Zum Inhalt springen
Kostenlos · Keine Anmeldung · DSGVO-orientiert

DSGVO + AI Act Audit für Ihre Website in 60 Sekunden

Der DSGVO-Check prüft in sieben Punkten, wo auf Ihrer Website Datenschutz- und KI-Kennzeichnungsrisiken sichtbar sind, zum Beispiel Cookie-Banner, Dienste aus den USA, AI Act Art. 50 oder AV-Verträge. Er gibt eine Orientierung und ersetzt keine Rechtsberatung. Ergebnisse sind eine automatisierte Stichprobe mit allgemeinen Hinweisen zu möglichen Folgen.

7 Risiko-Ebenen
17 US-Tools erkannt
Orientierung keine Rechtsberatung

Für die Prüfung vor dem Einsatz eines KI-Systems lesen Sie den Leitfaden zu KI und DSGVO im Unternehmen.

Was prüft der DSGVO-Check?

7 Risiko-Ebenen, jede einzeln verständlich erklärt.

Ebene 1

Cookie-Banner

Sind die Buttons gleich prominent? Werden Cookies VOR Klick gesetzt? Wir erkennen 11 gängige Cookie-Banner-Lösungen.

Ebene 2

Google Fonts ohne Einwilligung

Das LG München I hat im Januar 2022 (Az. 3 O 17493/20) einem Kläger 100 € Schadenersatz wegen einer Google-Fonts-Einbindung zugesprochen. Wir prüfen, ob Ihre Fonts lokal oder über Google geladen werden.

Ebene 3

US-Tool-Risiken (Schrems-II)

Analyse-, Werbe-Pixel-, Newsletter-, Kalender- und Zahlungsdienste aus den USA. Wir erkennen 17 gängige US-Dienste und gleichen sie mit unserer DPF-Liste ab (Stichprobe, ohne Gewähr).

Ebene 4

AI Act Art. 50 (Transparenzpflicht)

Wenn Sie einen Chatbot auf Ihrer Seite einsetzen, muss grundsätzlich erkennbar sein, dass Nutzer mit einer KI sprechen (Art. 50 Abs. 1 KI-Verordnung, seit 2. August 2026 anwendbar). Wir erkennen 24 Chatbot-Anbieter.

Ebene 5

Datenschutzerklärung

Ist sie da? Ist sie vollständig (Verantwortlicher, Rechtsgrundlage, Betroffenenrechte, Drittland, KI-Nutzung)? Wir checken 8 Pflicht-Sektionen automatisch.

Ebene 6

Impressum und Banner-Symmetrie

Pflichtangaben nach DDG §5 (bis 13.05.2024: TMG §5) plus Gleichwertigkeit von Akzeptieren und Ablehnen im Cookie-Banner. Häufige Abmahn-Themen, wir zeigen Hinweise darauf.

Ebene 7

AV-Verträge

Welche Tools auf Ihrer Seite verarbeiten personenbezogene Endkunden-Daten? Wir listen sie auf, Sie sehen, für welche Dienste ein Vertrag zu prüfen ist.

Warum viele KMU beim Thema KI zögern

Nach unserer Einschätzung zögern viele KMU beim Einstieg in KI wegen Datenschutz, AI Act und AV-Verträgen. Belastbare Zahlen liefern Umfragen von Branchenverbänden; wir nennen hier bewusst keinen Einzelwert. Viele technische Risiken auf einer Website lassen sich nach unserer Einschätzung mit überschaubarem Aufwand beheben.

Datenschutz von Anfang an mitzudenken heißt: das System wird so gebaut, dass möglichst wenige personenbezogene Daten anfallen. Das ergänzt Verträge und Dokumentation und reduziert das Risiko, ersetzt sie aber nicht.

  • Server in Deutschland: Hetzner (Nürnberg) statt US-Hosting; die Auslieferung erfolgt über Cloudflare.
  • Datensparsamkeit bei KI: Ziel ist, möglichst wenige personenbezogene Daten an KI-Dienste zu übergeben.
  • Minimaldatenprinzip: Tools sammeln nur, was nötig ist (z. B. Web-Analyse ohne Cookies und ohne vollständige IP-Adresse, wo möglich).
  • EU-Dienste bevorzugt: E-Mail-Versand und Web-Analyse über Anbieter mit Sitz oder Servern in der EU, wo verfügbar.
  • Cookie-Banner mit gleichwertigen Schaltflächen: Akzeptieren und Ablehnen gleich prominent.

