Ein Scan-Bericht sagt Ihnen, welche Cookies und Tags ein Cookie-Scanner gefunden hat und wie er sie eingestuft hat. Er sagt nicht, ob die Einstufung stimmt, ob alles gefunden wurde und ob Ihre Website damit in Ordnung ist. Diese Bewertung nehmen Sie vor. Der Bericht ist der Ausgangspunkt, und die eigentliche Arbeit beginnt danach.

Dieser Beitrag zeigt, wie Sie einen Bericht Zeile für Zeile lesen, worauf Sie bei den Kategorien achten, wie Sie mit unbekannten Einträgen umgehen und wie Sie das Ergebnis in Hinweis und Cookie-Richtlinie überführen. Am Ende steht ein Ablauf in sieben Schritten, den Sie nach jedem Scan wiederholen können.

Warum der Scan überhaupt regelmäßig wiederholt werden sollte, erklärt Warum Cookies scannen und erneut scannen. Hier geht es um das Handwerk: Was steht im Bericht, und was tun Sie damit?

Jede Zeile beschreibt ein Cookie oder einen Tag. Für jede Zeile brauchen Sie drei Antworten: Wer setzt es? Wie lange bleibt es? Wozu dient es? Alles andere ist Beiwerk.

Der Cookie-Name ist oft kryptisch, die Domain dagegen verrät den Absender. Ein Cookie, das auf Ihrer eigenen Domain liegt, stammt meist von Ihrer Website oder von einem Skript, das in Ihrem Namen läuft. Ein Cookie auf einer fremden Domain gehört einem Dritten, und Dritte müssen nach der Orientierungshilfe der Datenschutzkonferenz einzeln benannt werden (OH Digitale Dienste, Version 1.2, Rn. 120).

Achten Sie darauf, dass die Domain nicht immer die ganze Geschichte erzählt. Ein Dienst kann ein Cookie auf Ihrer Domain setzen, das er selbst ausliest. Für die rechtliche Einordnung zählt der Zweck, nicht der Ort der Ablage.

Die Laufzeit unterscheidet Sitzungs-Cookies, die mit dem Schließen des Browsers verschwinden, von dauerhaften Cookies mit einem Ablaufdatum. Die Orientierungshilfe zählt die Funktionsdauer der Cookies ausdrücklich zu den Informationen, die Nutzende erhalten müssen (Rn. 37). Sie sollten die Laufzeit also im Hinweis oder in der Cookie-Richtlinie nennen können.

In den Entwicklerwerkzeugen von Chrome sehen Sie die Laufzeit in der Spalte „Expires / Max-Age“ (Dokumentation zur Cookie-Ansicht). Vergleichen Sie diese Angabe mit dem Bericht. Weichen sie stark voneinander ab, lohnt sich eine Rückfrage.

Die Kategorie ist die Zusammenfassung des Zwecks. Sie ist die Spalte, die Sie am kritischsten lesen sollten, denn hier steckt das meiste Ermessen. Ein Scanner ordnet nach bekannten Mustern zu. Ob ein Cookie in Ihrem konkreten Einsatz tatsächlich diesem Zweck dient, weiß er nicht.

Machen Sie sich zur Gewohnheit, jede Einstufung mit einer Stichprobe zu überprüfen, insbesondere bei allem, was als „notwendig“ geführt wird. Warum, erklärt der übernächste Abschnitt.

Der Tag-Scanner von AdOpt klassifiziert die auf den verknüpften URLs gefundenen Tags automatisch. Ein Tag ist der Auslöser für ein oder mehrere Cookies. Die Kategorien sind notwendig, Marketing bzw. Werbung, Statistik bzw. Analyse, Leistung und funktional. Erkennt der Scanner einen Tag nicht, führt er ihn als „Unbekannt“.

Die Funktion steht schon im kostenlosen Tarif zur Verfügung. Was der Scanner zu Intervall, Tiefe und Abdeckung leistet, lesen Sie bitte in der Dokumentation von AdOpt nach. Hier zählt, wie Sie mit dem Ergebnis umgehen.

Lesen Sie die Kategorien deshalb nicht als Urteil über einen Dienst, sondern als Vorschlag, den Sie bestätigen oder korrigieren. Der Scanner kennt die Wirkungsweise vieler bekannter Dienste. Ihren konkreten Einsatz, Ihre Konfiguration und Ihre Nebenzwecke kennt nur Ihr Team.

