Ein Cookie-Scanner liefert eine Bestandsliste für einen bestimmten Zeitpunkt. Ihre Website bleibt aber nicht stehen: Marketing bindet einen neuen Dienst ein, ein Plugin wird aktualisiert, ein Video wird eingebettet. Jede dieser Änderungen kann Cookies oder Verbindungen zu Drittanbietern hinzufügen, und nichts davon passiert im Banner. Deshalb gehört zum Scannen das erneute Scannen.

Die rechtliche Seite ist nüchtern. Nach § 25 Absatz 1 TDDDG braucht die Speicherung von Informationen im Endgerät und der Zugriff darauf die Einwilligung auf der Grundlage klarer und umfassender Informationen. Die Datenschutzkonferenz geht in ihrer Orientierungshilfe noch einen Schritt weiter: Ändern sich die eingesetzten Cookies und Drittdienste, ist für den neuen Fall eine neue Einwilligung einzuholen. Ohne aktuelle Bestandsliste wissen Sie nicht einmal, dass sich etwas geändert hat.

Dieser Beitrag erklärt, wie Tags unbemerkt entstehen, was die Aufsichtsbehörden zu Information, Einwilligung und Nachweis konkret schreiben, wann Sie erneut scannen sollten und was das für Sie als Kundin oder Kunde von AdOpt bedeutet. Es ist keine Rechtsberatung, sondern eine Einordnung anhand der Primärquellen.

Niemand baut absichtlich einen nicht dokumentierten Tracker ein. Die meisten Lücken entstehen durch normale Arbeit, die an verschiedenen Stellen im Unternehmen passiert. Drei Wege sind besonders häufig.

Über einen Tag-Manager kann das Marketing-Team Skripte ohne Zutun der Entwicklung veröffentlichen. Das ist gewollt, denn es macht Kampagnen schneller. Es bedeutet aber auch, dass ein neuer Tag live gehen kann, ohne dass der Datenschutz davon erfährt.

Ein typisches Beispiel: Für eine Kampagne wird ein Conversion-Pixel eines Werbenetzwerks eingerichtet. Der Tag läuft innerhalb von Minuten auf der ganzen Website. Im Cookie-Hinweis steht davon nichts, weil der letzte Scan älter ist als die Kampagne.

Content-Management-Systeme und Shop-Systeme laden Erweiterungen, die eigene Skripte mitbringen. Ein Update kann ein Plugin um Funktionen erweitern, die externe Dienste ansprechen, etwa für Schriften, Karten, Bewertungen oder Analysen. Neue Versionen ändern manchmal, welche Verbindungen ein Plugin aufbaut.

Die Änderung ist im Changelog oft nur eine Zeile. Für Ihre Bestandsliste kann sie einen neuen Anbieter bedeuten. Wer Updates automatisch einspielt, sollte deshalb nach größeren Aktualisierungen einen neuen Scan einplanen.

Videos, Karten, Social-Media-Beiträge und Buchungswidgets werden von fremden Servern geladen. Die Orientierungshilfe weist darauf hin, dass mit der Einbindung von Drittinhalten regelmäßig eine Offenlegung personenbezogener Daten an die Betreiber des jeweiligen Servers verbunden ist. Als Beispiele nennt sie Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos, Fotos oder Inhalte sozialer Netzwerke (OH Digitale Dienste, Version 1.2, Rn. 101).

Solche Einbindungen entstehen oft in redaktionellen Beiträgen. Wer einen Artikel um ein eingebettetes Video ergänzt, denkt an den Inhalt und nicht an die Verbindung zu einem Drittanbieter. Der nächste Scan zeigt, ob der Abruf schon im Hinweis steht.

Das folgende Beispiel ist erfunden, aber typisch. Ein mittelständischer Online-Shop lässt im Januar seinen Tag-Bestand scannen. Der Bericht ist sauber, der Hinweis stimmt, die Gegenprobe im Browser zeigt keine Auffälligkeiten. Alles ist dokumentiert.

In der ersten Februarwoche startet das Marketing eine Kampagne und veröffentlicht über den Tag-Manager ein Conversion-Pixel. In der zweiten Woche wird der Shop-Baukasten aktualisiert, und eine neue Version des Bewertungs-Plugins lädt ihre Schriften nun von einem externen Server. In der dritten Woche bettet die Redaktion ein Video in einen Ratgeber ein.

