Was automatisierte Compliance-Scanner erkennen (und was nicht)

Alles, was sich als beobachtbares technisches Signal oder Inhaltssignal auf einer gerenderten Seite zeigt. Dazu gehören Tracking-Skripte und Cookies relativ zum Einwilligungsstatus, das Vorhandensein und die grundlegende Umsetzung eines Cookie-Banners, ob eine Datenschutzerklärung existiert und die erwarteten Angaben abdeckt, Signale für den Einsatz von KI-Systemen samt zugehörigem Offenlegungstext sowie Barrierefreiheitsprobleme auf DOM-Ebene — fehlende Alt-Texte, unbeschriftete Formularfelder, unzureichender Farbkontrast, ungültige ARIA-Rollen und ähnliche strukturelle Probleme.

Ein Scan hat keinen Einblick darin, was passiert, nachdem Daten den Browser verlassen haben: ob eine Auftragsverarbeitungsvereinbarung mit einem Drittanbieter besteht, ob die angegebene Rechtsgrundlage für die Verarbeitung tatsächlich zutrifft, wie lange Daten auf einem Server gespeichert werden, oder wie ein internes Team eine Betroffenenanfrage bearbeitet. Das sind organisatorische und vertragliche Tatsachen, keine beobachtbaren Seitensignale.

Er kann auch nicht die subjektiven Einschätzungen treffen, die ein menschlicher Prüfer trifft — etwa ob ein Alt-Text lediglich vorhanden ist oder das Bild tatsächlich sinnvoll beschreibt, oder ob die Lesereihenfolge einer Seite für jemanden, der einen Screenreader nutzt, in der Praxis wirklich Sinn ergibt und nicht nur eine strukturelle Prüfung besteht.

Ein Scan bildet eine Website zum Zeitpunkt des Scans ab. Websites verändern sich — ein neues Marketing-Skript wird hinzugefügt, ein Cookie-Banner wird umkonfiguriert, ein Plugin-Update ändert, was vor der Einwilligung lädt. Ein einzelner Scan sagt nichts über diese spätere Veränderung aus — deshalb gibt es kontinuierliches Monitoring als eigene Produktstufe, statt einen einmaligen Bericht als dauerhaftes Compliance-Zertifikat zu behandeln.

Nein. Ein Scan durchsucht eine repräsentative Auswahl von URLs einer Domain, statt jede mögliche Seite zu erfassen, und bewertet nur öffentlich erreichbare Seiten — nicht Inhalte hinter einem Login, einer Bezahlschranke oder einem mehrstufigen Formularablauf. Eine Website mit Tausenden Seiten aus einer gemeinsamen Vorlage wird durch das Scannen einer Stichprobe dieser Vorlagenseiten gut repräsentiert; eine Website, deren einzelne Seiten stark voneinander abweichen, wird von keinem einzelnen Scan vollständig abgedeckt.

Nein, und keine Compliance-Plattform sollte etwas anderes behaupten. Ein Scanner eignet sich gut, um technische Probleme zu erfassen, die leicht entstehen und günstig zu beheben sind — ein versehentliches Tracking-Skript, ein fehlendes Cookie-Banner, ein unbeschriftetes Formularfeld — kontinuierlich und kostengünstig. Ein Anwalt oder Barrierefreiheits-Prüfer eignet sich, um Rechtsgrundlage, Verträge, organisatorische Prozesse und die subjektiven Einschätzungen zu bewerten, die kein automatisiertes Tool treffen kann. Unternehmen mit relevanter Compliance-Exposition brauchen in der Regel beides: automatisiertes Scanning für kontinuierliches technisches Monitoring und die Prüfung durch eine qualifizierte Fachperson für alles, was rechtliche Auslegung oder nuancierte Barrierefreiheits-Einschätzung erfordert.