Google Fonts, US-Tools, AI Act: drei häufige DSGVO-Themen bei Websites 2026

Risiko 1, Google Fonts ohne Consent (LG München I, Januar 2022, Az. 3 O 17493/20):

Nach dem Urteil gab es zahlreiche Abmahnungen wegen der IP-Übertragung an Google beim Laden von Google Fonts. Das Gericht sprach im Einzelfall 100 € Schadenersatz zu. Fix: Google Fonts lokal einbinden (bei WordPress zum Beispiel über ein Plugin oder im Theme, Aufwand je nach Setup).

Risiko 2, US-Tools nach Schrems-II:

EuGH hat 2020 das Privacy-Shield-Abkommen gekippt. Seit Juli 2023 gilt das Data Privacy Framework (DPF), aber NUR wenn das US-Tool zertifiziert ist UND Ihre Konfiguration die Garantien einhält. Google Analytics-, Werbe-Pixel- und Newsletter-Tools mit US-Bezug sind bei KMU-Websites verbreitet und deshalb einen Blick wert.

Risiko 3, AI Act Art. 50 (Transparenzpflichten):

Die Hinweispflicht bei KI-Interaktion nach Art. 50 Abs. 1 KI-Verordnung ist seit 2. August 2026 anwendbar, zum Beispiel für Chatbots. Die Kennzeichnung KI-erzeugter Inhalte nach Art. 50 Abs. 2 gilt für bereits vorher angebotene Systeme ab 2. Dezember 2026 (Stand: Oktober 2026). Gesetzlicher Höchstrahmen für Bußgelder: bis 15 Millionen € oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist; die Höhe im Einzelfall legt die Behörde fest. Viele KMU haben das Thema nach unserem Eindruck noch nicht auf dem Zettel.

Datensparsamkeit bei Bot-Agent (Server in Deutschland)

Typisches Setup bei KMU mit KI-Automation: Ein Anbieter erhält Ihre Endkunden-Daten (Namen, E-Mails, Anfragen). Sie schließen einen AV-Vertrag (Art. 28 DSGVO). Die datenschutzrechtliche Verantwortung bleibt dennoch bei Ihnen.

Bot-Agent-Setup:

  • Die meisten Automatisierungen arbeiten mit Ihren eigenen Daten (Briefings, Templates, Wissensbasis).
  • Chatbot und Telefonassistent verarbeiten Anfragen von Besuchern und werden als KI gekennzeichnet.
  • Server in Deutschland (Hetzner), Auslieferung über Cloudflare, KI-Modelle externer Anbieter mit Auftragsverarbeitungsvertrag (DPA und SCC liegen für Anthropic und OpenAI vor, für Google werden sie vor Verkaufsstart bestätigt).
  • Ein Auftragsverarbeitungsvertrag ist vorgesehen, wo Auftragsverarbeitung stattfindet.

Das ist eine Entwicklungsentscheidung und keine Rechtsberatung. Ob Ihr Einsatz die Datenschutzanforderungen erfüllt, hängt vom Einzelfall ab.

Häufige Fragen (FAQ)