Die folgenden fünf Abschnitte gehen die Kategorien einzeln durch und nennen jeweils die Frage, die Sie sich pro Eintrag stellen sollten.

Notwendige Cookies laufen ohne Einwilligung, deshalb ist diese Kategorie die sensibelste. Sie ist an eine enge Ausnahme gebunden: Nach § 25 Absatz 2 Nummer 2 TDDDG entfällt die Einwilligung nur, wenn Speicherung oder Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann (Gesetzestext).

Prüfen Sie bei jedem Eintrag in dieser Kategorie, ob Sie den Zweck in einem Satz begründen können. Ein Warenkorb-Cookie, das den Bestellvorgang trägt, ist nachvollziehbar. Ein Cookie, das nebenbei Reichweite misst, gehört nicht hierher. Eine pauschale Einstufung als „Sicherheitscookie“ genügt laut Orientierungshilfe nicht (Rn. 83).

Beide Kategorien beschreiben Auswertung und Optimierung. Zur Reichweitenmessung hält die Orientierungshilfe fest, dass sich eine Aussage, ob sie ohne Einwilligung rechtmäßig ist, allenfalls für eine genau definierte Konfiguration und Zweckbestimmung treffen lässt und nicht mehr gilt, wenn weitere Informationen über Nutzende oder ein weiteres Auswertungsergebnis hinzukommen (Rn. 89). Gehen Sie deshalb nicht davon aus, dass ein Analyse-Tag ohne Einwilligung laufen darf, nur weil er „nur zählt“.

Für den Bericht heißt das: Jeder Eintrag in diesen Kategorien sollte mit einem konkreten Zweck beschrieben sein, etwa „Reichweitenmessung“ oder „Ladezeiten-Messung“. Vage Beschreibungen wie „Verbesserung des Angebots“ helfen weder Besuchern noch Ihnen im Nachweisfall.

Hier landen Werbenetzwerke, Retargeting-Pixel und Conversion-Tracking. Diese Tags sind fast immer Drittdienste und müssen einzeln benannt werden. Die Orientierungshilfe verlangt bei Tracking und Profilbildung eine konkrete Erläuterung der Zwecke, insbesondere den Hinweis, wenn individuelle Profile angelegt und mit Daten anderer Websites angereichert werden (Rn. 120).

Prüfen Sie, ob jeder dieser Tags nur nach Einwilligung lädt. Das ist keine Frage des Berichts, sondern der Sperre. Eine korrekte Einstufung als Marketing verhindert nicht, dass der Tag zu früh lädt.

Funktionale Cookies merken sich Einstellungen wie Sprache oder Region oder ermöglichen Komfortfunktionen, die der Besucher nicht zwingend braucht. Sie unterscheiden sich von den notwendigen Cookies dadurch, dass die Website auch ohne sie funktioniert.

Diese Grenze ist fließend, und sie ist der häufigste Streitpunkt bei der Einstufung. Fragen Sie sich: Hat der Besucher diese Funktion ausdrücklich verlangt, und geht es ohne das Cookie überhaupt nicht? Wenn nicht, gehört es hierher und nicht zu den notwendigen.

Ein Eintrag „Unbekannt“ ist die ehrlichste Zeile im Bericht. Er bedeutet: Der Scanner hat diesen Tag gefunden und weiß nicht, wozu er dient. Das ist keine Störung, sondern eine Aufgabe, und sie liegt bei Ihnen als Verantwortlichem.

Es gibt mehrere Gründe. Der Dienst kann neu oder selten sein, sodass ihn die Wissensbasis nicht kennt. Der Tag kann ein eigenes Skript Ihrer Entwicklung sein. Oder der Name des Cookies ist so allgemein, dass er sich keinem Anbieter zuordnen lässt. Welche dieser Gründe bei Ihnen zutreffen, sagt Ihnen der Bericht nicht.

Wichtig ist, dass Sie einen unbekannten Eintrag weder ignorieren noch aus Bequemlichkeit in „notwendig“ verschieben. Beides würde den Hinweis unrichtig machen. Wie ein nicht zugeordneter Eintrag im Hinweis erscheint, prüfen Sie am besten in der Vorschau Ihres Hinweises.

