Betreiber-Guide

Formulare und Zahlungen absichern

Formulare, Logins, Newsletter und Checkout-Bereiche brauchen HTTPS, klare Zwecke, Datensparsamkeit, sichtbare Datenschutzinformationen und einen Re-Scan nach jeder Änderung. SaferPage kann Formularanzahl, sichtbare Links, Ziel-URLs, Methoden, URL-Leaks und Browserkontakte passiv erfassen; Zweck, Rechtsgrundlage, Empfänger, interne Verarbeitung und Abschlusslogik bleiben Betreiberprüfung.

Grundlage ist der SaferPage-Prüfkatalog für Datenschutz und Websicherheit – dieselben Kriterien, nach denen auch Ihr Report bewertet wird.

Allgemeiner Prüfweg

1 Inventarisieren Sie jede Formularseite aus Startseite, Crawl-Coverage, Login, Kontakt, Newsletter, Suche, Checkout, Konto, Bewerbung, Support und eingebetteten Formularanbietern.
2 Gleichen Sie Formular-Coverage gegen den Report ab: Wenn der Crawl Formulare findet, darf ein Startseiten-Sample nicht pauschal als formularfrei beschrieben werden.
3 Erklären Sie direkt am Formular Zweck, Pflichtfelder, freiwillige Angaben, Empfänger, Speicherdauer und Kontaktweg für Datenschutzfragen.
4 Verlinken Sie Datenschutzhinweise in Formularnähe und stellen Sie sicher, dass Footer-, Datenschutz- und Impressumslinks auch bei Consent-Walls oder Overlays erreichbar bleiben.
5 Minimieren Sie Pflichtfelder und trennen Sie Eingaben nach Zweck; sensible Felder brauchen besonders klare Hinweise und dürfen nicht unnötig an Tracking, Logs, Session-Replay oder Drittanbieter fliessen.
6 Nutzen Sie HTTPS und POST für personenbezogene Eingaben; vermeiden Sie GET-Parameter wie email, phone, name, token oder customer_id in Formular- und Bestätigungs-URLs.
7 Prüfen Sie Formularziel, externe Formularanbieter, Zahlungsdienste, Captchas und Newsletter-Tools auf AVV/DPA, Region, Transfergrundlage und Datenschutzhinweis.
8 Blockieren Sie Analytics-, Ads-, Session-Replay- und Pixel-Tags auf Formularseiten bis zur Einwilligung und übergeben Sie keine Formularwerte an Tag Manager oder Drittanbieter.
9 Setzen Sie passende Labels, Fehlermeldungen, Autocomplete-Attribute, Tastaturbedienung und mobile Darstellung um, damit Datenschutz- und Usability-Prüfung zusammenpassen.
10 Dokumentieren Sie je Formularseite Screenshot, Zweck, Pflichtfelder, Ziel-URL, Methode, Consent-Zustand, Referrer-Policy, Anbieter, Datenschutzhinweis und Re-Scan-Nachweis.

Belegorientierter Hintergrund

Was belegt ist, was Betreiber prüfen und wie abgenommen wird

Guide

Formularinventar und Report-Abgleich

BetreiberFühren Sie pro Formularseite URL, Seitentyp, Formularanzahl, Methode, Ziel-URL, Pflichtfelder, sensible Felder, Captcha, Datei-Upload und Zahlungs- oder Newsletter-Bezug. BetreiberTrennen Sie Startseiten-Sample, direkte Test-URLs und Crawl-Coverage. Ein passiver Startseitenbefund darf nicht die gefundenen Formularseiten im Crawl widersprechen. BetreiberMarkieren Sie Login, Konto, Checkout, Newsletter, Kontakt, Bewerbung, Suchfeld und Support getrennt, weil Zweck, Risiko und Datenschutzhinweis unterschiedlich sind.

