Datenschutzerklärung prüfen: Transparenz im Prüffokus 2026

Was die EDPB-Prüfaktion 2026 untersucht

Das Coordinated Enforcement Framework (CEF) ist das Verfahren, mit dem die europäischen Aufsichtsbehörden ein Thema abgestimmt und gemeinsam untersuchen. Im Oktober 2025 wählte der EDPB auf seiner Plenarsitzung das Thema für die fünfte koordinierte Aktion: die Einhaltung der Transparenz- und Informationspflichten der DSGVO (EDPB). Gestartet wurde die Aktion am 19. März 2026 (EDPB). Im Laufe des Jahres 2026 nehmen 25 Datenschutzbehörden aus ganz Europa teil (EDPB). Sie gehen laut EDPB auf Verantwortliche aus unterschiedlichen Branchen zu, entweder in förmlichen Verfahren oder über Erhebungen zur Sachverhaltsermittlung.

Im zweiten Halbjahr tauschen die beteiligten Behörden ihre Ergebnisse aus und führen sie zusammen (EDPB). Daraus entsteht ein konsolidierter Bericht, der gezielte Folgemaßnahmen auf nationaler wie europäischer Ebene ermöglichen soll.

Aus Deutschland beteiligen sich die Aufsichtsbehörden aus Niedersachsen und Brandenburg (LDA Brandenburg). Der Landesbeauftragte für den Datenschutz Niedersachsen will 15 Unternehmen und 5 Kommunen aus Niedersachsen anschreiben (LfD Niedersachsen). Brandenburg konzentriert sich auf eine Auswahl von Personalvermittlungen mit Sitz im Land (LDA Brandenburg).

Die Transparenzpflichten sind nicht das erste Thema dieses Verfahrens. Die bisherigen koordinierten Aktionen und ihre Berichte, wie der EDPB sie in seiner Startmeldung aufführt:

Was Art. 12 bis 14 DSGVO von der Datenschutzerklärung verlangen

Art. 12 DSGVO regelt die Form. Der Verantwortliche muss die Informationen nach Art. 13 und 14 in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache übermitteln (Art. 12 DSGVO). Art. 13 regelt den Inhalt, wenn Daten bei der betroffenen Person selbst erhoben werden. Auf einer Website ist das bei jedem Aufruf der Fall, bei jedem Formular und bei jedem eingebundenen Dienst, der Daten aus dem Browser erhält. Art. 14 greift, wenn Daten aus anderen Quellen stammen; dann ist innerhalb einer angemessenen Frist zu informieren, längstens innerhalb eines Monats (Art. 14 DSGVO).

Zum Zeitpunkt der Erhebung verlangt Art. 13 DSGVO diese Angaben:

• Verantwortlicher: Name und Kontaktdaten, gegebenenfalls auch die des Vertreters (Art. 13 Abs. 1 lit. a)
• Datenschutzbeauftragter: dessen Kontaktdaten, sofern einer benannt ist (Art. 13 Abs. 1 lit. b)
• Zwecke und Rechtsgrundlage je Verarbeitung, beim berechtigten Interesse auch dieses Interesse selbst (Art. 13 Abs. 1 lit. c und d)
• Empfänger oder Kategorien von Empfängern, gegebenenfalls (Art. 13 Abs. 1 lit. e)
• Übermittlung in ein Drittland samt Angemessenheitsbeschluss oder Verweis auf die Garantien, gegebenenfalls (Art. 13 Abs. 1 lit. f)
• Speicherdauer oder die Kriterien für ihre Festlegung (Art. 13 Abs. 2 lit. a)
• Betroffenenrechte, bei Einwilligung das Widerrufsrecht und das Beschwerderecht bei einer Aufsichtsbehörde (Art. 13 Abs. 2 lit. b bis d)

Für Websites ist Erwägungsgrund 58 besonders aufschlussreich. Er nennt ausdrücklich Situationen, in denen die große Zahl der Beteiligten und die Komplexität der Technik es der betroffenen Person schwer machen zu erkennen, ob, von wem und zu welchem Zweck Daten erfasst werden, „wie etwa bei der Werbung im Internet“ (Erwägungsgrund 58 DSGVO). Gerade dort soll die Information präzise, leicht zugänglich und verständlich sein.

