Cookie-Scanner für die Cookie-Richtlinie: Tabelle bleibt aktuell

Was leistet ein Cookie-Scanner für die Cookie-Richtlinie?

Ein Cookie-Scanner öffnet deine Website in einem echten Browser und schreibt mit, welche Cookies und welche Einträge im Speicher des Browsers dabei entstehen. Aus dem Ergebnis entsteht eine Cookie-Tabelle mit Name, Anbieter, Zweck, Kategorie und Speicherdauer, die du in deine Cookie-Richtlinie oder Datenschutzerklärung einbindest. Der Scan von Trackum wiederholt das jede Woche, sodass die Tabelle aktuell bleibt.

Eine Cookie-Richtlinie ist der Teil der Datenschutzerklärung, der erklärt, welche Cookies eine Website setzt, wofür und wie lange. Nach Art. 13 DSGVO müssen Besucher über die Verarbeitung ihrer Daten informiert werden, und in Deutschland regelt § 25 TDDDG, wann das Speichern und Auslesen von Informationen auf dem Endgerät eine Einwilligung braucht. Dieser Artikel ist keine Rechtsberatung.

Warum sind Cookie-Tabellen so oft falsch?

Cookie-Tabellen sind oft falsch, weil sie einmal von Hand geschrieben und danach nie wieder geprüft werden. In der Praxis ist die Liste geraten, aus einer anderen Website kopiert oder Jahre alt. Kommt ein neues Plugin, ein eingebettetes Video oder ein neuer Werbedienst dazu, stimmt sie nicht mehr. Niemand merkt es, weil Cookies unsichtbar sind und die Website weiter normal funktioniert.

Ein Beispiel: Ein Handwerksbetrieb bindet auf der Startseite ein Video von YouTube ein und auf der Kontaktseite eine Karte. Beide setzen eigene Cookies, die in keiner Tabelle stehen. Ein Onlineshop installiert eine App für Bewertungen, die einen eigenen Speichereintrag anlegt. In beiden Fällen beschreibt die Datenschutzerklärung nicht mehr, was wirklich passiert.

Von Hand lässt sich eine Cookie-Tabelle nur mühsam aktuell halten. Du müsstest jede Seite mit und ohne Einwilligung aufrufen, in den Entwicklertools jedes Cookie notieren, den Anbieter recherchieren und die Laufzeit ablesen, und das nach jedem Plugin-Update von vorn. Genau diese Arbeit übernimmt ein Cookie-Scanner. Er ersetzt nicht dein Urteil darüber, welche Dienste du überhaupt einsetzen willst, aber er sorgt dafür, dass die Tabelle beschreibt, was tatsächlich auf deiner Website passiert.

Passend dazu: Lead-Management: Website-Anfragen mit Herkunft ins CRM

So arbeitet der Scan

Der Scan ruft deine Website in einem echten Chrome-Browser mit frischem Profil auf, zuerst ohne Einwilligung und danach mit Alle akzeptieren im Cookie-Banner. Er erfasst jedes Cookie und jeden Eintrag im lokalen Speicher und im Sitzungsspeicher des Browsers, mit Name, Domain und Laufzeit. Der Vergleich der beiden Durchgänge zeigt, was schon vor der Einwilligung da ist und was erst danach entsteht.

Jeder Eintrag wird über eine eigene, geprüfte Liste bekannter Cookies einem Anbieter, einem Zweck und einer Kategorie zugeordnet: notwendig, funktional, Statistik oder Marketing. Die Liste stammt nicht aus einer fremden Datenbank, sie wird mit jedem neuen Fund erweitert. Ist ein Eintrag noch unbekannt, steht in der Tabelle Zweck wird geprüft, bis er zugeordnet ist.

Der erste Durchgang ohne Einwilligung ist der aufschlussreichste. Notwendige Cookies, etwa für den Warenkorb oder das Speichern der Banner-Auswahl, dürfen dort schon auftauchen. Cookies von Analyse- und Werbediensten dagegen nicht, denn für sie braucht es in der Regel die Zustimmung. Taucht im ersten Durchgang trotzdem ein Cookie von Google Analytics oder Meta auf, ist das ein Hinweis auf einen Dienst, der am Cookie-Banner vorbei geladen wird, oft ein fest eingebauter Code im Theme. Der Scan zeigt dir also nicht nur, was in die Tabelle gehört, sondern auch, wo die Einwilligung nicht greift.

