Vorhaben besprechen

TOOLBOX · COMPLIANCE-CHECK

FREMDEDIENSTE FINDEN.

Von welchen fremden Servern lädt Ihre Startseite Skripte, Schriften, Karten und Videos? Adresse eingeben und sehen, wohin Daten Ihrer Besucher fließen, mit Hinweis und Quelle je Dienst.

Die Bot-Prüfung schützt die Toolbox vor automatisiertem Missbrauch.

Wir laden die Seite einmal ohne JavaScript und lesen HTML und Header. Die fremden Dienste rufen wir nicht ab. Ergebnisse speichern wir nicht dauerhaft.

WAS GEPRÜFT WIRD

Jeder fremde Server.
Jeder Datenfluss.

Jedes Skript, jede Schrift und jedes Video von einem fremden Server bedeutet: Der Browser Ihrer Besucher nimmt Kontakt zu einem weiteren Unternehmen auf. Der Check ordnet über 40 bekannte Dienste zu, jeweils anhand der Hostnamen aus der Dokumentation des Anbieters.

  • 01

    Schriften

    Google Fonts, Font Awesome und andere, eingebunden als Stylesheet, @import oder vorbereitete Verbindung.

  • 02

    Analyse, Werbung, Tag-Manager

    Google Analytics, Tag Manager, Meta Pixel, LinkedIn Insight Tag, Microsoft Clarity, Hotjar und weitere, auch im eingebetteten Ladecode.

  • 03

    Karten, Videos, soziale Netzwerke

    Google Maps, OpenStreetMap, YouTube, Vimeo, Instagram und X als iframe oder Skript.

  • 04

    CDNs und Dienste

    Bibliotheken von jsDelivr, cdnjs oder unpkg, dazu Bot-Schutz, Zahlung, Einwilligung, Chat und Terminbuchung.

  • 05

    Formulare an fremde Server

    Newsletter- und Formulardienste, an die Eingaben beim Absenden direkt gehen.

  • 06

    Unbekannte Hosts

    Was nicht zu Ihrer Domain und zu keinem bekannten Dienst gehört, listet der Bericht trotzdem: ein eigener Server unter anderem Namen oder ein fremder Dienst.

WANN GELADEN WIRD

Sofort, später
oder nie.

Entscheidend ist oft nicht nur, welcher Dienst eingebunden ist, sondern wann der Browser ihn lädt. Der Bericht unterscheidet:

  • Lädt beim Aufruf: src, Stylesheet oder Link-Header. Der Browser holt den Inhalt sofort, bevor Besucher etwas auswählen konnten.
  • Verbindung vorbereitet: preconnect baut schon eine Verbindung zum Anbieter auf; dns-prefetch fragt nur das DNS.
  • Im Skriptcode genannt: Die Adresse steht in einem Inline-Skript, typisch für Tag-Manager und Pixel. Das Skript lädt sie vermutlich.
  • Wartet vermutlich auf Einwilligung: als type="text/plain" oder in data-src geparkt, wie es Einwilligungswerkzeuge tun.
  • Nur ohne JavaScript: in noscript, etwa das Ersatzbild eines Pixels.

RECHTLICHER RAHMEN

Quellen statt
Urteile.

Der Bericht nennt zu jeder Art von Dienst die einschlägigen Stellen. Er bewertet nicht, ob Ihre Einbindung zulässig ist; das ist keine Rechtsberatung. Grundbegriffe erklärt unser Lexikon: DSGVO, Auftragsverarbeitung und Datenresidenz.

  • Einwilligung beim Endgerät

    § 165 Abs. 3 TKG 2021: Das Ermitteln von Daten auf dem Endgerät ist nur mit aktiver Einwilligung zulässig, außer es ist unbedingt erforderlich. Nach den Leitlinien 2/2023 des EDSA können auch Tracking-Pixel darunter fallen.

    Quelle: RIS: § 165 TKG 2021

  • Rechtsgrundlage und Empfänger

    Jede Verarbeitung braucht eine Rechtsgrundlage (Art. 6 DSGVO); Empfänger gehören in die Datenschutzinformation (Art. 13 Abs. 1 lit. e DSGVO).

    Quelle: DSGVO (EUR-Lex)

  • Drittländer

    Für Übermittlungen in Drittländer gelten Art. 44 ff. DSGVO. Für die USA besteht seit 10. Juli 2023 ein Angemessenheitsbeschluss, der nur für Unternehmen auf der Data-Privacy-Framework-Liste gilt.

