Blog

DSGVO-Wissen für Agenturen

Praxisnahes Know-how zu Datenschutz, Compliance und digitalem Recht – speziell für Web- und Marketingagenturen im DACH-Raum.

1.058 deutsche Websites laden Schadcode — 89 % von ihnen waren vorher schon auffällig
Datenanalyse9 Min. Lesezeit

1.058 deutsche Websites laden Schadcode — 89 % von ihnen waren vorher schon auffällig

Wir haben unsere Liste nicht zuordenbarer Dritt-Server gegen die Malware-Datenbanken von abuse.ch gehalten. 171 Domains waren dort verzeichnet, auf 1.058 überwiegend deutschen Websites. Der eigentliche Fund kam danach: Diese Seiten hatten mehr als doppelt so oft kritische Datenschutzmängel wie der Rest unseres Korpus. Vernachlässigung kommt selten allein — und warum das für Agenturen ein brauchbares Werkzeug ist.

Lesen
Auf 220.000 Websites ist das Tracking-Cookie gesetzt, bevor du zustimmst
Datenanalyse11 Min. Lesezeit

Auf 220.000 Websites ist das Tracking-Cookie gesetzt, bevor du zustimmst

Nicht „ein Tracker hat gefunkt", sondern nachweislich gemessen: Auf 9,5 % der 2,32 Mio. ausgewerteten Websites hat ein Tracking-Dienst schon vor der Einwilligung ein Cookie oder einen localStorage-Eintrag auf dem Gerät gesetzt — der wortgetreue Tatbestand von § 25 TDDDG. Google Analytics ist mit Abstand der größte Einzeltäter (6,7 %). Warum das die belastbarste Zahl unserer Auswertung ist, warum sie niedriger liegt als die 22,9 % US-Transfer, und warum Matomo hier mitzählt.

Lesen
Fast jede vierte Website sendet vor der Einwilligung Daten in die USA
Datenanalyse12 Min. Lesezeit

Fast jede vierte Website sendet vor der Einwilligung Daten in die USA

Wir haben ausgewertet, wohin deutsche Websites Daten schicken, bevor der Nutzer dem Cookie-Banner zustimmt — über 2,32 Millionen Seiten, ganz ohne neuen Scan. Das Ergebnis: 22,9 % binden schon vor der Einwilligung einen Tracking-Dienst eines US-Anbieters ein, praktisch das gesamte Drittland-Volumen entfällt auf die USA. Warum das zwei Rechtsprobleme auf einmal stapelt (§ 25 TDDDG + Schrems II), welche Dienste dahinterstecken (Google dominiert), warum die Zahl ein konservativer Boden ist — und warum wir Matomo bewusst nicht mitzählen.

Lesen
Squarespace 91 %, Strato 3 %: Welche Website-Baukästen vor der Einwilligung tracken
Datenanalyse12 Min. Lesezeit

Squarespace 91 %, Strato 3 %: Welche Website-Baukästen vor der Einwilligung tracken

Der Baukasten, auf dem eine Website steht, entscheidet mit, ob sie schon vor dem Cookie-Consent trackt. Für einen Teil der 1,2 Mio. Websites unserer DSGVO-Studie lässt sich die Plattform am Netzwerk-Fingerabdruck ablesen — und da zeigt sich ein Muster: Squarespace (91 %), Weebly (89 %) und Duda (69 %) tracken am häufigsten vor der Einwilligung, Strato (3 %), Jimdo (8 %) und Wix (13 %) am seltensten. Warum das an den Voreinstellungen der Plattform liegt, wo WordPress und Webflow stehen — und warum die Plattform nur bei rund jeder fünften Seite überhaupt erkennbar ist.