Gehen Sie in drei Schritten vor. Erstens: Lesen Sie Namen und Domain des Cookies und suchen Sie den Anbieter. Die Dokumentation des Anbieters nennt meist Zweck und Laufzeit seiner Cookies. Zweitens: Sehen Sie in den Entwicklerwerkzeugen nach, wann der Tag lädt, also mit welcher Seite, und an welche Server er Anfragen sendet. Drittens: Fragen Sie intern nach, wer den Dienst eingebunden hat.

Der dritte Schritt wird unterschätzt. Meist weiß jemand im Team, wofür ein Skript da ist, nur nicht der Datenschutz. Ein kurzer Blick in den Tag-Manager oder in die Liste der installierten Plugins klärt viele Fälle in Minuten.

Wenn Sie wissen, wozu der Tag dient, ordnen Sie ihn einer der fünf Kategorien zu. In AdOpt öffnen Sie dafür das Klassifizierungsmenü des Eintrags, wählen die Kategorie aus und speichern die Änderung. Anschließend veröffentlichen Sie sie, damit sie im Hinweis für Ihre Besucher wirksam wird.

Der letzte Schritt wird gern vergessen: Eine gespeicherte, aber nicht veröffentlichte Änderung ändert am sichtbaren Hinweis nichts. Kontrollieren Sie nach dem Veröffentlichen im Browser, ob der Eintrag wie gewünscht erscheint.

Das folgende Beispiel ist erfunden und dient nur der Anschauung. Ein Scan liefert fünf Einträge. Der erste ist ein Sitzungs-Cookie des Shop-Systems, das den Warenkorb trägt und als „notwendig“ geführt wird. Der zweite gehört zu einem Analysedienst und steht bei „Statistik bzw. Analyse“. Der dritte ist ein Werbe-Pixel, korrekt unter „Marketing bzw. Werbung“. Der vierte ist ein Spracheinstellungs-Cookie unter „funktional“. Der fünfte trägt den Status „Unbekannt“.

Sie beginnen beim fünften. Der Domain-Name führt zu einem Anbieter für Terminbuchungen, den die Vertriebsabteilung im letzten Monat eingebunden hat. Die Dokumentation des Anbieters beschreibt das Cookie als Sitzungs-Cookie für den Buchungsvorgang. Die Buchung hat der Besucher ausdrücklich angefordert, der Zweck ist eng. Sie ordnen es entsprechend ein und dokumentieren die Begründung in einem Satz.

Beim ersten Eintrag fällt Ihnen auf, dass das Shop-Cookie laut Anbieterdokumentation auch für Auswertungen ausgelesen werden kann. Der Warenkorb-Zweck ist notwendig, der Auswertungszweck nicht. Sie klären mit der Entwicklung, ob sich die Auswertung abschalten lässt. Bis zur Klärung führen Sie die Abweichung in Ihrer Liste offener Punkte.

Nach 45 Minuten haben Sie fünf geprüfte Einträge, eine offene Frage und einen Bericht mit Datum. Das ist ein realistisches Ergebnis eines guten Audits: nicht makellos, aber nachvollziehbar.

Auch bekannte Einträge sollten Sie nicht blind übernehmen. Zwei Fallen begegnen uns besonders oft.

Ein Cookie kann mehreren Zwecken dienen. Die Orientierungshilfe hält fest, dass ein solcher Mehrzweck-Cookie nur dann von der Einwilligungspflicht ausgenommen werden kann, wenn für jeden einzelnen Zweck die Voraussetzungen der Ausnahme nach § 25 Absatz 2 Nummer 2 TDDDG vorliegen (Rn. 86).

Ein Beispiel: Ein Cookie hält die Sitzung im Shop offen und wird zusätzlich für die Auswertung des Nutzungsverhaltens ausgelesen. Der erste Zweck mag notwendig sein, der zweite ist es nicht. In diesem Fall ist die Einstufung als „notwendig“ zu weit. Der Bericht zeigt Ihnen nur die Kategorie, nicht die Nebenzwecke.

