Wir wollten es genau wissen. Im September 2026 haben wir 116 deutsche Unternehmenswebsites mit unserem DSGVO-Scanner geprüft — Finanzberater, Kliniken, E-Commerce-Shops, Versicherungsmakler. Das Ergebnis: 73 % verstoßen gegen geltendes Datenschutzrecht.
Keine Ausreißer, keine bewusst ausgewählten Negativbeispiele. Ein Querschnitt durch den deutschen Mittelstand — jene Unternehmen, die täglich mit Kundendaten arbeiten und sich in aller Regel für rechtskonform halten. Was ein automatisierter Website Datenschutz Check tatsächlich zutage fördert, unterscheidet sich deutlich von diesem Selbstbild.
Die Methode
Grundlage dieser Auswertung ist kein Fragebogen und keine Selbstauskunft, sondern ein technischer Scan dessen, was beim Aufruf einer Seite wirklich passiert. Unser Scanner ruft die Startseite jeder Website automatisiert auf und protokolliert, welche Ressourcen der Browser lädt — bevor der Besucher irgendetwas anklickt.
Geprüft wird in fünf Dimensionen: Drittanbieter (welche externen Domains werden kontaktiert), Cookies (was wird auf dem Endgerät gespeichert), Tracker (Analyse- und Marketing-Dienste), Consent-Banner (existiert eine Einwilligungsabfrage und blockiert sie tatsächlich) und Security Headers (die technischen Schutzmaßnahmen nach Art. 32 DSGVO). Aus diesen Faktoren errechnet der Scanner einen Score auf einer Skala von 0 bis 100.
Der Scan ist bewusst reproduzierbar: Jeder kann seine eigene Website prüfen und das Ergebnis in Sekunden nachvollziehen. Der kostenlose DSGVO-Scanner steht öffentlich zur Verfügung — ohne Anmeldung, ohne Installation.
Die Ergebnisse im Überblick
Die nüchternen Zahlen aus 116 Scans:
Durchschnittlicher Score: rund 50 von 100 — jede zweite Website fällt durch. Ein Wert, der keine Grauzone beschreibt, sondern klaren Handlungsbedarf. Websites, die sauber arbeiten — cookieless, ohne Drittanbieter vor Einwilligung —, erreichen problemlos Werte über 80. Der Durchschnitt liegt weit darunter.
Websites ohne Consent-Banner: 55 %. Also Seiten, die messbar tracken, ihre Besucher aber nie um Erlaubnis fragen. Kein Banner, keine Wahlmöglichkeit, keine Einwilligung.
Websites mit Tracking vor Einwilligung: 35 %. Hier laden Analyse- oder Marketing-Dienste bereits, bevor der Besucher einen Button berührt — teils trotz vorhandenem Banner. Der Banner ist dann reine Kosmetik.
Häufigster Verstoß: Google Analytics, Facebook Pixel oder Hotjar, die vor der Einwilligung geladen werden. Tracking ohne Einwilligung ist damit nicht die Ausnahme, sondern der Normalfall.
Auf betroffenen Seiten laden im Schnitt fast 3 Tracker pro Website — darunter häufig Google Analytics, Facebook Pixel und Hotjar. Jeder dieser Dienste ist ein eigener Datenabfluss an einen Dritten — oft in die USA, oft ohne Rechtsgrundlage.
Durchschnittlicher Security-Header-Score: 43 von 100. Die technischen Schutzmaßnahmen, die Art. 32 DSGVO verlangt, fehlen bei der Mehrheit der geprüften Seiten ganz oder teilweise.
Die 5 häufigsten Verstöße
1. Google Analytics ohne Einwilligung
Google Analytics setzt Cookies und überträgt Nutzungsdaten an Google — in aller Regel mit US-Bezug. Nach § 25 Abs. 1 TDDDG ist das Speichern und Auslesen von Informationen auf dem Endgerät ohne vorherige Einwilligung unzulässig. Lädt Analytics vor dem Consent, liegt der Verstoß bereits im ersten Seitenaufruf. Hinzu kommt die datenschutzrechtliche Ebene: Ohne gültige Rechtsgrundlage nach Art. 6 DSGVO ist auch die Verarbeitung selbst rechtswidrig. Der Bußgeldrahmen des Art. 83 Abs. 5 DSGVO reicht bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Das Thema Google Analytics DSGVO ist damit kein theoretisches — es ist der mit Abstand häufigste Befund unserer Scans.