    Quelle: Durchführungsbeschluss (EU) 2023/1795

  • Eingebettete Inhalte

    Nach dem EuGH kann ein Website-Betreiber, der ein Plugin eines sozialen Netzwerks einbindet, für das Erheben und die Übermittlung der Daten mitverantwortlich sein (C-40/17, Fashion ID, noch zur Richtlinie 95/46/EG).

    Quelle: EuGH C-40/17

  • Schriften

    LG München I, Urteil vom 20.01.2022, 3 O 17493/20: Weitergabe der IP-Adresse an Google über Google Fonts ohne Einwilligung im Einzelfall unzulässig.

    Quelle: Bayern.Recht

  • Tracking-Pixel

    Der Europäische Datenschutzausschuss beschreibt in den Leitlinien 2/2023, wann Pixel und URL-Tracking unter Art. 5 Abs. 3 der ePrivacy-Richtlinie fallen.

    Quelle: EDSA-Leitlinien 2/2023

Cookies, die der Server beim ersten Aufruf setzt, prüft der Cookie-Check; ob fremde Skripte gegen Manipulation abgesichert sind, der Mixed-Content- und SRI-Check.

FRAGEN

Gut zu wissen.

Sagt der Check, ob meine Website datenschutzkonform ist?

Nein. Er zeigt, von welchen fremden Servern die Startseite laut ausgeliefertem HTML etwas lädt, und nennt zu jeder Art von Dienst den rechtlichen Rahmen mit Quelle. Ob eine Einbindung zulässig ist, hängt von Zweck, Einwilligung, Verträgen und Ihrer Datenschutzerklärung ab. Das kann ein technischer Check nicht beurteilen; der Bericht ist keine Rechtsberatung.

Warum ist eine eingebundene Schrift ein Thema?

Lädt der Browser eine Schrift vom Server eines Anbieters, erfährt dieser die IP-Adresse der Besucher. Das LG München I hat 2022 im Einzelfall entschieden, dass die Weitergabe der IP-Adresse an Google durch Google Fonts ohne Einwilligung unzulässig war, weil sich die Schrift auch ohne Verbindung zu Google nutzen lässt, und 100 Euro Schadenersatz zugesprochen (3 O 17493/20). Schriften lassen sich meist selbst ausliefern.

Mein Tag-Manager lädt viel mehr. Warum fehlt das?

Der Check führt kein JavaScript aus. Was ein Tag-Manager oder ein anderes Skript erst im Browser nachlädt, steht nicht im HTML und fehlt deshalb. Den Tag-Manager selbst erkennt der Check, wenn seine Adresse im HTML oder im eingebetteten Ladecode steht. Alle Abrufe einer Seite zeigen die Entwicklerwerkzeuge Ihres Browsers, in Chrome und Edge mit F12 im Reiter Netzwerk.

Was bedeutet „wartet vermutlich auf Einwilligung“?

Einwilligungswerkzeuge parken Skripte oft mit type="text/plain" oder Adressen in data-src, bis Besucher zustimmen. Der Browser lädt sie dann zunächst nicht. Der Check erkennt dieses Muster, kann aber nicht prüfen, ob das Werkzeug richtig eingestellt ist. Steht ein Dienst unter „lädt beim Aufruf“, holt der Browser ihn sofort, bevor jemand etwas auswählen konnte.

Muss ich jeden Dienst in der Datenschutzerklärung nennen?

Die DSGVO verlangt, dass Sie die Empfänger oder Kategorien von Empfängern personenbezogener Daten nennen (Art. 13 Abs. 1 lit. e). Geht beim Laden die IP-Adresse an einen fremden Server, ist dieser in der Regel ein solcher Empfänger. Der Bericht listet die fremden Hosts und, wo bekannt, den Anbieter mit Link zu dessen Datenschutzhinweisen.

Speichert TOMORIS meine Eingabe oder das Ergebnis?

Nein, nicht dauerhaft. Unser Server ruft nur die eingegebene Seite einmal ab; die fremden Dienste rufen wir nicht ab, und die geprüfte Website sieht unseren Server, nicht Ihre IP-Adresse. Das Ergebnis bleibt fünf Minuten im Arbeitsspeicher, damit wiederholte Abrufe die Website nicht erneut belasten, und ist spätestens nach sechs Minuten gelöscht. Details stehen in der Datenschutzerklärung.

TOOLBOX

Weitere
Werkzeuge.

IHR NÄCHSTER SCHRITT

Ergebnis da.
Und jetzt?

Wir ordnen Befunde ein, priorisieren nach Risiko und setzen auf Wunsch um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Ergebnis besprechen