Ihr Cookie-Banner sagt das eine, Ihr Browser tut das andere

Jede Prüfung beginnt gleich: Die Seite wird mit geöffneten Entwicklerwerkzeugen aufgerufen, und es wird protokolliert, was lädt, bevor jemand auf „Akzeptieren" klickt. Beweismittel ist nicht der Bannertext, sondern das Netzwerkprotokoll.

Die eigentliche Rechtsgrundlage ist nicht die DSGVO

Das ist der Punkt, an dem in der Praxis am häufigsten falsch argumentiert wird. Für das Speichern von Informationen auf dem Endgerät des Nutzers und für den Zugriff auf dort bereits gespeicherte Informationen gilt § 25 TDDDG — und der verlangt eine Einwilligung, sofern der Zugriff nicht unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst bereitzustellen.

Zwei Folgen daraus werden regelmäßig übersehen. Erstens: Die Vorschrift knüpft an den technischen Vorgang an, nicht daran, ob personenbezogene Daten verarbeitet werden — ein „berechtigtes Interesse" trägt hier nicht. Zweitens: Erst danach stellt sich die datenschutzrechtliche Frage nach der Verarbeitung, für die dann zusätzlich die DSGVO gilt. Zwei Prüfungen, nicht eine.

Warum in Deutschland zusätzlich das Abmahnrisiko zählt

Anders als in vielen Mitgliedstaaten hängt die Durchsetzung nicht allein an den Aufsichtsbehörden. Datenschutz- und Telemedienverstöße lassen sich in Deutschland auch von privater Seite verfolgen — die Welle rund um extern eingebundene Schriftarten hat gezeigt, wie schnell ein technisches Detail zu einer Massenversendung von Schreiben werden kann. Für den Betreiber heißt das: Es kann teuer werden, ohne dass je eine Behörde ein Verfahren eröffnet hat.

Was in der Praxis gefunden wird

• Tags, die das Consent-Tool nicht kennt. Ein Consent-Manager blockiert, was ihm bekannt gemacht wurde. Fest im Template eingebundene Skripte, über einen Tag-Manager nachgeladene Dritte oder ein im letzten Quartal ergänzter Pixel laufen daran vorbei.
• Ablehnen muss so einfach sein wie Zustimmen. Ein Banner mit prominentem „Alle akzeptieren" und einer Ablehnung zwei Ebenen tiefer ist ein eigenständiger Mangel — unabhängig davon, was technisch lädt.
• Eingebettete Inhalte ändern sich ohne Ihr Zutun. Ein Videoplayer, ein Kartendienst oder ein Chat-Widget kann nach einem Anbieter-Update neue Endpunkte kontaktieren. In Ihrem Code hat sich nichts geändert, im Verhalten Ihrer Website schon.
• Drittlandübermittlungen, die in der Datenschutzerklärung so nicht abgebildet sind.

Was PrivaScan misst

PrivaScan ist ein Produkt der Talivio Technology OÜ — dem Unternehmen, das auch Talivio News herausgibt.

• Erkennung im echten Browser, vor der Einwilligung. Die Seite wird tatsächlich geladen; jeder Tracker, jedes Cookie und jede Drittanfrage vor der Einwilligung wird protokolliert.
• Kartierung grenzüberschreitender Übermittlungen — welche Anfrage verlässt den Rechtsraum, und zu wem.
• Crawling der gesamten Website. Die Startseite ist meist die sauberste Seite der Domain; die Tags sitzen im Bestellprozess, in der Suche und auf Inhaltsseiten.
• Berichte mit Zuordnung zu DSGVO, ePrivacy und KVKK als PDF mit SHA-256-Prüfsumme.
• Fortlaufende Überwachung mit Warnung bei neuen Trackern — der häufigste Fall ist die einmal bereinigte und danach wieder abgedriftete Website.

Was ein Scan nicht leistet

Das gehört dazu, weil in diesem Markt oft das Gegenteil versprochen wird. PrivaScan ist ein Erkennungs- und Berichtswerkzeug. Es macht ein Unternehmen nicht rechtskonform und ersetzt keine rechtliche Bewertung. Es berichtet, was ein Browser auf den besuchten Seiten zum Zeitpunkt des Aufrufs tatsächlich beobachtet hat. Ob ein bestimmter Tracker in Ihrem Kontext zulässig ist, bleibt eine Rechtsfrage.

Was der Scan beseitigt, ist das Nichtwissen. In der Praxis werden die Feststellungen selten bestritten, sobald jemand ins Netzwerkprotokoll sieht — es hat nur vorher niemand hineingesehen.

PrivaScan ansehen →