Drei Änderungen, drei verschiedene Personen, kein böser Wille. Im Hinweis steht weiterhin der Stand von Januar. Die Datenschutzerklärung nennt keinen der drei neuen Anbieter. Erst der nächste Scan im April macht die Abweichung sichtbar, und bis dahin liefen zwei Monate lang Verbindungen, die der Hinweis nicht kannte.

Der Fall zeigt, dass es selten um eine einzelne Fehlentscheidung geht. Es geht um fehlende Sichtbarkeit zwischen den Abteilungen. Ein Scan nach jeder der drei Änderungen hätte die Lücke jeweils innerhalb von Tagen geschlossen. Mit einem Prüfanlass „nach Kampagnenstart, nach größerem Update, nach neuer Einbettung“ wäre das Ergebnis ein anderes gewesen.

Die folgenden Punkte stützen sich auf den Wortlaut von § 25 TDDDG und auf die Orientierungshilfe der Datenschutzkonferenz (DSK), Version 1.2 vom November 2024 (OH Digitale Dienste). Die Orientierungshilfe ist keine Rechtsnorm, sondern die gemeinsame Auslegung der Aufsichtsbehörden und damit der Maßstab, an dem geprüft wird.

§ 25 Absatz 1 TDDDG nennt zwei Vorgänge: die Speicherung von Informationen im Endgerät und den Zugriff auf Informationen, die dort bereits gespeichert sind. Beide sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat (Gesetzestext).

Die Orientierungshilfe konkretisiert den Zeitpunkt: Die Willenserklärung muss erteilt sein, bevor der einwilligungsbedürftige Zugriff erfolgt. Es ist nicht zulässig, einwilligungsbedürftige Cookies schon beim ersten Aufruf zu setzen und erst danach die Einwilligung abzufragen (Rn. 36). Ein neuer Tag, der unbemerkt ins Setup gelangt, verstößt genau gegen diesen Grundsatz, wenn er vor der Entscheidung des Besuchers lädt.

Die Orientierungshilfe verlangt, dass jegliche Speicher- und Ausleseaktivitäten transparent und nachvollziehbar sind. Nutzende müssen unter anderem wissen, wer auf das Endgerät zugreift, in welcher Form und zu welchem Zweck, welche Funktionsdauer die Cookies haben und ob Dritte Zugriff erlangen können (Rn. 37).

Bei Drittdiensten reicht ein allgemeiner Hinweis auf „Partner“ nicht. Werden Drittdienstleister eingebunden, sind sie einzeln zu benennen (Rn. 120). Eine Liste, die nicht mehr zur Website passt, erfüllt diesen Maßstab nicht, auch wenn sie zum Zeitpunkt ihrer Erstellung vollständig war.

Hinzu kommt der Abgleich mit anderen Texten: Die Orientierungshilfe beschreibt als häufiges Defizit, dass Banner andere Informationen enthalten als die Datenschutzerklärung, etwa andere Rechtsgrundlagen, andere Drittanbieter oder andere Zwecke (Rn. 40). Ein Scan ist das schnellste Mittel, um solche Abweichungen zu entdecken.

Eine Einwilligung bezieht sich immer auf „den bestimmten Fall“. Die Orientierungshilfe folgert daraus für gebündelte Einwilligungen, wie sie auf Websites üblich sind: Jede Änderung insbesondere der eingesetzten Cookies und eingebundenen Drittdienste führt dazu, dass für den neuen Fall eine neue Einwilligung eingeholt werden muss. Wird sie nicht einzeln abgefragt, muss die gebündelte Einwilligung erneut eingeholt werden (Rn. 63).

Das ist der wichtigste rechtliche Grund für regelmäßige Scans. Sie erfahren durch den Scan überhaupt erst, dass sich der Fall geändert hat. Ob Sie daraus im Einzelfall eine erneute Abfrage ableiten müssen, sollte Ihre Datenschutzberatung entscheiden. Der Scan liefert die Tatsachengrundlage dafür.

Nach § 25 Absatz 2 Nummer 2 TDDDG ist keine Einwilligung nötig, wenn Speicherung oder Zugriff unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Was hier hineingehört, behandelt der Beitrag zum Cookie-Banner nach TDDDG im Detail.

