Datenschutz-Check

Was der Datenschutz-Check sieht

Die Frage ist: Was gibt eine Seite über ihre Besucher preis, bevor die gefragt worden sind? Geprüft werden:

• die Cookies aus der ersten Serverantwort
• die eingebundenen Drittanbieter — Kartendienste, Schriftarten, Videoeinbettungen, Analysewerkzeuge
• ob Impressum und Datenschutzerklärung erreichbar sind

Ein Treffer bedeutet nicht „unzulässig“. Er bedeutet: hier fließen Daten an einen Dritten, und dafür braucht es eine Grundlage. Ein selbst gehostetes Analysewerkzeug steht auf einem anderen Blatt als eine Karte, die beim Seitenaufruf die IP-Adresse an einen fremden Server schickt.

Die wichtigste Grenze: Cookies, die erst per JavaScript gesetzt werden, bleiben unsichtbar — und das sind die meisten. Dafür bräuchte es einen echten Browser, der die Seite ausführt.

Dieses Werkzeug meldet nur, was in der Serverantwort und im ausgelieferten HTML steht. Das ist weniger, als eine Aufsichtsbehörde sehen würde, aber jedes Ergebnis lässt sich belegen. Und es beurteilt keine Rechtslage.

Das Ergebnis lesen

Jeder erkannte Dienst steht mit dem Host, von dem er geladen wird, und mit einer Gewichtung. Kritisch heißt nicht „verboten“, sondern: Hier geht beim bloßen Aufruf der Seite eine Verbindung zu einem fremden Server raus, ohne dass jemand geklickt hat. Das klassische Beispiel sind Google Fonts, die extern eingebunden sind. Dazu gibt es in Deutschland Urteile und eine Abmahnwelle, und die Abhilfe ist billig: die Schriftdateien selbst ausliefern. Wie das geht, steht in Google Fonts lokal einbinden.

Eine Warnung heißt: Der Dienst braucht eine Einwilligung, bevor er lädt, etwa Google Analytics, der Meta-Pixel oder Hotjar. Ob dein Cookie-Banner ihn wirklich zurückhält, kann dieses Werkzeug nicht sehen, weil das erst im Browser entschieden wird. Prüfen lässt es sich selbst. Seite in einem privaten Fenster öffnen, im Banner nichts anklicken, mit F12 die Entwicklerwerkzeuge öffnen und im Reiter „Netzwerk“ nach dem Namen des Dienstes filtern. Taucht er auf, lädt er ohne Zustimmung.

Zur Einordnung: In den Startseiten von 131 Tiroler Websites, die ich am 03.10.2026 abgerufen habe, war der Google Tag Manager 45-mal eingebunden, Google Maps 15-mal und extern geladene Google Fonts 8-mal. Ein Cookie-Banner war 60-mal erkennbar. Gezählt habe ich wie dieses Werkzeug, im ausgelieferten HTML und ohne Browser.

Impressum und Datenschutzerklärung

Gesucht wird nach einem Link, dessen Adresse oder Text nach Impressum oder Datenschutz aussieht. Findet das Werkzeug keinen, kann er trotzdem da sein, etwa als Knopf, den erst ein Skript einblendet. Fehlt er wirklich, ist das in Österreich ein Pflichtverstoß nach ECG und Mediengesetz. Die Pflichtangaben stellt der Impressum-Generator zusammen.

Nächste Schritte

Erst die kritischen Treffer abstellen, dann die Einwilligungen prüfen, dann die Datenschutzerklärung an das anpassen, was wirklich geladen wird. Die drei Fragen, die für jeden Dienst gestellt werden müssen, stehen auf DSGVO für die Website; die Prüfung von außen Schritt für Schritt in Website auf DSGVO prüfen.

Cookies vor der Zustimmung

Steht hier ein Cookie, kam es schon mit der ersten Antwort des Servers, bevor jemand etwas anklicken konnte. Entscheidend ist, wozu es dient. Ein Sitzungs-Cookie, das ein Formular oder ein Warenkorb braucht und das beim Schließen des Browsers verschwindet, ist technisch nötig und braucht keine Einwilligung. Ein Cookie mit einer Laufzeit über Monate, das Besucher wiedererkennen soll, braucht eine. Den Namen eines unbekannten Cookies sucht man am schnellsten in der Dokumentation des Systems, das die Seite ausliefert.