Ein Website-Relaunch ist für Agenturen eine komplexe Herausforderung – besonders wenn es um die technische Umsetzung von DSGVO-Anforderungen geht. Während grundlegende Datenschutzpflichten wie Cookie-Banner und Datenschutzerklärung oft bekannt sind, stellt die praktische Integration dieser Anforderungen in den Relaunch-Prozess viele Teams vor konkrete Fragen: Wann genau werden Tracking-Codes migriert? Wie testet man Consent-Lösungen auf der Staging-Umgebung? Was muss beim Go-Live datenschutzrechtlich beachtet werden?
Diese technische Checkliste zeigt Ihnen, wie Sie DSGVO-Anforderungen systematisch in jede Phase Ihres Relaunch-Projekts einbinden – von der Planung über die Migration bis zum produktiven Start.
Noch bevor die erste Zeile Code geschrieben wird, sollten datenschutzrechtliche Aspekte in Ihrer Projektplanung verankert sein. Erstellen Sie zunächst eine Bestandsaufnahme aller Datenverarbeitungen auf der bestehenden Website: Welche Tracking-Tools sind aktiv? Welche Drittanbieter-Dienste werden eingebunden? Wo werden Formulardaten verarbeitet oder gespeichert?
Dokumentieren Sie für jeden identifizierten Dienst die Rechtsgrundlage der Verarbeitung. Erfolgt sie aufgrund einer Einwilligung, eines berechtigten Interesses oder zur Vertragserfüllung? Diese Information ist später entscheidend für die technische Implementierung, insbesondere für die Konfiguration Ihrer Consent-Management-Plattform.
Treffen Sie bereits in der Planungsphase Entscheidungen über datenschutzfreundliche Alternativen: Können Sie beispielsweise bei der Schrifteneinbindung auf lokal gehostete Webfonts statt Google Fonts setzen? Lässt sich Video-Content über eine datenschutzfreundlichere Einbettung realisieren? Planen Sie serverseitiges Tracking anstelle umfangreicher Client-seitiger Lösungen?
Definieren Sie auch technische Verantwortlichkeiten: Wer ist für die Konfiguration des Cookie-Consent-Tools zuständig? Wer pflegt die Liste der eingebundenen Dienste in der Datenschutzerklärung? Wer testet die Einwilligungsfunktionen vor dem Go-Live?
In der technischen Umsetzung sollte der Grundsatz „Privacy by Design" leitend sein. Implementieren Sie Tracking-Codes und externe Dienste niemals direkt im Template-Code, sondern immer über ein Consent-Management-System, das die Ausführung bis zur Einwilligung blockiert.
Die technische Integration einer Consent-Management-Plattform erfordert sorgfältige Planung. Das Consent-Tool muss zeitlich vor allen anderen Skripten geladen werden. Verwenden Sie Tag-Manager-Lösungen so, dass Tracking-Codes erst nach dokumentierter Einwilligung ausgespielt werden. Testen Sie dabei verschiedene Consent-Szenarien: vollständige Ablehnung, teilweise Zustimmung und nachträgliche Änderung der Einstellungen.
Achten Sie darauf, dass Einwilligungen nachweisbar gespeichert werden – mit Zeitstempel, gewählten Kategorien und Version der Datenschutzerklärung. Diese Nachweispflicht hat technische Konsequenzen für Ihre Datenbank-Architektur oder Cookie-Struktur.
Bei allen Formularen auf der neuen Website müssen Sie technisch sicherstellen, dass nur wirklich benötigte Daten erfasst werden. Implementieren Sie klare Kennzeichnungen für Pflichtfelder und optionale Angaben. Stellen Sie sicher, dass Formulardaten verschlüsselt übertragen werden und bei der Speicherung angemessen geschützt sind.
Wenn Formulardaten an Drittanbieter-Systeme übertragen werden, etwa an CRM-Lösungen oder Newsletter-Tools, muss diese Übertragung technisch abgesichert sein. Prüfen Sie, ob Auftragsverarbeitungsverträge vorliegen und ob die technische Anbindung über sichere Schnittstellen erfolgt.
Auf Ihrer Staging-Umgebung sollten Sie die DSGVO-Konformität genauso systematisch testen wie Funktionalität und Design. Nutzen Sie dafür einen DSGVO Checker zur automatisierten Datenschutzprüfung, um technische Schwachstellen frühzeitig zu identifizieren.
Testen Sie das Verhalten der Website ohne Einwilligung: Werden wirklich keine Tracking-Cookies gesetzt? Werden keine Daten an Drittanbieter übermittelt? Prüfen Sie dies mit Browser-Entwicklertools, indem Sie Netzwerk-Requests und Cookie-Speicherung beobachten.
Simulieren Sie unterschiedliche Consent-Entscheidungen und prüfen Sie jeweils, welche Skripte tatsächlich ausgeführt werden. Testen Sie auch die Widerrufsfunktion: Werden bei Widerruf der Einwilligung bestehende Cookies gelöscht und weitere Tracking-Aktivitäten unterbunden?
