So funktioniert’s
In Deutschland regelt § 25 TDDDG (bis Mai 2024 TTDSG), dass Informationen auf dem Endgerät nur mit Einwilligung gespeichert oder ausgelesen werden dürfen, es sei denn, sie sind für den gewünschten Dienst unbedingt erforderlich. Dahinter steht Art. 5 Abs. 3 der ePrivacy-Richtlinie. Für die anschließende Verarbeitung personenbezogener Daten gilt die DSGVO, die an eine wirksame Einwilligung strenge Anforderungen stellt (Art. 4 Nr. 11 und Art. 7).
Technisch heißt das: Analytics, Werbepixel, eingebettete Videos oder Karten dürfen erst laden, wenn der Besucher zugestimmt hat. Ein Consent-Manager hält die Skripte zurück und gibt sie erst nach der Auswahl frei; die Entscheidung speichert er selbst in einem notwendigen Cookie. Bei Schriften von Google-Servern hat das LG München I im Januar 2022 entschieden, dass die Weitergabe der IP-Adresse ohne Einwilligung unzulässig war.
Ein Banner allein schützt nicht. Entscheidend ist, was die Seite beim ersten Aufruf tatsächlich anfragt: Lädt ein Tag-Manager Analytics schon vor dem Klick oder setzt ein Plugin Tracking-Cookies, hilft auch der schönste Banner nichts.
Warum gefährlich
Tracking ohne wirksame Einwilligung kann Abmahnungen, Unterlassungsforderungen und Bußgelder der Datenschutzaufsicht nach sich ziehen. Nach dem Google-Fonts-Urteil von 2022 verschickten Abmahner massenhaft Schreiben an Websites, die Schriften von Google-Servern luden.
Für Agenturen kommt das Vertrauensrisiko dazu: Ein Theme-Update, ein neues Plugin oder ein geänderter Tag-Manager-Container des Kunden kann Tracker vor die Einwilligung schieben, ohne dass es jemand merkt. DomainWarn ersetzt keine Rechtsberatung; ob ein Dienst eine Einwilligung braucht, klärst du mit dem Datenschutzbeauftragten oder der Anwältin des Kunden.
So vermeidest du es
- Hoste Schriften selbst, statt sie von Google- oder anderen fremden Servern zu laden; viele Themes haben dafür eine Option.
- Binde alle Tracking- und Marketingdienste ausschließlich über den Consent-Manager ein, auch Container wie den Google Tag Manager.
- Nutze für Videos und Karten Zwei-Klick-Lösungen oder Vorschaubilder, die den Dienst erst nach der Zustimmung laden.
- Prüfe nach jedem Update in einem privaten Browserfenster und ohne Zustimmung in den Entwicklertools, welche Anfragen und Cookies schon beim ersten Aufruf entstehen.
- Mach „Ablehnen“ so leicht erreichbar wie „Akzeptieren“ und halte Datenschutzerklärung und Dienstliste aktuell.
So erkennt DomainWarn es
Der Check Datenschutz ruft die Startseite täglich ohne Einwilligung auf und wertet das ausgelieferte HTML aus, mit Browser-Besuch auch alle tatsächlich nachgeladenen Anfragen sowie gesetzte Cookies und Speichereinträge. Schriften von Google-Servern oder anderen fremden Schriftanbietern, Tracking- und Marketingskripte vor der Einwilligung und Tracking-Cookies ohne Einwilligung sind Warnungen und eröffnen den Incident „Datenschutz: Drittanbieter vor Einwilligung“. Einbettungen wie Karten und Videos, weitere fremde Hosts und Dienste, die korrekt erst nach der Einwilligung laden, stehen als Hinweise dabei, samt erkanntem Consent-Manager.
DomainWarn klickt den Banner nicht an: Ob „Ablehnen“ wirklich wirkt, wie der Banner gestaltet ist und ob die Datenschutzerklärung passt, prüft der Check nicht, und er gibt keine rechtliche Bewertung ab. Der Monitor ist in Agency Pro und in der Testphase enthalten, den kostenlosen Datenschutz-Check kann jeder nutzen.
DomainWarn prüft das für alle deine Domains regelmäßig und meldet sich, wenn etwas fehlt oder sich ändert.