Eine Compliance-Prüfung durchführen

Zwei Wege, die regulatorische Nachweisprüfung auszuführen: eine kostenlose Version für eine einzelne Seite ohne Konto und die vollständige Version im Dashboard. Diese Seite behandelt beide – und was zu tun ist, wenn ein Ergebnis nicht Ihren Erwartungen entspricht.

Lesen Sie zuerst Regulatorische Nachweise: Überblick, falls noch nicht geschehen – vor allem den Teil dazu, was „Kein Problem festgestellt" bedeutet und was nicht.

Die kostenlose Prüfung

Kein Konto nötig. Erreichbar über das Kopfmenü unter den kostenlosen Werkzeugen und über das Scan-Feld auf der Startseite, indem Sie die Option EU oder Kalifornien wählen.

Geben Sie eine URL ein.
Wählen Sie einen Markt – Deutschland, übriges EU / EWR oder Kalifornien. Die Kalifornien-Seite ist auf diesen Markt festgelegt und überspringt die Auswahl.
Bestätigen Sie, dass Sie die Website besitzen oder verwalten. Ohne diese Bestätigung startet die Prüfung nicht.
Lesen Sie das Ergebnis.

Grenzen, damit das Ergebnis nicht falsch gelesen wird. Geprüft wird eine repräsentative Seite, zuzüglich der von dort verlinkten Rechtsseiten. Ergebnisse werden 24 Stunden zwischengespeichert; dieselbe URL erneut zu prüfen liefert dasselbe Ergebnis, statt neu zu scannen. Es gelten drei Prüfungen pro IP-Adresse und Tag.

Das kostenlose Ergebnis zeigt, was Handlungsbedarf hat. Gibt es nichts zu tun, zeigt es einen prüfenswerten Punkt. Verbleibende Prüfungen werden gezählt, aber nicht einzeln aufgeführt – der vollständige Nachweis liegt in der vollständigen Prüfung.

Die Bestätigung in Schritt 3 ist keine Formalie. Ein Compliance-Befund nennt eine Domain, nennt eine Vorschrift und trägt Zeitstempel und Fundstelle. In Deutschland ist das die Form einer Abmahnungsanlage – einen solchen Befund gegen eine Domain zu erzeugen, die Sie nicht kontrollieren, auf unserer Infrastruktur, werden wir nicht tun.

Die vollständige Prüfung

Im Dashboard, im Reiter Compliance einer Website. Drei Voraussetzungen:

Die Funktion ist für Ihren Tarif freigeschaltet. Sie ist im Beta-Stadium und wird pro Tarif ausgerollt; fehlt der Reiter, hat sie Ihren Tarif noch nicht erreicht.
Die Website ist verifiziert. Aus demselben Grund wie oben, und hier ist es nicht optional – siehe Domain-Verifizierung.
Mindestens ein Markt ist erklärt. Kein Markt, keine Befunde.

Märkte erklären

Ein Markt ist eine Rechtsordnung plus die URL, unter der die Seiten dieses Marktes beginnen.

Die meisten Websites haben einen Markt und eine Wurzel – die Website-URL selbst, was Sie nichts kostet. Eine Website, die verschiedene Regionen unter verschiedenen Pfaden bedient, erklärt je eine Zeile: Deutschland unter /de, Kalifornien unter /us. Jede Wurzel wird gegen die eigene Domain der Website geprüft.

Wählen Sie Märkte danach, wo Sie tatsächlich Geschäfte machen. Zusätzliche Märkte zu erklären macht eine Website nicht sicherer; es fügt Prüfungen hinzu, deren Befunde für Sie möglicherweise nicht gelten.

Die Prüfung starten

Der Reiter Compliance enthält eine Schaltfläche zum Starten. Die Erhebung läuft auf einem separaten Worker, und der Durchlauf setzt sich fort, wenn Sie weiternavigieren oder den Tab schließen – Fortschritt und Ergebnis werden vom Server gelesen, nicht im Browser gehalten.

Ein Durchlauf prüft bis zu fünf Seiten, ausgewählt über die Bereiche der Website verteilt statt fünf Varianten derselben Vorlage, zuzüglich der gefundenen verlinkten Rechtsseiten.

Nach dem ersten Durchlauf

Verifizierte Websites werden automatisch wöchentlich nachgeprüft. Der Rhythmus ist bewusst gewählt: Eine rechtliche Oberfläche ändert sich, wenn jemand sie bearbeitet – selten –, während sich eine Barrierefreiheitsoberfläche mit jeder Inhaltsänderung ändert. Tägliche Nachprüfungen würden dasselbe Impressum siebenmal lesen, um nichts zu erfahren.

Beginnt etwas zuvor Bestandenes zu scheitern, erhalten Sie eine E-Mail. Das ist das eigentliche Produkt – der erste Durchlauf zeigt Ihren Stand, die wöchentliche Nachprüfung zeigt, wann ein Deployment ihn still verändert hat.

