Wissen · Arbeitshilfe
Website-Checkliste
Diese Checkliste bietet eine erste Orientierung für bestehende oder geplante Websites. Sie ersetzt keine vollständige technische und rechtliche Prüfung.
Verantwortung und Zweck
- Ist klar, wer die Website rechtlich und technisch betreibt?
- Ist für jede Datenverarbeitung ein nachvollziehbarer Zweck festgelegt?
- Werden nur die dafür erforderlichen Daten verarbeitet?
- Sind Zuständigkeiten für Änderungen, Sicherheit und Anfragen geregelt?
Hosting und Protokollierung
- Wo wird die Website gehostet und welche Unternehmen sind beteiligt?
- Besteht, soweit erforderlich, ein Vertrag zur Auftragsverarbeitung?
- Welche Daten enthalten Server-Protokolle tatsächlich?
- Sind Rotation und Löschung der Protokolle sinnvoll konfiguriert?
- Wer kann auf Server, Verwaltungsoberfläche und Protokolle zugreifen?
Cookies und Browserspeicher
- Werden Cookies oder andere lokale Speichertechniken verwendet?
- Welche davon sind technisch unbedingt erforderlich?
- Werden einwilligungspflichtige Funktionen erst nach einer wirksamen Einwilligung aktiviert?
- Kann eine erteilte Einwilligung ebenso einfach widerrufen werden?
Externe Dienste
- Werden Schriftarten, Skripte, Bilder oder Stylesheets extern geladen?
- Sind Analyse-, Karten-, Video-, Social-Media- oder Werbedienste eingebunden?
- Welche Verbindungen entstehen bereits beim ersten Seitenaufruf?
- Findet eine Verarbeitung außerhalb der EU oder des EWR statt?
- Gibt es eine lokale oder datensparsamere Alternative?
Formulare und Kommunikation
- Werden nur wirklich benötigte Formularfelder abgefragt?
- Ist die Übertragung durchgehend verschlüsselt?
- Wo werden Formulardaten gespeichert und wann werden sie gelöscht?
- Wer erhält die Nachrichten und darf sie bearbeiten?
- Verursacht der Spam-Schutz zusätzliche Datenübermittlungen?
Transparenz und Betroffenenrechte
- Ist das Impressum leicht erreichbar und vollständig?
- Beschreibt die Datenschutzerklärung die wirkliche technische Umsetzung?
- Sind Zwecke, Rechtsgrundlagen, Empfänger und Speicherdauern genannt?
- Gibt es einen geregelten Ablauf für Auskunft, Berichtigung und Löschung?
Technische Sicherheit
- Wird HTTPS erzwungen und ist die TLS-Konfiguration aktuell?
- Werden Betriebssystem, CMS, Plugins und Abhängigkeiten zeitnah aktualisiert?
- Sind administrative Zugänge individuell vergeben und mit Mehrfaktor-Authentifizierung geschützt?
- Existieren getestete Backups und ein Wiederherstellungsverfahren?
- Werden nicht mehr benötigte Konten, Erweiterungen und Daten entfernt?
Wichtig
Ein Häkchen bestätigt zunächst nur, dass ein Thema betrachtet wurde. Ob eine Maßnahme angemessen und korrekt umgesetzt ist, ergibt sich erst aus der Prüfung des konkreten Systems.