Wenn eine Website sich selbst widerspricht

Worum es geht

Die meisten Prüfpunkte messen eine Website gegen eine Norm — gegen die WCAG, gegen ein Gesetz, gegen eine Empfehlung von Google. Dieser hier nicht.

Hier werden zwei Angaben nebeneinandergelegt, die beide von deiner Website stammen, und geschaut, ob sie zusammenpassen. Ein Dienst, den die Seite lädt, aber die Datenschutzerklärung nicht nennt. Öffnungszeiten, die im Text anders stehen als in den strukturierten Daten. Eine Seite, die Besuchern sagt „gibt es nicht" und Suchmaschinen „alles in Ordnung". Ein Sitemap-Eintrag für eine Seite, die selbst noindex sagt.

Dazu die schlichteste Frage überhaupt: Kommt ein Interessent von deiner Website aus an einen Menschen?

Warum das zählt

Der Reiz an dieser Kategorie ist, dass es nichts zu diskutieren gibt. Bei einem Kontrastwert kann man über die Norm streiten. Bei einer Schwelle kann man fragen, wer sie festgelegt hat. Hier stehen zwei deiner eigenen Aussagen nebeneinander — es gibt keine Autorität, gegen die man argumentieren könnte.

Der praktisch wichtigste Fall ist der undokumentierte Dienst. Deine Seite lädt etwas von einem fremden Server, und in deiner Datenschutzerklärung steht dieser Anbieter nicht. Das passiert selten aus Nachlässigkeit — es passiert, weil ein Plugin installiert wurde und die Datenschutzerklärung ein Jahr älter ist. Ob daraus ein Verstoß gegen die Informationspflichten nach Art. 13 DSGVO folgt, hängt von der Verarbeitung und den Verträgen dahinter ab; das ist eine juristische Frage. Der Widerspruch selbst ist eine Tatsache.

Ein schärferer Fall ist eine Subdomain, die technisch fremd ist. analytics.deinedomain.de sieht nach deinem Server aus, verweist im DNS aber auf den Server eines Dienstleisters. Genau dafür gibt es diese Konstruktion: Tracking-Blocker greifen nicht, und ein darüber gesetztes Cookie gilt als Erstanbieter-Cookie mit entsprechend langer Lebensdauer. Die Seite sagt „das gehört mir", das DNS sagt etwas anderes.

Zur Fairness gehört die Gegenrichtung: Ein eigenes CDN unter eigener Subdomain ist kein fremdes Unternehmen. Wer nur danach unterscheidet, ob der Hostname von dem der Seite abweicht, landet mit dem eigenen Bildserver in einer Liste undokumentierter Empfänger.

Bei den Öffnungszeiten geht es um etwas Konkretes: Die ausgezeichnete Version ist das, was neben deinem Suchergebnis erscheint. Wenn dort etwas anderes steht als auf der Kontaktseite, steht die falsche Auskunft an der Stelle, die mehr Menschen sehen.

Und die Erreichbarkeit: Hier reden wir über Dinge, die keine Norm regelt und die trotzdem darüber entscheiden, ob jemand anruft. Ist die Telefonnummer anklickbar, sodass sie auf dem Handy den Anruf startet? Sieht sie überhaupt nach einer echten deutschen Nummer aus? Gibt es irgendeinen Weg zu einem Menschen — Nummer, Formular, E-Mail?

Weil das keine Norm ist, gehört es auch nicht unter eine Überschrift, die ihm eine Autorität leiht, die es nicht hat. Es ist eine Beobachtung, keine Anforderung.

Zum Copyright-Jahr im Footer, das gern belächelt wird: Für sich genommen ist es eine Belanglosigkeit. Auf einer Website unter Wartungsvertrag ist eine Jahreszahl, die niemand angefasst hat, eine faire Frage danach, was sonst noch nicht angefasst wurde.

Wie du das selbst prüfst

Für die undokumentierten Dienste: Entwicklertools öffnen (F12), Reiter „Netzwerk", Seite neu laden, nach Domain sortieren. Schreib alle fremden Domains auf. Dann öffne deine Datenschutzerklärung und hak sie ab. Was übrig bleibt, ist der Befund.

