Prüf in 60 Sekunden, welche personenbezogenen Daten deine Website sendet, bevor jemand zustimmt.
Viele Shops senden IP-Adresse, Klickverhalten und sogar Mausbewegungen an Google, Meta, TikTok oder Klaviyo. Und das, bevor der Besucher im Cookie-Banner auf „Akzeptieren“ geklickt hat. Dieser Test zeigt dir, ob dein Shop dazugehört.
- 290 Shops geprüft
- Ergebnis in unter 60 Sekunden
- Kein Konto nötig
- Echter Browser aus Deutschland
Wir öffnen deinen Shop wie ein Besucher aus Deutschland — ohne irgendwo zu klicken — und protokollieren jede Anfrage, jedes Cookie und jeden Storage-Eintrag der ersten Sekunden.
Erkannt wird, was der Browser wirklich anfragt
Kein Blick in den Quelltext, sondern in den Netzwerkverkehr. Jede Anfrage wird gegen 20 kuratierte Vendor-Signaturen und 46.524 bekannte Tracker-Hosts aus der EasyPrivacy-Liste geprüft — plus eine Freigabeliste technisch notwendiger Dienste, damit Warenkorb und Session nicht als Verstoß gezählt werden.
- Google Analytics
- Google Tag Manager
- Google Ads
- Meta Pixel
- TikTok Pixel
- Klaviyo
- Microsoft Clarity
- Hotjar
- LinkedIn Insight
- Snapchat Pixel
- Lucky Orange
- Shopify Analytics
- Google Fonts
- HubSpot
EinBannerbeweistgarnichts.Entscheidendist,welcheDatendeinShopindenSekundendavorschonverschickthat.
Genau die messen wir: jede Anfrage, jedes Cookie, jeden Storage-Eintrag — bevor irgendwo geklickt wurde. Mit Zeitstempel, damit die Reihenfolge nachweisbar ist.
Die ersten Sekunden meines Shops messenWas § 25 TDDDG genau verlangt ›Belegt statt behauptet
Ein Report, den du unverändert weiterreichen kannst
Zu jedem Befund die Beobachtung, der Zeitpunkt und der nächste konkrete Schritt — und wo es einen gibt, der passende Gerichts- oder Behördenfall. Als PDF, ohne Konto. Was Shopify selbst macht, steht dabei getrennt von dem, was wirklich ein Mangel ist.
3 Dienste feuern vor der Einwilligung
- HochAblehnen wird nicht respektiert
- MittelConsent Mode: 2 von 4 Signalen fehlen
- OKCookie-Banner erscheint korrekt
Typische Befunde aus echten Scans
Erste Anfrage nach 0,4 s · vor jeder Interaktion
01
Tracking-Signale vor der Einwilligung
Google Analytics, das Meta-Pixel oder Klaviyo senden schon beim ersten Seitenaufruf Daten — bevor jemand auf „Akzeptieren“ geklickt hat. Meist, weil eine App ihr Skript direkt ins Theme schreibt und dabei am Consent-Manager vorbeiläuft.
Zweiter Durchlauf · nach Klick auf „Ablehnen“
02
„Ablehnen“ wird nicht respektiert
Das Banner zeigt einen Ablehnen-Button, aber nach dem Neuladen feuern dieselben Dienste weiter. Wir prüfen das aktiv statt es anzunehmen: ablehnen, neu laden, nachmessen.
ad_storage · analytics_storage · ad_user_data · ad_personalization
03
Consent Mode auf „gewährt“ voreingestellt
Die Signale stehen von Anfang an auf granted. Für Google sieht das aus wie eine Einwilligung, die nie stattgefunden hat — und die Zahlen, die daraus entstehen, sind genau die, denen du deine Budgetentscheidungen anvertraust.
fonts.googleapis.com · fonts.gstatic.com
04
Google Fonts werden live von Google geladen
Jeder Seitenaufruf überträgt die IP-Adresse deiner Besucher an einen US-Anbieter, ohne dass jemand gefragt wurde. Der Klassiker unter den Abmahnschreiben — und in einer Viertelstunde behoben, indem die Schriften lokal eingebunden werden.
Kein Quelltext-Scan. Ein echter Browser.
Wir starten eine echte Chromium-Sitzung mit deutscher Spracheinstellung über eine deutsche Endkunden-IP. Geo-gesteuerte Banner und IP-abhängige Skripte verhalten sich dadurch genauso wie bei deinen Kunden — und nicht wie bei einem Rechenzentrum in Virginia.
- Echte Chromium-Sitzung statt Quelltext-Heuristik
- Deutsche IP, deutsche Sprach- und Zeitzoneneinstellung
- Zwei Durchläufe: neutral und nach „Ablehnen“
- Jeder Befund mit Anfrage-URL und Zeitstempel belegt
So funktioniert der Test
- 01
Domain eingeben
Du gibst deine Shop-Adresse ein — sonst nichts.
- 02
Echter EU-Browser-Test
Wir laden deine Seite wie ein Besucher aus der EU und protokollieren jeden Tracker mit Zeitpunkt.
- 03
Klartext-Report
Du siehst sofort, was vor einer beobachteten Einwilligung startet — mit konkreten Beobachtungen, relevanten Fällen und Lösungsschritten.
Die neun Prüfpunkte
Jeder Punkt mit Beobachtung, Zeitstempel und Lösungsweg — nicht mit Paragraphen.
