Prüfpunkt dsgvo-third-countryVor der Einwilligung
Welche US-Anbieter kontaktiert meine Website beim Seitenaufruf?
Beim Aufruf einer Website lädt der Browser oft Dateien von fremden Servern: Schriften, Skripte, Videos, Karten, Zähler. Jeder dieser Abrufe übermittelt die IP-Adresse des Besuchers an den Anbieter. Sitzt der Anbieter in den USA, ist das eine Übermittlung in ein Drittland, die eine eigene Grundlage braucht — heute meist das Data Privacy Framework oder Standardvertragsklauseln — und die in der Datenschutzerklärung genannt werden muss. Der Prüfbereich Datenschutz gleicht die beim Seitenaufruf kontaktierten Hosts mit bekannten US-Anbietern ab und weist sie als Liste aus.
Eine Information, kein Urteil
Der Befund sagt nicht, dass die Übermittlung unzulässig ist. Viele US-Anbieter sind unter dem Data Privacy Framework zertifiziert, und für andere bestehen Standardvertragsklauseln; ob das im Einzelfall trägt, ist eine rechtliche Frage, die der Prüfbereich nicht beantwortet. Was er leistet, ist das Inventar: Welche Anbieter werden tatsächlich kontaktiert, bevor der Besucher irgendetwas angeklickt hat? Genau diese Liste muss die Datenschutzerklärung abdecken — und genau diese Liste kennen viele Betreiber nicht, weil Schriften, Icon-Bibliotheken und Einbettungen von Vorlagen und Plugins mitgebracht werden. Der Befund trägt deshalb die Stufe Information und ändert keinen Punktwert.
Wie die Zuordnung entsteht
Der Prüfbereich führt eine gepflegte Liste bekannter Anbieter mit Sitz in den USA — Google mit seinen Diensten, Meta, Microsoft, Cloudflare, Adobe, Amazon-Infrastruktur, Vimeo, Hotjar, HubSpot und weitere. Jeder beim Seitenaufruf kontaktierte fremde Host wird gegen diese Liste geprüft. Anbieter, die nicht darin stehen, werden nicht genannt; die Liste ist bewusst konservativ, damit kein europäischer Anbieter fälschlich als US-Anbieter erscheint. Der Prüfbereich sieht dabei nur die Hosts, nicht die vertragliche Lage dahinter: Ein US-Dienst über einen europäischen Vertragspartner erscheint weiterhin als US-Host, weil die Daten dorthin fließen.
So gehen Sie es an
- Vergleichen Sie die Liste mit Ihrer Datenschutzerklärung: Jeder genannte Anbieter braucht dort einen Eintrag mit Zweck und Übermittlungsgrundlage.
- Prüfen Sie für jeden Anbieter, ob er unter dem Data Privacy Framework zertifiziert ist oder Standardvertragsklauseln vorliegen.
- Ersetzen Sie, was sich ersetzen lässt: Schriften und Icon-Bibliotheken lokal einbinden, Karten und Videos erst nach Einwilligung laden.
- Wiederholen Sie die Prüfung nach jedem Plugin- oder Vorlagenwechsel — neue Anbieter kommen oft unbemerkt hinzu.
Weiter im Prüfbereich Daten & Recht
- Was ist ein Einwilligungs-Signal und warum braucht mein Tag-Manager eines?Ein Banner allein reicht nicht: Google Consent Mode v2 und IAB TCF geben die Entscheidung des Besuchers an die Dienste weiter. Wie der Prüfbereich das erkennt.
- Wann ist ein Cookie-Banner ein Dark Pattern?Großer Akzeptieren-Knopf, winziger Ablehnen-Link: Der Prüfbereich misst, ob Ablehnen so leicht ist wie Zustimmen — sonst ist die Einwilligung nicht freiwillig.
- Dürfen Cookies schon vor der Einwilligung gesetzt werden?Tracking-Cookies dürfen erst nach der Zustimmung gesetzt werden. Die Prüfung liest in einem frischen Browser aus, was Ihre Website vorher schon anlegt.
- Welche Fremdserver kontaktiert meine Website schon beim Aufruf?Jede Verbindung zu einem Tracking-Dienst überträgt die IP-Adresse des Besuchers. Die Prüfung protokolliert alle Fremdserver-Kontakte vor der Einwilligung.
Dieser Prüfpunkt gehört zum Prüfbereich Daten & Recht; dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.
Foto: Daria Nepriakhina, CC0
.jpg){kind=link}