Wenn dir jemand zu einem Dokument eine Prüfliste mitliefert, hat er dir gerade gesagt, dass er nicht nachgesehen hat.
Genau so entstehen gerade viele Datenschutzerklärungen. Ein Portal stellt Fragen, du setzt Häkchen, und heraus kommt ein langer, sauber formulierter Text. Dieser Text beschreibt, was du angegeben hast. Was deine Website beim Aufruf tatsächlich lädt, hat dabei niemand angesehen. Zwischen beidem liegt in der Praxis erstaunlich viel Platz.
Wie so ein Text entsteht
Die gängigen Generatoren arbeiten mit einem Fragebogen. Nutzt du ein Kontaktformular? Einen Newsletter? Karten, Videos, Analyse-Werkzeuge? Aus deinen Antworten setzt das Portal Textbausteine zusammen. Das Ergebnis ist oft sorgfältig formuliert und wirkt vollständig.
Dazu kommt häufig eine Prüfliste: Bestätige, dass …, stelle sicher, dass …, prüfe, ob … Diese Liste ist ehrlich gemeint, und sie verrät, wie das Verfahren funktioniert. Die Arbeit des Abgleichs liegt bei dir. Das Portal kennt deine Antworten, deine Website kennt es nicht.
Was beim Nachmessen herauskam
Bei einem Kunden mit einer über Jahre gewachsenen Website lag genau so ein Dokument vor: frisch erstellt, sehr ausführlich, dazu eine Prüfliste mit rund sechzig Punkten zum Selbst-Abhaken. Statt die Liste abzuhaken, habe ich nachgemessen, was die Seite beim Aufruf wirklich lädt. Drei Dinge standen in keiner Zeile:
- Auf jeder einzelnen Seite lud die Schnittstelle eines Kartendienstes mit, obwohl auf der gesamten Website keine Karte eingebunden war.
- Ein Newsletter-Formular auf einer Unterseite baute die Verbindung zum Anbieter auf, bevor irgendjemand eingewilligt hatte.
- Unter derselben Domain lief eine zweite, eigenständige Installation mit eigenem Social-Media-Skript und ohne Cookie-Banner. Wer sie betreut, konnte im Haus niemand mehr genau sagen.
Hinter keinem der drei Punkte steckte Absicht. Alle drei waren über die Jahre entstanden: ein Plugin, das einmal eine Karte brauchte, ein Formular, das jemand schnell eingebaut hat, ein Projekt, das nach dem Start niemandem mehr gehörte. Genau deshalb tauchten sie in keinem Fragebogen auf. Was du nicht auf dem Schirm hast, kannst du auch nicht ankreuzen.
Dasselbe Muster steckt überall im Betrieb
Ein Dokument beschreibt eine Absicht. Der Betrieb macht, was er macht. Mit der Zeit entsteht zwischen beidem ein Abstand, und in diesem Abstand sitzen die blinden Flecken.
Das Organigramm zeigt die Zuständigkeiten von vorletztem Jahr. In der Preisliste stehen die offiziellen Preise, während im Alltag längst anders gerechnet wird. Die Prozessbeschreibung im Ordner erklärt einen Ablauf, den das Team vor zwei Jahren umgebaut hat.
Jedes dieser Dokumente war richtig, als es geschrieben wurde. Es ist nur nicht mitgewachsen. Und weil es ordentlich aussieht, fragt auch niemand nach.
Nachsehen statt annehmen
Der Hebel ist unspektakulär: Leg die Wirklichkeit einmal neben das Dokument.
Bei der Website heißt das, die Seite so aufzurufen, wie ein Fremder es tut, und zu schauen, welche Dienste dabei geladen werden. Das geht mit jedem gängigen Browser, ohne Zusatzprogramm, und dauert rund zehn Minuten.
Der Abgleich in fünf Schritten
- Privates Fenster öffnen und deine Startseite aufrufen. Das Cookie-Banner lässt du stehen, du klickst weder auf Zustimmen noch auf Ablehnen.
- Entwicklerwerkzeuge öffnen (Taste F12, am Mac Cmd + Option + I), den Reiter „Netzwerk“ wählen, das Häkchen bei „Cache deaktivieren“ setzen und die Seite neu laden.
- Die eigene Domain ausblenden. Ins Filterfeld schreibst du
-domain:*deinedomain.de. Übrig bleibt alles, was deine Seite von fremden Servern holt, bevor jemand eingewilligt hat. - Die Unterseiten mitnehmen, auf denen etwas eingebaut ist: Kontakt, Anfahrt, Newsletter, Shop, Termine. Dort sitzen meist die Formulare, Karten und Videos.
