Nachweispositionen
Pruefbare Nachweispositionen aus SaferPage-Befunden, Fixpfad-Gruppen, Tracker-Mapping und Re-Scan-Anforderungen.
Automatisch aus SaferPage-Scan-Evidenz und Hintergrundseiten abgeleitet. Betreiber müssen Umsetzung, Rechtsgrundlagen, interne Systeme und Re-Scan-Nachweise fachlich freigeben.
Nachweisliste
Diese Seite ist ein Betreiber-Arbeitsindex. Die maschinenlesbaren JSON/CSV/Markdown-Exporte bleiben separate Exportlinks und werden nicht als Testresult-Inhalt eingebettet.
Top-Anbieter mit Zweck, Rolle, AVV/DPA, TOMs, Subprozessoren und Transfergrundlage dokumentieren.
Vendor-Due-Diligence mit 11 Anbieter(n), 8 hohem Risiko, 11 AVV-/DPA-Prüfung(en) und 11 Transfer-/Jurisdiktionsfrage(n).navigator.sendBeacon, keepalive-Fetch und vergleichbare Telemetrie auf Consent, Anbieter und Datenminimierung prüfen.
Im Impressum Betreibername, Rechtsform oder verantwortliche Person klar nennen.
Unnötige Drittanbieter reduzieren und die verbleibenden Kontakte in Datenschutz und Consent abbilden.
244 Request(s), 11 Drittanbieter-Domain(s), davon 8 datenschutzrelevant, 6 Browser-Cookie(s), Transfer-Prüfbedarf: 6, Referrer-/URL-Leaks: 0, Fingerprinting-/Replay-Hinweise: 2.Buttons mit sichtbarem Text oder aria-label beschriften.
unsafe-eval vermeiden und betroffene Bibliotheken oder Build-Konfigurationen prüfen.
Inline-Skripte über Nonces oder Hashes freigeben und unsafe-inline aus script-src entfernen.
Ablehnen, Einstellungen und Akzeptieren gleichwertig anbieten und Reject technisch wirksam machen.
Reject-Zustand gegen Cookies, Storage und Drittanbieter prüfen; nicht notwendige Signale nach Ablehnen blockieren.
Vor Eingabe prüfen, welche Daten erhoben werden, wofür sie genutzt werden und wo die Datenschutzhinweise stehen.
Tracking, Werbung und Session-Replay auf Seiten mit Dateneingabe nur nach Einwilligung auslösen und keine Formularwerte an Tags übergeben.
Tracking, Werbung und nicht notwendige Cookies vor Zustimmung blockieren und verständlich erklären.
0 Tracking-Script(s), 6 Cookie(s) vor Einwilligung, 0 Tracking-Cookie(s), Ablehnen-Option: nein, Consent-Audit: 0.Prüfen, ob Anbieter wie Google Analytics, Microsoft Clarity, Google Tag Manager in der Datenschutzerklärung und Cookie-Auswahl verständlich erklärt werden.
Für Anbieter wie Google Analytics, Microsoft Clarity, Google AdSense, Google Tag Manager, Microsoft Clarity, Microsoft Clarity Transfergrundlage, AVV, DPF/SCC/TIA und Datenschutzhinweise prüfen.
Technisch erkannte Dienste in der Datenschutzerklärung konkret mit Anbieter, Zweck, Rechtsgrundlage, Empfänger und Transferhinweis benennen.
Formularseiten sollten Datenschutzhinweise und Betreiberkontext direkt erreichbar machen.
Formulartexte, Pflichtfelder, Datenschutzlink, Referrer-Policy und Tracking auf Formularseiten prüfen.
Crawl-Evidence: 12 Formular(e) auf 4 geprüften Seite(n).Bei Formularen Zweck, Pflichtfelder, Datenschutzkontext, HTTPS und Zahlungsanbieter klar machen.