Darf ich überhaupt ChatGPT im Geschäft nutzen?
In der Regel ja, wenn Sie keine personenbezogenen Daten Ihrer Kunden in ChatGPT eingeben. Anonymisierte Inhalte (Texte, Konzepte, Code) sind meist unproblematisch. Sobald Kundendaten einfließen, brauchen Sie einen AV-Vertrag mit dem Anbieter (dieser ist nicht in jedem Tarif verfügbar, Bedingungen beim Anbieter prüfen) und eine Prüfung der Drittlandübermittlung (Schrems II). Kein Rechtsrat.
Wie hoch sind Bußgelder bei DSGVO-Verstößen für KMU?
Eine Schätzung für einzelne Websites oder Unternehmen geben wir nicht ab. Der gesetzliche Rahmen reicht bis 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes (Art. 83 DSGVO); die Höhe im Einzelfall legt die Aufsichtsbehörde fest. Dokumentierte Fälle sammelt zum Beispiel enforcementtracker.com. Daneben können Betroffene Schadensersatz verlangen (Art. 82 DSGVO), und Mitbewerber oder Verbände können abmahnen. Allgemeine Information, keine Rechtsberatung.
Brauche ich einen AV-Vertrag mit US-Tools wie ChatGPT oder CRM-Software?
Sobald Sie personenbezogene Endkunden-Daten verarbeiten lassen: in der Regel ja. Bei rein interner Nutzung ohne Personenbezug (z. B. Marketing-Texte erstellen): nein. Ob bei Bot-Agent-Automatisierungen ein Auftragsverarbeitungsvertrag nötig ist, hängt von der Automatisierung ab (zum Beispiel bei Chatbot oder Telefonassistent, die Anfragen von Besuchern verarbeiten). Ein AVV ist vorgesehen. Der DSGVO-Check prüft in Ebene 7 Ihre Datenschutzerklärung auf explizite AVV-Hinweise (Art. 28 DSGVO und DPA-URLs). Score 100 erhalten Sie, wenn alle erkannten Tools im AVV-Abschnitt aufgeführt sind.
Dürfen meine Kundendaten in ein US-Automation-Tool oder in ChatGPT?
Mit Data Privacy Framework (DPF) und AV-Vertrag ist die Übermittlung grundsätzlich möglich. Ohne diese Grundlagen ist sie heikel (Schrems II). Ob es in Ihrem Einzelfall reicht, hängt vom konkreten Einsatz ab (kein Rechtsrat). Für viele US-Dienste gibt es datensparsame Alternativen mit EU-Bezug; der PDF-Bericht nennt pro erkanntem Dienst die Prüfpunkte. Unsere Server stehen in Deutschland (Hetzner, Nürnberg), die Auslieferung erfolgt über Cloudflare; einzelne Dienste, etwa KI-Modelle, beziehen wir von weiteren Anbietern, teils in den USA.
Was ist Art. 50 des EU AI Act und was bedeutet er für mich?
Die Hinweispflicht bei KI-Interaktion nach Art. 50 Abs. 1 KI-Verordnung ist seit 2. August 2026 anwendbar: Wer ein KI-System einsetzt, das direkt mit Menschen interagiert (zum Beispiel einen Chatbot), muss darauf hinweisen. Die Kennzeichnung KI-erzeugter Inhalte nach Art. 50 Abs. 2 gilt für bereits vorher angebotene Systeme ab 2. Dezember 2026 (Stand: Oktober 2026). Der gesetzliche Höchstrahmen für Bußgelder liegt bei bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist (Art. 99 Abs. 4). Der Check zeigt technische Indikatoren, ob Ihre Seite einen KI-Hinweis enthält. Kein Rechtsrat.
Muss ich offenlegen, dass mein Chatbot KI ist?
Ja, seit 2. August 2026 grundsätzlich schon (Art. 50 Abs. 1 KI-Verordnung). Ausnahmen gelten, wenn es für Nutzer aus den Umständen offensichtlich ist. In der Praxis empfehlen wir einen sichtbaren Hinweis am Chat-Trigger (KI-Assistent) und eine Angabe in der Datenschutzerklärung. Der Check prüft beides als Indikator.
Was tun bei einer Google-Fonts-Abmahnung?
Nicht vorschnell zahlen, sondern zuerst rechtlichen Rat einholen. Ob ein Anspruch besteht, sollte ein Anwalt prüfen; parallel lassen sich Fonts lokal einbinden. Bei einer Klage sollten Sie nicht selbst antworten. Kein Rechtsrat.
Wie lange dauert ein DSGVO-orientiertes Setup?
Das hängt stark vom Einzelfall ab. Selbst gemacht: nach unserer Einschätzung 2 bis 6 Wochen je nach Komplexität (Migration von US-Tools, Cookie-Banner, Anpassung der Datenschutzerklärung, AV-Verträge). Eine Migrationsleistung von Bot-Agent gibt es aktuell nicht.
Ist Selbst-Hosting auf Hetzner schwierig?
Selbst betrieben ist Hosting aufwendig (Server, Updates, Backups). Bei den Bot-Agent-Automatisierungen ist Hosting durch uns vorgesehen (Server in Deutschland bei Hetzner, Auslieferung über Cloudflare). Der Verkauf ist noch nicht geöffnet, vorläufige Abo-Preise ab 49 € pro Monat.
Welche EU-Alternativen gibt es zu Google Analytics?
Es gibt Web-Analyse-Werkzeuge, die auf Servern in der EU oder selbst gehostet laufen und auf Cookies sowie die Speicherung vollständiger IP-Adressen verzichten können. Funktionen, Preise und der datenschutzrechtliche Status unterscheiden sich je nach Anbieter deutlich. Holen Sie aktuelle Angaben direkt bei den Anbietern ein und lassen Sie die Einwilligungsfrage für Ihren Einsatz prüfen.
Mein Anbieter sagt, alles sei datenschutzrechtlich in Ordnung. Reicht das?
Nein, nicht als alleinige Grundlage. Eine solche Aussage bedeutet oft nur, dass ein AV-Vertrag existiert. Sie sagt nicht, dass keine Daten in die USA gehen, keine Schrems-II-Risiken bestehen oder die AI-Act-Pflichten erfüllt sind. Fragen Sie konkret nach: Wo werden die Daten gespeichert? Ist der Anbieter DPF-zertifiziert? Ist der KI-Hinweis dokumentiert?
Ist Bot-Agent BAFA-förderfähig?
Nein. Setup und Abo von Bot-Agent sind nicht BAFA-förderfähig. Die BAFA fördert Beratungen zur Unternehmensführung durch beim BAFA gelistete Berater.
Brauche ich nicht einen Datenschutz-Anwalt oder eine Consent-Lösung?
Doch, abhängig vom Risiko. Dieses Tool ersetzt keine Rechtsberatung, sondern zeigt technische DSGVO-Signale auf Ihrer Website.