Für den Scan ist eine Feinheit wichtig: Ein Cookie kann mehreren Zwecken dienen. Die Orientierungshilfe hält fest, dass ein solcher Mehrzweck-Cookie nur dann von der Einwilligungspflicht ausgenommen werden kann, wenn für jeden einzelnen Zweck die Voraussetzungen der Ausnahme vorliegen (Rn. 86). Ein Scanner sieht den Cookie-Namen, aber nicht automatisch alle Zwecke. Diese Prüfung bleibt Ihre Aufgabe.

Wer Cookies einsetzt, muss belegen können, was er wann getan hat. Das folgt aus der Nachweispflicht, die § 25 Absatz 1 Satz 2 TDDDG über die DSGVO einbezieht. Die Orientierungshilfe spricht hier von der Nachweispflicht gemäß § 25 Absatz 1 Satz 2 TDDDG in Verbindung mit Artikel 7 Absatz 1 und Artikel 5 Absatz 2 DSGVO (Rn. 84).

Nach der Orientierungshilfe genügt es in der Regel nachzuweisen, dass und welche Prozesse implementiert wurden, um eine Einwilligung einzuholen, und das Ergebnis in einem Cookie ohne UID oder sonstige überschießende Informationen abzulegen (Rn. 84).

Die Darlegung der Prozesse umfasst mehr als die Einbindung eines Banners: Art und Weise der Speicherung und des Auslesens der Entscheidungen, eine Beschreibung der technischen Abläufe und die zum Zeitpunkt der Einwilligung vorgelegten Informationen. Die Orientierungshilfe empfiehlt ausdrücklich, auch überholte Banner-Texte und -Konfigurationen zu speichern, um darauf als Nachweis zurückgreifen zu können (Rn. 85).

Die folgende Einordnung ist unsere Schlussfolgerung, keine Aussage der Behörden. Die „zum Zeitpunkt der erteilten Einwilligung vorgelegten Informationen“ enthalten die Liste der Cookies und Dienste. Wer Scan-Berichte mit Datum aufbewahrt, kann später zeigen, welcher Tag-Bestand zu welchem Zeitpunkt bekannt war und wie der Hinweis darauf reagiert hat.

Ein Verlauf beantwortet drei Fragen, die im Streitfall auftauchen: Was war zum Zeitpunkt X auf der Website? Was stand zu diesem Zeitpunkt im Hinweis? Wann wurde eine Abweichung bemerkt und behoben? Ohne regelmäßige Scans fehlt für die dritte Frage jede Grundlage.

Ein Hinweis zur Form: Ein Nachweis ist nur so gut wie seine Auffindbarkeit. Legen Sie Berichte nicht in privaten Ordnern ab, sondern dort, wo auch die Datenschutzbeauftragte oder der Datenschutzbeauftragte Zugriff hat.

Bewahren Sie deshalb Berichte, Screenshots der Hinweis-Konfiguration und die Ergebnisse Ihrer Gegenproben zusammen auf. Wie Sie die Gegenprobe im Browser durchführen, beschreibt der Beitrag Cookie-Scanner: So funktioniert die Website-Analyse.

Viele Unternehmen pflegen ihre Angaben zu Cookies an drei Stellen: im Banner, in der Datenschutzerklärung und in einer eigenen Cookie-Richtlinie. Jede Stelle wird von einer anderen Person aktualisiert, und jede hat einen anderen Stand. Die Orientierungshilfe nennt genau diese Inkongruenz als typisches Problem (Rn. 40).

Der Scan kann hier als gemeinsame Referenz dienen. Er liefert eine Liste, die alle drei Stellen abbilden sollten. Nach jedem Lauf vergleichen Sie die Liste mit den drei Texten und ziehen Abweichungen nach. So wird aus dem Scan eine redaktionelle Routine und nicht nur ein technischer Test.

Wenn Ihnen der rechtliche Rahmen insgesamt noch unklar ist, hilft der DSGVO-Leitfaden für Deutschland beim Einordnen von Verantwortlichkeit, Aufsicht und Zusammenspiel mit dem TDDDG.

