Überblick
Was Complianty prüft, wie die Daten zusammenhängen und wo die Prüfung an ihre Grenzen kommt.
Complianty prüft Websites automatisiert auf datenschutzrechtliche Mängel und erzeugt aus den Befunden die Dokumente, die daraus folgen. Diese Dokumentation beschreibt, wie die Prüfungen arbeiten — einschließlich dessen, was sie nicht leisten.
Das Datenmodell
Alles hängt an einer Hierarchie, die dem Arbeitsalltag einer Agentur nachgebaut ist:
- Agentur — Ihr Konto. Darunter liegen alle Mandanten.
- Mandant — ein Kunde. Träger der Dokumente: Verarbeitungsverzeichnis, AVV-Tracker, Schulungsnachweise.
- Website — eine Domain eines Mandanten. Jede Website wird eigenständig gescannt.
- Scan-Ergebnis — die Messung einer Website zu einem Zeitpunkt.
- Aufgabe — ein Befund mit Priorität aus einem der Aufgabentypen, der abgearbeitet oder begründet ausgeblendet wird.
Ein Werkzeug, das auf mehreren Websites desselben Mandanten gefunden wird, erscheint im Verarbeitungsverzeichnis einmal — mit der Liste der betroffenen Websites. Ein Auftragsverarbeitungsvertrag gilt für den Mandanten, nicht für die einzelne Website.
Wie diese Hierarchie im Konto entsteht, zeigt der Weg zum ersten Scan: Mandant anlegen, Website hinzufügen, messen.
Was geprüft wird
- Tracking vor der Einwilligung — welche Dienste laden, bevor zugestimmt wurde
- Cookie-Banner — ob der Banner selbst rechtlich trägt, einschließlich des Ablehnen-Pfads
- Impressum — Erreichbarkeit und Pflichtangaben
- Formulare — Kontakt- und Newsletter-Formulare
- Transportverschlüsselung — TLS-Konfiguration und Weiterleitungswege
- Barrierefreiheit — automatisiert prüfbare Kriterien nach WCAG, im Rahmen des BFSG
Der Grundsatz: gemessenes Verhalten schlägt Selbstauskunft
Viele Werkzeuge melden, was eine Website über sich behauptet — etwa das Einwilligungssignal, das ein Tag mitschickt. Complianty wertet zuerst aus, was tatsächlich passiert ist: Wurde ein Eintrag auf dem Endgerät gesetzt? Ging ein Aufruf an einen Dritten hinaus? Wenn ein gemessener Speicherzugriff dem behaupteten Signal widerspricht, gilt die Messung. Was der auslösende Scan dabei gesehen hat, bleibt als Beweis zum Befund erhalten.
Was diese Prüfung nicht leistet
Eine automatische Prüfung ersetzt keine rechtliche Bewertung. Sie stellt fest, was technisch passiert — ob das im Einzelfall zulässig ist, hängt von Umständen ab, die eine Maschine nicht kennt: dem Zweck der Verarbeitung, bestehenden Verträgen, der Rechtsgrundlage.
Konkret nicht abgedeckt: interne Verarbeitungen ohne Netzwerkspur, serverseitig eingebundene Dienste ohne erkennbares Signal, die inhaltliche Richtigkeit von Texten in der Datenschutzerklärung, und alles außerhalb der Website (Verträge, technisch-organisatorische Maßnahmen, Verarbeitungen in anderen Systemen).