Handlungsempfehlungen

Ein Befund allein sagt nur, was gemessen wurde. Damit daraus Arbeit wird, hängt an jeder Aufgabe ein Empfehlungsblock: was das Problem ist, was zu tun ist und womit an Aufwand zu rechnen ist. Er richtet sich an die Person, die den Mangel behebt, in der Regel also an Sie oder an den technischen Ansprechpartner des Mandanten.

Was an einem Befund steht

• Problem: warum der Sachverhalt beanstandet wird, mit der einschlägigen Norm oder Entscheidung, soweit vorhanden. Zu vorausgefüllten Checkboxen im Cookie-Banner etwa der Verweis auf Art. 7 DSGVO, zu extern geladenen Schriftarten das Urteil des LG München I (Az. 3 O 17493/20).
• Empfehlung: der konkrete nächste Schritt, meist in einem Satz. Den Dienst im Consent-Werkzeug blockieren, die Schriften lokal einbinden, den Impressum-Link dauerhaft in den Footer nehmen, das Zertifikat neu ausstellen.
• Aufwand: eine grobe Zeitangabe plus die Tätigkeit in Stichworten, etwa „~5 Min. · Consent-Tool konfigurieren“ oder „~30 Min. · Consent-Manager einrichten“. Die Spanne reicht über alle Arten von etwa zwei bis sechzig Minuten.

Alle 68 Befundarten sind in allen drei Bausteinen hinterlegt. Käme eine Art ohne Text hinzu, bliebe der Block leer, statt eine Platzhalterempfehlung auszugeben.

Woher die Texte stammen

Die Empfehlung hängt am Befundtyp, nicht am einzelnen Werkzeug. Das hat einen Grund. Ein Tracker, der vor der Einwilligung lädt, wird immer auf dieselbe Weise behoben: über die Consent-Steuerung oder durch Selbsthosting. Ob er von einem großen Anbieter stammt oder aus dem langen Ende des Katalogs, spielt dafür keine Rolle. So bleiben auch selten gesehene Dienste mit einer brauchbaren Empfehlung versorgt.

Der häufigste Befund, das Laden ohne Einwilligung, ist feiner aufgelöst. Hier unterscheiden Problembeschreibung, Empfehlung und Aufwand nach Art des Dienstes: Tracking, eingebetteter Fremdinhalt oder Infrastrukturdienst. Bei einem eingebetteten Video steht deshalb der Hinweis auf Nachladen per Klick, bei einem Infrastrukturdienst zuerst die Frage nach der technischen Notwendigkeit.

Anbieterbezogene Anreicherung

Bei sieben werkzeugbezogenen Befundarten kommen Angaben zum Anbieter hinzu, sofern der Dienst eindeutig erkannt wurde:

• Empfänger: wer die Daten erhält, aus einer gepflegten Aufstellung zu 1.386 Werkzeugen. Ist der Dienst nicht namentlich hinterlegt, greift eine Voreinstellung je Kategorie (20 Kategorien), die nur die Art der Verarbeitung beschreibt und keinen Empfänger behauptet.
• Drittlandhinweis, falls eine Übermittlung außerhalb der EU vorliegt, mit Zielland und, soweit bekannt, dem Transfermechanismus. Ohne bekannten Mechanismus steht dort der Hinweis auf erforderliche geeignete Garantien.
• Vertragslink: die Adresse der Auftragsverarbeitungs-Unterlagen des Anbieters, hinterlegt für 199 Anbieter. Von dort führt der Weg in den Vertragsnachweis.

Bei Cookie-Banner, Impressum, SSL, Formularen, Barrierefreiheit und Dokumenten entfällt die Anreicherung. Dort gibt es keinen Anbieter, auf den sie sich beziehen könnte.

Risiko und Aufwand im Bericht

Für den Bericht an den Mandanten trägt jeder Befund zusätzlich eine Risikoeinstufung (hoch, mittel, niedrig) und die geschätzte Bearbeitungsdauer. Die Risikoangabe ist an die Priorität gedeckelt. Ein Befund, der wegen des Messergebnisses auf „Hinweis“ heruntergestuft wurde, kann kein hohes Risiko mehr tragen, auch wenn seine Art normalerweise hoch eingestuft ist. Andernfalls stünde im Bericht „Risiko: Hoch“ neben einer Entwarnung.

Immer aktuell, nicht eingefroren

Complianty setzt Empfehlungen bei jedem Abruf neu zusammen und speichert sie nicht beim Anlegen des Befunds. Darin unterscheiden sie sich vom Beweisblock. Der Beweis muss zeigen, was genau dieser Scan gesehen hat, und darf sich nachträglich nicht ändern. Die Empfehlung dagegen ist allgemeiner Rat und soll den heutigen Stand zeigen. Präzisieren wir einen Text, verbessert sich damit auch die Darstellung älterer, noch offener Befunde. Der Beweis darunter bleibt unberührt.

Für die Dokumentation hat das eine Konsequenz. Wenn Sie einen Empfehlungstext für Ihre Akte festhalten wollen, exportieren Sie ihn. Er ist keine versionierte Aussage zu einem Zeitpunkt.