- 01Tracking vor Einwilligung
- 02Google Consent Mode
- 03Cookie-Banner / Opt-in
- 04„Ablehnen“ wird respektiert
- 05Daten an Drittland-Anbieter
- 06Session-Aufzeichnung
- 07Google Fonts
- 08Datenschutzerklärung-Abgleich
- 09E-Mail-Zustellbarkeit (SPF/DKIM/DMARC)
Nicht nur Behörden — seit Oktober 2024 auch Wettbewerber
Der EuGH hat Mitbewerbern den Weg vor die Zivilgerichte geöffnet, der BGH hat das im März 2025 bestätigt. Was daraus praktisch folgt und welche Urteile dahinterstehen, steht hier — mit Aktenzeichen.
Die Urteile dahinter
Wettbewerber dürfen abmahnen
Der EuGH hat entschieden, dass Mitbewerber Datenschutzverstöße als unlautere Geschäftspraxis vor Zivilgerichten angreifen dürfen — zusätzlich zu den Aufsichtsbehörden. Der BGH hat das im März 2025 bestätigt und die Revision zurückgewiesen.
EuGH, 04.10.2024 – C-21/23 „Lindenapotheke“ · BGH, 27.03.2025 – I ZR 223/19 · Quelle ›
Tags beim Seitenaufruf sind einwilligungspflichtig
Das Gericht sah schon das Laden des Google Tag Managers beim Seitenaufruf — samt IP-Übermittlung — als zustimmungspflichtigen Zugriff an. Genau dieser Fall ist Prüfpunkt 1 im Scan.
VG Hannover, 19.03.2025 – 10 A 5385/22 · Quelle ›
Vorausgewählte Häkchen sind keine Einwilligung
Nicht-essenzielle Cookies brauchen eine vorherige, aktive Entscheidung. Voreingestellte Häkchen oder „Weitersurfen = Zustimmung“ genügen nicht, und Ablehnen muss gleichwertig möglich sein.
EuGH – C-673/17 „Planet49“ · BGH – I ZR 7/16 · Quelle ›
Google Fonts direkt von Google: 100 € Schadensersatz
Das Gericht sprach einem Websitebesucher Schadensersatz zu, weil seine IP-Adresse durch dynamisch geladene Schriften an Google übermittelt wurde. Behoben ist das in einer Viertelstunde — lokal einbinden.
LG München I, 20.01.2022 – 3 O 17493/20 · Quelle ›
Was eine Abmahnung kostet
- Unterlassungserklärung
- Das eigentliche Druckmittel. Sie gilt zeitlich unbegrenzt — wer später erneut verstößt, zahlt die vereinbarte Vertragsstrafe. Fachkanzleien raten einhellig, die vorformulierte Fassung nicht ungeprüft zu unterschreiben.
- Anwaltskosten der Gegenseite
- Bei Datenschutzverstößen entfallen sie für Unternehmen mit in der Regel unter 250 Beschäftigten — § 13 Abs. 4 Nr. 2 UWG. Die Abmahnung selbst und der Unterlassungsanspruch bleiben davon unberührt.
- Vertragsstrafe
- Unter 100 Beschäftigten darf beim erstmaligen Datenschutzverstoß keine verlangt werden (§ 13a Abs. 2 UWG). Ab dem zweiten Mal greift sie — dann liegen die üblichen Sätze im vier- bis fünfstelligen Bereich.
- Bußgeld der Aufsichtsbehörde
- Der gesetzliche Rahmen reicht weit, der Regelfall für einen mittelständischen Shop tut das nicht. Mehrere Landesdatenschutzbehörden prüfen Websites allerdings anlasslos — auch ohne Beschwerde.
Wir sind keine Anwälte und der Scan ist keine Rechtsberatung. Er zeigt, was technisch passiert; die Bewertung gehört zu deinem Anwalt oder Datenschutzbeauftragten. Die Größenangaben oben sind die von Fachkanzleien genannten Spannen, keine Zusicherung.
Der Scan und das Gespräch kosten nichts
Enthalten:
- 9 Prüfpunkte in unter einer Minute
- Report direkt im Browser
- PDF zum Weitergeben an die Agentur
- Kein Konto, keine Kreditkarte
Enthalten:
- 9 Prüfpunkte in unter einer Minute
- Report direkt im Browser
- PDF zum Weitergeben an die Agentur
- Kein Konto, keine Kreditkarte
Die Einwände, bevor du sie stellst
Prüf deinen Shop in unter einer Minute
Kostenlos, ohne Verpflichtung.
Noch Fragen? Schreib uns.
Kontakt
Der Scan läuft ohne uns. Wenn du die Befunde einordnen oder gleich beheben lassen willst, melde dich — auf Deutsch, von Mensch zu Mensch.
- Echter Browser-Test aus der EU
- Kein oberflächlicher Quellcode-Scan — eine echte Chromium-Sitzung mit deutschen Einstellungen.
- Belegbar statt Behauptung
- Jeder Befund mit konkretem Cookie/Request + Zeitpunkt und, wo passend, einem relevanten Gerichts-/Behördenfall.
- Keine Weitergabe deiner Daten
- Wir speichern nur technische Befunde der Seite — keine personenbezogenen Inhalte.
Diese Analyse ist eine automatisierte technische Prüfung und stellt keine Rechtsberatung dar. Für eine verbindliche rechtliche Bewertung wende dich an einen Anwalt oder Datenschutzbeauftragten. Prüfe bitte nur Domains, für die du berechtigt bist.