Dass der Betreiber auch über eingebundene Dienste Dritter informieren muss, hat der Europäische Gerichtshof bereits zur Vorgängerrichtlinie entschieden. Bindet eine Website ein Plugin ein, das den Browser veranlasst, Inhalte beim Anbieter anzufordern und dabei personenbezogene Daten zu übermitteln, trifft die Informationspflicht den Betreiber, und zwar für die Vorgänge, über die er selbst entscheidet: das Erheben und die Weitergabe (EuGH, C-40/17). Das Urteil vom 29. Juli 2019 erging zur Richtlinie 95/46/EG (EuGH, C-40/17). Für die Praxis heißt das: Die Information über eingebundene Dienste lässt sich nicht pauschal an deren Anbieter abschieben.

Der Empfängerabschnitt: wo Erklärung und Website auseinanderlaufen

Der Abschnitt über Empfänger ist der Teil der Erklärung, der am schnellsten veraltet. Jeder eingebundene Dienst, der Daten aus dem Browser erhält, kommt als Empfänger in Betracht: das Auslieferungsnetz für Bilder, der Kartendienst auf der Kontaktseite, das Video auf der Startseite, die Webanalyse, der Werbe-Pixel. Wie verbreitet solche Dienste sind, zeigt der Web Almanac des HTTP Archive: Der Anteil der Seiten mit mindestens einem Drittanbieter liegt bei 90 Prozent oder darüber (HTTP Archive Web Almanac 2025). Mindestens einen Drittanbieter-Tracker fand die Auswertung auf 75 Prozent der Desktop-Seiten und 74 Prozent der mobilen Seiten (HTTP Archive Web Almanac 2025).

Dazu kommt ein Effekt, den kein Plugin-Menü zeigt. Der Median der Tiefe einer Einbindungskette liegt bei 3, die Mehrheit der Drittanbieter bindet also selbst mindestens einen weiteren Drittanbieter ein (HTTP Archive Web Almanac 2025). Ein Chat-Widget kann ein Analyse-Skript nachladen, ein Video-Player eine Werbedomain. Wer die Erklärung nur aus der Liste der installierten Erweiterungen schreibt, übersieht diese zweite Ebene. Welche Teile einer Adresse beim Laden eines Drittanbieters mitgeschickt werden, steuert übrigens die Referrer-Policy; mehr dazu im Beitrag über Direktzugriffe und die Referrer-Policy.

Wie genau Empfänger zu benennen sind, beschreiben die Leitlinien zur Transparenz der Artikel-29-Datenschutzgruppe, die der EDPB übernommen hat. Danach müssen die tatsächlichen, namentlich bezeichneten Empfänger oder die Kategorien von Empfängern angegeben werden (WP260 rev.01). Nach dem Grundsatz der Fairness sollen Verantwortliche die Information geben, die für Betroffene am aussagekräftigsten ist, und das sind in der Praxis in der Regel die namentlich genannten Empfänger (WP260 rev.01). Wer nur Kategorien nennt, soll sie so konkret wie möglich fassen: nach Art der Tätigkeit, Branche und Standort des Empfängers (WP260 rev.01).

Schritt 1: Die Datenschutzerklärung auf Pflichtabschnitte prüfen

Bevor es um einzelne Dienste geht, lohnt ein Blick auf das Gerüst. Der kostenlose Datenschutz-Crawler von XICTRAQ® prüft eine Datenschutzseite auf die Angaben nach Art. 13 DSGVO. Er trennt dabei zwischen Angaben, die jeder Verantwortliche schuldet, und solchen, die die Verordnung nur „gegebenenfalls“ verlangt. Verantwortlicher, Zweck, Rechtsgrundlage, Speicherdauer, Betroffenenrechte und Beschwerderecht zählen in die Wertung. Empfänger, Datenschutzbeauftragter, Drittlandtransfer, Cookies, Webanalyse und Kontaktformulare werden ausgewiesen, zählen aber nicht.