Lesen
Fast die Hälfte der Hotel-Websites trackt vor der Einwilligung — DSGVO-Analyse von über 19.000 Hotel-Seiten
Branchenanalyse16 Min. Lesezeit

Fast die Hälfte der Hotel-Websites trackt vor der Einwilligung — DSGVO-Analyse von über 19.000 Hotel-Seiten

Verstößt Ihre Hotel-Website gegen die DSGVO? Unsere Analyse von 23.614 Websites deutscher Hotels, Pensionen und Gasthöfe zeigt: 47,4 % der Seiten mit echter Web-Präsenz übertragen Daten an Dritte, bevor der Gast einwilligt — und 37,6 % tun das trotz vorhandenem Cookie-Banner. Dazu Daten zu Tracking-Kategorien, Google-Dominanz, der Leak-Quote je Cookie-Banner und der überraschenden Schwäche der teuren Premium-Banner. So machen Sie Ihre Hotel-Website rechtssicher und vermeiden Abmahnungen.

Lesen
Mehr als die Hälfte der Restaurant-Websites trackt vor der Einwilligung — DSGVO-Analyse von 61.000 Gastro-Seiten
Branchenanalyse17 Min. Lesezeit

Mehr als die Hälfte der Restaurant-Websites trackt vor der Einwilligung — DSGVO-Analyse von 61.000 Gastro-Seiten

Verstößt Ihre Restaurant-Website gegen die DSGVO? Unsere Analyse von über 61.000 Gastronomie-Seiten zeigt: 54,8 % der Seiten mit echter Web-Präsenz übertragen Daten an Dritte, bevor der Gast einwilligt — und 42,6 % tun das trotz vorhandenem Cookie-Banner. Dazu Daten zu Tracking-Kategorien, Google-Dominanz, der Leak-Quote je Cookie-Banner, Impressum-Mängeln und Banner-Audits. So machen Sie Ihre Gastro-Website rechtssicher und vermeiden Abmahnungen.

Lesen
Cookie-Banner bleiben: Was das EU-Lobbying für Webagenturen bedeutet
Standpunkt5 Min. Lesezeit

Cookie-Banner bleiben: Was das EU-Lobbying für Webagenturen bedeutet

Die EU wollte Cookie-Banner abschaffen — ein zentrales Browser-Signal sollte sie ersetzen. Ein geleaktes Ratsdokument zeigt: Nach intensivem Lobbying von Google und Widerstand mehrerer Mitgliedstaaten, darunter Deutschland, soll der entscheidende Artikel 88b gestrichen werden. Was das gescheiterte EU-Lobbying für Webagenturen bedeutet — und warum die technische Verantwortung für sauberes Consent-Management jetzt erst recht bei der Agentur liegt.

Lesen
Warum Complianty bewusst kein Cookie-Banner verkauft: Wer prüft, darf nicht am Befund verdienen
Standpunkt14 Min. Lesezeit

Warum Complianty bewusst kein Cookie-Banner verkauft: Wer prüft, darf nicht am Befund verdienen

Die naheliegendste Produktfrage überhaupt: Ihr findet Consent-Verstöße — warum verkauft ihr nicht das Banner dazu, das sie behebt? Die Antwort handelt von Interessenkonflikten, von 40,5 % Verstößen trotz Consent-Banner (gemessen auf über 100.000 .de-Domains), von Agentur-Stacks mit zehn verschiedenen CMPs — und davon, warum ein Prüfbericht nur so viel wert ist wie die Unabhängigkeit dessen, der ihn schreibt.

Lesen
Der blinde Fleck der Cookie-Scanner: Wie man proxied & self-hosted Tracking erkennt — und ehrlich misst
Technik-Deep-Dive17 Min. Lesezeit

Der blinde Fleck der Cookie-Scanner: Wie man proxied & self-hosted Tracking erkennt — und ehrlich misst

Host-basierte Scanner erkennen Tracking an der Domain — und übersehen Tools, die über die eigene Domain laufen: Server-side GTM, geproxietes PostHog, self-hosted Matomo. Ein technischer Deep Dive: Erkennung über DOM-Signale statt Host-Liste, die Trennung von § 25 TDDDG und Art. 6 DSGVO, Config-Auslese — und wie wir die Treffsicherheit gemessen haben, ohne uns selbst zu täuschen (inklusive des Mess-Fehlers, der uns fast eine falsche Zahl gekostet hätte).

Lesen