2. Facebook Pixel vor Consent
Das Facebook Pixel (Meta Pixel) meldet den Seitenbesuch an Meta zurück — inklusive Informationen, die eine Wiedererkennung ermöglichen. Lädt es vor der Einwilligung, wird das Endgerät ohne Erlaubnis ausgelesen (§ 25 TDDDG) und es fließen personenbezogene Daten an einen US-Konzern ohne Rechtsgrundlage (Art. 6, Kapitel V DSGVO zum Drittlandtransfer). Besonders heikel: Das Pixel überträgt Daten oft auch von Besuchern, die gar kein Facebook-Konto haben. Auch hier gilt der Bußgeldrahmen von bis zu 20 Millionen Euro oder 4 % des Jahresumsatzes.
3. Hotjar Session-Recording ohne Wissen der Besucher
Hotjar zeichnet Mausbewegungen, Klicks, Scrollverhalten und teils Formulareingaben auf und erstellt daraus abspielbare Sitzungsaufzeichnungen und Heatmaps. Der Besucher weiß in der Regel nicht, dass jede seiner Bewegungen protokolliert wird. Ohne vorherige, informierte Einwilligung verstößt das gegen § 25 TDDDG und gegen die Transparenzpflichten der DSGVO (Art. 5, Art. 13). Werden dabei versehentlich Eingaben in Kontakt- oder Terminformulare erfasst, kann es sich um besonders sensible Daten handeln — mit entsprechend höherem Risiko.
4. Kein Consent-Banner trotz Tracking
Ein erheblicher Teil der geprüften Websites trackt, ohne überhaupt einen Banner anzuzeigen. Es gibt keine Wahlmöglichkeit, keine Ablehnung, keine Einwilligung — alle Dienste laden sofort. Das ist der schwerwiegendste und zugleich am leichtesten nachweisbare Verstoß: Jeder kann ihn in 30 Sekunden mit den Browser-Entwicklertools oder einem DSGVO-Scanner belegen. Die Cookie-Banner-Pflicht ergibt sich unmittelbar aus § 25 TDDDG, sobald nicht ausschließlich technisch notwendige Vorgänge stattfinden.
5. Fehlende Security Headers (HSTS, CSP)
Security Headers wie Strict-Transport-Security (HSTS) und Content-Security-Policy (CSP) sind technische Schutzmaßnahmen im Sinne von Art. 32 DSGVO. Fehlen sie, ist die Vertraulichkeit und Integrität der Datenübertragung nicht angemessen abgesichert — HTTPS lässt sich leichter aushebeln, Cross-Site-Scripting wird nicht eingedämmt. Anders als bei Tracking-Verstößen gibt es hier selten ein separates Bußgeld; die fehlenden Header wirken vielmehr als Beleg dafür, dass die nach Art. 32 geforderten „geeigneten technischen Maßnahmen" nicht umgesetzt wurden — ein Faktor, der bei einer Prüfung erschwerend wirkt.
Besonders kritisch: Gesundheits- und Finanzdaten
Nicht jeder Verstoß wiegt gleich schwer. Wo besonders schützenswerte Informationen im Spiel sind, wird aus einem formalen Mangel ein handfestes Risiko für die betroffenen Menschen.
Wir haben Kliniken und Medizinische Versorgungszentren gescannt, die Hotjar einsetzen. Das bedeutet in der Praxis: Session-Recording auf Seiten, auf denen Patienten Terminanfragen stellen. Bewegt jemand die Maus über ein Anfrageformular für einen Facharzttermin, wird diese Interaktion aufgezeichnet. Gesundheitsdaten gehören nach Art. 9 DSGVO zu den besonderen Kategorien personenbezogener Daten — für ihre Verarbeitung gelten strengere Anforderungen, nicht laxere.
