Ein DSGVO-Scanner pr\u00fcft bei Unterseiten einer Website vor allem, welche Cookies, Tracker und externe Dienste geladen werden, ob dies mit oder ohne Einwilligung der Nutzer geschieht, und ob die Datenschutzerkl\u00e4rung die eingesetzten Dienste korrekt ausweist. Die Pr\u00fcfung der Unterseiten ist dabei ebenso wichtig wie die Analyse der Startseite, da viele datenschutzrelevante Elemente erst auf Produkt-, Blog- oder Kontaktseiten aktiv werden. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um den DSGVO-Check von Unterseiten.<\/p>\n\n\n\n
Bei einem vollst\u00e4ndigen DSGVO-Scan werden alle \u00f6ffentlich erreichbaren Unterseiten einer Website durch einen Web-Crawler automatisch erfasst und gepr\u00fcft. Der Crawler folgt dabei den internen Verlinkungen der Website und erstellt eine vollst\u00e4ndige Liste aller gefundenen URLs. Typischerweise umfasst das neben der Startseite auch Produkt-, Kategorie-, Blog-, Kontakt- und Impressumsseiten.<\/p>\n\n\n\n
Wichtig zu wissen: Nicht alle Seiten sind von Haus aus \u00f6ffentlich zug\u00e4nglich. Passwortgesch\u00fctzte Bereiche wie Intranets, Mitgliederportale oder Testserver k\u00f6nnen mit einem speziell konfigurierten Login-Skript ebenfalls gescannt werden. Dabei wird der Anmeldevorgang automatisiert durchgef\u00fchrt, sodass auch diese Seiten in die Pr\u00fcfung einbezogen werden k\u00f6nnen.<\/p>\n\n\n\n
Der Umfang des Unterseiten-Scans hat direkte Auswirkungen auf die Aussagekraft des Audits. Eine Website, bei der nur die Startseite gepr\u00fcft wird, kann ein erheblich verzerrtes Bild der tats\u00e4chlichen Datenschutzlage liefern. Gerade auf Unterseiten finden sich h\u00e4ufig eingebettete Videos, Karten-Widgets oder Social-Media-Elemente, die personenbezogene Daten \u00fcbertragen, ohne dass dies auf der Startseite erkennbar w\u00e4re.<\/p>\n\n\n\n
Ein DSGVO-Scanner pr\u00fcft auf Unterseiten, welche Cookies gesetzt und welche externen Dienste geladen werden, und unterscheidet dabei, ob dies vor oder nach einer Nutzerinteraktion mit dem Consent-Banner geschieht. Dabei werden sowohl First-Party-Cookies als auch Drittanbieter-Tracker wie Google Analytics, Facebook Pixel oder eingebettete Kartendienste erfasst.<\/p>\n\n\n\n
Die Analyse geht \u00fcber das blo\u00dfe Erkennen von Cookie-Namen hinaus. Ein guter Website-Scanner reichert die gefundenen Daten mit Informationen aus umfangreichen Datenbanken an: Er identifiziert anhand der URL des externen Dienstes das dahinterstehende Unternehmen, seinen Firmensitz und ob sich dieser innerhalb oder au\u00dferhalb der EU befindet. Letzteres ist f\u00fcr die Bewertung von Drittlandtransfers nach Art. 44 ff. DSGVO besonders relevant.<\/p>\n\n\n\n
F\u00fcr jede Unterseite l\u00e4sst sich so nachvollziehen, welche Dienste dort aktiv sind und in welchen Abh\u00e4ngigkeiten sie zueinander stehen. So kann es beispielsweise vorkommen, dass ein eingebetteter Kartendienst automatisch weitere Dienste nachl\u00e4dt, die in der Datenschutzerkl\u00e4rung gar nicht erw\u00e4hnt sind. Diese Abh\u00e4ngigkeitsketten sichtbar zu machen, ist ein wesentlicher Mehrwert eines automatisierten DSGVO-Websitechecks<\/a>.<\/p>\n\n\n\n Ein DSGVO-Scanner bewertet den Consent-Banner, indem er erkennt, ob ein Consent-Management-Tool vorhanden ist, und dann simuliert, wie sich die Website vor und nach dem Klick auf \u201eAlle akzeptieren“ verh\u00e4lt. Werden Cookies oder externe Dienste bereits vor dieser Interaktion geladen, weist der Scanner dies als potenzielles Datenschutzproblem aus.<\/p>\n\n\n\n Dabei ist eine wichtige Einschr\u00e4nkung zu beachten: Der Scanner kann technisch nicht feststellen, ob ein erkannter Akzeptieren-Button tats\u00e4chlich eine im Sinne der DSGVO wirksame Einwilligung ausl\u00f6st. Er unterscheidet lediglich zwischen dem Zustand vor und nach einer Nutzerinteraktion. Im Report wird daher vereinfachend von Laden \u201emit“ oder \u201eohne Einwilligung“ gesprochen, wobei es sich technisch pr\u00e4ziser um das Laden vor bzw. nach einer Benutzerinteraktion handelt.<\/p>\n\n\n\n G\u00e4ngige Consent-Tools wie Usercentrics oder Cookiebot werden anhand charakteristischer Eigenschaften erkannt. Ist kein Consent-Tool vorhanden, obwohl Cookies und externe Dienste geladen werden, wird eine entsprechende Warnung ausgegeben. Gleiches gilt, wenn trotz aktivem Consent-Tool Dienste ohne vorherige Einwilligung geladen werden. Diese Pr\u00fcfung erfolgt nicht nur auf der Startseite, sondern auf jeder gescannten Unterseite, da das Verhalten des Consent-Banners seitenabh\u00e4ngig variieren kann.<\/p>\n\n\n\n Ein DSGVO-Scanner pr\u00fcft in der Datenschutzerkl\u00e4rung, ob die auf der Website tats\u00e4chlich gefundenen externen Dienste und Cookies dort auch aufgef\u00fchrt sind. Dazu vergleicht er die Liste der beim Scan erkannten Dienste mit dem Inhalt des Datenschutztextes. Dienste, die auf der Website aktiv sind, aber in der Datenschutzerkl\u00e4rung fehlen, werden als potenzielle L\u00fccke gekennzeichnet.<\/p>\n\n\n\n Die Pr\u00fcfung erfolgt durch Textanalyse: Der Scanner liest den Inhalt der verlinkten Datenschutzerkl\u00e4rung und gleicht die Namen der gefundenen Dienste mit dem Dokumententext ab. Dabei k\u00f6nnen Abweichungen auftreten, etwa wenn ein Dienst unter einem anderen Namen in der Erkl\u00e4rung erscheint oder wenn die Datenschutzerkl\u00e4rung auf mehrere Seiten aufgeteilt ist. Solche Ergebnisse sollten daher immer manuell nachgepr\u00fcft werden, da automatisierte Textvergleiche nicht in jedem Fall zuverl\u00e4ssig sind.<\/p>\n\n\n\nWie bewertet ein DSGVO-Scanner den Consent-Banner auf Unterseiten?<\/h2>\n\n\n\n
Was pr\u00fcft ein DSGVO-Scanner in Datenschutzerkl\u00e4rungen und Impressum?<\/h2>\n\n\n\n