Dienste ändern ihr Verhalten. Ein Cookie, das gestern nur Komfort war, kann nach einem Update auch Auswertungen dienen. Deshalb ist die Einstufung keine einmalige Entscheidung. Prüfen Sie sie bei jedem größeren Scan erneut, insbesondere bei Einträgen mit langer Laufzeit.

Die Orientierungshilfe stellt außerdem klar, dass § 25 TDDDG unabhängig davon greift, ob in dem Cookie personenbezogene Daten stehen (Rn. 26 und 28). Ein Cookie mit einer scheinbar harmlosen Zufallszahl ist also nicht deshalb aus dem Blick zu nehmen, weil „nichts Persönliches“ darin steht.

Ein Scan-Bericht beantwortet nicht die Frage, ob die aufgelisteten Tags vor der Einwilligung tatsächlich ruhen. Er sagt auch nicht, ob auf Unterseiten, die der Scanner nicht besucht hat, weitere Tags laufen. Und er weiß nichts von Änderungen, die nach dem Lauf erfolgt sind.

Das ist keine Kritik an einem Produkt, sondern eine Eigenschaft jeder Momentaufnahme. Deshalb gehört die Gegenprobe im Browser zu jedem Audit, und deshalb sollten Sie nach größeren Änderungen erneut scannen. Die Gründe im Einzelnen erklärt Warum Cookies scannen und erneut scannen.

Zwei Dinge dazu, die wir ausdrücklich nicht zusagen: In der Dokumentation von AdOpt sind Scan-Intervall, Seitentiefe und die Abdeckung geschützter Bereiche nicht als Zusage beschrieben. Wir behaupten deshalb hier auch nicht, dass der Scanner „alles“ findet. Lesen Sie diese Angaben in der jeweils aktuellen Dokumentation nach und ergänzen Sie den Scan um Ihre eigene Prüfung.

Ein sauber gepflegter Bericht ist der beste Rohstoff für Ihre Cookie-Richtlinie. Sie müssen die Liste nicht neu erfinden, sondern übernehmen die geprüften Einträge und ergänzen die Erläuterungen.

Nach der Orientierungshilfe müssen Nutzende wissen, wer auf das Endgerät zugreift, in welcher Form und zu welchem Zweck, welche Funktionsdauer die Cookies haben und ob Dritte Zugriff erlangen können (Rn. 37). Diese fünf Angaben sind ein brauchbares Raster für jede Zeile Ihrer Richtlinie.

Für Drittanbieter reicht ein Verweis auf „Partner“ nicht. Nennen Sie sie einzeln, mit Zweck und, wo möglich, mit Verweis auf deren eigene Informationen. Den rechtlichen Rahmen für Verantwortlichkeit und Aufsicht ordnet der DSGVO-Leitfaden für Deutschland ein.

Hinweis und Richtlinie müssen dieselbe Geschichte erzählen. Die Orientierungshilfe nennt als verbreitetes Defizit, dass Banner andere Rechtsgrundlagen, andere Drittanbieter oder andere Zwecke nennen als die Datenschutzerklärung (Rn. 40). Prüfen Sie deshalb nach jeder Veröffentlichung, ob beide Texte denselben Stand haben.

Das lässt sich in wenigen Minuten erledigen: Öffnen Sie den Hinweis, dann die Richtlinie, und gehen Sie die Tag-Liste Zeile für Zeile durch. Fehlt ein Dienst in einem der beiden Texte, ergänzen Sie ihn sofort. Wie das Banner selbst die Anforderungen erfüllt, behandelt der Beitrag zum Cookie-Banner nach TDDDG.

Der folgende Ablauf lässt sich nach jedem Scan wiederholen. Er dauert bei einer überschaubaren Website meist weniger als eine Stunde.

1. Scan durchführen und den Bericht mit Datum speichern.
2. Neue Einträge markieren, indem Sie den Bericht mit dem vorigen vergleichen.
3. Unbekannte Einträge klären: Anbieter suchen, Zweck herausfinden, intern nachfragen.
4. Kategorien prüfen, insbesondere „notwendig“ und Mehrzweck-Cookies.
5. Umkategorisieren, speichern und veröffentlichen.
6. Hinweis und Cookie-Richtlinie abgleichen und Abweichungen beheben.
7. Gegenprobe im Browser vor und nach der Entscheidung, Ergebnis mit Datum ablegen.

