Nachweispositionen
Prüfbare Nachweispositionen aus SaferPage-Befunden, Fixpfad-Gruppen, Tracker-Mapping und Re-Scan-Anforderungen.
Automatisch aus SaferPage-Scan-Evidenz und Hintergrundseiten abgeleitet. Betreiber müssen Umsetzung, Rechtsgrundlagen, interne Systeme und Re-Scan-Nachweise fachlich freigeben.
Nachweisliste
Diese Seite ist ein Betreiber-Arbeitsindex. Die maschinenlesbaren JSON/CSV/Markdown-Exporte bleiben separate Exportlinks und werden nicht als Testresult-Inhalt eingebettet.
Top-Anbieter mit Zweck, Rolle, AVV/DPA, TOMs, Subprozessoren und Transfergrundlage dokumentieren.
Vendor-Due-Diligence mit 39 Anbieter(n), 11 hohem Risiko, 39 AVV-/DPA-Prüfung(en) und 39 Transfer-/Jurisdiktionsfrage(n).navigator.sendBeacon, keepalive-Fetch und vergleichbare Telemetrie auf Consent, Anbieter und Datenminimierung prüfen.
Im Impressum Betreibername, Rechtsform oder verantwortliche Person klar nennen.
Unnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.
364 Request(s), 39 Drittanbieter-Domain(s), davon 8 datenschutzrelevant, 21 Browser-Cookie(s), Transfer-Prüfbedarf: 14, Referrer-/URL-Leaks: 3, Fingerprinting-/Replay-Hinweise: 3.Prüfen, ob Canvas-Zugriffe für Darstellung nötig sind oder Fingerprinting ermöglichen; Zweck und Rechtsgrundlage dokumentieren.
Ablehnen, Einstellungen und Akzeptieren gleichwertig anbieten und Reject technisch wirksam machen.
Reject-Zustand gegen Cookies, Storage und Drittanbieter prüfen; nicht notwendige Signale nach Ablehnen blockieren.
Befund mit Hintergrundseite einordnen und danach erneut scannen.
20 Cookie(s) inventarisiert: 4 Tracking-/Werbe-Cookie(s), 3 Drittanbieter-Cookie(s), 11 langlebige Cookie(s), 0 sehr lange Laufzeit(en).Cookie-, Tracking-, Web-Storage- und Drittanbieter-Hinweise mit der tatsächlichen Technik aus dem Scan abgleichen.
Vor Eingabe prüfen, welche Daten erhoben werden, wofür sie genutzt werden und wo die Datenschutzhinweise stehen.
Tracking, Werbung und Session-Replay auf Seiten mit Dateneingabe nur nach Einwilligung auslösen und keine Formularwerte an Tags übergeben.
Tracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären.
0 Tracking-Script(s), 19 Cookie(s) vor Einwilligung, 4 Tracking-Cookie(s), Ablehnen-Option: nein, Consent-Audit: 0.Verantwortlicher, Zwecke, Rechtsgrundlagen, Rechte, Speicherfristen, Empfänger, Cookies/Tracking und Widerruf strukturiert ergänzen.
Prüfen, ob Anbieter wie Google Tag Manager, Microsoft Clarity, Meta/Facebook in der Datenschutzerklärung und Cookie-Auswahl verständlich erklärt werden.
Für Anbieter wie Google Tag Manager, Microsoft Clarity, Google DoubleClick, Meta/Facebook, TikTok, Google DoubleClick, Meta/Facebook, Microsoft Clarity, google.com, google.de, a Transfergrundlage, AVV, DPF/SCC/TIA und Datenschutzhinweise prüfen.
Technisch erkannte Dienste in der Datenschutzerklärung konkret mit Anbieter, Zweck, Rechtsgrundlage, Empfänger und Transferhinweis benennen.
Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.
Befund mit Hintergrundseite einordnen und danach erneut scannen.
Google-Consent-Mode-Signale wurden aus GTM/Analytics/Ads-Tags, passenden Browserkontakten und Tracking-IDs abgeleitet; reine Google-Service-Kontakte werden separat gezählt.Google-Dienste einzeln prüfen, Consent Mode sauber setzen und Fonts möglichst lokal ausliefern.
Google-Tags: ja, 9 Google-nahe Domain(s), Consent-Default: nein, Analytics: nein, Werbung: ja, Fonts: ja.Google Analytics, Ads, Tag Manager, Fonts, Maps oder YouTube in Consent-Banner und Datenschutzerklärung konkret erklären.
Prüfen, ob Suchmaschinen andere Inhalte als echte Nutzer erhalten.
Für deutsche Seiten sollte ein gut sichtbares Impressum verlinkt sein.
Straße, Hausnummer, Postleitzahl und Ort im Impressum eindeutig aufführen.
Cookies wie _ga, _ga_5664KHBV0F, _ga_BR1QT7QMT4 auf kurze Laufzeiten begrenzen, erst nach Einwilligung setzen und Speicherdauer konkret erklären.
Prüfen, ob diese Cookies technisch notwendig sind oder erst nach Einwilligung gesetzt werden dürfen.
Tracking-/Tag-Parameter für Anbieter wie wgs.wgs-static.com, shop.app, api.reviews.io so konfigurieren, dass keine unnötigen Pfade, Suchparameter oder Formularumfelder gesendet werden.
Sensible Parameter wie E-Mail, Name, Token oder Session-IDs aus URLs entfernen und Drittanbieter-Tags auf solchen Seiten blockieren.
Anbieter wie Microsoft Clarity, Microsoft Clarity erst nach Einwilligung laden, Eingabefelder maskieren und in der Datenschutzerklärung konkret erklären.
Befund mit Hintergrundseite einordnen und danach erneut scannen.
