Welche Daten senden die Drittanbieter-Dienste auf Ihrer Website, und wohin?

Eine moderne Website ist aus Dutzenden Teilen zusammengesetzt. Die Analyse kommt von einem Dienst, das Chat-Fenster von einem anderen, die Schriften von einem dritten. Der Besucher sieht eine Website; sein Browser spricht im Hintergrund womöglich mit Dutzenden verschiedener Server.

Jeder dieser Dienste ist ein Datenfluss: vom Browser des Besuchers zu den Servern des Anbieters, nicht zu Ihren. Und die meisten dieser Flüsse bleiben dem Betreiber unsichtbar; die Seite funktioniert normal, niemand bemerkt etwas.

Um dieses Bild sichtbar zu machen, muss man zuerst wissen, was diese Dienste sind, was sie typischerweise erfassen und wohin die Daten gehen.

Was genau ist ein Drittanbieter-Dienst?

Jede Komponente, die nicht von Ihrer eigenen Domain, sondern aus der Infrastruktur eines anderen Unternehmens geladen wird, ist ein Drittanbieter-Dienst: Analyse-Tools, Werbe- und Conversion-Pixel, Chat-Fenster, eingebettete Videos, Karten, Schriften- und Content-Delivery-Netzwerke.

Gemeinsam ist ihnen eines: Beim Laden der Komponente schickt der Browser des Besuchers eine Anfrage an den Server des Unternehmens. Diese Anfrage überträgt mindestens die IP-Adresse und Browserdaten des Besuchers; setzt der Dienst zusätzlich Cookies, endet der Fluss dort nicht, und der Besucher wird nachverfolgbar.

Die Kette hinter einem einzigen Skript

Sie fügen einen Tag-Manager oder ein Werbe-Skript hinzu; dieses Skript ruft weitere Anbieter aus seiner eigenen Kette auf, und diese wieder andere. Während Sie glauben, einen Dienst erlaubt zu haben, können fünf oder zehn Domains zugleich auf der Seite aktiv sein.

Deshalb ist "auf meiner Website läuft nur Analyse" meist eine Vermutung. Niemand baut die Kette absichtlich auf; sie wächst von selbst.

Die Anhäufung entsteht im Arbeitsalltag: Das Marketing ergänzt für eine Kampagne ein Conversion-Pixel, ein Entwickler vergisst, ein ausprobiertes Tool zu entfernen. Nichts davon landet in einer zentralen Liste; Monate später weiß niemand mehr, wer was eingebaut hat. Genau daher stammen die Überraschungen, die ein Inventar zutage fördert.

Typische Dienstkategorien und ihre Datenerfassung

Es variiert je nach Anbieter, aber das typische Verhalten pro Kategorie sieht so aus:

• Analyse-Tools: besuchte Seiten, Sitzungsdauer, Geräte- und Browserdaten, ungefährer Standort.
• Werbe- und Conversion-Pixel: welche Seiten besucht und welche Aktionen abgeschlossen wurden; oft mit dem Ziel, den Besucher seinem Profil auf der Plattform zuzuordnen.
• Session-Recording- und Heatmap-Tools: Mausbewegungen, Scrollen, Klicks; bei manchen Tools nahezu eine Aufzeichnung der Sitzung.
• Chat-Fenster: der Gesprächsinhalt und ein Teil des Seitenverlaufs des Besuchers.
• Eingebettete Inhalte und CDNs: Video-, Karten- und Schriftenladungen; mit dem Inhalt wandern die Anfragedaten zum Anbieter.

Was jeder Dienst genau erfasst, steht in seiner eigenen Dokumentation und seinen Verarbeitungsbedingungen. Nur schreibt diese Dokumente der Anbieter; für die Datenflüsse auf Ihrer Website stehen Sie gerade, gegenüber Besuchern und Aufsichtsbehörde.

Wohin die Daten gehen: die Drittlandübermittlung

Ein großer Teil der verbreiteten Drittanbieter-Dienste betreibt seine Server außerhalb des Landes Ihrer Besucher. Praktisch kann ein einziges Skript auf Ihrer Website darauf hinauslaufen, dass personenbezogene Daten in ein Drittland übermittelt werden.

Die Regulierung behandelt diese Dimension gesondert. Die DSGVO widmet Übermittlungen in Drittländer ein eigenes Kapitel, mit Mechanismen wie Angemessenheitsbeschlüssen und Standardvertragsklauseln. Die Details sind Sache der Rechtsberatung; die praktische Folge für Betreiber ist eindeutig: Ohne zu wissen, welche Dienste wo laufen, kann diese Bewertung gar nicht erst beginnen.

