Programming & Development

Michael - 2026-10-11

Intermediate

# Prompt: Webseite DSGVO-konform und trackerfrei machen

Du bist ein erfahrener Software Engineer mit Kenntnissen in DSGVO, TDDDG, Web-Security und Privacy by Design.

Analysiere das gesamte Repository und implementiere die notwendigen Änderungen, um die bestehende Webseite oder Web-Applikation datenschutzfreundlich, sicher und möglichst trackerfrei zu gestalten. Arbeite direkt im Code und erhalte die bestehende Funktionalität.

## 1. Externe Ressourcen entfernen

Entferne unnötige externe Abhängigkeiten und Ressourcen, insbesondere:

- Google Fonts und externe Schriftarten
- Externe CSS- und JavaScript-Dateien sowie CDN-Abhängigkeiten
- Externe Bilder, Icons, SVGs und Mediendateien
- Tracking-Pixel, Analytics, Werbe-SDKs und Tag-Manager
- Externe Widgets, Iframes und automatisch geladene Inhalte
- Unnötige Preconnect-, DNS-Prefetch- und Preload-Verbindungen

Ersetze benötigte Ressourcen durch lokal gehostete Dateien oder integriere sie in den Build. Prüfe auch dynamische Imports und das Laufzeitverhalten verwendeter Bibliotheken.

## 2. Datenübertragungen und Tracking verhindern

Untersuche Frontend und Backend auf externe API-Aufrufe, Fetch-/XHR-Anfragen, WebSockets, Telemetrie und serverseitige Übermittlungen.

Entferne nicht erforderliches Tracking und minimiere personenbezogene Daten. Prüfe Cookies, Local Storage, Session Storage, IndexedDB und Fingerprinting. Konfiguriere notwendige Session-Cookies sicher mit geeigneten Attributen wie `Secure`, `HttpOnly` und `SameSite`.

Protokolliere keine unnötigen personenbezogenen Daten, Passwörter oder Zugriffstoken. Dokumentiere fachlich notwendige externe Dienste samt Zweck und Datenübertragung.

## 3. DSGVO und Consent

Prüfe die Datenschutzerklärung auf Übereinstimmung mit der tatsächlichen Datenverarbeitung. Berücksichtige insbesondere DSGVO Art. 5, 6, 12–14, 25 und 32 sowie § 25 TDDDG.

Implementiere ein Consent-Management nur, wenn einwilligungsbedürftige Technologien vorhanden sind. Optionale Dienste müssen bis zur wirksamen Einwilligung deaktiviert bleiben. Zustimmung, Ablehnung und Widerruf müssen transparent und einfach möglich sein.

Wenn kein Consent-Banner erforderlich ist, verzichte darauf. Erfinde keine Rechtsgrundlagen, Kontaktdaten oder Datenschutzangaben. Dokumentiere fehlende Informationen als offene Punkte.

## 4. Sicherheit und HTTP-Header

Implementiere eine restriktive Content Security Policy (CSP) und geeignete Security-Header, insbesondere HSTS bei geeignetem HTTPS-Betrieb, `X-Content-Type-Options`, `Referrer-Policy` und `Permissions-Policy`.

Beschränke Ressourcen und Verbindungen möglichst auf die eigene Domain. Vermeide `'unsafe-inline'` und `'unsafe-eval'`, sofern nicht zwingend erforderlich. Prüfe CORS, Service Worker, Browser-Caches und externe Weiterleitungen.

## 5. Tests und Abnahmekriterien

Erstelle automatisierte Prüfungen auf externe Ressourcen, Tracker und unsichere Konfigurationen. Verwende nach Möglichkeit Playwright oder ein vergleichbares Werkzeug, um den tatsächlichen Netzwerkverkehr einschließlich dynamischer Requests und Weiterleitungen zu prüfen.

Stelle sicher, dass:

- Keine unnötigen externen Ressourcen geladen werden.
- Keine nicht erforderlichen Tracker aktiv sind.
- Externe Datenübertragungen dokumentiert sind.
- Einwilligungsbedürftige Dienste korrekt blockiert werden.
- CSP und Security-Header aktiv sind.
- Datenschutz- und Regressionstests erfolgreich ausgeführt wurden.
- Die bestehenden Kernfunktionen erhalten bleiben.

Integriere geeignete Prüfungen in CI/CD, damit neue, nicht freigegebene externe Ressourcen erkannt werden.

## 6. Umsetzung und Abschlussbericht

Analysiere zuerst das Repository, identifiziere Risiken und implementiere anschließend die erforderlichen Änderungen direkt im Code.

Entferne unnötige Abhängigkeiten, ersetze erforderliche Ressourcen lokal und führe verfügbare Builds und Tests aus. Vermeide unnötige Architekturänderungen.

Erstelle abschließend einen Bericht über entfernte Tracker, geänderte Dateien, implementierte Schutzmaßnahmen, Testergebnisse sowie verbleibende externe Verbindungen und offene rechtliche Fragen.

**Wichtig:** Behaupte keine vollständige DSGVO-Konformität, wenn rechtliche oder organisatorische Aspekte nicht überprüft werden konnten. Unterscheide klar zwischen technisch nachgewiesenen Maßnahmen und noch offenen Prüfungen.