Für die Praxis bewährt sich eine einfache Reihenfolge. Zuerst der Scan, dann die Einordnung der Ergebnisse, dann die Anpassung des Hinweises, dann der Abgleich mit Datenschutzerklärung und Cookie-Richtlinie, und zuletzt die Gegenprobe im Browser. Wie Sie den zweiten Schritt angehen, zeigt der Beitrag Scan-Ergebnisse richtig lesen.

Wer diese Reihenfolge einhält, hat am Ende nicht nur eine aktuelle Website, sondern auch einen Nachweis darüber, dass die Aktualisierung stattgefunden hat.

Eine feste Frist nennt weder das Gesetz noch die Orientierungshilfe. Sinnvoll ist eine Kombination aus Rhythmus und Anlass. Der Rhythmus richtet sich danach, wie schnell sich Ihre Website ändert. Ein Shop mit laufenden Kampagnen braucht kürzere Abstände als eine statische Firmenseite.

• Vor und nach einer Kampagne. Neue Pixel, neue Landingpages, neue Formulare.
• Nach dem Einbau eines neuen Dienstes. Chat, Bewertungen, Karten, Buchungssystem, Video.
• Nach größeren Updates. Content-Management-System, Shop-System, Theme, Plugins.
• Nach einem Relaunch oder einer Migration. Neue Seitenstruktur, neuer Server, neue Domain.
• Nach Änderungen im Tag-Manager. Jede Veröffentlichung eines neuen Containers.
• Bei Personalwechsel. Wenn Zuständigkeiten neu verteilt werden, gehen dokumentierte Absprachen leicht verloren.

Diese Liste ist ein Vorschlag, keine Rechtspflicht. Sie macht aber aus der Formel „regelmäßig prüfen“ etwas, das Sie im Alltag tatsächlich umsetzen können.

Legen Sie fest, wer scannt, in welchen Abständen, und wo das Ergebnis liegt. Halten Sie schriftlich fest, was mit Abweichungen geschieht: wer sie bewertet, wer den Hinweis anpasst und wer die Änderung freigibt. Drei bis vier Zeilen in einem gemeinsamen Dokument genügen.

Wichtiger als der Rhythmus selbst ist, dass er eingehalten wird. Ein Plan mit monatlichem Scan, der nach zwei Monaten einschläft, ist schlechter als ein einfacher Plan mit einem Scan pro Quartal, der wirklich stattfindet.

„Wir haben ein Cookie-Banner, das reicht doch.“ Ein Banner zeigt nur, was ihm mitgeteilt wurde. Es weiß nichts von einem Tag, den niemand eingetragen hat. Der Scan schließt genau diese Lücke zwischen dem, was angezeigt wird, und dem, was tatsächlich läuft.

„Unsere Website ist klein und ändert sich kaum.“ Dann ist der Aufwand gering. Ein Scan pro Quartal und nach jedem Update ist schnell erledigt. Und auch eine kleine Website bindet oft Schriften, Karten oder Videos von Drittanbietern ein, deren Verhalten sich ohne Ihr Zutun ändern kann.

„Das macht doch die Agentur.“ Die Verantwortung für die Website bleibt bei Ihnen als Verantwortlichem. Sie können die Durchführung delegieren, aber nicht das Wissen darüber, was auf Ihrer Seite läuft. Vereinbaren Sie mit der Agentur, dass Sie nach jeder Änderung einen aktuellen Bericht erhalten.

Der Tag-Scanner von AdOpt klassifiziert die Tags, die auf den mit dem Hinweis verknüpften URLs gefunden werden. Ein Tag löst dabei ein oder mehrere Cookies aus. Die Funktion ist schon im kostenlosen Tarif verfügbar. Zu Scan-Intervall, Tiefe und Abdeckung machen wir hier keine Zusagen. Bitte prüfen Sie diese Punkte in der Dokumentation von AdOpt.

Der Hinweis, den Ihre Besucher sehen, enthält die Liste der Tags und Cookies von Drittanbietern mit den Klassifizierungen, die Sie als Verantwortlicher festgelegt haben. Besucher können pro Kategorie entscheiden. Damit ist die Liste im Hinweis der Ort, an dem sich Ihr Scan-Ergebnis für Dritte sichtbar niederschlägt.

Das macht die Pflege der Liste zu einer redaktionellen Aufgabe: Nach jedem Scan sollten Sie die Einstufungen prüfen, bevor Sie sie veröffentlichen. Wie Sie dabei vorgehen, zeigt der Praxisbeitrag zum Lesen von Scan-Ergebnissen.

