Wenn du eine typische deutsche Website öffnest, ist die Wahrscheinlichkeit hoch, dass dein Browser schon Daten an einen Server in den USA geschickt hat, bevor du irgendetwas angeklickt hast — bevor das Cookie-Banner überhaupt beantwortet ist. Wir haben ausgewertet, wie oft das passiert und wohin die Daten fließen: über 2,32 Millionen Websites, ganz ohne neuen Scan, allein aus den Netzwerk-Daten, die unser Scanner ohnehin schon erhoben hat. Das Ergebnis ist eindeutig — und das Ziel ist fast immer dasselbe Land.
je letzter erfolgreicher Scan, Stand Juli 2026
530.796 Websites
798.623 Websites
Anders gesagt: Von den Websites, die vor der Einwilligung überhaupt einen Tracking-Dienst laden, geht die überwältigende Mehrheit an einen US-Anbieter. Und praktisch das gesamte Drittland-Volumen ist die USA — Russland und China zusammen kommen auf einen Bruchteil.
Wohin die Daten fließen: fast alles in die USA
Für jede Website haben wir die Dienste angesehen, die vor der Einwilligung feuern, und jeden Dienst der Jurisdiktion seines Anbieters zugeordnet — dort, wo das Unternehmen sitzt und wo die Daten letztlich verarbeitet werden. Nicht der zufällige CDN-Standort einer einzelnen Anfrage zählt, sondern der Anbieter dahinter (Google, Meta und Co. unterliegen US-Recht, unabhängig davon, ob eine Anfrage über einen europäischen Server-Standort läuft).
Anteil der 2,32 Mio. Websites, die vor der Einwilligung mindestens einen Dienst aus dem jeweiligen Land laden. Rot = Drittland ohne Angemessenheitsbeschluss, grün = EU/EEA oder angemessen. Eine Seite kann in mehreren Ländern auftauchen; die Werte summieren sich deshalb nicht auf 100 %.
Die USA stehen mit 22,9 % einsam an der Spitze — der zweitgrößte Empfänger, Deutschland, liegt bei 2,4 %. Das Drittland-Volumen insgesamt beträgt 23,0 %: Es ist also, bis auf einen Rundungsrest, deckungsgleich mit den USA. Die vollständige Aufstellung:
| Land des Anbieters | Einordnung | Websites | Anteil |
|---|---|---|---|
| USA | Drittland | 530.796 | 22,9 % |
| Deutschland | EU | 54.663 | 2,4 % |
| Frankreich | EU | 19.735 | 0,9 % |
| Dänemark | EU | 11.604 | 0,5 % |
| Vereinigtes Königreich | angemessen (Art. 45) | 11.237 | 0,5 % |
| Niederlande | EU | 9.198 | 0,4 % |
| Russland | Drittland | 8.853 | 0,4 % |
| Estland | EU | 7.136 | 0,3 % |
| Malta | EU | 6.114 | 0,3 % |
| China | Drittland | 3.725 | 0,2 % |
Die Absender: Google, Google und nochmal Google
Warum ist das Ziel so einseitig? Weil die Dienste, die deutsche Websites vor der Einwilligung am häufigsten laden, fast alle aus demselben Konzern kommen. Das sind die zehn häufigsten Pre-Consent-Dienste über alle 2,32 Mio. Seiten:
Anteil der Websites, auf denen der jeweilige Dienst schon vor der Einwilligung feuert. Rot = US-Jurisdiktion. Grau = Matomo, das wir bewusst nicht zuordnen (siehe unten).
| # | Dienst | Anbieterland | Websites | Anteil |
|---|---|---|---|---|
| 1 | Google Analytics 4 | USA | 176.564 | 7,6 % |
| 2 | Google Maps | USA | 97.342 | 4,2 % |
| 3 | Matomo * | offen | 84.623 | 3,6 % |
| 4 | Sentry | USA | 75.306 | 3,2 % |
| 5 | Google DoubleClick | USA | 73.773 | 3,2 % |
| 6 | YouTube | USA | 71.488 | 3,1 % |
| 7 | Meta Pixel | USA | 56.515 | 2,4 % |
| 8 | Google Ads | USA | 51.432 | 2,2 % |
| 9 | Google Ad Traffic Quality | USA | 21.990 | 0,9 % |
| 10 | Microsoft Clarity | USA | 11.412 | 0,5 % |
Sechs der zehn häufigsten Dienste gehören zu Google, dazu Meta und Microsoft. Wer eine Website mit Google Analytics, einer eingebetteten Google-Map, einem YouTube-Video oder dem Meta-Pixel betreibt und diese Dienste nicht sauber hinter die Einwilligung legt, transferiert bereits beim Seitenaufruf Daten an einen US-Konzern. Genau das ist auf fast jeder vierten Seite der Fall.
Warum "vor Consent" das Problem verdoppelt
Ein US-Dienst, der vor der Einwilligung feuert, ist rechtlich heikler als jeder der beiden Punkte für sich — weil er zwei Fragen übereinanderstapelt:
- Die Einwilligung fehlt. § 25 TDDDG verlangt eine Einwilligung, bevor auf dem Endgerät gespeichert oder darauf zugegriffen wird — der klassische Fall für Cookies und LocalStorage. Und Art. 6 DSGVO verlangt eine Rechtsgrundlage für die Verarbeitung personenbezogener Daten wie der IP-Adresse. Feuert der Tracker vor dem Klick, fehlt in aller Regel beides.