Für die ersten Schritte braucht es kein technisches Wissen: Suchen Sie die Verarbeitungsbedingungen jedes Dienstes und, wo angeboten, den Auftragsverarbeitungsvertrag; prüfen Sie, in welcher Region seine Server laufen; notieren Sie, ob EU-Hosting angeboten wird. Diese drei Angaben sind zugleich das Rohmaterial für das Gespräch mit Ihrer Rechtsberatung; sie kann Ihre Website nicht scannen, dieses Bild bringen Sie mit.

Wer ist verantwortlich?

"Das Skript habe nicht ich geschrieben, die Daten erfasst der Anbieter" trägt nicht. In der Regel steht der Verantwortliche, der den Dienst auf seiner Website einsetzt, für die dortige Verarbeitung ein: Besucher informieren, wo nötig eine wirksame Einwilligung einholen und diese Einwilligung nicht zur Bedingung für die Nutzung der Website machen.

Die Cookie-Leitlinien der Aufsichtsbehörden ziehen denselben Rahmen: Einwilligungsanfragen sollen Zweck, Laufzeit und die Frage, ob es sich um Erst- oder Drittanbieter-Cookies handelt, erklären, und die Einwilligung gehört nicht in Dokumente wie Nutzungsbedingungen vergraben.

Diese Verantwortung verlangt auch intern Ordnung: Es sollte klar sein, wer Dienste auf der Website einbauen darf, jedes von einer Agentur gesetzte Tag sollte dokumentiert werden, und ausprobierte, aber verworfene Tools gehören entfernt. Ein von Agentur oder Entwickler ergänzter Dienst verlagert die Verantwortung nicht auf sie; für alles, was auf der Website läuft, stehen weiterhin Sie ein.

So sehen Sie, was auf Ihrer Website läuft

Manuell geht es: Netzwerk-Tab der Entwicklerwerkzeuge öffnen, die Website durchklicken und jede Anfrage notieren, die nicht an die eigene Domain geht. Zwei Schwierigkeiten: Die Liste ist unübersichtlich, und Domains Unternehmen zuzuordnen erfordert Erfahrung; außerdem laden manche Dienste nur auf bestimmten Seiten oder nach bestimmten Interaktionen, die Startseite allein reicht nicht.

Zur Automatisierung können Sie Ihre Website mit einem kostenlosen Cookie-Scan prüfen: Er listet die verwendeten Cookies und die im Hintergrund aufgerufenen Drittanbieter-Dienste, abgeglichen mit bekannten Anbietern.

Erklärung und Wirklichkeit angleichen

Steht das Inventar, müssen zwei Dokumente dazu passen: die Anbieterliste in Ihrer Cookie- und Datenschutzerklärung und die Kategorien Ihres Cookie-Banners. Läuft ein Dienst auf der Website, der in der Erklärung fehlt, ist Ihre Erklärung unvollständig; erfasst eine Kategorie Daten, nach der das Banner nie fragt, ist Ihre Einwilligung eine Hülle.

DILAYS verbindet diesen Abgleich zu einem Ablauf: Der Scan erstellt das Inventar, die Richtlinien-Erzeugung speist sich daraus, und Erklärung und Website passen zusammen.

Fünf häufige Fehler

• Nur die Startseite prüfen: Viele Dienste laden auf Unterseiten oder nach Formular-Interaktionen.
• Den Tag-Manager als einen Dienst zählen: Die eigentliche Kette kommt dahinter.
• Die Dokumentation des Anbieters nie lesen: Sie ist die klarste Quelle dafür, was erfasst wird.
• Die Drittlandfrage ignorieren: Ohne zu wissen, wo Dienste laufen, ist keine Bewertung möglich.
• Das Inventar einmal erstellen und liegen lassen: Ein einziges neues Pixel verändert das Bild.

Der fünfte Fehler passiert von allein: Das heute saubere Bild veraltet mit einem Tool, das morgen dazukommt. Die dauerhafte Antwort ist, regelmäßige Scans mit Änderungsüberwachung einzurichten: Taucht ein nicht deklarierter neuer Dienst auf, erfahren Sie davon.

Checkliste

• Die gesamte Website wurde gescannt, ein Inventar der Drittanbieter-Dienste liegt vor.
• Für jeden Dienst ist bekannt, wozu er dient und wer ihn eingebaut hat.
• Ungenutzte Dienste ohne Verantwortlichen wurden entfernt.
• Verarbeitungsbedingungen und Betriebsregion jedes Dienstes wurden geprüft.
• Die Anbieterliste in der Erklärung deckt sich exakt mit dem Inventar.
• Einwilligungspflichtige Dienste werden im Banner in der richtigen Kategorie abgefragt.
• Eine Überwachungsroutine erkennt neu hinzugefügte Dienste.