelegten Zweck und eine tragfähige Rechtsgrundlage. Außerdem gelten unter anderem die Grundsätze der Transparenz, Datenminimierung, Speicherbegrenzung und angemessenen Sicherheit.

Ein Vorgang kann beide Prüfungen auslösen

Im Beispiel speichert der Analysedienst zunächst eine Kennung im Browser. Dafür ist § 25 TDDDG maßgeblich. Verknüpft der Dienst diese Kennung anschließend mit Nutzungsdaten oder übermittelt er sie an einen Anbieter, muss zusätzlich geprüft werden, ob personenbezogene Daten verarbeitet werden und welche DSGVO-Rechtsgrundlage dies erlaubt.

Eine Einwilligung in den Zugriff auf das Endgerät beantwortet die zweite Frage nicht automatisch. Umgekehrt ersetzt ein berechtigtes Interesse nach der DSGVO keine Einwilligung, die für das Speichern oder Auslesen nach dem TDDDG erforderlich ist. In der Praxis können beide Entscheidungen gemeinsam eingeholt werden. Die rechtlichen Anforderungen bleiben dennoch eigenständig.

3. Datenverarbeitung steuern: Einwilligungspflichtige Dienste wirksam blockieren

Ergibt die Einordnung, dass ein Dienst eine Einwilligung benötigt, so darf dieser Dienst nicht schon beim ersten Seitenaufruf starten. In unserem Beispiel müssen Analyse-Skript und eingebettetes Video so lange blockiert bleiben, bis die Besucherin aktiv zugestimmt hat. Eine bloße Erwähnung im Banner oder in der Datenschutzerklärung verhindert den vorherigen Datenfluss nicht.

Woran Sie einen tragfähigen Einwilligungsdialog erkennen

Ein Banner macht einen Dienst nicht automatisch zulässig. Die Entscheidung muss informiert, freiwillig, eindeutig und auf den konkreten Zweck bezogen sein. Voreingestellte Häkchen oder eine Gestaltung, die das Ablehnen unnötig erschwert, erfüllen diese Anforderungen nicht.

Grundsätzlich gilt:

• Zustimmen und Ablehnen sind ohne Sucharbeit erreichbar und gleichwertig wahrnehmbar.
• Zwecke und beteiligte Anbieter werden so konkret beschrieben, dass eine echte Auswahl möglich ist.
• Nicht notwendige Kategorien sind standardmäßig ausgeschaltet.
• Die Entscheidung wird nachvollziehbar dokumentiert.
• Ein späterer Widerruf ist ebenso einfach möglich wie die Erteilung.

Consent Management ist eine Betriebsaufgabe

Das Consent-Management-System muss die Dienste, Kategorien und technischen Abhängigkeiten der konkreten Website abbilden. Wird ein Plugin aktualisiert, eine Karte ausgetauscht oder ein neues Marketing-Werkzeug ergänzt, kann sich das Ladeverhalten ändern. Testen Sie die Konfiguration deshalb regelmäßig gegen den tatsächlichen Netzwerkverkehr.

Wie eine individuelle Umsetzung aussehen kann, zeigt unser Relaunch für das Autohaus Beier. Dort kam ein von formativ.net entwickeltes Consent Management zum Einsatz. Für Websites auf Basis verbreiteter Content-Management-Systeme übernehmen wir außerdem die technische Integration und Anpassung im Rahmen unserer Webentwicklung.

4. Informieren: Datenschutzerklärung und Technik abgleichen

Erst nach Inventur und Einordnung lässt sich eine zutreffende Datenschutzerklärung erstellen. Sie ist keine allgemeine Sammlung juristischer Textbausteine, sondern soll beschreiben, wie die konkrete Website tatsächlich mit personenbezogenen Daten umgeht.

Gehen Sie dafür Dienst für Dienst vor und beantworten Sie jeweils

• Welche Daten verarbeitet die Website?
• Zu welchem Zweck geschieht dies?
• Auf welcher Rechtsgrundlage beruht die Verarbeitung?
• Wer erhält die Daten?
• Werden Daten in Drittländer übermittelt und welche Garantien gelten dort?
• Wie lange werden die Daten gespeichert oder nach welchen Kriterien wird die Dauer bestimmt?

Im Beispiel reicht der Satz „Wir verwenden Videos“ nicht. Die Erklärung muss erkennen lassen, welcher Anbieter beteiligt ist, wann die Verbindung entsteht, welche Daten dabei fließen und welche Wahl die Besucher haben. Wird das Video erst nach einer Einwilligung geladen, müssen Einwilligungsdialog, technische Blockierung und Datenschutzerklärung genau diesen Ablauf wiedergeben.

Für die laufende Pflege hilft eine interne Zuordnung: Jeder Abschnitt der Datenschutzerklärung verweist auf eine konkrete Website-Funktion, eine verantwortliche Stelle und einen dokumentierten Konfigurationsstand.

Entfernen Sie einen Dienst, sollte auch der zugehörige Text verschwinden. Tauschen Sie einen Anbieter aus, genügt es meist nicht, nur den Produktnamen zu ändern.

