Was Automation sinnvoll leisten kann
Browserbasierte Prüfungen können wiederholbare technische Beobachtungen liefern. Sie zeigen, was beim Aufruf einer Anwendung tatsächlich im Browser passiert – nicht, was eine Dokumentation behauptet.
- Welche Cookies werden vor und nach einer Interaktion gesetzt?
- Werden Local Storage oder Session Storage genutzt?
- Welche Drittanbieter-Domains werden kontaktiert?
- Gibt es sichtbare und verständlich beschriftete Einwilligungsoptionen?
- Starten optionale Dienste, bevor eine Entscheidung getroffen wurde?
Was der Scanner nicht entscheiden kann
Ob eine Verarbeitung zulässig ist, hängt nicht nur von einem Script oder Cookie ab. Zweck, Rechtsgrundlage, Vertrag, Empfängerkreis, Aufbewahrungsdauer und tatsächliche Organisation spielen neben der Technik eine Rolle.
Ein automatisierter Check darf deshalb keine vollständige DSGVO-Konformität versprechen. Er liefert technische Evidence für eine fachliche Bewertung – nicht das rechtliche Ergebnis selbst.
Auch fehlende Abdeckung ist ein Ergebnis
Automation ist nicht nur dann unvollständig, wenn eine Regel fehlt. Auch der Lauf selbst kann Lücken haben: blockierte Ressourcen, Timeouts, Cross-Origin-Iframes oder ein Consent-Dialog, den die Automation nicht sicher bedienen konnte.
„Keine Auffälligkeit erkannt“ ist nur sinnvoll, wenn klar ist, was tatsächlich beobachtet wurde. Ein fehlgeschlagener Check darf niemals wie ein bestandener Check aussehen.
Der Übergang zur Rechtsprüfung
Die beste technische Vorarbeit ist keine vorformulierte Konformitätsbehauptung, sondern eine Datenflussinventur. Sie verbindet technische Realität mit den Fragen, die fachlich entschieden werden müssen.
Datenkategorie → Zweck → Quelle → Empfänger → Speicherort → Löschweg → offene Rechtsfrage
Illustratives Beispiel
Technischer Privacy-Snapshot einer Beispielseite
Der folgende Lauf zeigt, welche technischen Beobachtungen ein Scanner liefern könnte. Die Werte sind erfunden und enthalten keine rechtliche Bewertung.
| Vor Entscheidung | 1 Cookie | Ein notwendiges Session-Cookie; keine beobachtete Marketinganfrage. |
|---|---|---|
| Nach Zustimmung | 4 Cookies | Drei zusätzliche Cookies eines fiktiven Analyseanbieters. |
| Drittanbieter | 2 Domains | Analyse-CDN und eingebetteter Videoplayer wurden kontaktiert. |
| Abdeckung | 8 von 9 Checks | Ein Cross-Origin-Iframe konnte nicht vollständig ausgewertet werden. |
| Offene Frage | Löschfrist | Die technische Beobachtung verrät nicht, wie lange Ereignisdaten gespeichert werden. |
Keine echte VLDX7-Messung. Alle Werte und Bezeichnungen dienen nur dazu, das Vorgehen nachvollziehbar zu machen.