Gerade der Empfängerabschnitt steht also auf der Liste der bedingten Angaben, denn ob die Bedingung „gegebenenfalls“ greift, lässt sich aus der Datenschutzseite allein nicht ablesen. Die Antwort liefert erst Schritt 2. Die Prüfung selbst ist eine Schlüsselwort-Heuristik: Sie erkennt, ob ein Abschnitt vorhanden ist, nicht ob er stimmt. Das Werkzeug weist selbst darauf hin, dass es keine Rechtsberatung ersetzt und die inhaltliche Korrektheit nicht bewertet.

• Ist die Datenschutzerklärung von jeder Seite aus über einen gut sichtbaren Link unter einer gängigen Bezeichnung erreichbar (WP260 rev.01)?
• Sind der Verantwortliche und, falls benannt, der Datenschutzbeauftragte mit Kontaktdaten genannt?
• Steht bei jeder Verarbeitung ein Zweck und eine Rechtsgrundlage, nicht nur eine Sammelformel am Anfang?
• Gibt es für jede Verarbeitung eine Speicherdauer oder die Kriterien dafür?
• Sind Betroffenenrechte, Widerruf der Einwilligung und Beschwerderecht beschrieben?
• Trägt die Erklärung ein Datum der letzten Änderung? Vorgeschrieben ist das nicht, für die eigene Nachverfolgung aber hilfreich.

Schritt 2: Messen, welche Dienste beim Erstaufruf laden

Die Erklärung beschreibt, was der Verantwortliche zu tun glaubt. Was die Website tatsächlich tut, zeigt erst eine Messung im Browser. Der DSGVO-Scan von XICTRAQ® simuliert einen Erstbesucher ohne Einwilligung und erfasst die Tracker, Cookies und Netzwerkanfragen, die beim ersten Aufruf vor der Einwilligung entstehen. Dazu gehört eine Analyse der eingebundenen Drittanbieter-Dienste, etwa Schriftarten, Videos, Karten oder Webanalyse.

Für eine Einzelprüfung ohne Konto reicht der kostenlose Cookie-Scanner. Er lädt die Seite in einem echten Headless-Chromium ohne Klick auf das Einwilligungsbanner, listet jede Drittanbieter-Domain, die der Browser kontaktiert, und ordnet sie Kategorien wie Analyse, Werbung, soziale Netzwerke, Schriften, CDN, Karten, Video und Chat zu. Domains ohne bekannte Kategorie erscheinen als „Sonstiges“ und gehören von Hand geprüft.

Wichtig sind die Grenzen dieser Messung, denn sie bestimmen, was Sie zusätzlich selbst erfassen müssen:

• Nur vor der Einwilligung: Dienste, die erst nach der Zustimmung laden, erscheinen in diesem Scan nicht. Sie stehen in der Dienste-Liste Ihres Einwilligungswerkzeugs und gehören trotzdem in die Erklärung.
• Nur die gescannte Adresse: Startseite, Kontaktseite mit Karte, Produktseite mit Video und Kasse laden häufig unterschiedliche Dienste. Messen Sie die Seitentypen einzeln.
• Nur, was im Browser geschieht: Empfänger auf Serverseite, etwa der Versanddienstleister, der Newsletter-Versand oder die Buchhaltung, tauchen in keiner Browsermessung auf.
• Nur ein Zeitpunkt: Eine Messung gilt für den Tag, an dem sie lief. Nach jedem Plugin-Update kann die Liste anders aussehen.

