Kurz gesagt: Ein automatischer DSGVO-Scan prüft zuverlässig das, was von außen sichtbar ist – Cookie-Banner, Datenschutzerklärung, eingebundene Tracking-Dienste, technische Sicherheitsmerkmale wie SSL. Was er nicht sehen kann: ob du mit deinen Dienstleistern einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen hast, ob dein Verzeichnis von Verarbeitungstätigkeiten (Art. 30 DSGVO) vollständig ist oder ob deine internen Sicherheitsmaßnahmen (Art. 32 DSGVO) tatsächlich greifen. Im Detail, warum diese Grenze existiert und was sie für dich bedeutet.
Was ein Scan von außen tatsächlich sehen kann
Ein Scanner lädt deine Website wie ein Browser: Er sieht HTML, gesetzte Cookies, nachgeladene Skripte, Response-Header und das, was im DOM sichtbar wird. Daraus lässt sich einiges ableiten:
- Cookie-Verhalten nach § 25 TDDDG. Werden bereits vor einer Einwilligung Cookies gesetzt oder Endgeräte-Informationen ausgelesen? Das ist technisch messbar – der Scanner sieht genau, welcher Request vor welchem Klick passiert.
- Vorhandensein und Pflichtangaben der Datenschutzerklärung. Art. 13 Abs. 1 DSGVO verlangt bestimmte Angaben – Verantwortlicher, Zwecke, Rechtsgrundlage, Empfänger. Ob die Seite existiert und diese Angaben enthält, lässt sich auslesen.
- Eingebundene Drittanbieter. Welche externen Skripte, Analytics- oder Werbedienste mitladen, zeigt sich im Netzwerkverkehr – ein erster Hinweis darauf, wo überhaupt ein Auftragsverarbeiter im Spiel sein könnte.
- Technische Basissicherheit. Verschlüsselte Übertragung (TLS) ist ein von außen prüfbarer Baustein von Art. 32 Abs. 1 lit. a DSGVO – aber eben nur ein Baustein.
- Auffällige Muster in der Cookie-Banner-Gestaltung. Ist der Ablehnen-Button optisch versteckt, während Zustimmen grün leuchtet? Das berührt den Transparenzgrundsatz aus Art. 5 Abs. 1 lit. a DSGVO und ist im gerenderten Banner sichtbar.
Das ist die Hälfte, die über HTTP ankommt.
Was kein Scan von außen sehen kann
Die andere Hälfte der DSGVO liegt nicht auf deiner Website, sondern in deinen internen Prozessen und Verträgen – und dorthin kommt kein externer Scanner:
- Der AVV selbst. Art. 28 Abs. 3 und Abs. 9 DSGVO verlangen einen schriftlichen (auch elektronischen) Vertrag mit jedem Auftragsverarbeiter. Der Scanner sieht, dass ein Drittanbieter eingebunden ist – ob dafür ein gültiger Vertrag existiert, liegt in deinem Aktenordner oder Vertragsordner, nicht im Quelltext.
- Das Verzeichnis von Verarbeitungstätigkeiten. Art. 30 Abs. 1 DSGVO verlangt ein internes Verzeichnis mit Zwecken, Kategorien betroffener Personen und Löschfristen (Ausnahme nach Abs. 5 für Unternehmen unter 250 Mitarbeitenden unter bestimmten Bedingungen). Das ist ein Dokument, kein Website-Feature.
- Die technischen und organisatorischen Maßnahmen im Detail. Art. 32 Abs. 1 DSGVO nennt neben Verschlüsselung auch Pseudonymisierung, Wiederherstellungsfähigkeit nach einem Vorfall und ein Verfahren zur regelmäßigen Überprüfung. Ein Scan sieht, ob TLS aktiv ist – nicht, ob dein Backup-Konzept funktioniert.
- Die Rechenschaftspflicht selbst. Art. 24 Abs. 1 DSGVO verlangt, dass du die Einhaltung der Verordnung nachweisen kannst. Dieser Nachweis besteht aus Dokumentation, Schulungsnachweisen, internen Richtlinien – Dingen, die per Definition nicht öffentlich im Netz stehen.
