Aufgabentypen und Prioritäten

Jede Prüfung endet in Befunden. Ein Befund ist kein freier Text, sondern eine benannte Feststellung mit festem Typ, eine von derzeit 68 Befundarten. Der Typ bestimmt, welche Handlungsempfehlung dazu erscheint, wie er gewichtet ist und wie er auf den Status des Mandanten wirkt.

Woher ein Befund stammt

Die 68 Arten verteilen sich auf acht Herkunftsbereiche. Jeder Bereich gehört zu genau einer Prüfung, sodass am Befund ablesbar bleibt, welche Messung ihn erzeugt hat:

• Scanner und Netzwerk (7 Arten): etwa „Tracking läuft ohne Einwilligung“, „Kein Consent-Manager auf der Website“, „Neuer Dienst auf der Website erkannt“, „Unbekannter externer Dienst“, „Externe Schriftarten vor Einwilligung geladen“ oder „Möglicherweise selbst gehostetes Tracking-Tool“. Wie gemessen wird, steht in der Scanner-Methodik.
• Cookie-Banner (12 Arten), vom fehlenden Ablehnen-Button über vorausgefüllte Checkboxen bis zu Tracking-Cookies nach der Ablehnung.
• Impressum (9 Arten): fehlendes Impressum, unvollständige Anschrift, fehlende E-Mail-Adresse, zu tiefe Verlinkung.
• SSL und TLS (15 Arten): abgelaufene oder nicht passende Zertifikate, fehlende Weiterleitung auf HTTPS, veraltete Verfahren.
• Barrierefreiheit (13 Arten): Farbkontrast, Alternativtexte, Formularbeschriftung, Überschriftenstruktur und weitere Sammelkategorien.
• Formulare (7 Arten): vorausgewählte Einwilligung, fehlender Datenschutzhinweis am Formular, unverschlüsselter Versand, Captcha vor der Einwilligung.
• Dokumente und Verträge (4 Arten): fehlender oder bald ablaufender Auftragsverarbeitungsvertrag, unvollständige Datenschutzerklärung, Abweichung zwischen Datenschutzerklärung und Verarbeitungsverzeichnis.
• Schulung (1 Art): überfällige Datenschutz-Schulung.

Drei Prioritäten

Jeder Befund trägt genau eine von drei Stufen:

• Kritisch: ein festgestellter Verstoß oder eine fehlende Pflichtangabe. In der Voreinstellung fallen 26 der 68 Arten hierunter.
• Wichtig: ein Mangel, der zu klären ist, aber nicht schon aus der Messung heraus ein Verstoß sein muss. 40 Arten.
• Hinweis für alles, was nur zur Kenntnis geht. Ab Werk tragen zwei Arten diese Stufe: das funktionale CDN, für das lediglich ein Auftragsverarbeitungsvertrag empfohlen wird, und der fehlende HSTS-Schutz. Hinweise wirken sich nie auf den Status aus und ziehen im Score nichts ab.

Die Priorität hängt nicht allein am Typ

Für einen Teil der Arten leitet Complianty die Stufe pro Fall aus dem Messergebnis ab, statt sie aus einer Tabelle zu übernehmen. Ein möglicherweise selbst gehostetes Tracking-Tool etwa wird kritisch, wenn vor der Einwilligung tatsächlich ein Zugriff auf den Gerätespeicher gemessen wurde. Es bleibt wichtig, wenn nur eine Datenübertragung vor der Einwilligung feststeht. Und es fällt auf Hinweis zurück, wenn nach einem Einwilligungsklick weder Speicherzugriff noch Übertragung zu sehen waren. Ein bald ablaufendes Zertifikat ist wichtig, bei sehr kurzer Restlaufzeit kritisch. Bei der Barrierefreiheit ergibt sich die Stufe aus WCAG-Konformitätsstufe, Schwere des Einzelfehlers und Anwendbarkeit.

Sammelbefunde sind ebenfalls Absicht. Findet die Barrierefreiheitsprüfung zweihundert Kontraststellen, entsteht daraus ein Befund mit der Anzahl im Titel. Die Einzelstellen liegen im Beweisblock. Der Bericht soll priorisierbar bleiben.

Wenn die Messung nicht eindeutig ist

Sechs Arten sind ausdrücklich Prüfaufträge statt Vorwürfe: je einer für Cookie-Banner, Impressum, SSL und Formulare sowie zwei für die Barrierefreiheit. Sie entstehen, wenn ein Ergebnis maschinell nicht sicher entscheidbar ist, etwa bei einer Ablehnen-Schaltfläche im Graubereich der Prominenzmessung. Diese Befunde behaupten keinen Verstoß. Sie verlangen eine Sichtprüfung. Ein falsches „bestanden“ wäre der teurere Fehler.

Wie sich daraus der Status ergibt

Complianty leitet den Status eines Mandanten immer aus denselben Eingangsgrößen ab, egal ob er im Dashboard angezeigt oder für ein Ereignis neu berechnet wird:

• Kritisch, sobald mindestens ein offener kritischer Befund vorliegt oder mindestens einer der erfassten Auftragsverarbeitungsverträge nicht als unterzeichnet geführt wird.
• Lücken, wenn ohne kritischen Befund mindestens ein offener Befund der Stufe „Wichtig“ existiert, die Datenschutzerklärung nicht zum erkannten Bestand passt oder der Mandant noch gar nicht bearbeitet wurde (keine Website gescannt, kein Verarbeitungsverzeichnis, keine Datenschutzerklärung, kein Vertrag erfasst).
• In Ordnung, wenn nichts davon zutrifft. Offene Hinweise ändern daran nichts.

Schulungsnachweise fließen absichtlich nicht in den Status ein. Ein überfälliger Nachweis erscheint als Aufgabe, färbt den Mandanten aber nicht ein.

Was beim nächsten Scan passiert

Jeder Scan bildet die Befunde neu aus dem aktuellen Messergebnis, statt die alten fortzuschreiben. Vor dem Speichern verwirft Complianty die noch offenen Befunde der gerade geprüften Bereiche und ersetzt sie. Ein behobener Mangel verschwindet damit von selbst. Umgekehrt erscheint ein von Hand als erledigt markierter Befund, der weiterhin messbar ist, nach dem nächsten Scan wieder. „Erledigt“ ist eine Aussage über den Zeitpunkt, keine dauerhafte Unterdrückung. Wer einen Befund für den Einzelfall als nicht zutreffend einstuft, blendet ihn begründet aus. Diese Entscheidung überlebt den Scan.

Eine Ausnahme schützt vor Datenverlust. Scheitert eine Teilprüfung technisch, bleiben ihre bekannten Befunde bestehen, statt durch ein leeres Ergebnis gelöscht zu werden.