Was eine Website-Compliance-Prüfung in der EU abdecken sollte

„Ist unsere Website rechtskonform?“ klingt wie eine einzige Frage. In der EU sind es mindestens sechs, geregelt in unterschiedlichen Rechtsakten mit unterschiedlichen Aufsichtsbehörden: Datenschutzbehörden für Cookies und Datenschutzerklärungen, Verbraucherschutzstellen für Shop-Informationen und Marktüberwachungsbehörden für Barrierefreiheit. Eine gute Compliance-Prüfung, ob Sie sie selbst durchführen oder einen Scanner einkaufen, sollte alle sechs abdecken und Ihnen sagen, aus welcher Vorschrift sich jeder Befund ergibt.

1. Cookies, Speicherung und Einwilligung

Art. 5 Abs. 3 der ePrivacy-Richtlinie verlangt eine Einwilligung, bevor Informationen auf dem Endgerät eines Besuchers gespeichert oder von dort ausgelesen werden, sofern dies nicht unbedingt erforderlich ist, um den vom Besucher ausdrücklich gewünschten Dienst zu erbringen (in Deutschland umgesetzt in § 25 TDDDG). Die Vorschrift erfasst Cookies, aber ebenso Local Storage, Pixel und Fingerprinting-Techniken. Der Maßstab für die Einwilligung ist der der DSGVO: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich (Art. 4 Nr. 11 und Art. 7 DSGVO).

Eine Prüfung sollte daher:

• die Website in einem sauberen Browser ohne jede Interaktion laden und jedes Cookie, jeden Speichereintrag und jede Netzwerkanfrage protokollieren, die vor einer Entscheidung des Besuchers erscheinen;
• den Besuch nach einem Klick auf „Ablehnen“ wiederholen und bestätigen, dass nicht notwendige Tracker ausgeschaltet bleiben;
• prüfen, dass Ablehnen so einfach ist wie Akzeptieren, dass keine Option vorausgewählt ist und dass die Einwilligung so einfach widerrufen werden kann, wie sie erteilt wurde (Art. 7 Abs. 3 DSGVO);
• vergleichen, was Banner und Cookie-Liste behaupten, mit dem, was tatsächlich geladen wird.

Unser separater Ratgeber Cookie-Einwilligung: Was die ePrivacy-Regeln verlangen geht ins Detail.

2. Drittanfragen und Datenübermittlungen

Jede eingebettete Schriftart, jedes Video, jede Karte, jedes Chat-Widget und jeder Analyse-Tag sendet die IP-Adresse und Browserdaten des Besuchers an ein anderes Unternehmen. Nach der DSGVO ist das eine Übermittlung personenbezogener Daten, die eine Rechtsgrundlage benötigt (Art. 6) und, wenn der Empfänger außerhalb des EWR sitzt, ein Übermittlungsinstrument nach Kapitel V. Der EuGH hat in Fashion ID (C-40/17) entschieden, dass ein Website-Betreiber, der ein Drittanbieter-Plugin einbindet, für die Erhebung und Übermittlung von Besucherdaten gemeinsam Verantwortlicher sein kann.

Ein Scanner sollte jeden Dritthost auflisten, den die Seite kontaktiert, wann sie ihn kontaktiert (vor oder nach der Einwilligung) und idealerweise, wo der Empfänger niedergelassen ist. Schriftarten und Skripte selbst zu hosten ist für viele Befunde die einfachste Abhilfe.

3. Die Datenschutzerklärung

Art. 13 und 14 DSGVO legen fest, worüber Besucher zu informieren sind: wer der Verantwortliche ist und wie er zu erreichen ist (sowie der Datenschutzbeauftragte, falls einer benannt ist), die Zwecke und Rechtsgrundlagen jeder Verarbeitungstätigkeit, Empfänger, Übermittlungen in Länder außerhalb des EWR, Speicherdauer, die Betroffenenrechte, das Beschwerderecht bei einer Aufsichtsbehörde und ob eine automatisierte Entscheidungsfindung stattfindet. Art. 12 ergänzt, dass die Informationen präzise, transparent und leicht zugänglich sein müssen.