Die Tabelle zum Einbinden

Du bekommst eine Seite mit Vorschau und zwei Zeilen Code. Eingebunden in deine Datenschutzerklärung zeigt die Tabelle immer den Stand des letzten Scans, mit Datum der Prüfung und einem Link, über den Besucher ihre Cookie-Einstellungen ändern können. Erlaubt deine Website keine fremden Skripte, bindest du die Tabelle als eingebettete Seite ein. Auf Wunsch zeigst du nur die Tabelle oder nur die Texte.

• Zwei Zeilen Code an der gewünschten Stelle der Datenschutzerklärung einfügen.
• Seite veröffentlichen und prüfen, ob die Tabelle erscheint.
• Textbausteine lesen und mit deiner übrigen Datenschutzerklärung abgleichen.
• Den Link zu den Cookie-Einstellungen testen.

Die Tabelle wird ohne eingeschleusten HTML-Code aufgebaut, ein ungewöhnlicher Cookie-Name kann also nichts auf deiner Seite verändern. Sie gibt es auf Deutsch und Englisch.

Textbausteine für die Datenschutzerklärung

Zu den gefundenen Diensten gibt es passende Textbausteine, neutral formuliert, ohne Du und ohne Sie. Sie nennen den Anbieter, den Zweck, die gespeicherten Cookies mit ihrer Laufzeit aus dem letzten Scan und die Rechtsgrundlage, also die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und für das Endgerät § 25 TDDDG. Werden Daten in die USA übermittelt, steht auch das darin, samt Grundlage.

Wichtig ist die Grenze: Die Textbausteine beschreiben nur, was Trackum eingebaut hat. Angaben zu Hosting, Newsletter, Kontaktformular oder Zahlungsanbietern gehören weiter in deine eigene Datenschutzerklärung. Die Textbausteine ersetzen keine Prüfung deiner Datenschutzerklärung durch eine Fachperson.

Bleibt von selbst aktuell

Nach dem Livegang wird die Website jede Woche erneut gescannt. Neue Cookies landen automatisch in der Tabelle, weggefallene verschwinden. Ändert sich zum Beispiel die Laufzeit eines Cookies nach einem Update des Anbieters, steht beim nächsten Scan die neue Dauer in Tabelle und Textbaustein. Du musst dafür nichts tun und nichts neu einbinden.

Ein Beispiel aus der Praxis: Eine Agentur betreut die Website eines B2B-Dienstleisters und baut ein Chat-Werkzeug ein. Beim nächsten wöchentlichen Scan erscheinen zwei neue Einträge des Chat-Anbieters in der Tabelle, einer davon mit einer Laufzeit von einem Jahr. Ohne den Scan hätte die Datenschutzerklärung diese Einträge erst beim nächsten manuellen Abgleich gezeigt, wenn überhaupt. So aber sieht die Agentur sofort, dass der neue Dienst auch im Cookie-Banner eingeordnet werden muss.

Prüfe trotzdem gelegentlich selbst. In den Entwicklertools von Chrome siehst du unter Anwendung, welche Cookies eine Seite gerade gesetzt hat. Öffne die Seite in einem privaten Fenster, lehne im Banner ab und sieh nach, ob schon Cookies von Analyse- oder Werbediensten da sind. Was vor der Einwilligung auftaucht und nicht notwendig ist, gehört in die Einwilligung.

Was kostet der Cookie-Scan?

Für Websites mit eigenem Cookie-Banner gibt es Cookie-Scan und Datenschutz-Texte als Extra für einmalig 50 €. Beim Cookie-Banner von Trackum, der 50 € plus 4,90 € im Monat kostet und im Abo enthalten ist, sind Cookie-Scan und Texte inklusive. Alle Preise zzgl. MwSt.