Aus Scan und eigener Systemübersicht entsteht eine Dienste-Liste. Eine einfache Tabelle genügt, wichtig sind Spalten, die später den Abgleich tragen. Die Werte im Beispiel sind frei gewählt und keine rechtliche Bewertung:

service_category;domain;page_type;before_consent;in_policy;legal_basis;third_country;checked
Auslieferungsnetz;cdn.beispiel-cdn.example;alle;ja;ja;berechtigtes Interesse;nein;2026-10-19
Kartendienst;karten.beispiel-karten.example;kontakt;nein;ja;Einwilligung;ja;2026-10-19
Videoplattform;video.beispiel-video.example;produkt;nein;ja;Einwilligung;ja;2026-10-19
Webanalyse;analyse.beispiel-analyse.example;alle;nein;ja;Einwilligung;nein;2026-10-19
Zahlungsdienst;pay.beispiel-zahlung.example;produkt,kasse;ja;nein;Vertrag;ja;2026-10-19
Chat-Widget;chat.beispiel-chat.example;alle;ja;nein;offen;ja;2026-10-19

Schritt 3: Erklärung und Messung von Hand abgleichen

XICTRAQ® gleicht die Datenschutzerklärung nicht automatisch mit dem Scan ab. Der Abgleich bleibt Handarbeit, weil die Erklärung Anbieter und Zwecke in Prosa beschreibt, der Scan dagegen Domains liefert. Mit der Dienste-Liste aus Schritt 2 geht er in dieser Reihenfolge:

1. Domains zu Anbietern zusammenfassen. Ein Dienst nutzt oft mehrere Domains, etwa für Skript, Schnittstelle und Bilder. Ziel ist eine Zeile je Anbieter, nicht je Domain.
2. Eigene Domains gesondert führen. Sie sind kein Drittanbieter im Browser, laufen aber oft bei einem Hoster oder Auslieferungsnetz. Auch Auftragsverarbeiter sind Empfänger im Sinne der Verordnung (WP260 rev.01).
3. Jede Zeile gegen den Empfängerabschnitt halten. Steht der Anbieter oder eine hinreichend konkrete Kategorie in der Erklärung?
4. Rechtsgrundlage gegen das Ladeverhalten halten. Nennt die Erklärung die Einwilligung als Grundlage, lädt der Dienst aber schon vorher, ist nicht der Text das erste Problem, sondern die Einbindung.
5. Drittland prüfen. Für Dienste mit Übermittlung außerhalb der EU verlangt Art. 13 Abs. 1 lit. f DSGVO den Hinweis auf Angemessenheitsbeschluss oder Garantien. Wie man solche Datenflüsse im Netzwerkprotokoll erkennt, beschreibt der Beitrag zum Datenabfluss auf Websites.
6. Umgekehrt prüfen. Welche Anbieter nennt die Erklärung, die die Website gar nicht mehr nutzt? Auch veraltete Einträge machen sie ungenau.
7. Datum festhalten. Messstand, Stand der Erklärung und jede Änderung gehören mit Datum in die Dienste-Liste.

Neue Dienste im vierten Quartal

Vor dem Weihnachtsgeschäft kommen auf Shop- und Unternehmenswebsites typischerweise neue Dienste dazu: eine zusätzliche Zahlungsart, ein Chat für Rückfragen, ein Bewertungs-Widget, ein Pixel für die Kampagne. Jeder davon ist ein möglicher neuer Empfänger. Vier typische Kandidaten für eine Lücke:

Kommt mit dem neuen Dienst ein neuer Zweck dazu, ist die Reihenfolge geregelt: Will der Verantwortliche Daten für einen anderen Zweck weiterverarbeiten, muss er vor dieser Weiterverarbeitung informieren (Art. 13 Abs. 3 DSGVO). Für Änderungen an der Erklärung empfehlen die Transparenz-Leitlinien, grundlegende Änderungen deutlich vor ihrem Wirksamwerden mitzuteilen. Als Beispiele nennen sie ausdrücklich die Erweiterung der Empfängerkategorien und neu eingeführte Übermittlungen in ein Drittland (WP260 rev.01).