Überprüfen Sie alle eingebundenen externen Ressourcen: Werden Schriften, Bilder oder Skripte von Drittanbieter-Servern geladen, ohne dass dies in der Datenschutzerklärung erwähnt wird? Analysieren Sie den Netzwerk-Traffic Ihrer Staging-Website systematisch.
Die Datenschutzerklärung muss alle tatsächlich eingesetzten Dienste und Verarbeitungen abbilden. Erstellen Sie eine Liste aller auf der neuen Website verwendeten Tools und gleichen Sie diese mit den Angaben in der Datenschutzerklärung ab. Fehlt ein Dienst, muss er entweder entfernt oder dokumentiert werden.
Prüfen Sie auch die Verlinkung: Ist die Datenschutzerklärung von jeder Seite aus mit maximal zwei Klicks erreichbar? Sind Datenschutzhinweise bei Kontaktformularen direkt verlinkt?
Wenn die alte Website bereits Nutzerdaten erfasst hat – etwa Newsletter-Abonnements, Kundenkonto-Informationen oder gespeicherte Einwilligungen – muss die Migration dieser Daten datenschutzkonform erfolgen.
Bestehende Einwilligungen können nicht automatisch auf neue Verarbeitungszwecke übertragen werden. Prüfen Sie genau: Decken die ursprünglichen Einwilligungen auch die Verarbeitungen auf der neuen Website ab? Wenn sich Tracking-Tools oder deren Umfang ändern, kann eine erneute Einholung der Einwilligung erforderlich sein.
Dokumentieren Sie den Migrationsprozess selbst: Welche Daten werden wann und wie übertragen? Sind die Übertragungswege verschlüsselt? Wer hat während der Migration Zugriff auf die Daten?
Ein Relaunch ist die ideale Gelegenheit, nicht mehr benötigte Datenbestände zu löschen. Prüfen Sie, welche gespeicherten Daten für den laufenden Betrieb der neuen Website tatsächlich erforderlich sind. Alte Logfiles, ausgelaufene Newsletter-Abonnements oder veraltete Kundenkonten sollten vor oder unmittelbar nach dem Relaunch gelöscht werden, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.
Unmittelbar nach dem Go-Live sollten Sie die DSGVO-Konformität erneut überprüfen – diesmal auf der produktiven Domain. Manche Probleme zeigen sich erst im Live-Betrieb, etwa wenn Content Delivery Networks andere Header setzen oder wenn produktive API-Keys zu abweichenden Datenflüssen führen.
Führen Sie direkt nach dem Go-Live einen Selbstcheck in mehreren Schritten durch, um sicherzustellen, dass alle Datenschutzanforderungen auch auf der Live-Umgebung erfüllt sind. Prüfen Sie insbesondere SSL-Zertifikate, Cookie-Banner-Funktionalität und die korrekte Auslieferung der Datenschutzerklärung.
Kontrollieren Sie auch die Performance des Consent-Tools: Wird der Cookie-Banner schnell genug geladen, um wirklich vor allen Tracking-Skripten aktiv zu sein? Verzögerungen beim Laden des Consent-Layers können dazu führen, dass Tracking-Codes bereits ausgeführt werden, bevor eine Einwilligung vorliegt.
Nach dem erfolgreichen Relaunch beginnt die kontinuierliche Pflege. Jede nachträgliche Integration neuer Tools oder Dienste muss datenschutzrechtlich bewertet werden. Implementieren Sie einen Prozess, der sicherstellt, dass neue Tracking-Codes oder Plugins nicht ohne Prüfung eingebunden werden.
Nutzen Sie automatisierte Monitoring-Tools, um Veränderungen an der technischen Datenschutz-Implementierung zu erkennen. Regelmäßige Scans mit Werkzeugen zur Überprüfung der DSGVO-Anforderungen helfen dabei, unbeabsichtigte Änderungen oder neue Datenschutzrisiken frühzeitig zu identifizieren.
Dokumentieren Sie alle Änderungen an der Datenverarbeitung in einem Verarbeitungsverzeichnis. Dies ist nicht nur rechtlich vorgeschrieben, sondern hilft auch bei zukünftigen Relaunches oder Updates, den Überblick über alle technischen Datenschutzmaßnahmen zu behalten.
Eine technische DSGVO-Checkliste für Website-Relaunches verhindert, dass Datenschutzanforderungen erst kurz vor dem Go-Live hektisch nachimplementiert werden müssen. Indem Sie DSGVO-Aspekte von der Planung über die Entwicklung und das Testing bis zum Live-Gang systematisch berücksichtigen, schaffen Sie die Grundlage für einen rechtssicheren Start der neuen Website. Die Investition in strukturierte Prozesse zahlt sich nicht nur durch reduzierte rechtliche Risiken aus, sondern auch durch effizientere Projektabläufe und höhere Qualität der Auslieferung.