Was automatisierte Compliance-Scanner prüfen können und was nicht

Automatisierte Scanner sind zum üblichen ersten Schritt der Website-Compliance geworden. Sie sind schnell, im Vergleich zu einem manuellen Audit günstig und wiederholbar. Man vertraut ihnen aber auch leicht zu sehr. Dieser Ratgeber erklärt, was sie tatsächlich tun, damit Sie einen Bericht richtig lesen und einen passenden Dienst auswählen können.

Wie ein Scanner arbeitet

Die meisten Dienste laden Ihre Seiten in einem echten, automatisierten Browser, oft von einem Standort in der EU und mit einem sauberen Profil. Sie protokollieren Cookies, Speicher, Netzwerkanfragen und das HTML der Seite und interagieren dann mit dem Einwilligungsbanner: akzeptieren, ablehnen oder beides. Regeln ordnen das Beobachtete rechtlichen Anforderungen zu, etwa „eine Anfrage an einen Werbe-Host vor der Einwilligung“ dem Art. 5 Abs. 3 der ePrivacy-Richtlinie. Bessere Dienste bewahren Screenshots, Anfrageprotokolle und Zeitstempel als Nachweis auf.

Wo Scanner stark sind

• Tracking vor der Einwilligung. Cookies und Drittanfragen vor jeder Entscheidung zu erkennen ist die Kernstärke und zugleich der häufigste Verstoß in der Praxis.
• Banner-Verhalten. Ob „Ablehnen“ existiert, ob es wirkt und ob Tracker nach der Navigation zurückkehren.
• Inventar. Eine Liste jedes Cookies, jedes Speicherschlüssels und jedes Dritthosts, nützlich für Ihre Datenschutzerklärung und Ihre Verzeichnisse.
• Vorhandenseinsprüfungen. Ob Impressum, Datenschutzerklärung und AGB von jeder Seite verlinkt sind.
• Grundlagen der Barrierefreiheit. Kontraste, fehlende Alternativtexte, unbeschriftete Felder und ähnliche maschinell prüfbare WCAG-Kriterien.
• Regression. Ein erneuter Lauf nach jedem Release fängt den Tag ab, den jemand am Freitag hinzugefügt hat.

Wo sie an ihre Grenzen stoßen

• Dokumente und Verträge. Verzeichnisse von Verarbeitungstätigkeiten (Art. 30 DSGVO), Auftragsverarbeitungsverträge (Art. 28), Übermittlungsgarantien und Folgenabschätzungen (Art. 35) stehen nicht auf der Website.
• Serverseitige Verarbeitung. Serverseitiges Tagging, CRM-Synchronisierung und das, was mit Formulareingaben geschieht, sind aus dem Browser nicht sichtbar.
• Eingeloggte Bereiche und Kassen. Sofern Sie dem Scanner keine Zugangsdaten oder Testkonten geben, bleiben Kontoseiten und Zahlungsabläufe ungeprüft.
• Bedeutung. Ein Werkzeug kann feststellen, dass eine Datenschutzerklärung „Speicherdauer“ erwähnt; es kann nicht bestätigen, dass die genannte Frist dem entspricht, was Ihre Systeme tun.
• Rechtliche Wertung. Ob ein berechtigtes Interesse die Rechte des Besuchers überwiegt oder ob ein Cookie für Ihren Dienst unbedingt erforderlich ist, ist eine Wertungsfrage.
• Manuelle Barrierefreiheit. Tastaturwege, Screenreader-Ablauf und kognitive Belastung nach dem European Accessibility Act brauchen einen Menschen.

Wie Sie einen Dienst auswählen

Die von uns bewerteten Dienste unterscheiden sich weniger darin, ob sie Cookies finden, als darin, was sie mit dem Ergebnis tun. Fragen, die sich zu stellen lohnen:

1. Umfang. Nur Cookies und Einwilligung oder auch Datenschutzerklärung, Impressum, Verbraucherrecht und Barrierefreiheit?
2. Einwilligungsinteraktion. Testet er den Ablehnpfad oder listet er nur Cookies auf?
3. Nachweise. Hält der Bericht fest, wann, von wo und wie die Website getestet wurde, mit Screenshots oder Anfrageprotokollen, die Sie einer Behörde vorlegen könnten?
4. EU-Tiefe. Kennt er nationale Besonderheiten wie Impressumsregeln, Sprachen und Behördenleitlinien in den Ländern, in die Sie verkaufen?
5. Behebung. Kommt jeder Befund mit konkreten Hinweisen, die Ihr Entwickler umsetzen kann?
6. Preistransparenz. Sind Preise und Limits veröffentlicht oder nur auf Anfrage erhältlich?

Diese Fragen sind, in gewichteter Form, die Kriterien auf unserer Methodik-Seite. Eine längere Befundliste ist nicht automatisch besser: Fehlalarme kosten Entwicklerzeit, und ein Bericht, der ein unbedingt erforderliches Cookie nicht von einem Werbe-Cookie unterscheiden kann, bringt Teams dazu, ihn zu ignorieren.

Consent-Plattform oder Scanner?

Eine Consent-Management-Plattform (CMP) betreibt Ihr Banner; ein Scanner prüft, ob das Banner und alles andere auf der Website sich so verhalten, wie sie sollen. Einige Anbieter bieten beides an, und viele CMPs enthalten einen Cookie-Scan, um ihre Cookie-Liste zu füllen. Wenn Sie bereits eine CMP nutzen, lohnt sich ein separater Test des Ablehnpfads von außerhalb der CMP trotzdem, denn der häufigste Fehler ist eine korrekt installierte CMP mit Tags, die sie umgehen.