5. Testen und dokumentieren

Prüfen Sie abschließend nicht nur, ob das Banner sichtbar ist. Entscheidend ist, ob die Website in allen relevanten Zuständen richtig reagiert. Testen Sie mindestens den ersten Aufruf ohne Auswahl, die Ablehnung, die Zustimmung und den späteren Widerruf. Beziehen Sie verschiedene Browser und Seitentypen ein.

Halten Sie Ergebnis, Verantwortlichkeit, Konfigurationsstand und Datum fest. Diese Dokumentation erleichtert spätere Kontrollen und zeigt, welche Entscheidung auf welcher technischen Grundlage getroffen wurde.

Starten Sie den Zyklus erneut nach einem Relaunch, Plugin-Wechsel, neuen externen Diensten oder geänderten Formularen. Ein fester zusätzlicher Prüftermin kann sinnvoll sein, ersetzt aber nicht die Kontrolle nach konkreten Änderungen.

Der Ablauf lässt sich auf fünf wiederkehrende Schritte verdichten:

1. Inventarisieren: Funktionen, Speicherzugriffe, Empfänger, Datenarten und Zwecke erfassen.
2. Einordnen: notwendige Technik von optionalen Diensten trennen und TDDDG sowie DSGVO jeweils prüfen.
3. Steuern: einwilligungspflichtige Komponenten bis zur Entscheidung technisch zurückhalten.
4. Informieren: Einwilligungsdialog, Datenschutzerklärung, Impressum und interne Dokumentation abgleichen.
5. Testen und dokumentieren: Zustimmung, Ablehnung, Widerruf und verschiedene Seitentypen kontrollieren, das Ergebnis festhalten und den Zyklus nach Änderungen wiederholen.

Warum ein dokumentierter Prüfzyklus wichtig ist

Fehlerhafte Einwilligungen oder unvollständige Informationen können aufsichtsrechtliche Maßnahmen, Bußgelder und zivilrechtliche Auseinandersetzungen auslösen.

Bei bestimmten schweren DSGVO-Verstößen sieht Artikel 83 Geldbußen bis zu 20 Millionen Euro oder vier Prozent des weltweiten Vorjahresumsatzes vor; maßgeblich ist der höhere Betrag. Ein Verstoß gegen die Einwilligungspflicht des § 25 Absatz 1 TDDDG kann nach § 28 TDDDG mit bis zu 300.000 Euro geahndet werden. Diese Höchstbeträge sind keine typischen Pauschalen.

Für den Betrieb ist oft entscheidender, dass eine Beanstandung technische Nacharbeiten, Kommunikationsaufwand oder die kurzfristige Abschaltung wichtiger Dienste erfordern kann. Eine dokumentierte, wiederholbare Prüfung ist deshalb hilfreicher als eine einmalige kosmetische Anpassung des Banners.

Rechtliche Entwicklungen im Blick behalten

Anerkannte Einwilligungsdienste nach § 26 TDDDG

Seit dem 1. April 2025 konkretisiert die Einwilligungsverwaltungsverordnung die Anerkennung zentraler Dienste, über die Nutzer ihre Entscheidungen verwalten können. Die Einbindung eines anerkannten Dienstes ist für Website-Anbieter freiwillig. Sie entbindet den Betreiber nicht von der Verantwortung für zutreffende Informationen und wirksame Einwilligungen. Für die aktuelle Website-Prüfung bleibt daher der tatsächliche technische Ablauf maßgeblich.

Digital Omnibus: Geltendes Recht weiter umsetzen

Die Europäische Kommission legte im November 2025 einen Vorschlag zur Vereinfachung digitaler Vorschriften vor. Der Vorschlag COM(2025) 837 befindet sich nach dem Verfahrensstand auf EUR-Lex weiterhin im europäischen Gesetzgebungsverfahren. Er kann auch Regeln berühren, die für Einwilligungen und Endgerätezugriffe relevant sind. Solange kein endgültiger Rechtsakt gilt, bleiben DSGVO und TDDDG in ihrer aktuellen Fassung der Maßstab. Sinnvoll ist eine technisch modulare Lösung, die sich später an geänderte Vorgaben anpassen lässt.

Fazit: Rechtstext und Technik müssen dasselbe erzählen

Eine datenschutzgerechte Website entsteht nicht allein durch einen umfangreichen Rechtstext oder ein optisch überzeugendes Banner. Belastbar wird die Umsetzung, wenn Sie zuerst die tatsächlichen Datenflüsse erfassen, diese anschließend nach TDDDG und DSGVO einordnen und erst danach Einwilligungssteuerung und Informationen darauf abstimmen.

Der beschriebene Prüfzyklus verbindet diese Aufgaben mit dem laufenden Betrieb. So lässt sich nach technischen Änderungen nachvollziehbar kontrollieren, ob Dienste weiterhin richtig blockiert werden und die Datenschutzerklärung noch zur Website passt. Die rechtliche Bewertung sollte dabei mit Ihrer Rechtsberatung oder Ihrem Datenschutzbeauftragten abgestimmt werden.

Sprechen Sie mit uns über die technische Umsetzung.