Crawl fand 12 Formular(e) auf 4 geprüften Seite(n), u. a. /impressum, /konto, /warenkorb, /Katalog-Design-Highlights-1-2026/49401. Zweck, Pflichtfelder und Datenschutzkontext je Formular prüfen.Vor dem ersten Google-Tag Consent-Defaults setzen, typischerweise ad_storage, analytics_storage, ad_user_data und ad_personalization auf denied.
Befund mit Hintergrundseite einordnen und danach erneut scannen.
Google-Consent-Mode-Signale wurden aus GTM/Analytics/Ads-Tags, passenden Browserkontakten und Tracking-IDs abgeleitet; reine Google-Service-Kontakte werden separat gezählt.Google-Dienste einzeln prüfen, Consent Mode sauber setzen und Fonts möglichst lokal ausliefern.
Google-Tags: ja, 3 Google-nahe Domain(s), Consent-Default: nein, Analytics: ja, Werbung: ja, Fonts: nein.Google Analytics, Ads, Tag Manager, Fonts, Maps oder YouTube in Consent-Banner und Datenschutzerklärung konkret erklären.
Betreiberangaben, Kontaktweg und Datenschutzhinweise von jeder Seite aus auffindbar machen.
Impressum: nein, Datenschutz: nein, Kontakt: nein.Für deutsche Seiten sollte ein gut sichtbares Impressum verlinkt sein.
E-Mail, Telefonnummer, Kontaktseite oder Impressum sichtbar verlinken.
Prüfen, ob diese Cookies technisch notwendig sind oder erst nach Einwilligung gesetzt werden dürfen.
Nach Ablehnen keine neuen nicht notwendigen Cookies setzen; technisch notwendige Cookies sauber erklären.
Nach Ablehnen sollten Anbieter wie Google Analytics nicht neu kontaktiert werden.
Datenschutz, Impressum, Kontakt, Cookie-Hinweise und kritische Formularseiten klar verlinken und regelmäßig mitprüfen.
30 interne Linkziele erkannt, 4 priorisierte Unterseite(n) abgerufen.Anbieter wie Microsoft Clarity, Microsoft Clarity, Microsoft Clarity erst nach Einwilligung laden, Eingabefelder maskieren und in der Datenschutzerklärung konkret erklären.
Befund mit Hintergrundseite einordnen und danach erneut scannen.
Consent, Tracking oder Drittanbieter wirken im Erstaufruf deutlich nachbesserungsbeduerftig.Tracking-IDs in LocalStorage oder SessionStorage nach Ablehnen entfernen oder gar nicht erst setzen.
Prüfen, ob Text absichtlich vor Nutzern verborgen, aber für Suchmaschinen platziert wird.
Prüfen, ob Eingaben für Analytics, Session-Replay oder Debugging erfasst werden; sensible Felder konsequent ausschließen.
Datenschutz und Impressum sollten von der Startseite aus klar erreichbar sein.
Befund mit Hintergrundseite einordnen und danach erneut scannen.
30 interne Linkziele erkannt (0 aus Sitemap), 4 priorisierte Unterseite(n) zusätzlich abgerufen.Vor einer Zahlung Impressum, Kontakt, Widerruf/AGB und Zahlungsanbieter prüfen.
Request einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
captchaRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
session_replayRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
tag_managerRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
session_replayRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
captchaRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
advertisingRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
analyticsRequest einem Dienst, Zweck und Consent-Zustand zuordnen oder blockieren.
session_replayBefund mit Hintergrundseite einordnen und danach erneut scannen.
Consent-Banner-UX: 2 auffällige Prüfpunkt(e), davon 1 hoch. Muster: Ablehnen technisch nicht wirksam.Alt-Texte, Formularlabels, Button-Namen, lang-Attribut und Überschriftenstruktur für Nutzer und Screenreader prüfen.
0 Bild(er) ohne alt, 0 Formularfeld(er) ohne Beschriftung, 3 Button(s) ohne Namen.Drittanbieter je Consent-Zustand prüfen; nach Ablehnen und bei GPC sollten keine neuen Trackingkontakte entstehen.
