DSGVO-Website-Checkliste: Cookies, Banner und Transparenz

Es begann mit einem harmlosen Satz im Kickoff: „Der Banner ist doch drin.“ Drei Wochen später zeigt der Tag-Manager noch immer Marketing-Pixel, bevor jemand zugestimmt hat. Die Datenschutzerklärung listet den Chat-Anbieter nicht. Niemand wollte Regeln brechen. Die Tools sind einfach schneller gewachsen als die Transparenz.

Eine DSGVO-Website-Checkliste ist deshalb weniger Paragraphen-Theater und mehr Detektivgeschichte. Wer setzt Cookies? Welche Domains reden mit der Seite? Wann laden Skripte? BugHound spielt den Detektiv für den technischen Teil. Die rechtliche Bewertung bleibt bei Counsel. Beides zusammen ergibt die Handlung.

Kapitel eins heißt Inventar. Schreib auf, welche Drittanbieter wirklich im Spiel sind: Analytics, Ads, Chat, Video, Fonts, CDNs, Experimente. Jeder Dienst, der personenbezogene Daten verarbeitet oder Cookies setzt, braucht eine nachvollziehbare Rechtsgrundlage und oft einen Auftragsverarbeitungsvertrag. Ohne Liste bleibt der Banner Dekoration.

Kapitel zwei ist Consent. Viele Statistik- und Marketing-Cookies dürfen erst nach Opt-in gesetzt werden. Essential muss eng bleiben. Der spannende Plot-Twist: Ein schöner Banner reicht nicht. Die Skripte müssen wirklich warten. Der Scan zeigt, ob die Technik die Geschichte hält, die das UI erzählt.

Kapitel drei betrifft die UX des Banners. Ablehnen muss so leicht sein wie Zustimmen. Dunkle Patterns sind schlechte Erzähler. Sie erzeugen Compliance-Risiko und Vertrauensverlust in derselben Szene.

Kapitel vier führt in die Datenschutzerklärung. Zweck, Kategorien, Empfänger, Speicherdauer, Betroffenenrechte und Kontakt müssen aktuell sein. Wenn der Scan neue Tracker findet, die in der Policy fehlen, ist das kein Fußnoten-Hinweis. Das ist ein Fix-Ticket mit klarem Owner.

Kapitel fünf öffnet die internationale Bühne. US-Anbieter, Standardvertragsklauseln und Transfer-Impact-Assessments sind eigene Handlungsstränge. Der Scanner macht Transfers sichtbar. Counsel bewertet sie. Technik liefert Fakten, Recht liefert Urteil.

In der Praxis scheitern Geschichten oft an Nebenfiguren. Der Tag-Manager lädt zu früh. YouTube- und Maps-Embeds setzen Cookies ohne Auftritt des Banners. Chat-Widgets speichern IDs vor Opt-in. Fonts und CDNs bringen unnötige Drittanbieter mit auf die Bühne.

BugHound hilft, diese Figuren zu benennen: Cookie- und Tracker-Erkennung, Domain-Liste, Signale zu Banner-Lücken, Priorisierung nach Sichtbarkeit und Risiko. Teams bekommen eine gemeinsame Faktenbasis statt Screenshot-Debatten im Slack.

Nach dem Scan folgt die Handlung: kritische Tracker stoppen oder hinter Consent legen, Policy aktualisieren, AV-Verträge prüfen, erneut scannen, Ergebnis archivieren. Wiederholung nach jedem Marketing-Launch. Das ist der Seriencharakter der Compliance, kein Pilotfilm.

Rollen machen die Story tragfähig. Marketing owns Tags. Engineering owns Blocking. Legal owns Bewertung. DPO berät. Ohne Owner bleibt die Checkliste Papier. BugHound-Reports eignen sich als Agenda für das monatliche Privacy-Review.

Made in Germany und EU-Hosting sind Vertrauenssignale im Vertrieb. Sie ersetzen keine saubere Consent-Logik. Beides zusammen wirkt glaubwürdig. Nur eines von beiden wirkt riskant.

Security tritt als Gaststar auf. Unsichere Cookie-Flags sind gleichzeitig Security-Findings. DSGVO- und Security-Scanner gehören deshalb in denselben Backlog, damit Privacy und Härte nicht in getrennten Staffeln enden.

SEO schaut von der Seitenlinie zu. Schwere Banner und viele Third-Parties können Core Web Vitals und indirekt die Indexierung beeinflussen. Der SEO-Scanner ergänzt die technische Sicht. Consent bleibt Privacy-Thema.

Es gibt Mythen, die die Handlung sabotieren. „Wir haben einen Banner, also sind wir compliant.“ Nicht, wenn Tags trotzdem feuern. „Essential heißt alles, was wir brauchen.“ Essential ist eng. „Der Scan ersetzt die Kanzlei.“ Der Scan liefert Fakten, keine Zulässigkeit.

Die Moral: Inventar, Consent-Technik, Policy-Sync und Wiederholung. Automation macht Abweichungen sichtbar. Beratung bewertet Zulässigkeit. Starte mit einem Scan der Live-Domain und arbeite die Top-Lücken ab, bevor der nächste Campaign-Launch neue Nebenfiguren einführt.

Die nächsten Kapitel warten im Security-Guide, im technischen SEO-Artikel und auf den Money-Pages. Early Access über die Waitlist. Nach jedem Fix erneut scannen. So bleibt die Serie aktuell.

Viele Teams entdecken erst im zweiten Lauf, ob Consent wirklich greift. Der erste Scan ist der Cliffhanger. Der Nachscan ist die Auflösung. Archivierte Reports mit Datum werden zur Chronik für Audits und Kundenfragen.

Shadow-IT im Marketing liefert oft die spannendsten Wendungen. Tools werden „nur kurz“ eingebaut und nie wieder entfernt. Monatliche DSGVO-Scans machen solche Reste sichtbar, bevor Beschwerden die nächste Staffel erzwingen.

Am Ende geht es um Transparenz, die man beweisen kann. Nicht um Angst. Nicht um Theater. Um eine Website, deren Technik und Texte dieselbe Geschichte erzählen.

Ein Zwischenakt spielt oft im Onboarding neuer Marketing-Tools. Die Demo sieht glänzend aus. Der Embed-Code ist in zwei Minuten live. Erst der DSGVO-Scan zeigt, welche Domains und Cookies mitgekommen sind. Dann entscheidet das Team bewusst, ob die Figur auf der Bühne bleiben darf.

In Agenturen wird daraus ein wiederkehrendes Format. Kickoff mit Inventar. Scan vor Launch. Fix-Workshop. Nachscan als Abnahme. Kund:innen verstehen den Fortschritt, weil Domains verschwinden und Policies wachsen, nicht weil jemand mit Paragrafen wedelt.

Wenn Legal und Dev dieselbe Report-Sprache sprechen, verkürzen sich Meetings spürbar. Evidenz statt Bauchgefühl. Priorität statt Panik. Der Scan wird zur gemeinsamen Szene, nicht zum Schuldzuweisungsdrama.

Auch kleine Shops und Vereinsseiten brauchen diese Geschichte. Weniger Tools, aber dieselben Fallstricke: eingebettete Karten, Social-Buttons, Newsletter-Widgets. Ein kurzer Scan vor dem Relaunch spart peinliche Nachfragen später.

Die Checkliste bleibt lebendig, wenn sie nach jedem Launch eine neue Episode bekommt. BugHound liefert die technische Chronik. Menschen schreiben die Entscheidungen dazu. Zusammen entsteht Compliance, die man nacherzählen kann.