Der siebte Schritt ist der unbequemste und der wichtigste. Er ist der einzige, der nicht vom Werkzeug abhängt. Wie Sie ihn durchführen, beschreibt Cookie-Scanner: So funktioniert die Website-Analyse Schritt für Schritt.

Ein Audit gelingt selten allein. Die Datenschutzverantwortung kennt die Anforderungen, aber nicht jeden Tag. Die Entwicklung weiß, was technisch läuft, kennt aber die rechtliche Einordnung nicht. Das Marketing kennt die Kampagnen und ihre Pixel, aber nicht die Auswirkungen auf den Hinweis.

Bewährt hat sich eine kurze gemeinsame Sitzung nach jedem größeren Scan. Alle, die Tags einbinden dürfen, sehen dieselbe Liste und klären offene Einträge direkt. Aus einer Stunde gemeinsamer Arbeit entstehen weniger Rückfragen als aus zehn einzelnen Nachrichten.

Legen Sie außerdem fest, wer die Einstufungen freigibt. Wenn jeder Kategorien ändern darf, entstehen Widersprüche zwischen Hinweis und Richtlinie. Eine Person oder ein kleines Team mit klarer Zuständigkeit verhindert das.

Und schließlich: Halten Sie fest, warum Sie eine Einstufung so und nicht anders vorgenommen haben. Ein Satz pro Eintrag genügt. Wer später fragt, warum ein Cookie als notwendig geführt wurde, findet die Begründung dort, wo er sie sucht, statt sie aus dem Gedächtnis rekonstruieren zu müssen.

Der Scanner hat einen Tag gefunden, den er keiner bekannten Kategorie zuordnen kann. Sie müssen herausfinden, wozu der Tag dient, ihn einer der fünf AdOpt-Kategorien zuordnen und die Änderung veröffentlichen. Vorher sollten Sie den Eintrag weder ignorieren noch pauschal als notwendig einstufen, weil der Hinweis sonst nicht der Wirklichkeit entspricht.

Öffnen Sie das Klassifizierungsmenü des Eintrags, wählen Sie die passende Kategorie aus und speichern Sie die Änderung. Anschließend veröffentlichen Sie sie, damit sie im Hinweis für Ihre Besucher gilt. Kontrollieren Sie danach im Browser, ob der Eintrag wie gewünscht erscheint. Die Kategorien sind notwendig, Marketing bzw. Werbung, Statistik bzw. Analyse, Leistung und funktional.

Nein. Notwendig ist nur, was nach § 25 Absatz 2 Nummer 2 TDDDG unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann. Die Orientierungshilfe verlangt, dass jeder Zweck eines Mehrzweck-Cookies die Ausnahme erfüllt. Klären Sie den Zweck, bevor Sie einstufen, und dokumentieren Sie Ihre Begründung.

Der geprüfte Bericht liefert die Liste der Cookies und Tags für Ihre Richtlinie. Ergänzen Sie pro Eintrag Anbieter, Zweck, Funktionsdauer und die Angabe, ob Dritte Zugriff erhalten. Nach jeder Veröffentlichung vergleichen Sie Hinweis und Richtlinie, damit beide denselben Stand haben und keine Abweichungen entstehen.

Bei jedem Scan, mindestens aber nach größeren Änderungen wie Kampagnen, neuen Diensten oder Updates. Eine Einstufung ist eine Momentaufnahme. Dienste verändern ihr Verhalten, und neue Tags kommen hinzu. Ein fester Rhythmus mit Anlässen sorgt dafür, dass Einstufungen aktuell bleiben. Angaben zum Scan-Intervall Ihres Produkts finden Sie in dessen Dokumentation.

• Warum Cookies scannen und erneut scannen: DSGVO, TDDDG und Nachweis
• Google Consent Mode v2 in Deutschland: der Umsetzungsleitfaden

---

Ein Scan-Bericht ist so gut wie die Arbeit, die Sie danach investieren. Mit einer klaren Routine wird aus der Momentaufnahme ein verlässlicher Verlauf.

Wollen Sie Ihre Scan-Ergebnisse in einem Durchgang prüfen, einordnen und veröffentlichen?

Vereinbaren Sie ein Gespräch mit unserem Team