Erkennt der Scanner einen Tag nicht, führt AdOpt ihn als „Unbekannt“. Diese Einträge müssen Sie selbst einer der fünf Kategorien zuordnen, also notwendig, Marketing bzw. Werbung, Statistik bzw. Analyse, Leistung oder funktional, und die Änderung anschließend speichern und veröffentlichen.

Ein Eintrag „Unbekannt“ ist kein Ausnahmefall. Gerade neue oder seltene Dienste werden oft nicht sofort erkannt. Wenn Sie ihn stehen lassen, bleibt der Zweck des Tags im Hinweis offen. Genau diese Offenheit widerspricht dem Maßstab der konkreten Information, den wir oben beschrieben haben.

Der Scan zeigt, was da ist. Die Sperre sorgt dafür, dass einwilligungsbedürftige Tags erst nach der Entscheidung laden. Der Nachweis belegt, was der Besucher entschieden hat. AdOpt hält die Wahl mit einer eindeutigen CookieID im Browser fest.

Die Einstellung „Tag aktiv oder inaktiv“ legt nur fest, ob der Schalter im Hinweis beim ersten Besuch an oder aus ist. Sie ersetzt nicht die Sperre der Tags. Diese richten Sie separat ein, manuell oder automatisch. Prüfen Sie im Browser, ob sie greift, so wie es der Beitrag zur Funktionsweise Schritt für Schritt beschreibt.

Eine feste Scan-Frist steht weder im Gesetz noch in der Orientierungshilfe. Die Pflicht zu wirksamer Einwilligung und konkreter Information gilt aber fortlaufend. Ändern sich Cookies oder Drittdienste, ist nach der Orientierungshilfe für den neuen Fall eine neue Einwilligung einzuholen. Ein regelmäßiger Scan ist das praktische Mittel, solche Änderungen überhaupt zu bemerken.

Das hängt davon ab, wie oft sich Ihre Website ändert. Sinnvoll ist ein fester Rhythmus, ergänzt um Anlässe wie Kampagnenstart, neue Dienste, größere Updates und Relaunches. Ein Shop mit laufenden Kampagnen braucht kürzere Abstände als eine statische Firmenseite. Wichtiger als die Häufigkeit ist, dass der Rhythmus tatsächlich eingehalten wird.

Die Orientierungshilfe empfiehlt, Prozesse, technische Abläufe und die zum Zeitpunkt der Einwilligung vorgelegten Informationen nachweisbar zu halten, auch überholte Banner-Texte und -Konfigurationen. Datierte Scan-Berichte, Konfigurationsstände des Hinweises und Ergebnisse Ihrer Gegenproben im Browser ergänzen diese Dokumentation. Ob das im Einzelfall genügt, klärt Ihre Datenschutzberatung.

Nach der Orientierungshilfe greift das Einwilligungserfordernis des § 25 TDDDG unabhängig davon, ob in dem Cookie personenbezogene Daten gespeichert sind. Entscheidend ist, ob Informationen im Endgerät gespeichert oder ausgelesen werden und ob die Ausnahme der unbedingten Erforderlichkeit greift. Der Personenbezug spielt erst für die nachfolgende Datenverarbeitung nach der DSGVO eine Rolle.

Der Scanner hat den Tag nicht erkannt. Ordnen Sie ihn einer der fünf Kategorien zu (notwendig, Marketing bzw. Werbung, Statistik bzw. Analyse, Leistung oder funktional) und veröffentlichen Sie die Änderung. Bis dahin ist der Zweck des Tags im Hinweis nicht sauber eingeordnet.

• Cookie-Scanner: So funktioniert die Website-Analyse
• Google Consent Mode v2 in Deutschland: der Umsetzungsleitfaden

---

Ein einmaliger Scan dokumentiert, was an einem Tag gefunden wurde. Ein Verlauf dokumentiert, dass Sie regelmäßig hingesehen haben, als sich die Seite änderte. Eine Prüfung der Rechtmäßigkeit ersetzt beides nicht.

Wollen Sie bei Änderungen an Ihrem Tag-Bestand nicht länger im Dunkeln stehen?

Vereinbaren Sie ein Gespräch mit unserem Team