DSGVO-Check für Websites: Google Fonts, Tracking und Cookies

Was ein automatischer Datenschutz-Check leisten kann

Der Check holt die eingegebene Seite einmal auf den Server von bemuar.com und liest den ausgelieferten Quelltext, ohne JavaScript auszuführen. Unterseiten prüft er nicht mit, und mehr als 20 Prüfungen pro Stunde lässt der Dienst je Besucher nicht zu. Im Ergebnis ist der Bereich Datenschutz-Technik zuerst aufgeklappt, die übrigen fünf Bereiche stehen darunter. Der Check zeigt, was technisch auffällt: eingebundene Dienste, fehlende Pflichtlinks, Cookies in der Antwort des Servers. Ob die Seite rechtlich in Ordnung ist, hängt dagegen von Einwilligungen, Verträgen mit Dienstleistern und dem Inhalt der Datenschutzerklärung ab, und das zeigt kein Quelltext. Die Hinweise auf dieser Seite und im Ergebnis ersetzen keine Rechtsberatung.

Welche Dienste der Check erkennt

Gesucht wird nach Adressbestandteilen und Funktionsnamen bekannter Dienste. So erscheinen sie im Ergebnis:

• Google Fonts von fonts.googleapis.com oder fonts.gstatic.com: Problem.
• Google Analytics und Google Tag Manager, Meta-Pixel, TikTok-Pixel, LinkedIn Insight Tag, Microsoft Clarity und Hotjar: Hinweis, weil sie in der Regel eine Einwilligung brauchen.
• Google reCAPTCHA: Hinweis, weil dabei Daten an Google gehen und der Dienst in die Datenschutzerklärung gehört.
• YouTube und Google Maps: Hinweis, wenn sie direkt als Quelle eingebunden sind. Werden sie im Quelltext nur erwähnt, etwa in einem Skript, steht dort eine Info, denn so sieht meist eine Lösung aus, die Video oder Karte erst nach einem Klick lädt.

Ein Treffer kann auch aus einem Kommentar, einem Plugin-Rest oder einem Beitrag stammen, der die Adresse nur nennt. Was ein Tag Manager erst im Browser nachlädt, sieht der Check nicht, ebenso wenig eine Google-Schrift, die per @import in einer externen CSS-Datei steht. Einbindungen über youtube-nocookie.com zählt er nicht als YouTube.

Google Fonts: warum hier ein Problem erscheint

Lädt der Browser Schriften von Google-Servern, erfährt Google die IP-Adresse jedes Besuchers. Das Landgericht München I hat diese Weitergabe ohne Einwilligung mit Urteil vom 20.01.2022 (Az. 3 O 17493/20) als Verstoß gewertet, den Betreiber zur Unterlassung verurteilt und dem klagenden Besucher Schadensersatz zugesprochen. Die übliche Abhilfe ist technisch einfach: Die Schriftdateien liegen auf dem eigenen Server, dann entsteht keine Verbindung zu Google. Bei Themes und Baukästen steckt die Einbindung oft in einer Einstellung, die sich abschalten lässt. Wie Sie die Herkunft Ihrer Schriften nachprüfen, steht unter Google Fonts und DSGVO.

Einwilligungs-Tool erkannt: was das bedeutet und was nicht

Der Check erkennt Cookiebot, Usercentrics, Borlabs Cookie, Complianz, CookieYes, OneTrust, consentmanager, Real Cookie Banner und Klaro an ihren Namen im Quelltext. Findet er eines davon, steht eine Info da. Findet er keines, aber Dienste aus der Liste oben, gibt es einen Hinweis. Das gilt auch, wenn nur Google Fonts gefunden wurden, dort ist das lokale Einbinden aber die bessere Lösung als ein Banner. Ob die Dienste tatsächlich bis zur Zustimmung warten, kann der Check nicht feststellen, weil er im Banner nichts anklickt. Nach § 25 TDDDG braucht das Speichern und Auslesen von Informationen auf dem Gerät grundsätzlich eine Einwilligung, wenn es nicht unbedingt erforderlich ist. Eigene oder seltene Banner-Lösungen erkennt der Check nicht.