Bei Finanzberatern und Versicherungsmaklern fanden wir wiederholt das Facebook Pixel. Der Effekt: Meta erfährt, wer sich auf einer Seite zur privaten Altersvorsorge, zur Berufsunfähigkeitsversicherung oder zur Baufinanzierung bewegt. Aus dem bloßen Seitenbesuch entsteht ein aussagekräftiges Interessenprofil — bei einem US-Konzern, ohne Wissen und ohne Einwilligung des Betroffenen.
Wir nennen bewusst keine Namen. Es geht nicht darum, einzelne Unternehmen an den Pranger zu stellen — die meisten wissen schlicht nicht, was ihre Website tut. Genau das ist der Kern des Problems.
Was droht bei Verstößen?
Die rechtlichen Konsequenzen sind keine graue Theorie. Sie stehen im Gesetz, und die Aufsichtsbehörden nutzen sie zunehmend.
DSGVO: Art. 83 Abs. 5 DSGVO sieht Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes vor — je nachdem, welcher Betrag höher ist. Für ein mittelständisches Unternehmen mit 10 Millionen Euro Umsatz bedeutet das ein rechnerisches Maximalrisiko von 400.000 Euro.
TDDDG: Der Verstoß gegen die Einwilligungspflicht des § 25 TDDDG ist bußgeldbewehrt mit bis zu 300.000 Euro. Diese Ebene wird häufig übersehen, greift aber unabhängig von der DSGVO — beim Zugriff auf das Endgerät ohne Einwilligung.
Behördliche Prüfungen nehmen zu. Die Hamburger Datenschutzbehörde hat 2025 systematisch KMU-Websites geprüft und dabei 185 Seiten mit Mängeln festgestellt. Solche koordinierten Prüfaktionen zeigen: Es braucht keine Beschwerde eines Einzelnen mehr, damit ein Verstoß auffällt.
Abmahnrisiko: Neben den Behörden können auch Wettbewerber und Verbraucherschutzverbände Datenschutzverstöße geltend machen. Ein fehlender Consent oder Tracking ohne Einwilligung ist ein leicht nachweisbarer Verstoß — in Minuten dokumentiert, ohne internen Einblick in das Unternehmen. Das macht ihn zu einem bevorzugten Ziel von Abmahnungen.
3 Schritte zur DSGVO-konformen Website
Die gute Nachricht: Die häufigsten Verstöße lassen sich mit überschaubarem Aufwand beheben. Drei Schritte genügen, um vom roten in den grünen Bereich zu kommen.
1. Website scannen
Verschaffen Sie sich zuerst Klarheit darüber, was Ihre Website tatsächlich lädt — nicht was Ihre Agentur sagt oder was Sie vermuten. Ein kostenloser DSGVO-Scan zeigt in Sekunden, welche Dienste vor der Einwilligung laden, ob Ihr Consent-Banner wirklich blockiert und wie es um Ihre Security Headers steht. So können Sie Ihre DSGVO Website prüfen, bevor es eine Behörde tut.
2. Tracking-Dienste identifizieren und bereinigen
Jeden gefundenen Tracker müssen Sie einer Entscheidung unterziehen: entfernen, wenn er nicht gebraucht wird — oder sauber hinter eine funktionierende Einwilligung setzen, wenn er bleiben soll. Entscheidend ist, dass kein Dienst mehr vor dem Ja des Besuchers lädt. Ein Consent-Banner, das nichts blockiert, erfüllt die Cookie-Banner-Pflicht nicht.
3. Alternative Analytics einsetzen
Viele Verstöße verschwinden, sobald man die Ursache entfernt statt sie zu verwalten. Eine cookieless Web-Analyse auf dem eigenen Server — DSGVO by design — misst ohne Cookies, ohne Drittanbieter und ohne Datentransfer in die USA. Sie braucht dafür weder Einwilligung noch Cookie-Banner und erfasst dadurch wieder 100 % der Besucher statt der 40–70 %, die nach einer Consent-Abfrage übrig bleiben.
Sie wollen das Problem nicht selbst lösen? Wir übernehmen das für Sie — von der Analyse über die Bereinigung bis zum laufenden Betrieb Ihrer eigenen, DSGVO-konformen Analytics. Mehr zu unseren Leistungen →