Einen Befund lesen

Jeder Befund trägt vier Dinge:

Einen Status. Handlungsbedarf, Prüfung erforderlich, Kein Problem festgestellt oder Nicht bewertet.
Die Seiten, auf denen er gesehen wurde, damit Sie wissen, ob es die ganze Website oder eine Vorlage betrifft.
Eine Nachweiszeile – die konkrete Beobachtung hinter dem Urteil. Der Cookie-Name, der Drittanbieter-Host, das fehlende Feld.
Eine Fundstelle, für alles, was kein Bestehen ist. Verpflichtend, und von der Datenbank erzwungen statt nur per Konvention.

„Prüfung erforderlich" ist kein sanftes Scheitern

Dahinter stehen zwei verschiedene Ursachen, die verschiedene Reaktionen verlangen.

Manchmal war die Beobachtung wirklich mehrdeutig – Bannererkennung ist heuristisch, weil es kein Standard-Markup für einen Cookie-Banner gibt. Ist die Prüfung nicht sicher, einen gefunden zu haben, behauptet sie keinen Verstoß gegen etwas, das vielleicht kein Banner ist.

Manchmal war die Beobachtung eindeutig, das rechtliche Gewicht aber nicht. In Deutschland gibt es ein Urteil, das Schadensersatz für aus der Ferne geladene Google Fonts zuspricht; andere Mitgliedstaaten kennen dieselbe Argumentation ohne vergleichbaren Präzedenzfall. Gleiche Beobachtung, gleicher Nachweis – aber beides als Verstoß zu melden, überzeichnete den zweiten Fall. Die schwächere Bindung deckelt das Ergebnis bei „Prüfung erforderlich", statt Sicherheit zu erfinden.

Also: Lesen Sie die Nachweiszeile. Beschreibt sie etwas real Vorhandenes auf Ihrer Website, gilt die Beobachtung – unabhängig vom Status.

Wenn ein Durchlauf nicht sauber zurückkommt

Die Website war nicht lesbar. Meist ist Bot-Schutz die Ursache. Zwischenseiten von Anbietern wie Imperva werden mit HTTP 200 ausgeliefert, ein Statuscode allein kann eine Challenge-Seite also nicht von einer echten unterscheiden – die Prüfung liest genug der Seite, um das zu erkennen. Setzen Sie die Prüfung auf die Positivliste oder prüfen Sie eine Staging-Umgebung ohne Challenge.

Eine Rechtsseite wurde nicht gefunden. Die Prüfung folgt zuerst Links. Ist Ihre Datenschutzerklärung nirgends verlinkt, probiert sie bekannte Pfade – das belegt, dass die Seite existiert, sagt aber nichts darüber, ob Besucherinnen sie finden könnten. Erreichbarkeit wird deshalb getrennt vom Inhalt gemeldet. Existiert eine Seite, wurde aber nicht gefunden, prüfen Sie, ob überhaupt etwas auf der Website darauf verlinkt.

Eine E-Mail-Adresse wurde als fehlend gemeldet, steht aber auf der Seite. Das war ein echter Fehler und ist behoben: Adressen, die als mailto:-Link mit einem Personennamen als sichtbarem Text veröffentlicht sind, werden aus dem Link gelesen, nicht nur aus dem Seitentext. Sehen Sie das weiterhin, steht die Adresse weder im Text noch in einem mailto: – prüfen Sie, wie sie ausgegeben wird.

Eine Prüfung meldet „Nicht bewertet". Sie hat in Ihren erklärten Märkten keine Bindung, oder die benötigte Beobachtung lag nicht vor. Das ist weder ein Bestehen noch ein Scheitern.

Die Nachweise herausbekommen

Befunde bleiben bei der Website und bestehen nach dem Durchlauf fort, sodass eine spätere Frage danach, wie die Website im August aussah, eine Antwort hat. Der Bericht für Kundinnen und Kunden enthält einen Compliance-Abschnitt, sobald die Funktion für Ihren Tarif freigeschaltet ist – das ist die teilbare Form, siehe Teilen & Berichte. Der Bericht ist für alle mit dem Link öffentlich, deshalb wird dieselbe Rollout-Sperre beim Rendern erneut geprüft statt aus dem Dashboard übernommen.

Eines sollten Sie im Blick behalten

Jedes Ergebnis trägt einen Hinweis, und der meint, was er sagt. Es handelt sich um automatische Prüfungen auf bestimmte, benannte Bedingungen. Sie sind allgemeine Informationen, keine Rechtsberatung, und ihr Bestehen bedeutet nicht, dass Ihre Website rechtskonform ist. Für Ihren konkreten Fall wenden Sie sich an eine Anwältin oder einen Anwalt.