Welche Dienste laden, bevor jemand zugestimmt hat
Das Banner steht. Zwei Knöpfe, Ablehnen genauso groß wie Zustimmen, alles wie es sein soll.
Und trotzdem hat der Browser in dem Moment, in dem die Seite erschien, schon eine Schriftart von einem fremden Server geladen, eine Zählpixel-Anfrage abgesetzt und ein Video-Vorschaubild geholt. Alles bevor jemand irgendetwas angeklickt hat.
Das ist der häufigste Datenschutzmangel auf Unternehmensseiten, und er ist unsichtbar, solange niemand die Netzwerkanfragen mitliest.
Warum das ein Problem ist#
Der rechtliche Kern liegt nicht in der Datenschutz-Grundverordnung, sondern in der Regelung zum Zugriff auf Endgeräte: In Deutschland regelt sie das TDDDG, in Österreich das Telekommunikationsgesetz. Vereinfacht gesagt braucht jeder Zugriff auf das Endgerät, der nicht technisch notwendig ist, vorher eine Einwilligung.
Ein Cookie ist so ein Zugriff. Aber nicht nur: Auch das Laden einer Datei von einem fremden Server überträgt die IP-Adresse dorthin. Genau deshalb sind eingebettete Schriftarten von externen Anbietern in den vergangenen Jahren zum Standardfall in Abmahnungen geworden — es geht gar nicht um ein Cookie, sondern um die Verbindung selbst.
Das Banner ändert daran nichts, wenn die Verbindung schon steht, bevor es erscheint.
Die üblichen Verdächtigen#
In dieser Häufigkeit begegnen sie einem:
Schriftarten von einem fremden Server. Fast immer unnötig — Schriften lassen sich mitliefern. Das ist zugleich schneller, weil ein Verbindungsaufbau weniger nötig ist.
Karten. Eine eingebettete Karte lädt beim Seitenaufruf. Die Lösung ist ein Platzhalterbild, das erst auf Klick die echte Karte nachlädt.
Videos. Eingebettete Videos laden Vorschaubilder und oft mehr. Manche Anbieter haben einen datenschutzfreundlicheren Einbettungsmodus; auch dort fließt beim Abspielen etwas, aber nicht schon beim Aufruf.
Statistik und Reichweitenmessung. Hier kommt es auf die Ausgestaltung an: Es gibt Werkzeuge, die ohne Cookies und ohne personenbezogene Speicherung auskommen. Ob sie einwilligungsfrei laufen dürfen, ist eine Einzelfallbewertung — pauschale Aussagen dazu sind unseriös.
Nachladende Skripte von Drittanbietern. Chat-Fenster, Bewertungssterne, Buchungskalender, eingebettete Formulare. Jedes davon ist eine Verbindung nach außen.
Und der Klassiker: ein Einwilligungswerkzeug, das selbst von einem fremden Server geladen wird.
Wie man es prüft#
Die Prüfung ist unspektakulär und dauert fünf Minuten:
- Browser öffnen, Entwicklerwerkzeuge, Reiter Netzwerk
- Alles löschen, Seite neu laden
- Nichts anklicken — nicht zustimmen, nicht ablehnen
- Nach fremden Hostnamen filtern
Was jetzt in der Liste steht, ist geladen worden, bevor jemand einwilligen konnte. Der Datenschutz-Check macht dasselbe automatisiert und nennt die Anbieter beim Namen.
Zwei Fallstricke bei der Prüfung: Prüf in einem privaten Fenster — sonst greift eine Einwilligung, die du selbst schon einmal gegeben hast. Und prüf mehrere Seiten, nicht nur die Startseite. Karten stehen auf der Kontaktseite, Videos in Beiträgen, das Buchungsfenster auf der Leistungsseite.
Der Relaunch ist der beste Zeitpunkt#
Nicht, weil es dann einfacher wäre — sondern weil danach niemand mehr hinsieht.
Bei einem Umzug oder Neuaufbau werden Einbindungen ohnehin angefasst. Das ist der Moment, in dem eine externe Schriftart zur mitgelieferten wird, in dem die Karte einen Platzhalter bekommt und in dem entschieden wird, welches Skript wirklich gebraucht wird.
Die Frage, die dabei die meiste Arbeit spart: Braucht die Seite das überhaupt? Ein Chat-Fenster, das niemand bedient, ein Bewertungswidget mit vier Bewertungen, eine Karte, obwohl die Adresse danebensteht — jedes gestrichene Element ist eine Einwilligung weniger, ein Ladevorgang weniger und ein Punkt weniger in der Datenschutzerklärung.
Und die Datenschutzerklärung#
Sie ist der zweite Teil, nicht der erste. Ein Text, der einen Dienst nennt, den es nicht mehr gibt, ist genauso falsch wie einer, der einen verschweigt, der läuft.
Der Abgleich gehört deshalb an das Ende jedes Relaunches: Liste der tatsächlich geladenen Anbieter, Liste der genannten Anbieter, Differenz auflösen. In beide Richtungen.