Drittanbieter auf deiner Website: was wann lädt

Was ein Drittanbieter-Dienst ist

Ein Drittanbieter-Dienst ist alles, was deine Seite von einem Server lädt, der nicht dir gehört. In deiner Seite steht die Adresse, und der Browser des Besuchers holt die Datei direkt von diesem Server: eine Schrift, ein Skript, einen Videoplayer, eine Karte, ein Chatfenster. Dafür muss sich der Browser mit dem fremden Server verbinden. Dieser Server erhält deshalb die IP-Adresse des Besuchers und meist auch die Adresse deiner Website. Manche Dienste setzen oder lesen außerdem Cookies oder ähnliche Daten im Browser.

Typische Dienste

Die Liste ist nicht vollständig. Tag-Manager sind ein Sonderfall: Sie sind ein einziges Skript, können aber viele weitere Dienste laden, die du im HTML nicht siehst. Auch Consent-Tools sind oft selbst Drittanbieter.

Warum der Zeitpunkt des Ladens zählt

Alles, was im HTML deiner Seite steht, lädt sofort beim Öffnen, noch bevor der Besucher im Cookie-Banner etwas angeklickt hat. Nach einer Wahl kommen nur die Dienste hinzu, die die Seite zurückgehalten hat. Das Schema zeigt die Reihenfolge.

Was die Regeln sagen

• EU: Nach Art. 5 Abs. 3 der Richtlinie 2002/58/EG (Datenschutzrichtlinie für elektronische Kommunikation) ist das Speichern von Informationen im Endgerät eines Nutzers oder der Zugriff auf dort schon gespeicherte Informationen nur erlaubt, wenn er auf der Grundlage klarer und umfassender Informationen eingewilligt hat. Ausnahmen: Der alleinige Zweck ist die Übertragung einer Nachricht, oder es ist unbedingt erforderlich für einen Dienst, den der Nutzer ausdrücklich gewünscht hat.
• Deutschland: § 25 TDDDG ist genauso aufgebaut. Speichern und Zugriff sind nur mit Einwilligung auf der Grundlage klarer und umfassender Informationen zulässig, Information und Einwilligung richten sich nach der DSGVO. Die beiden Ausnahmen stehen in Absatz 2.
• Polen: Art. 399 des Gesetzes über elektronische Kommunikation vom 12. Juli 2024 (Prawo komunikacji elektronicznej) verlangt, dass der Nutzer vorher unter anderem über den Zweck informiert wird und dann zustimmt. Das gilt nicht, wenn Speichern oder Zugriff für die Übertragung einer Nachricht oder für einen vom Nutzer verlangten Dienst nötig sind. Das Gesetz sagt selbst, dass es die Richtlinie 2002/58/EG umsetzt.
• DSGVO: Erwägungsgrund 30 nennt IP-Adressen und Cookie-Kennungen als Beispiele für Online-Kennungen, die natürlichen Personen zugeordnet werden können. Eine Online-Kennung ist eines der Beispiele in der Begriffsbestimmung „personenbezogene Daten“ in Art. 4 Nr. 1.

So siehst du, was deine Website lädt

1. 1Öffne deine Seite in einem privaten Fenster, damit keine frühere Einwilligung gespeichert ist. Klick den Cookie-Banner noch nicht an.
2. 2Öffne die Entwicklertools deines Browsers und wechsle in den Reiter „Netzwerk“. Lade die Seite neu. Jede Anfrage erscheint mit dem Server, an den sie ging.
3. 3Sortiere oder filtere die Liste nach Domain. Jeder Server außerhalb deiner eigenen Domain ist ein Drittanbieter. Notiere den Dienst, die Art der Datei und ob sie schon vor deiner Wahl im Banner erscheint.
4. 4Öffne den Reiter „Anwendung“ oder „Speicher“. Dort siehst du, welche Cookies und Speichereinträge es vor deiner Wahl gibt.
5. 5Lehne im Banner alles ab, lade neu und vergleiche. Stimme dann allem zu und vergleiche noch einmal. Dienste, die vor jeder Wahl oder nach einer Ablehnung erscheinen, solltest du dir genauer ansehen.
6. 6Wiederhole das für die wichtigsten Arten von Seiten: Startseite, eine Produkt- oder Artikelseite, das Kontaktformular und Seiten mit Videos oder Karten.

Was ein statischer Scan sieht und was nicht

Ein statischer Scan liest das HTML, das dein Server ausliefert. Er ist schnell und leicht zu wiederholen, deshalb eignet er sich als erster Blick und als Kontrolle nach jeder Änderung. Den Rest zeigt der Test im Browser.

Alternativen, die weniger laden

• Schriften: Leg die Schriftdateien auf deinen eigenen Server, statt sie von einem Schriftendienst zu laden. Prüf vorher die Lizenz der Schrift. Vergiss nicht die Schriften, die ein Theme, ein Plugin oder eine CSS-Datei lädt.
• Videos und Karten: Nutze „erst nach Klick laden“. Die Seite zeigt zuerst ein Vorschaubild von deinem eigenen Server und einen kurzen Hinweis. Player oder Karte laden erst, wenn der Besucher klickt. Auch eine datenschutzfreundliche Videoadresse lädt Dateien von den Servern des Videoanbieters.
• Chat: Lade das Chatfenster erst, wenn der Besucher es öffnet, oder biete stattdessen ein Kontaktformular auf deinem eigenen Server an.
• Skripte und Bibliotheken aus einem CDN: Leg eine Kopie auf deinen eigenen Server. Behältst du ein CDN aus guten Gründen, behandle es wie jeden anderen Drittanbieter.
• Analyse: Ein Werkzeug, das auf deinem eigenen Server läuft, ist technisch kein Drittanbieter. Welche Daten es erfasst und ob du eine Einwilligung brauchst, musst du trotzdem prüfen.

Mit Do4U arbeiten

Der Drittanbieter-Check zeigt, welche fremden Server eine Seite kontaktiert und welche Dienste dahinterstehen. Du gibst die Adresse einer Seite an oder fügst ihr HTML ein. Do4U liest das HTML, das der Server ausliefert, und findet fremde Server in Skripten, Stylesheets, Preconnect- und Preload-Hinweisen, Bildern, Rahmen, Videos, Formularen, Meta-Tags und im Code der Seite. Jeden gleicht es mit einer Liste bekannter Dienste und dem Unternehmen dahinter ab und zeigt, wie er eingebunden ist: direkt geladen, vorab verbunden, im Code der Seite oder bis zur Einwilligung zurückgehalten. Außerdem siehst du, ob ein bekanntes Consent-Tool eingebunden ist. Der Check läuft ohne KI und ist kostenlos. Er führt kein JavaScript aus. Für Dienste, die Skripte später nachladen, ergänzt du deshalb den Test im Browser.

Do4U findet Hinweise, du prüfst und entscheidest. Das Ergebnis sagt nicht, ob ein Dienst erlaubt ist.