Datenübermittlung an Dritte (Fremdhosts)

Was geprüft

Gesammelt werden alle Adressen im HTML, die auf eine andere registrierbare Domain zeigen: Skripte, Stylesheets, Bilder, iframes, preconnect-Hinweise und erkannte Einbettungscodes. Bekannte Dienste werden über eine eigene, gepflegte Dienstliste zugeordnet; andere Hosts heißen „nicht zugeordnet“. dns-prefetch zählt nicht, weil dabei nur der eigene DNS-Resolver gefragt wird.

Wie relevant

Nur Information, ohne Wertung: Der Datenschutz-Indikator zählt nicht zum Gesamtwert. Er beschreibt technische Beobachtungen; welche Regeln gelten, hängt vom Einzelfall ab. Wird ein Dienst sofort eingebunden, erscheint er als „vermutlich beim Aufruf geladen“; ist er nur vorbereitet (type="text/plain" oder nur data-src, typisch für Einwilligungs-Blocker), erscheint er als „erst nach einer Interaktion“. Ob ein Einwilligungsbanner das sofortige Laden verhindert, ist ohne Browser nicht feststellbar.

Warum

Lädt der Browser eine Datei von einem fremden Host, erhält dieser mindestens die IP-Adresse des Besuchers und die aufgerufene Adresse. Diese Prüfung zeigt, an welche Hosts beim Aufruf Anfragen gehen können; ob das im Einzelfall zulässig ist, beurteilt das Werkzeug nicht. Ob daraus eine rechtliche Pflicht folgt, klären Sie mit Ihrer Rechtsberatung; öffentliche Leitfäden bieten z. B. die Industrie- und Handelskammern (IHK, Deutschland), die Wirtschaftskammer Österreich (WKO) und die Datenschutzbehörden.

Wie beheben

Prüfen Sie die Liste: Welche Hosts sind nötig, welche lassen sich durch eigene Kopien ersetzen (Schriften, Bibliotheken, Bilder), welche sollen erst nach Einwilligung geladen werden? Für Letzteres binden Sie das Einwilligungs-Werkzeug so ein, dass es die Skripte blockiert, bis Besucher zustimmen.

Nebenwirkung: Eigene Kopien sind selbst zu aktualisieren, etwa bei Sicherheitsupdates einer Bibliothek. Blockierte Dienste fehlen, bis Besucher zustimmen; prüfen Sie Formulare, Karten und Videos im privaten Fenster ohne Einwilligung.

WordPress: Fremde Hosts kommen oft über Theme, Page-Builder oder Plugins ins HTML (Schriften, Icons, Statistik). Prüfen Sie deren Einstellungen auf eine Option für lokale Einbindung, bevor Sie eingreifen.

Codebeispiel

HTML: Skript erst nach Einwilligung ausführen (Muster vieler Einwilligungs-Werkzeuge)

<!-- type="text/plain": Der Browser führt das Skript nicht aus.
     Das Einwilligungs-Werkzeug ändert den Typ erst nach Zustimmung.
     Attributname je nach Werkzeug, z. B. data-category oder data-cookieconsent -->
<script type="text/plain" data-category="statistics"
        src="https://www.googletagmanager.com/gtag/js?id=G-XXXXXXX"></script>

Weiterführende Quellen

• https://developer.mozilla.org/en-US/docs/Web/HTML/Attributes/rel/preconnect
• https://www.datenschutzkonferenz-online.de/orientierungshilfen.html
• https://www.dsb.gv.at/
• https://www.ihk.de/