Für alles, was Informationen auf dem Endgerät speichert oder dort ausliest, kommt § 25 TDDDG hinzu. Die Vorschrift erlaubt das nur, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat, und verweist für Information und Einwilligung ausdrücklich auf die DSGVO (§ 25 TDDDG). Eine Einwilligung, die sich auf eine unvollständige Erklärung stützt, kann damit angreifbar sein. Wie man Abweichungen nach jedem Release technisch erkennt, zeigt der Beitrag zur Consent- und Tag-Drift. Und weil in der Kasse andere Dienste laden als auf der Startseite, lohnt der Blick darauf, wie ein Browser-Check den Bestellweg Schritt für Schritt durchläuft, beschrieben im Beitrag zum Rabattcode im Checkout.

Wenn der Fragebogen kommt: Unterlagen, die bereitliegen sollten

Die Prüfaktion arbeitet mit einem europaweit abgestimmten Fragebogen (LDA Brandenburg). In Niedersachsen werden die ausgewählten Verantwortlichen zu ihren Maßnahmen und Prozessen im Hinblick auf die Informationspflichten nach Art. 13 und 14 befragt (LfD Niedersachsen). Gefragt wird also nicht nur nach dem Text, sondern nach dem Weg dorthin: Wer pflegt die Erklärung, was löst eine Änderung aus, und wie wird geprüft, ob sie noch stimmt?

Hinter diesen Fragen steht die Rechenschaftspflicht. Der Verantwortliche muss die Einhaltung der Grundsätze nachweisen können (Art. 5 Abs. 2 DSGVO), und zu diesen Grundsätzen gehört eine Verarbeitung, die für die betroffene Person nachvollziehbar ist (Art. 5 Abs. 1 lit. a DSGVO). Diese Unterlagen sollten deshalb bereitliegen:

• die aktuelle Datenschutzerklärung mit dem Datum der letzten Änderung
• die Dienste-Liste mit Anbieter, Zweck, Rechtsgrundlage, Drittlandbezug und Seitentyp
• datierte Scan-Ergebnisse vor der Einwilligung, je relevantem Seitentyp
• die Dienste-Liste des Einwilligungswerkzeugs als Export
• die Verträge zur Auftragsverarbeitung mit den eingesetzten Dienstleistern
• eine kurze Beschreibung des Ablaufs: Wer passt die Erklärung an, wenn eine Erweiterung installiert oder ein Dienst gebucht wird?

Die Bußgeldvorschrift ordnet Verstöße gegen die Rechte der betroffenen Person nach den Artikeln 12 bis 22 der oberen Stufe zu (Art. 83 DSGVO). Dort sind Geldbußen von bis zu 20 Millionen Euro oder bei Unternehmen von bis zu 4 Prozent des weltweiten Jahresumsatzes des vorangegangenen Geschäftsjahrs möglich, je nachdem, welcher Betrag höher ist (Art. 83 DSGVO). Das ist der Rahmen, nicht die zu erwartende Summe.

Den Abgleich zur Routine machen

Eine Datenschutzerklärung beschreibt einen Zustand, der sich mit jedem Release ändern kann. Sinnvoll ist deshalb ein fester Anlass für den Abgleich: jede Änderung an Erweiterungen, Tag-Konfiguration oder Einwilligungswerkzeug, jede neue Kampagne und zusätzlich ein regelmäßiger Termin.

Den Messteil dieser Routine übernimmt XICTRAQ®. Der DSGVO-Scan hält fest, welche Dienste vor der Einwilligung laden, und ein erneuter Scan nach der Korrektur zeigt, ob die Behebung greift. Den Stand der Pflichtabschnitte prüft der Datenschutz-Crawler kostenlos. Die übrigen Prüfpunkte für Websites, von Einwilligungsbannern bis zu externen Schriften, fasst der Leitfaden zur DSGVO-Compliance für Websites zusammen. Wie Befunde im Dashboard aussehen, zeigt die Live-Demo, und welche Funktionen in welchem Tarif enthalten sind, steht auf der Preisseite.

Die EDPB-Prüfaktion 2026 ist damit ein guter Zeitpunkt, die eigene Erklärung gegen die gemessene Wirklichkeit zu halten.