Consent, Tracking oder Drittanbieter wirken im Erstaufruf deutlich nachbesserungsbeduerftig.Tracking-Cookies erst nach aktiver Einwilligung setzen.
LocalStorage und SessionStorage wie Cookies inventarisieren und nicht notwendige IDs an Consent koppeln.
Prüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen.
Request einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
advertisingRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
social_trackingRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
session_replayRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
social_trackingRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
social_trackingRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
advertisingRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
tag_managerRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
session_replayBefund mit Hintergrundseite einordnen und danach erneut scannen.
Consent-Banner-UX: 2 auffällige Prüfpunkt(e), davon 1 hoch. Muster: Tracking vor Einwilligung.Drittanbieter je Consent-Zustand prüfen; nach Ablehnen und bei GPC sollten keine neuen Trackingkontakte entstehen.
Consent-Journey: 0 neue Datenschutz-Domain(s) nach Ablehnen, 0 nach Akzeptieren, 3 im GPC-Aufruf.Servicekarte je Anbieter anlegen und Datenschutzhinweis, CMP und Anbieterregister synchronisieren.
39 Drittanbieter-Domain(s) im Browserlauf.Bei Formularen Zweck, Pflichtfelder, Datenschutzkontext, HTTPS und Zahlungsanbieter klar machen.
Die Seite kann Zahlung, Kontaktformular abfragen.Betreiberangaben, Kontaktweg und Datenschutzhinweise von jeder Seite aus auffindbar machen.
Impressum: nein, Datenschutz: nein, Kontakt: ja.Referrer-Policy härten, sensible Query-Parameter entfernen und Tracking-Parameter ohne volle Seiten-URL konfigurieren.
3 Drittanbieter-Domain(s) mit Referrer-/URL-Leak-Prüfbedarf, 1 sensible Query-Kontexte.Versteckte Inhalte, Canonical-Missbrauch und Googlebot-Abweichungen entfernen.
0 SEO-Spam-Hinweis(e), 1 Cloaking-Hinweis(e).Datenschutz, Impressum, Kontakt, Cookie-Hinweise und kritische Formularseiten klar verlinken und regelmäßig mitprüfen.
30 interne Linkziele erkannt, 4 priorisierte Unterseite(n) abgerufen.Pixel, sendBeacon, keepalive-Fetch und Link-Pings auf Consent, Zweck, Anbieter und Datenminimierung prüfen.
0 Pixel-/Bildtracking-Hinweis(e), 31 Beacon-/Telemetry-Hinweis(e), 0 Link-Ping(s).Befund mit Hintergrundseite einordnen und danach erneut scannen.
30 interne Linkziele erkannt (120 aus Sitemap), 4 priorisierte Unterseite(n) zusätzlich abgerufen.Zweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
assets.reviews.ioZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
fyta.deZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
fyta.deZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
fyta.deZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
fyta.deZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
fyta.deZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
WerbungZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Social/TrackingZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
fyta.deZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Session-ReplayZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Social/TrackingZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Social/TrackingZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
WerbungZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Tag-ManagerZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Session-ReplayZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
fyta.deUnklare Drittanbieter in Anbieterinventar, AVV-Prozess und Datenschutzerklärung nachrecherchieren.
Inhaltliche Bilder mit alt-Text versehen; dekorative Bilder mit leerem alt oder aria-hidden kennzeichnen.
base-uri 'self' oder 'none' setzen, damit Base-Tag-Manipulation begrenzt wird.
object-src 'none' setzen, wenn keine Plugins oder Objekte benötigt werden.
GPC-Aufruf auf Datenschutz-Drittanbieter, Drittanbieter-Cookies und Storage-IDs prüfen.
Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.
Header `cross-origin-opener-policy` setzen und nach Deployment erneut prüfen.
Header `cross-origin-resource-policy` setzen und nach Deployment erneut prüfen.
Betreiber sollten einen Datenschutzkontakt nennen oder nachvollziehbar erklären, wie Datenschutzanfragen gestellt werden können.
Bei aktivem Global Privacy Control sollten Anbieter wie Google Tag Manager, Google DoubleClick, Google DoubleClick besonders begründet oder blockiert werden.
Bei aktivem Global Privacy Control Drittanbieter-Cookies und Verkauf-/Sharing-Signale technisch prüfen.
Für statische CDN-Skripte `integrity` und passend `crossorigin` setzen oder Skripte kontrolliert lokal ausliefern.
Bei Tracking prüfen, ob Consent technisch nachvollziehbar gesetzt, widerrufen und dokumentiert wird.
Eine klare H1 und sinnvolle Zwischenüberschriften erleichtern Orientierung und Screenreader-Nutzung.
Cookies wie _pandectes_gdpr, _shopify_analytics, _shopify_essential, _shopify_marketing, _shopify_y, _ttp, localization, _shop_app_e auf Zweck, Erforderlichkeit und Speicherdauer prüfen und transparent erklären.
Header `permissions-policy` setzen und nach Deployment erneut prüfen.
Header `referrer-policy` setzen und nach Deployment erneut prüfen.
Prüfen, ob Google Fonts lokal gehostet oder in der Datenschutzerklärung und Consent-Logik sauber erklärt werden.
Betreiber sollten ein gut sichtbares Stand- oder Aktualisierungsdatum ergänzen und die Erklärung nach technischen Änderungen prüfen.
Bei Global Privacy Control sollten Tracking-IDs in LocalStorage und SessionStorage vermieden oder klar an Opt-out gekoppelt werden.
Viele externe Kontakte erschweren die Datenschutz-Einordnung für Nutzer. Drittanbieter reduzieren oder klar begründen.
Skripte/CSS bündeln, defer/async nutzen und kritisches CSS priorisieren.