Website-Check
Datenschutz
Bewertet wird durchweg der Zustand vor jeder Einwilligung, weil genau der rechtlich zählt. Ein echter Browser ruft die Seite auf und protokolliert, was passiert, bevor irgendjemand auf irgendetwas geklickt hat. Das Ergebnis ist ein belegtes Inventar dessen, was tatsächlich geschieht — nicht dessen, was dokumentiert ist.
Was geprüft wird
52 Einzelprüfungen, gemeinsam mit der Sicherheit in einem Lauf
-
Deckungsabgleich mit der Datenschutzerklärung
Dienste, die nachweislich laden, aber in Ihrer Datenschutzerklärung nicht genannt sind. In der Praxis der überzeugendste Befund: konkret, prüfbar und ohne Diskussion abzustellen.
-
Drittanbieter vor der Einwilligung
Alles, was beim bloßen Seitenaufruf geladen wird, klassifiziert nach Anbieter, Zweck und Rechtsraum — 66 Signaturen in der Wissensbasis. Unbekannte Anbieter werden gesammelt und nachgepflegt, statt stillschweigend durchzurutschen.
-
Cookies ohne Einwilligung
Jedes gesetzte Cookie, getrennt nach erforderlich und nicht erforderlich, dazu Laufzeiten über zwölf Monaten.
-
Einwilligungsdialog
Ist überhaupt einer da? Und ist die Ablehnen-Schaltfläche auf der ersten Ebene gleichwertig zur Zustimmung — oder eine Ebene tiefer versteckt?
-
Übermittlung in die USA
Empfänger, deren Verarbeitung in den Vereinigten Staaten stattfindet, als eigener Befund ausgewiesen.
-
Google Fonts von fremden Servern
Ein eigener Befund, nicht bloß ein Drittanbieter unter vielen — wegen der Abmahnlage ist das der Punkt, der Mandanten am häufigsten Geld kostet.
-
Impressum und Datenschutzerklärung
Erreichbar, Pflichtangaben vorhanden, und auf veraltete Inhalte geprüft: der Verweis auf das TMG statt auf das DDG und der Link auf die zum 20.07.2025 abgeschaltete EU-Streitbeilegungsplattform.
-
Formulare
Übertragungsweg, Hinweis auf die Datenschutzerklärung am Erhebungsort, und ob der Empfänger auf einer fremden Domain sitzt.
Normen und Grundlagen
- DSGVO, insbesondere Art. 5, 6, 13 und 32
- § 25 TDDDG für Zugriffe auf Endgeräte
- § 5 DDG für die Pflichtangaben im Impressum
Was im Report steht
Ein belegtes Empfänger-Inventar mit den tatsächlich beobachteten Verbindungen, die Befunde nach Gewicht sortiert, dazu die Liste dessen, was in der Datenschutzerklärung nachgezogen werden muss. Die Rechtshinweise im Bericht dienen der Einordnung und sind keine Rechtsberatung.
Wo die Prüfung an ihre Grenze kommt
Die Prüfung der Rechtstexte arbeitet mit Signalbegriffen: Sie findet fehlende Abschnitte zuverlässig, erkennt aber nicht, ob ein vorhandener Abschnitt inhaltlich taugt — jeder Rechtstext-Befund wird deshalb vor dem Versand angesehen. Die Erkennung des Einwilligungsdialogs ist eine Heuristik über Element-Kennungen und Schaltflächentexte; ungewöhnlich gebaute Dialoge entgehen ihr, weshalb der Befund eine Konfidenz unter eins trägt und das im Bericht auch dasteht. Geprüft wird die Startseite. Und: Befund und Abhilfe sind unser Produkt, die rechtsverbindliche Bewertung bleibt bei einer Anwältin.
Häufige Fragen
Was Interessenten vor der Beauftragung am häufigsten wissen wollen.
Wir haben ein Consent-Banner. Reicht das nicht?
Ein Banner ist kein Nachweis, dass es wirkt. Der häufigste Befund ist genau dieser Fall: Das Banner steht, aber Analyse-Skripte, Kartendienste oder Schriftarten laden bereits, bevor jemand darauf geklickt hat. Geprüft wird deshalb durchweg der Zustand vor jeder Einwilligung — der zählt rechtlich. Dazu kommt die Frage, ob die Ablehnen-Schaltfläche auf der ersten Ebene gleichwertig neben der Zustimmung steht oder eine Ebene tiefer versteckt ist.
Ersetzt die Prüfung eine Rechtsberatung?
Nein, und sie soll es nicht. Die Prüfung stellt technische Tatsachen fest und ordnet sie ein: dieser Dienst wurde vor der Einwilligung geladen, diese Daten gingen an diesen Empfänger in diesem Land. Ob eine Verarbeitung auf ein berechtigtes Interesse gestützt werden kann und wie eine Abwägung ausgeht, entscheidet die rechtliche Prüfung. Unsere Belege sind deren Grundlage — Rechtsberatung ohne Tatsachenbasis ist teuer und ungenau.
Wie erkennen Sie Übermittlungen in die USA?
Jede ausgehende Verbindung wird protokolliert und der Empfänger gegen eine Wissensbasis mit 66 Anbieter-Signaturen gehalten, die Anbieter, Zweck und Rechtsraum kennt. Findet die Verarbeitung in den Vereinigten Staaten statt, steht das als eigener Befund im Bericht. Sichtbar wird damit auch der Fall, der in Datenschutzerklärungen regelmäßig fehlt: ein europäisch wirkender Dienst, dessen Auslieferung tatsächlich über einen US-Anbieter läuft. Anbieter, die die Wissensbasis noch nicht kennt, werden gesammelt und nachgepflegt statt stillschweigend übergangen.
Wird die ganze Website geprüft?
Nein, heute die Startseite — und das sagen wir vorab, weil es beim ersten Bericht ohnehin auffiele. Gerade Unterseiten binden oft andere Dienste ein: ein Kartenmodul auf der Kontaktseite, ein Tracker im Bestellprozess. Ein Crawl über mehrere Seiten ist der wichtigste nächste Ausbauschritt und in Arbeit. Bereiche hinter einer Anmeldung sieht das Werkzeug grundsätzlich nicht.
Wie oft sollte eine Datenschutzprüfung laufen?
Mindestens nach jeder inhaltlichen Änderung an der Seite, praktisch also monatlich. Datenschutz-Befunde entstehen selten durch eine bewusste Entscheidung, sondern nebenbei: ein eingebettetes Video im Blogbeitrag, ein neues Widget im Footer, ein Update des Tag-Managers. Ein jährlicher Blick übersieht genau das.