  • Consent-Management-Plattformen (CMP) blockieren Tracking bis zur Zustimmung und stellen einen Cookie-Banner bereit. Fokus: Consent-Ebene. Preise und Funktionen unterscheiden sich je nach Anbieter.
  • Ein Datenschutz-Anwalt bewertet rechtliche Risiken individuell und schreibt eine rechtsverbindliche Stellungnahme. Honorare variieren.
Der DSGVO-Check ist ein read-only Audit-Tool mit anderem Umfang:
  • 7 Ebenen (Cookie-Banner-Symmetrie, Google Fonts ohne Consent, US-Tools/Schrems II, AI Act Art. 50 Indikatoren, Vollständigkeit der Datenschutzerklärung, Impressum, AV-Vertrag-Relevanz)
  • 17 Signaturen gängiger US-Dienste (Analyse, Werbe-Pixel, Kalender, Chat, Zahlungen) mit Abgleich gegen die DPF-Liste
  • Allgemeine Hinweise zu möglichen Folgen (gesetzlicher Rahmen und ein bekanntes Urteil, z. B. LG München I 2022), ohne Euro-Schätzung für Ihre Website, keine rechtliche Bewertung
  • Top-5 auffällige Hinweise mit Aufwand-Schätzung
Konkret: Wenn Ebene 3 (US-Tools/Schrems II) auf HIGH steht, ist das ein technisches Warnsignal. Die rechtliche Bewertung gehört zu einer CMP-Einrichtung oder zum Anwalt.

Wichtig: Dieser Scan ist eine automatisierte Stichprobe (Momentaufnahme) und stellt keine Rechtsberatung dar (§ 2 RDG), auch keine Zertifizierung. Bei konkretem Risiko ist anwaltliche Beratung erforderlich. Alle Angaben ohne Gewähr.

