Domain-Ausnahmeliste
Domains dauerhaft von der Bewertung ausnehmen: wann das sinnvoll ist und was es abschaltet.
Manche Dritt-Domains tauchen bei jedem Scan auf und sind längst geklärt: das Auslieferungsnetz des Hosters, ein interner Dienst der Agentur, ein vertraglich abgedeckter Anbieter. Die Ausnahmeliste nimmt solche Domains dauerhaft von der Bewertung aus. Sie gilt für das gesamte Konto, also für alle Mandanten und Websites darin, und wird unter „Domain-Whitelist" gepflegt.
Was ein Eintrag abschaltet
- Unbekannter externer Dienst. Die Domain erzeugt keinen Befund mehr.
- Funktionale Auslieferung. Der Hinweis auf den nötigen Auftragsverarbeitungsvertrag entfällt. Bei Auslieferungsnetzen aus dem Katalog wird dafür das Adressmuster der Signatur verglichen, nicht der angezeigte Name.
- Vertragsbedarf. Eine ausgenommene Domain wird nicht mehr als offener Auftragsverarbeitungsvertrag geführt.
- Fehlender Einwilligungsdialog. Ausgenommene Domains zählen nicht mehr als einwilligungsrelevanter Inhalt. Findet der Scanner sonst nichts Einwilligungspflichtiges, entsteht auch kein kritischer Befund über den fehlenden Dialog.
Was unberührt bleibt
An der Messung ändert sich nichts. Aufrufe an eine ausgenommene Domain werden weiter erfasst und stehen vollständig in der Aufruf-Zeitleiste. Ausgenommen wird die Bewertung, nicht die Beobachtung.
Werkzeuge aus dem Katalog bleiben ebenfalls bewertet. Ein erkannter Tracker, der vor der Einwilligung feuert, bleibt ein kritischer Befund, auch wenn seine Domain auf der Liste steht. Die Liste greift bei Dritt-Domains ohne Zuordnung und beim Hinweis auf funktionale Auslieferung, nicht bei einem gemessenen Verstoß eines benannten Werkzeugs.
Das Verarbeitungsverzeichnis führt eine ausgenommene Domain weiter als Eintrag. Der Aufruf an einen Dritten hat stattgefunden, und das Verzeichnis dokumentiert Verarbeitungen, nicht Mängel.
Was Sie eintragen
Angenommen werden eine vollständige Adresse, ein Hostname oder eine bloße Domain. Die Eingabe wird auf die registrierbare Domain gekürzt und in Kleinbuchstaben abgelegt. Aus https://cdn.beispiel.de/assets/app.js wird beispiel.de. Eine Domain, die bereits auf der Liste steht, wird abgelehnt. Ein Eintrag speichert Domain und Datum, sonst nichts.
Ab wann ein Eintrag wirkt
Befunde entstehen während eines Scans, und dabei wird die Liste gelesen. Ein neuer Eintrag wirkt deshalb ab dem nächsten Scan der betroffenen Website. Bereits offene Befunde zu dieser Domain bleiben bis dahin stehen. Das Entfernen wirkt genauso: Der Befund kehrt mit dem nächsten Scan zurück.
Unterschied zum Ausblenden eines Befunds
Beide Wege führen dazu, dass etwas nicht mehr im Bericht steht. Sie sind trotzdem verschieden. Das Ausblenden eines Befunds betrifft einen einzelnen Sachverhalt, verlangt eine Begründung, hält Person und Zeitpunkt fest und erscheint im Compliance-Protokoll. Die Ausnahmeliste betrifft eine ganze Domain im ganzen Konto, verlangt keine Begründung und hinterlässt keinen Protokolleintrag. Der Befund wird nicht ausgeblendet, er entsteht gar nicht erst. Für einen strittigen Einzelfall ist das Ausblenden der genauere Weg.
Was diese Prüfung nicht leistet
Die Liste ändert nichts an der Messung, nur an der Bewertung. Mit dem Eintrag übernehmen Sie die Einschätzung, dass diese Domain in Ihren Mandaten unbedenklich ist. Complianty prüft diese Einschätzung nicht nach.
Sie gilt unbefristet und ungeprüft. Eine ausgenommene Domain bleibt ausgenommen, auch wenn sie später etwas anderes tut als zum Zeitpunkt der Entscheidung. Aus einer Auslieferungsadresse kann ein Messpunkt werden, ohne dass ein Befund entsteht.
Sie wirkt kontoweit. Ausnahmen je Mandant oder je Website gibt es nicht. Ein Eintrag gilt auch für Mandanten, die Sie erst später anlegen.
Sie dokumentiert nichts. Weder Begründung noch handelnde Person werden festgehalten, und im Compliance-Protokoll erscheint der Vorgang nicht. Ergänzen und entfernen kann jedes angemeldete Mitglied des Kontos, unabhängig von seiner Rolle. Wer diese Entscheidung belegen muss, hält sie an anderer Stelle fest.
Die Kürzung auf die registrierbare Domain schneidet in beide Richtungen. Ein Eintrag deckt alle Unterdomänen ab, auch solche, die Sie nicht gemeint haben. Umgekehrt trifft er einen Hinweis auf funktionale Auslieferung nicht, dessen Signatur auf einen Host unterhalb der Domain zeigt, etwa cdn.jsdelivr.net.
Der Score steigt, ohne dass sich etwas geändert hat. Offene Befunde und fehlende Auftragsverarbeitungsverträge ziehen Punkte ab. Wer eine Domain ausnimmt, hebt damit den DSGVO-Score des Mandanten, ohne dass die Website eine Zeile anders lädt.