Compliance und Cookies

Wie diese Prüfung funktioniert

Scanaris führt zwei Tests am HTML deiner Seite durch, beide absichtlich großzügig, um Fehlalarme zu vermeiden. Erstens: Es sucht irgendeinen Link, dessen Ziel oder Text Wörter wie privacy, Datenschutz, cookies, Impressum als legal notice, aviso legal, RGPD, GDPR, terms, términos oder condiciones enthält, in mehreren Sprachen. Findet es gar keinen, öffnet es einen Befund mit mittlerem Schweregrad: Das Signal, dass es keine Rechtsseite gibt, ist stark. Zweitens: Setzt die Antwort deines Servers Cookies (Header Set-Cookie) und zeigt das HTML keine bekannte Consent-Plattform (Cookiebot, OneTrust, Osano, iubenda, Didomi, Usercentrics, Termly, CookieYes, Complianz, Borlabs, Klaro, tarteaucitron und rund zwanzig weitere) und keine typischen Bannertexte („we use cookies", „accept cookies", „cookie policy"), öffnet es einen Befund mit niedrigem Schweregrad. Niedrig, weil viele Banner per JavaScript geladen werden und nicht im anfänglichen HTML stehen; der Befund selbst weist darauf hin.

Warum das wichtig ist

In der Europäischen Union, und in immer mehr Ländern, verpflichtet die Verarbeitung personenbezogener Daten dazu zu informieren, wer sie verarbeitet, wofür und wie lange: Das ist die Datenschutzerklärung, und ein Kontaktformular, eine Registrierung oder ein Analysewerkzeug sind bereits Datenverarbeitung. Die Cookie-Regeln ergänzen, dass nicht notwendige Cookies (Analyse, Werbung, soziale Netzwerke) nur mit vorheriger, informierter und widerrufbarer Einwilligung gesetzt werden dürfen. Die Bußgelder sind real, und Datenschutzbehörden verhängen sie auch gegen kleine Unternehmen, meist nach der Beschwerde eines Nutzers. Der praktischste Grund ist aber Vertrauen: Eine Seite ohne Impressum und Datenschutzerklärung wirkt verlassen oder unseriös, und Geschäftskunden prüfen das vor dem Bezahlen.

So behebst du es

Datenschutzerklärung und Impressum

• Was hinein muss: wer du bist (Name, Steuernummer, Adresse, E-Mail), welche Daten du erhebst und wozu, auf welcher Rechtsgrundlage, an wen du sie weitergibst (dein Hoster, dein E-Mail-Anbieter, deine Analyse), wie lange du sie aufbewahrst, wie man Auskunfts- und Löschrechte ausübt, und ob es Übermittlungen außerhalb der EU gibt.
• Wie: Ein Generator liefert eine Grundlage; passe sie an das an, was du wirklich tust. Eine Seite /privacy bzw. /datenschutz und eine Seite /impressum oder /terms, verlinkt aus dem Footer jeder Seite.

Cookie-Einwilligung

• Zuerst eine Bestandsaufnahme: welche Cookies du setzt und welche notwendig sind (Sitzung, Warenkorb, die Einwilligungspräferenz selbst) und welche nicht (Google Analytics, Werbepixel, eingebettete Videos).
• Nutzt du nur notwendige, brauchst du kein Banner; aber eine Cookie-Richtlinie, die das sagt.
• Nutzt du nicht notwendige, einen Consent-Manager, der sie bis zur Zustimmung blockiert, mit „Ablehnen" so sichtbar wie „Akzeptieren". Cookiebot, iubenda, Termly oder CookieYes zum Einstieg; Complianz oder Borlabs bei WordPress. Nutzt du Google Analytics oder Ads, konfiguriere den Consent Mode so, dass er die Wahl respektiert.
• Lade das Banner im anfänglichen HTML oder mit einem Skript im <head>, nicht verzögert: So erscheint es vor den Cookies und diese Prüfung erkennt es auch.

Prüf, ob es behoben ist

curl -s https://deinedomain.de | grep -oiE '<a[^>]*href="[^"]*(privac|datenschutz|legal|impressum|cookie|terms|agb)[^"]*"[^>]*>'
curl -sI https://deinedomain.de | grep -i set-cookie
curl -s https://deinedomain.de | grep -ioE "cookiebot|onetrust|iubenda|usercentrics|cookieyes|termly|complianz|borlabs|accept cookies|cookies akzeptieren" | head -3

Der erste Befehl sollte mindestens einen rechtlichen Link zeigen. Zeigt der zweite Cookies, sollte der dritte deinen Consent-Manager zeigen.

Häufige Fragen

Meine Seite ist ein privates Projekt ohne Gewinnabsicht. Gilt das trotzdem?

Wenn du Daten anderer Personen erhebst (ein Formular, eine Registrierung, Analyse), ja. Ist es eine statische Seite ohne Formulare und ohne Analyse, verarbeitest du keine personenbezogenen Daten, und ein Hinweis, wer du bist, genügt. Aber die meisten Seiten „ohne irgendwas" haben Google Analytics drin.

Ich habe das Banner, aber der Befund erscheint trotzdem.

Es wird vermutlich per JavaScript geladen, nachdem das HTML angekommen ist, und diese Prüfung führt kein JavaScript aus. Genau deshalb hat der Befund niedrigen Schweregrad. Funktioniert dein Banner und blockiert es Cookies bis zur Zustimmung, kannst du ihn als akzeptiert markieren; besser noch, lade das Skript des Managers im <head>.

Brauchen Sitzungs-Cookies eine Einwilligung?

Nein: Die für den Betrieb des Dienstes unbedingt erforderlichen sind ausgenommen. Sie müssen aber richtig konfiguriert sein, was unsichere Cookies prüft. Der Rest der rechtlichen und technischen Liste vor dem Launch steht in der Checkliste vor dem Launch.