- Neben die Erklärung legen. Zu jeder fremden Adresse suchst du den passenden Dienst in deiner Datenschutzerklärung. Was dort nicht vorkommt, kommt auf deine Liste. Zusätzlich fragst du im Team, ob unter deiner Domain noch etwas anderes läuft, etwa ein alter Shop, ein Buchungssystem oder eine Aktionsseite.
Woran du dabei erkennst, ob dein Cookie-Banner wirklich etwas zurückhält, steht im Artikel Dein Cookie-Banner blockt vermutlich gar nicht. Bei internen Dokumenten heißt Nachsehen, die Person zu fragen, die die Arbeit tatsächlich macht, statt die Person, die das Dokument verantwortet.
Eine rechtliche Bewertung ersetzt das Nachsehen übrigens nicht, es ist ihre Grundlage. Ob deine Erklärung vollständig ist, beurteilt am Ende eine Anwältin oder ein Datenschutzbeauftragter. Was die beiden dafür brauchen, ist genau diese Liste: was deine Seite wirklich lädt.
Und dann die unbequeme Frage: Welches Dokument in deinem Betrieb behauptet gerade etwas, das seit zwei Jahren anders läuft?
So hilft dir KI dabei
Auch eine KI schreibt dir eine Datenschutzerklärung, und sie macht dabei dasselbe wie das Portal: Sie formuliert sauber aus, was du ihr erzählst. Was deine Seite beim Aufruf wirklich lädt, weiß sie genauso wenig. Wer den Generator durch eine KI ersetzt, bekommt denselben Abstand, nur schneller.
Ihre Stärke liegt an einer anderen Stelle, nämlich beim Abgleich. Öffne die Netzwerk-Anzeige deines Browsers, ruf deine Startseite und zwei, drei Unterseiten auf und kopier die Liste der fremden Adressen heraus. Gib der KI diese Liste zusammen mit deiner Datenschutzerklärung und bitte sie, jede Adresse einem Dienst zuzuordnen und alles zu markieren, was in der Erklärung nicht vorkommt. Aus sechzig Punkten zum Abhaken wird so eine kurze Liste mit konkreten Fragen.
Mit dieser Liste gehst du zu deiner Anwältin oder deinem Datenschutzbeauftragten. Die rechtliche Bewertung bleibt bei ihnen, aber sie bekommen endlich die Grundlage, die ihnen sonst fehlt. Genau so setze ich KI in meiner Arbeit ein: Sie übernimmt das Nachsehen, das sonst liegen bleibt, und die Entscheidung trifft ein Mensch.
Häufige Fragen
Woran erkenne ich, dass meine Datenschutzerklärung nicht zu meiner Website passt?
Wenn du nicht sicher sagen kannst, welche Dienste deine Seite beim Aufruf lädt, kann es deine Erklärung auch nicht. Sie ist so genau wie das Wissen, aus dem sie entstanden ist. Die Netzwerk-Anzeige deines Browsers zeigt dir in wenigen Minuten, welche fremden Adressen deine Seite anspricht.
Reicht ein Cookie-Banner?
Das Banner fragt nach der Einwilligung. Ob sich die Seite danach richtet, ist eine zweite Frage, und genau die bleibt oft ungeprüft.
Mein Dienstleister hat die Seite gebaut. Ist er dafür zuständig?
Was euer Vertrag regelt, steht im Vertrag. Unabhängig davon lohnt es sich, selbst zu wissen, was auf deiner Seite läuft, denn im Impressum stehst du als Betreiber.
Was ist der Unterschied zwischen einer Prüfliste und einer Prüfung?
Eine Prüfliste sagt dir, was du bestätigen sollst. Eine Prüfung schaut nach, ob es stimmt. Die erste kostet dich Zeit, die zweite gibt dir eine Antwort.
Wie oft sollte ich nachsehen?
Nach jeder größeren Änderung an der Website und sonst einmal im Jahr. Neue Plugins, Formulare und Einbindungen sind die typischen Stellen, an denen der Abstand wächst.
Kann ich meine Datenschutzerklärung von einer KI schreiben lassen?
Schreiben kann sie, aber sie beschreibt dann genau das, was du ihr erzählst, wie jeder Generator. Mehr bringt sie beim Abgleich: Sie ordnet die Adressen, die deine Seite lädt, den passenden Diensten zu und zeigt dir, was in deiner Erklärung fehlt. Ob der Text rechtlich trägt, beurteilt weiterhin eine Fachperson.
- Dein Cookie-Banner blockt vermutlich gar nicht
- Die Woche, in der ich drei Websites abgedichtet habe
- Was auf deiner Website kaputt ist, ohne dass du es merkst
Du willst wissen, was deine Website wirklich lädt?
Die Webseitenanalyse schaut aus fünf Perspektiven auf deine Seite – auch auf Technik und Datenschutz – und zeigt dir schwarz auf weiß, wo du angreifbar bist oder Besucher verlierst.