Datenschutzkontext am Formular

BetreiberDirekt in Formularnaehe sollten Zweck, Pflichtfelder, freiwillige Angaben, Empfänger, Speicherdauer, Datenschutzkontakt und Link zur Datenschutzerklärung sichtbar sein. BetreiberBei besonderen Kategorien, Zahlungsdaten, Minderjährigen, Bewerbungen oder Gesundheitsbezug braucht der Betreiber eine separate fachliche Freigabe. BetreiberConsent-Walls, Cookie-Banner, Sticky-Elemente und Popups dürfen Datenschutzhinweise, Impressum, Kontakt und Fehlermeldungen nicht verdecken.

Datenfluss, Anbieter und URL-Leaks

BetreiberHTTPS und POST sind für personenbezogene Eingaben der Normalfall; GET-Parameter, Tokens, E-Mail-Adressen, Telefonnummern oder Kundennummern in URLs vermeiden. BetreiberReferrer-Policy, Redirects, Bestätigungsseiten, Serverlogs, Monitoring und Analytics so konfigurieren, dass keine Formularwerte oder sensiblen Pfade an Drittanbieter abfliessen. BetreiberExterne Formularanbieter, Zahlungsdienste, Captchas, Newsletter-Tools und CRM-Endpunkte brauchen Anbieterakte mit AVV/DPA, Region, Transfergrundlage, TOMs und Verantwortlichkeit.

Consent, Tracking und Session-Replay

BetreiberAnalytics, Ads, Pixel, Session-Replay, Heatmaps und Tag-Manager dürfen Formularwerte, Fehlermeldungen, Suchbegriffe, Login-Kontext oder Checkout-Schritte nicht mitschneiden. BetreiberTesten Sie Erstaufruf, Ablehnen und Akzeptieren separat. Auf Formularseiten sollten nicht notwendige Tracking-Requests vor Einwilligung ausbleiben. BetreiberMaskieren Sie Formularfelder in Replay- und Support-Tools; sensible Eingaben dürfen nicht in Debugging, A/B-Testing, Chat, CRM oder Error-Tracking landen.

Usability, Accessibility und Abnahme

BetreiberLabels, Feldgruppen, Fehlermeldungen, Autocomplete-Attribute, Tastaturbedienung, Fokus, mobile Darstellung und Kontrast sind Teil der Betreiberabnahme. BetreiberAbnahme: SaferPage-Re-Scan zeigt konsistente Formular-Evidence, keine neuen URL-Leaks, sichtbare Datenschutzlinks und keine neuen Trackingkontakte vor Einwilligung. BetreiberGrenze: Diese Hintergrundseite ersetzt keine Rechtsberatung, keine Zahlungsanbieter-Zertifizierung, kein vollständiges WCAG-Audit und keine Prüfung abgeschlossener Logins oder Bestellungen.

Individueller nächster Schritt

Was erst der Full-Check für Ihre Domain erstellt

Full-only
Ursache und Fundstelle

Welche konkrete Seite, Anfrage, Konfiguration oder Dienstekette den Befund ausgelöst hat.

Priorisierte Maßnahmen

Welche Änderung für genau diese Domain zuerst sinnvoll ist und welche Abhängigkeiten bestehen.

Verantwortlichkeit und Abnahme

Wer die Änderung typischerweise übernimmt und woran der überprüfbare Zielzustand erkennbar ist.

Vertiefte Nachweise

Erweiterter Crawl, Dienste-/Datenschutzerklärungs-Abgleich und Full-Check-Exporte.

Noch nicht erstellt: Der individuelle Full-Scan und Fixplan beginnen erst nach bestätigter Zahlung. Starten Sie mit dem Mini-Check Ihrer Domain; die Bestellmöglichkeit erscheint anschließend im Report.

Domain kostenlos prüfen

Quellen

DSK Orientierungshilfe Digitale Dienste BSI IT-Grundschutz APP.3.1 Webanwendungen BITV 2.0