- Der Transfer geht ins Drittland. Daten in die USA dürfen nur mit besonderer Absicherung übertragen werden. Seit dem Schrems-II-Urteil des EuGH (Rechtssache C-311/18, Juli 2020) reicht dafür nicht mehr ein bloßer Haken — es braucht Standardvertragsklauseln plus Prüfung oder eine Zertifizierung unter dem EU-US Data Privacy Framework.
Das Data Privacy Framework existiert zwar seit Juli 2023 wieder als Grundlage — aber nur für US-Unternehmen, die sich selbst zertifiziert haben, und es liegt bereits wieder vor Gericht. Auf die Einwilligung kann man sich ohnehin nicht berufen, wenn der Dienst schon vor ihr geladen hat. Ein Pre-Consent-Transfer in die USA ist damit nicht automatisch rechtswidrig — aber er ist der Punkt, an dem sich Aufsichtsbehörden und Abmahner am ehesten festbeißen.
Die ehrliche Einordnung: warum 22,9 % ein Boden ist, keine Decke
Diese Zahlen sind belastbar, weil wir bei der Zählung eher zu vorsichtig als zu großzügig sind. Drei Punkte, die man kennen muss, um die 22,9 % richtig zu lesen:
- Unsere Landkarte deckt 70,4 % der Dienste ab. Wir ordnen jeden Pre-Consent-Dienst einem Anbieterland zu, aber die lange Reihe seltener Dienste ist (noch) nicht vollständig kartiert. Ein Teil der nicht zugeordneten 30 % sind selbst US-Dienste (Adobe, Pinterest, Wistia u. a.) — die echte US-Quote liegt also über 22,9 %, nie darunter.
- Matomo zählen wir bewusst nicht mit. Der dritthäufigste Dienst überhaupt (3,6 %) ist die Analyse-Software Matomo — die man aber genauso gut auf dem eigenen Server in Deutschland betreiben kann. Sie pauschal als US- oder Drittland-Transfer zu verbuchen, wäre schlicht falsch. Wir lassen sie deshalb offen, statt die Zahl künstlich aufzublasen.
- Streng gezählt. Als Verstoß gilt nur echtes Tracking — Analyse, Werbung, Retargeting, Session-Recording. Rein funktionale Dienste (Schriften, reine CDNs, Captcha) und reine Consent-Mode-Signale zählen nicht mit. Die 34,4 % sind also nicht „irgendein Request", sondern ein einwilligungspflichtiger Tracking-Dienst.
Und noch eine Einordnung zur Stichprobe: Ausgewertet wurden 2,32 Mio. überwiegend deutschsprachige Websites aus unserem Scan-Bestand — eine sehr große, aber keine amtlich gezogene Zufallsstichprobe. Als Momentaufnahme des deutschsprachigen Webs ist sie aussagekräftig; als exakte Volkszählung nicht gedacht.
Nur 3,2 % bleiben sauber in der EU
Der Vollständigkeit halber der Gegenpol: Es gibt Websites, die vor der Einwilligung zwar einen Dienst laden, aber ausschließlich einen aus der EU oder einem Land mit Angemessenheitsbeschluss — 3,2 % (73.147 Seiten). Dahinter stehen europäische Anbieter wie etracker, Sparteo, Plausible (Estland), Brevo oder Trusted Shops. Das zeigt: Der US-Transfer ist kein Naturgesetz. Wer auf europäische Dienste setzt oder sein Tracking sauber hinter die Einwilligung legt, taucht in der roten Zahl gar nicht erst auf.
Was Betreiber und Agenturen jetzt tun sollten
Das Muster ist über 2,32 Mio. Seiten so stabil, dass sich vier konkrete Schritte ableiten lassen:
- Pre-/Post-Consent trennen — technisch, nicht auf gut Glück. Prüfe pro Seite, welcher Dienst vor und welcher nach dem Klick feuert. Genau diese Trennung macht ein Pre-/Post-Consent-Scanner sichtbar; das Auge im Quelltext sieht sie nicht.
- US-Dienste konsequent hinter die Einwilligung legen. Google Analytics, Maps, YouTube, der Meta-Pixel — sie dürfen erst nach dem „Akzeptieren" laden. Ein Consent-Management-Tool hilft nur, wenn es die Skripte auch wirklich blockiert, statt sie parallel schon feuern zu lassen.
- Transfer absichern, wo US-Dienste bleiben. Für jeden verbleibenden US-Dienst gehören die Data-Privacy-Framework-Zertifizierung oder Standardvertragsklauseln plus ein Auftragsverarbeitungsvertrag ins Verarbeitungsverzeichnis — dokumentiert, nicht nur angenommen.
- Europäische Alternativen mitdenken. Für Analyse (etracker, Matomo, Plausible), Karten oder Fonts gibt es EU-Optionen, die das Drittland-Thema von vornherein vermeiden.
* Matomo ist als einzige Position der Top 10 nicht zugeordnet: Die Software kann self-hosted in der EU oder als Cloud-Dienst laufen — allein am Namen lässt sich der Datenabfluss nicht bestimmen. Wir zählen sie deshalb weder für die USA noch fürs Drittland.
Willst du wissen, was deine eigene Seite überträgt, bevor jemand zustimmt? Der kostenlose DSGVO-Scanner lädt sie in einem frischen Browser und zeigt dir Zeile für Zeile, welcher Dienst vor und welcher nach der Einwilligung feuert — inklusive der Frage, wohin die Daten gehen.