Selbst nachsehen, was vor der Einwilligung lädt

Den Teil, den der Check nicht sehen kann, prüfen Sie in wenigen Minuten im Browser. Öffnen Sie die Seite in einem privaten Fenster, starten Sie die Entwicklerwerkzeuge mit F12 und laden Sie im Reiter „Netzwerk“ neu, ohne das Banner anzuklicken. Anfragen an Google, Meta oder andere Statistik- und Werbedienste sollten dort noch fehlen. Wählen Sie danach einmal „Ablehnen“ und einmal „Akzeptieren“ und vergleichen Sie die Listen. Welche Cookies ohne Einwilligung zulässig sind und wo Sie sie im Browser finden, erklärt Cookies und Einwilligung.

Cookies und fremde Server im Ergebnis

Setzt der Server schon in seiner Antwort Cookies, listet der Check deren Namen als Info. Was Skripte später im Browser an Cookies ablegen, erscheint dort nicht, und gerade Statistik- und Werbedienste arbeiten meist so. Ebenfalls als Info nennt der Check die fremden Server, von denen Skripte oder Stylesheets kommen, mit bis zu acht Namen. Jeder dieser Server erfährt die IP-Adresse der Besucher. Gleichen Sie die Liste mit Ihrer Datenschutzerklärung ab. Oft stecken Bibliotheken oder Schriften von öffentlichen Servern dahinter, die sich ebenso vom eigenen Server ausliefern lassen. Bilder und eingebettete Rahmen von fremden Servern zählt diese Zeile nicht mit.

Impressum und Datenschutzerklärung verlinkt?

Der Check sucht Links, deren Text oder Adresse „Impressum“, „Imprint“ oder „legal-notice“ enthält, und Links mit „Datenschutz“ oder „Privacy“. Fehlt einer, ist das ein Problem. Nach § 5 DDG muss das Impressum leicht erkennbar, unmittelbar erreichbar und ständig verfügbar sein, üblich ist ein Link in der Fußzeile jeder Seite. Die Datenschutzerklärung dient vor allem den Informationspflichten nach Art. 13 DSGVO und sollte deshalb die Dienste nennen, die tatsächlich laufen. Der Check sieht nur, dass die Links existieren, nicht, was auf den Seiten steht. Was hineingehört, beschreibt Impressum und Datenschutz-Links.

Inhalte ohne HTTPS und die Punktzahl

Läuft die Seite über HTTPS, zählt der Check außerdem Skripte, Stylesheets, Bilder und eingebettete Rahmen, die noch mit http:// eingebunden sind, und gibt dafür einen Hinweis. Die Punktzahl des Bereichs setzt sich nur aus Problemen, Hinweisen und bestandenen Punkten zusammen, Infos zählen nicht. Eine Seite ohne erkannte Dienste, mit beiden Links und ohne unverschlüsselte Inhalte erreicht deshalb 100 Punkte, auch wenn der Server Cookies setzt und Skripte von fremden Servern kommen. Die Zahl ist eine einfache eigene Gewichtung von Bemuar und sagt nicht, ob die Seite datenschutzkonform ist.

Befunde abarbeiten, in dieser Reihenfolge

• Google Fonts und andere Schriften auf den eigenen Server holen.
• Dienste entfernen, die niemand mehr auswertet, etwa alte Pixel oder ein vergessenes Statistik-Skript.
• Für die übrigen ein Einwilligungs-Tool einrichten, das sie bis zur Zustimmung tatsächlich blockiert, und Videos oder Karten erst nach einem Klick laden.
• Die Datenschutzerklärung mit der Liste der wirklich laufenden Dienste abgleichen.
• Den Check wiederholen, auch für Kontakt- und Anfahrtsseite, und den Browser-Test von oben machen.

Mit „Ergebnis drucken“ halten Sie den Stand vor und nach der Nacharbeit fest, über den Druckdialog des Browsers auch als PDF. Bei neuen Websites legt Bemuar Schriften und Skripte auf den eigenen Server, mehr dazu unter Webdesign.