Glossar: DSGVO + AI Act verstehen

DSGVO
Datenschutz-Grundverordnung (EU 2016/679, gilt seit 25.05.2018). Regelt die Verarbeitung personenbezogener Daten.
Art. 6 DSGVO
Rechtsgrundlage-Artikel. Verarbeitung nur erlaubt mit (a) Einwilligung, (b) Vertrag, (c) Gesetzespflicht, (d) lebenswichtigen Interessen, (e) öffentlicher Aufgabe, (f) berechtigtem Interesse.
TDDDG (früher TTDSG)
Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (bis 13.05.2024 „TTDSG“). § 25 regelt die Einwilligung für Speicherung von und Zugriff auf Informationen im Endgerät (setzt die ePrivacy-Richtlinie um).
EU AI Act Art. 50
Transparenzpflichten für bestimmte KI-Systeme (EU-KI-Verordnung). Die Hinweispflicht bei KI-Interaktion nach Art. 50 Abs. 1 ist seit 2. August 2026 anwendbar; die Kennzeichnung KI-erzeugter Inhalte nach Art. 50 Abs. 2 gilt für bereits vorher angebotene Systeme ab 2. Dezember 2026. Stand: Oktober 2026.
Schrems-II
EuGH-Urteil 2020 (C-311/18), das den Privacy Shield für ungültig erklärte. Daten-Übermittlung in die USA ist nur mit Garantien möglich (Standardvertragsklauseln, zusätzliche Maßnahmen).
DPF (Data Privacy Framework)
EU-US-Datenschutzrahmen seit 10.07.2023. Löst den Privacy Shield ab. US-Unternehmen müssen sich aktiv zertifizieren.
AV-Vertrag
Auftragsverarbeitungs-Vertrag nach Art. 28 DSGVO. Erforderlich, wenn ein Dritter personenbezogene Daten für Sie verarbeitet. Der DSGVO-Check erkennt explizite AVV-Bestätigungen in Ihrer Datenschutzerklärung (Art. 28 DSGVO + Auftragsverarbeitung + DPA-URL eines Hosters) und vergibt Score 100, wenn alle erkannten Tools im AVV-Abschnitt aufgeführt sind.
Banner-Symmetrie
Aufsichtsbehörden erwarten in der Regel, dass Akzeptieren und Ablehnen im Cookie-Banner gleich leicht erreichbar und gleich prominent sind (Orientierungshilfe Telemedien der Datenschutzkonferenz). Kein Rechtsrat.
DDG §5
Digitale-Dienste-Gesetz §5 (löst seit 14.05.2024 das frühere TMG §5 ab), Impressumspflicht. Pflichtangaben: Firma, Vertretungsberechtigte, Adresse, Kontakt, USt-IdNr (falls vorhanden).
CMP
Consent Management Platform, ein Tool, das Cookie-Einwilligungen verwaltet.
DOI (Double-Opt-In)
Newsletter-Verfahren: Nutzer trägt sich ein, erhält eine Bestätigungs-E-Mail, klickt den Link und ist erst dann eingetragen. In der Praxis Standard, um die Einwilligung nachweisen zu können (§ 7 UWG, Art. 6 und 7 DSGVO).

Weitere kostenlose Checks

Alle Bot-Agent-Tools sind kostenlos, ohne Anmeldung nutzbar.

Agent-Readiness-Check
Ist Ihre Website bereit für KI-Agenten und Sprachassistenten?
Automatisierungs-Check
Welche Prozesse lassen sich in Ihrem KMU automatisieren?
Chatbot-Check
Wie gut ist Ihr aktueller Chatbot? Live-Scan der Antwortqualität.
ROI-Rechner
Was spart Ihnen Automatisierung konkret an Zeit und Kosten?

Bot-Agent: Abo ab 49 €/Monat (vorläufig)

Bot-Agent entwickelt Automatisierungen datensparsam: Server in Deutschland (Hetzner), Auslieferung über Cloudflare, Auftragsverarbeitungsvertrag vorgesehen, KI-Kennzeichnung nach Art. 50 EU AI Act in Chatbot und Voice-Demo. Der Verkauf ist noch nicht geöffnet, Preise sind vorläufig.

Setup
je nach Automatisierung
0 bis 699 €, vorläufig
Subscription
ab 49 €
pro Monat
Unverbindlich vormerken →
HinweisDSGVO + AI Act Risiko-Scores sind illustrative Bewertungen basierend auf öffentlich messbaren Signalen und bekannten Aufsichts-Schwerpunkten (Momentaufnahme, ohne Gewähr). Sie ersetzen keine Rechtsberatung und sind keine Zertifizierung. Die Vertragsgrundlage für kostenpflichtige Leistungen regeln die AGB. Es erfolgt keine Rechtsdienstleistung nach RDG. Transparenz gemäß Art. 50 EU AI Act.