Datenschutz-Abgleich: steht drin, was wirklich läuft?

Der Scanner hält den sichtbaren Text der Datenschutzerklärung gegen den real erkannten Tracking-Stack: Tools im Einsatz, die die Erklärung nie erwähnt, werden gelistet.

Was wird geprüft

Der Scanner nimmt die erkannten Tools aus dem Scan, auch die aus der CMP-Config ausgegrabenen, im HTML unsichtbaren, und prüft für jedes, ob es im sichtbaren Text der Datenschutzerklärung vorkommt. Gematcht wird großzügig über Erwähnungs-Muster („Google Analytics“ oder „GA4“, „Piwik“ für Matomo). Nur was komplett fehlt, wird gelistet.

Warum ist das wichtig

Die Datenschutzerklärung altert schneller als der Stack. Ein neues Pixel ist in einer Stunde eingebaut; den Textbaustein dazu schreibt niemand. Nach drei Jahren erklärt die Policy dann Tools von 2019, während real ein Tag Manager über einen Server-side-Proxy läuft und das CMP Dienste listet, die im Text nie auftauchen. Diese Diskrepanz ist von außen sichtbar, für jeden Besucher und jede Aufsichtsbehörde mit fünf Minuten Zeit.

Häufige Ursachen

Tools wurden nachgerüstet (Pixel, Heatmaps, Server-side-Umzug), die Erklärung nicht.
Die Erklärung ist ein Generator-Export von vor Jahren und erklärt noch „Google Inc.“ samt Privacy Shield.
Das CMP listet Dienste, die eine Agentur eingerichtet hat; in die Policy hat sie niemand übernommen.

So beheben

Die gelisteten Tools mit dem Datenschutzbeauftragten durchgehen: Was bleibt, kommt in die Erklärung, inklusive Auftragsverarbeiter und Datenfluss; was niemand mehr braucht, fliegt aus dem Stack. Danach beide Seiten gleich halten: Jede Stack-Änderung bekommt ihren Policy-Absatz im selben Ticket.

Passende Vorlage

CMP- und GTM-Consent-QA-Vorlage

Der wiederholbare Testplan für Default-denied, Consent-Update und Reject, über alle vier Signale.

QA-Vorlage holen →

Erst selbst prüfen

Der Tracking-Check testet diesen Punkt zusammen mit allen anderen in Sekunden.

Tracking-Check starten →

Verwandte Checks

Datenschutzerklärung →Consent-verdeckter Stack →Tracking-Architektur →

Häufige Fragen

Was bedeutet der Befund „Datenschutz-Abgleich“?

Der Scanner hat die erkannten Tools (Tracker, Tag Manager, CMP, Server-side-Setup) mit dem sichtbaren Text der Datenschutzerklärung abgeglichen. Gelistet wird, was im Einsatz ist, aber im Text nirgends vorkommt. Der Abgleich ist bewusst großzügig: Schon die Erwähnung von „Facebook“ reicht für den Meta Pixel. Was trotzdem fehlt, fehlt sehr wahrscheinlich wirklich.

Ist ein fehlendes Tool automatisch ein Rechtsverstoß?

Das entscheidet der Textabgleich nicht, und er behauptet es auch nicht. Er zeigt eine Diskrepanz zwischen Technik und Erklärung, die typischerweise entsteht, wenn der Stack sich weiterentwickelt und die Policy stehen bleibt. Die rechtliche Bewertung ist Sache des Datenschutzbeauftragten.

Warum taucht Server-side-Tagging im Abgleich auf?

Wenn der Scanner einen Custom Loader auf einer eigenen Subdomain findet, läuft die Messung über einen First-Party-Endpunkt, oft bei einem Dienstleister wie stape. Dieser Dienstleister ist ein Auftragsverarbeiter, und eine Erklärung, die weiterhin nur den direkten Google-Datenfluss beschreibt, beschreibt den echten Datenfluss nicht mehr.

Behebung

Verdrahtet in Tagen, nicht in Sprints.

Befunde aus dem Tracking-Check gehen im Audit Sprint in eine Reihenfolge mit Aufwand, jeder Baustein mit Abnahmekriterium.

Zur Leistung Audit Sprint anfragen