Beispielbericht (fiktive Domain)
So sieht der vollständige Bericht eines Full-Scans aus — hier für die fiktive Domain beispiel-shop.de mit typischen Befunden (50 gescannte Seiten, alle Prüfmodule: Rechtsseiten-Abgleich, Ablehnen-Pfad, E-Mail-Sicherheit, TLS-Tiefenprüfung, Drittanbieter-Analyse). Alle Daten sind ein kuratiertes Beispiel und beziehen sich auf keine reale Website.
Ergebnisse & Handlungsempfehlungen
Consent & Cookies-16
Pre-Consent-Risiko-15
1 Tracking-Key in localStorage-1
Datenschutz & Recht-12
13 Drittanbieter nicht in Datenschutzerklärung erwähnt-10
Impressum unvollständig-2
E-Mail-Sicherheit-5
Technische Sicherheit-4
CSP zu permissiv-1
Tracker & Drittanbieter-2
Bonus+1
Rechtliche Compliance
Art. 13 DSGVO Checkliste (10/10 Pflichtangaben)
- Verantwortlicher(Art. 13 Abs. 1 lit. a)
- Verarbeitungszwecke(Art. 13 Abs. 1 lit. c)
- Rechtsgrundlage(Art. 13 Abs. 1 lit. c)
- Empfänger(Art. 13 Abs. 1 lit. e)
- Drittlandübermittlung(Art. 13 Abs. 1 lit. f)
- Speicherdauer(Art. 13 Abs. 2 lit. a)
- Betroffenenrechte(Art. 13 Abs. 2 lit. b)
- Widerrufsrecht(Art. 13 Abs. 2 lit. c)
- Beschwerderecht(Art. 13 Abs. 2 lit. d)
- Erforderlichkeit(Art. 13 Abs. 2 lit. e)
- Art. 13 Abs. 1 lit. d (berechtigte Interessen)– nicht automatisch geprüft
§ 5 DDG Checkliste (4/5 Pflichtangaben)
- Name/Firma(§5 Abs. 1 Nr. 1 DDG)
- Anschrift(§5 Abs. 1 Nr. 1 DDG)
- E-Mail(§5 Abs. 1 Nr. 2 DDG)
- Berufsbezeichnung(§5 Abs. 1 Nr. 5 DDG)
- Zweiter Kontaktkanal(§5 Abs. 1 Nr. 2 DDG)
Consent- & DSE-Abgleich
Abgleich der Cookie- und Tracker-Deklarationen mit dem Scan-Ergebnis.
10 Cookies nicht in DSE deklariert
3 Web-Storage-Einträge nicht in DSE deklariert
1 Drittanbieter nicht namentlich in der DSE gefunden
102 DSE-Cookies nicht im Scan gefunden
Ablehnung („Reject all")
Prüfung, ob die Website eine Ablehnung der Einwilligung tatsächlich beachtet: Der Scanner klickt im Cookie-Banner auf „Alle ablehnen" / „Nur notwendige" und misst, welche einwilligungspflichtigen Dienste und Cookies danach trotz Ablehnung weiterlaufen.
Nach dem Klick auf „Ablehnen" wurden die zuvor geladenen einwilligungspflichtigen Dienste nicht mehr geladen.
Browser-Signal (GPC) — Ausblick
Prüfung, ob die Website ein maschinenlesbares Opt-out-Signal (Global Privacy Control) beachtet. Dies ist noch keine gesetzliche Pflicht: Das im EU Digital Omnibus vorgeschlagene verbindliche Browser-Signal wurde vom Rat gestrichen, das Europäische Parlament hat dazu keine Position bezogen. Die Bewertung fließt nicht in den Score ein.
Drittanbieter & Cookies
Drittanbieter werden mit KI klassifiziert und mit erfassten Netzwerk-Anfragen abgeglichen. Angaben zu Kategorie, Datentransfer und Risiko können ungenau sein.
Problematisch (4)Was bedeutet das?
Hohes Risiko / mögliche Rechtsverletzung – z. B. Tracking vor Einwilligung oder Drittland-Transfer ohne erkennbare Rechtsgrundlage. Der Grund steht in der aufgeklappten Zeile.
twitter pixelIm DPF gelistetadvertising · ads-twitter.com · 24 Anfragen
Einstufung: Hohe Risikokategorie (z. B. Advertising/Tracking)
- US-Empfänger mit aktiver Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO).
requires consent under gdpr + tdddg. a data processing agreement (dpa) is required.