Automatisierte Werkzeuge können bestätigen, dass eine Erklärung existiert, von jeder Seite verlinkt ist und die erforderlichen Elemente nennt. Ob der Inhalt dem entspricht, was die Website tatsächlich tut, ist der Teil, der am meisten zählt, und der Teil, den ein Scanner nur annähern kann, indem er die Erklärung mit den gefundenen Trackern abgleicht.

4. Anbieterkennzeichnung („Impressum“)

Art. 5 der E-Commerce-Richtlinie verpflichtet jeden Dienst der Informationsgesellschaft, bestimmte Angaben „leicht, unmittelbar und ständig verfügbar“ zu machen: Name des Anbieters, geografische Anschrift, Kontaktdaten einschließlich E-Mail-Adresse, Handelsregister und Registernummer, Umsatzsteuer-Identifikationsnummer sowie, soweit einschlägig, die Aufsichtsbehörde oder die berufsrechtlichen Regelungen. Mehrere Mitgliedstaaten setzen dies als eigene Impressumsseite um (Deutschland § 5 DDG, Österreich § 5 ECG, Slowakei Gesetz Nr. 22/2004 Slg.).

Eine Prüfung sollte bestätigen, dass die Seite existiert, von jeder Seite aus mit ein oder zwei Klicks erreichbar ist und jedes Element enthält. Mehr dazu: Impressum und verbraucherrechtliche Informationspflichten für EU-Online-Shops.

5. Verbraucherrechtliche Informationen für Shops

Verkauft die Website an Verbraucher, kommen aus der Verbraucherrechte-Richtlinie vorvertragliche Informationspflichten (Art. 6), die Beschriftung des Bestellbuttons (Art. 8 Abs. 2; in Deutschland § 312j Abs. 3 BGB) und das 14-tägige Widerrufsrecht (Art. 9) hinzu. Seit der Omnibus-Richtlinie 2019/2161 müssen Shops außerdem erklären, wie Produkt-Rankings zustande kommen, angeben, ob und wie sie Verbraucherbewertungen prüfen, und bei einer angekündigten Preisermäßigung den vorherigen Preis anzeigen (Preisangabenrichtlinie, Art. 6a; in Deutschland § 11 PAngV).

6. Barrierefreiheit

Seit dem 28. Juni 2025 gilt der European Accessibility Act (in Deutschland umgesetzt durch das Barrierefreiheitsstärkungsgesetz, BFSG) für verbraucherorientierten E-Commerce und mehrere weitere Dienstleistungen. In der Praxis bedeutet das, die Web-Anforderungen der EN 301 549 zu erfüllen, die auf WCAG 2.1 Stufe AA verweist. Automatisierte Tests finden zuverlässig fehlende Alternativtexte, unzureichende Kontraste, unbeschriftete Formularfelder und fehlende Sprachattribute; Tastaturbedienung und Screenreader-Ablauf müssen weiterhin manuell getestet werden. Siehe Barrierefreiheit (EAA 2025) für Websites.

Eine Checkliste auf einer Seite

Was kein Scanner sehen kann

Verzeichnisse von Verarbeitungstätigkeiten (Art. 30 DSGVO), Auftragsverarbeitungsverträge (Art. 28), Datenschutz-Folgenabschätzungen (Art. 35), serverseitiges Tracking und das, was in eingeloggten Bereichen geschieht, sind für einen Crawler unsichtbar. Ein Scan ist der beste erste Schritt und ein ausgezeichneter Regressionstest; ein vollständiges Audit ist er nicht. Unser Ratgeber Was automatisierte Compliance-Scanner prüfen können und was nicht erklärt, wo die Grenze verläuft.