Consent-Journey: 1 neue Datenschutz-Domain(s) nach Ablehnen, 4 nach Akzeptieren, 6 im GPC-Aufruf.Befund mit Hintergrundseite einordnen und danach erneut scannen.
1 Bild(er), 3 Formularfeld(er), 22 Button(s) im passiven HTML-Sample auf Basis-Barrierefreiheit geprüft.Servicekarte je Anbieter anlegen und Datenschutzhinweis, CMP und Anbieterregister synchronisieren.
11 Drittanbieter-Domain(s) im Browserlauf.Befund mit Hintergrundseite einordnen und danach erneut scannen.
7 von 9 wichtigen Security-Headern vorhanden, 7 korrekt bewertet. CSP wirksam mit 14 Direktive(n), 2 Warnung(en), 1 Hinweis(e).HTTPS, Zertifikat, HSTS, CSP, zentrale Security-Header und externe Skriptquellen sauber konfigurieren.
2 Infrastruktur-Hinweis(e), Security-Header: 7/9 vorhanden, 2 fehlen, externe Skript-Hosts: 1.Pixel, sendBeacon, keepalive-Fetch und Link-Pings auf Consent, Zweck, Anbieter und Datenminimierung prüfen.
0 Pixel-/Bildtracking-Hinweis(e), 6 Beacon-/Telemetry-Hinweis(e), 0 Link-Ping(s).Zweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
hcaptcha.comZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
CaptchaZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Session-ReplayZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Tag-ManagerZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Session-ReplayZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
CaptchaZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
WerbungZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
AnalyticsZweck, Rolle, AVV/DPA, Region, Transfer und Consent-Kategorie bestätigen.
Session-ReplayZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
shop.zeit.deZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
shop.zeit.deZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
shop.zeit.deZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
shop.zeit.deZweck, Laufzeit, Anbieter und Consent-Erfordernis in Cookie-Erklärung und CMP pflegen.
shop.zeit.deUnklare Drittanbieter in Anbieterinventar, AVV-Prozess und Datenschutzerklärung nachrecherchieren.
script-src auf konkrete HTTPS-Hosts, Nonces oder Hashes begrenzen.
Captcha wie hCaptcha nur auf erforderlichen Formularen laden und Datenschutz-/Consent-Kontext erklären.
GPC-Aufruf auf Datenschutz-Drittanbieter, Drittanbieter-Cookies und Storage-IDs prüfen.
Header `cross-origin-embedder-policy` setzen und nach Deployment erneut prüfen.
Bei aktivem Global Privacy Control sollten Anbieter wie Google Tag Manager, Google AdSense, Google Analytics besonders begründet oder blockiert werden.
Bei aktivem Global Privacy Control Drittanbieter-Cookies und Verkauf-/Sharing-Signale technisch prüfen.
Für statische CDN-Skripte `integrity` und passend `crossorigin` setzen oder Skripte kontrolliert lokal ausliefern.
HTML reduzieren, kritische Inhalte priorisieren und unnötige Inline-Daten vermeiden.
Eine klare H1 und sinnvolle Zwischenüberschriften erleichtern Orientierung und Screenreader-Nutzung.
Brotli oder gzip für HTML/CSS/JS aktivieren.
Cookies wie sw-context-token, sw-user-auth, sw-context-last-updated, sw-rule-hash auf Zweck, Erforderlichkeit und Speicherdauer prüfen und transparent erklären.
Header `permissions-policy` setzen und nach Deployment erneut prüfen.
Prüfen, ob die CMP den TCF-Consent-String korrekt bereitstellt und ob Tags ihn auslesen können.
TCF-API liefert keinen sichtbaren TC-String; CMP-Status und Tag-Auslesbarkeit prüfen.
Viele externe Kontakte erschweren die Datenschutz-Einordnung für Nutzer. Drittanbieter reduzieren oder klar begründen.