- Scriptstatic.ads-twitter.com/uwt.js×24
meta pixelIm DPF gelistetadvertising · facebook.net · 1 Anfrage
Einstufung: Hohe Risikokategorie (z. B. Advertising/Tracking)
- US-Empfänger mit aktiver Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO).
requires consent under gdpr + tdddg. a data processing agreement (dpa) is required.
- Scriptconnect.facebook.net/en_US/fbevents.js
linkedin insight tagIm DPF gelistetadvertising · licdn.com · 1 Anfrage
Einstufung: Hohe Risikokategorie (z. B. Advertising/Tracking)
- US-Empfänger mit aktiver Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO).
erfordert einwilligung nach dsgvo/ttdsg. auftragsverarbeitungsvertrag (dpa) ist erforderlich.
- Scriptsnap.licdn.com/li.lms-analytics/insight.min.js
google tag managerIm DPF gelistet1 vor Einwilligunganalytics · googletagmanager.com · 1 Anfrage
Einstufung: Anfragen vor Einwilligung ohne erkennbare Rechtsgrundlage
- US-Empfänger mit aktiver Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO).
- 1 Anfrage(n) vor Einwilligung ohne erkennbare Rechtsgrundlage
requires consent under gdpr + tdddg. a data processing agreement (dpa) is required.
- Scriptwww.googletagmanager.com/gtm.js?id=GTM-XXXXXXX
Zu prüfen (2)Was bedeutet das?
Rechtsgrundlage manuell prüfen – z. B. mittlere Risikokategorie oder unsichere KI-Klassifizierung.
google consent modeIm DPF gelistetanalytics · google.com · 1 Anfrage
Einstufung: Mittlere Risikokategorie – Rechtsgrundlage prüfen
- US-Empfänger mit aktiver Zertifizierung nach dem EU-US Data Privacy Framework (Angemessenheitsbeschluss, Art. 45 DSGVO).
requires consent under gdpr + tdddg. a data processing agreement (dpa) is required.
- Fetchregion1.analytics.google.com/g/collect?v=2&tid=G-XXXXXXXXXX>m=45je68q1vXXXXXXXXXz8XXXXXXXXXza20gzbXXXXXXXXXzdXXXXXXXXX
hotjaranalytics · hotjar.com · 1 Anfrage
Einstufung: Mittlere Risikokategorie – Rechtsgrundlage prüfen
requires consent under gdpr + tdddg. as an eu-based provider, no third-country transfer mechanism is required for primary processing. a data processing agreement (dpa) is required.
- Scriptscript.hotjar.com/modules.e762be2b6b709245aabb.js
Vermutlich konform (6)Was bedeutet das?
Kein bekanntes Risiko erkannt.
facebook.com1 Anfrage
- Bildwww.facebook.com/tr/?id=XXXXXXXXXXXXXXXX&ev=PageView&dl=https%3A%2F%2Fwww.beispiel-shop.de%2Funternehmen%2Fueber-uns%2Fi
google.de1 Anfrage
- Bildwww.google.de/ads/ga-audiences?v=1&t=sr&slf_rd=1&_r=4&tid=G-XXXXXXXXXX&cid=347325085.1788149969>m=45je68q1vXXXXXXXXXz8
hotjar.io1 Anfrage
- XHRcontent.hotjar.io/?site_id=XXXXXXX&gzip=1
linkedin.com1 Anfrage
- Bildpx4.ads.linkedin.com/collect?v=2&fmt=js&pid=XXXXXXXXX&time=1788149968612&url=https%3A%2F%2Fwww.beispiel-shop.de%2Funtern
t.co1 Anfrage
- Bildt.co/i/adsct?bci=3&dv=Europe%2FBerlin%26de-DE%2Cde%2Cen-US%2Cen%26Google%20Inc.%26Win32%26255%261280%26925%268%2624%2612
twitter.com1 Anfrage
- Bildanalytics.twitter.com/i/adsct?bci=3&dv=Europe%2FBerlin%26de-DE%2Cde%2Cen-US%2Cen%26Google%20Inc.%26Win32%26255%261280%26
Technische Sicherheit
3/7 empfohlene E-Mail-/DNS-Mechanismen aktiv · 2 eingeschränkt