- Ob Löschfristen tatsächlich eingehalten werden. Ein Scan sieht die Zusage in der Datenschutzerklärung, nicht die Datenbank dahinter.
| Bereich | Norm | Von außen sichtbar? |
|---|---|---|
| Cookie-Einwilligung vor Speicherung | § 25 TDDDG | Ja |
| Datenschutzerklärung vorhanden + Pflichtangaben | Art. 13 DSGVO | Ja |
| Eingebundene Drittanbieter/Tracker | Art. 28 DSGVO (Hinweis) | Ja (Hinweis) |
| AVV mit dem jeweiligen Anbieter | Art. 28 Abs. 3 DSGVO | Nein |
| Verzeichnis von Verarbeitungstätigkeiten | Art. 30 DSGVO | Nein |
| TLS-Verschlüsselung der Übertragung | Art. 32 Abs. 1 lit. a DSGVO | Ja |
| TOMs im Detail (Backups, Zugriffskontrolle) | Art. 32 Abs. 1 DSGVO | Nein |
| Nachweisdokumentation | Art. 24 DSGVO | Nein |
Warum das keine Schwäche eines einzelnen Tools ist
Das ist keine Lücke, die ein besserer Scanner irgendwann schließt – es ist eine Grenze der Methode selbst. Ein externer Scan arbeitet mit dem, was ein Browser abrufen kann: öffentlich erreichbare Seiten, Netzwerkverkehr, sichtbares Verhalten. Ein AVV liegt nicht auf /impressum, ein Verarbeitungsverzeichnis wird nicht mitgeliefert, wenn die Startseite lädt. Das gilt für jeden Scanner, unabhängig vom Anbieter – wer das Gegenteil verspricht, verspricht mehr, als die Technik hergibt.
Was das für dich als Nutzer eines Scans bedeutet
Ein Scan ist ein guter erster Schritt, um zu sehen, wo die nach außen sichtbare Hälfte deiner Website steht – aber er ist kein vollständiger Compliance-Nachweis. Nach dem Scan bleiben die Hausaufgaben, die kein Werkzeug von außen für dich erledigen kann: prüfen, ob für jeden eingebundenen Dienst ein AVV vorliegt, das Verarbeitungsverzeichnis pflegen, die technischen Maßnahmen dokumentieren. Der Scan zeigt dir, wo du anfängst zu suchen – nicht, dass du fertig bist.
Prüfe in 2 Minuten, was dein Scan über deine Website findet – kostenlos.
Den vollständigen Gesetzestext zu § 25 TDDDG (Cookie-Einwilligung) findest du hier: § 25 TDDDG im Volltext. Den Volltext zu Art. 28 DSGVO (Auftragsverarbeiter): Art. 28 DSGVO im Volltext.
Häufige Fragen
Kann ein automatischer Scan bestätigen, dass meine Website „DSGVO-konform“ ist?
Nein. Ein Scan prüft die von außen sichtbaren Signale – Cookie-Verhalten, Datenschutzerklärung, eingebundene Dienste, technische Basissicherheit. Interne Verträge, Dokumentation und organisatorische Maßnahmen bleiben für jeden externen Scan unsichtbar, unabhängig vom Anbieter.
Warum kann ein Scan meinen AVV nicht prüfen?
Weil ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO ein interner, schriftlicher Vertrag zwischen dir und deinem Dienstleister ist. Er liegt in deinem Vertragsordner oder Postfach, nicht im Quelltext deiner Website – ein Scanner hat dazu keinen Zugriff.
Was genau prüft ein Scan bei Cookies?
Ob dein Server bereits Cookies setzt oder Informationen aus dem Endgerät ausliest, bevor eine Einwilligung nach § 25 Abs. 1 TDDDG vorliegt. Das ist technisch messbar, weil der Scanner den Netzwerkverkehr vor und nach dem Klick auf den Banner vergleicht.
Reicht ein grüner Scan-Befund als Nachweis gegenüber einer Behörde?
Nein. Ein Scan-Ergebnis zeigt den Stand der extern sichtbaren Signale zum Zeitpunkt der Prüfung. Die Rechenschaftspflicht aus Art. 24 Abs. 1 DSGVO verlangt einen eigenständigen internen Nachweis – Dokumentation, Verträge, Verarbeitungsverzeichnis –, den ein Scan nicht ersetzt.
Muss ich als kleines Unternehmen trotzdem ein Verarbeitungsverzeichnis führen?
Art. 30 Abs. 5 DSGVO nennt eine Ausnahme für Unternehmen unter 250 Mitarbeitenden – aber nur, wenn die Verarbeitung kein Risiko für Betroffene birgt, nicht nur gelegentlich erfolgt und keine besonderen Datenkategorien betrifft. In der Praxis greift die Ausnahme selten vollständig, weil schon eine Kontaktformular- oder Newsletter-Verarbeitung meist nicht mehr „nur gelegentlich“ ist.