Für die Öffnungszeiten: Such deinen Firmennamen bei Google und vergleich die angezeigten Zeiten mit denen auf deiner Kontaktseite.

Für die Telefonnummer: Öffne die Seite auf dem Handy und tipp auf die Nummer. Startet der Anruf?

Für den Widerspruch zwischen Besucher und Suchmaschine: Ruf eine Seite auf, die eine Fehlermeldung anzeigt, und prüf in den Entwicklertools (Reiter „Netzwerk", erste Zeile), welcher Statuscode dabei geliefert wird. „Seite nicht gefunden" im Text plus Status 200 ist genau dieser Fall.

Und für das Jahr: einmal in den Footer schauen.

Was zu tun ist, wenn es fehlt

Führ eine Liste der eingebundenen Dienste und pflege sie gemeinsam mit der Datenschutzerklärung. Am besten bei jedem Plugin-Wechsel: Wenn ein Plugin einen fremden Dienst mitbringt, gehört er in denselben Arbeitsschritt in die Erklärung.

Ergänze fehlende Anbieter — oder entferne den Dienst. Die zweite Variante ist oft die bessere, weil viele dieser Einbindungen aus einer Testphase stammen, die niemand aufgeräumt hat.

Prüf bei jeder Subdomain, wohin sie tatsächlich zeigt. Wenn sie zu einem Dienstleister führt, gehört dieser Dienstleister genannt.

Bring die Öffnungszeiten an einer Stelle zusammen und leite Text und Auszeichnung von derselben Quelle ab. In einem MetaBox-Aufbau heißt das: ein Feldsatz, aus dem beides erzeugt wird — dann können sie gar nicht auseinanderlaufen.

Mach die Telefonnummer anklickbar, mit tel: und internationaler Schreibweise. Sichtbar bleibt die nationale Form.

Und das Copyright-Jahr: Setz es dynamisch, statt es jedes Januar zu vergessen. In Etch übernimmt das die eingebaute dynamische Datumsangabe — kein Snippet nötig.

Quellen

• Widerspruch zwischen geladenem Drittdienst und eigener Datenschutzerklärung; nicht identifizierbarer Ursprung wird als unidentifiziert ausgewiesen statt geraten, weil eine falsche Firmennennung schlimmer ist als keine; Datenschutzerklärung nennt Dienste, die die Seite gar nicht nutzt; Seite meldet Besuchern „nicht vorhanden" und Suchmaschinen „in Ordnung"; Subdomain auf eigenem Namen als Alias für einen fremden Server, wodurch Tracking-Blocker nicht greifen und ein Cookie Erstanbieter-Lebensdauer erhält; Sitemap-Eintrag, den die Seite selbst verbietet; geschriebene und ausgezeichnete Öffnungszeiten weichen ab, die ausgezeichnete Fassung füllt das Panel neben dem Suchergebnis; eigenes CDN unter eigener Subdomain ist kein fremdes Unternehmen und wird nach Namensinhaberschaft statt nach Hostabweichung abgegrenzt; keine Norm wird behauptet, es stehen zwei eigene Aussagen nebeneinander; die rechtliche Bewertung nach Art. 13 DSGVO wird nicht gezogen -- @ctx:projects-tools-checky-workbench-docs-tech-specs-probe-catalog-trust@7
• Copyright-Jahr, anklickbare Telefonnummern, Plausibilität deutscher Rufnummern und die Existenz eines Weges zu einem Menschen als eigene Kategorie, weil keiner dieser Punkte eine Norm oder ein Gesetz ist und eine Überschrift ihnen eine Autorität liehe, die sie nicht haben; das Copyright-Jahr trägt erst im Kontext eines Wartungsvertrags; das Jahr kommt aus der Konfiguration statt aus der Uhr, damit gespeicherte Vergleiche gültig bleiben; die Erreichbarkeitsprüfung vergleicht Teilnehmerziffern, weil die korrekte Umsetzung national schreibt und international verlinkt -- @ctx:projects-tools-checky-workbench-docs-tech-specs-probe-catalog-experience@7
• DSGVO Art. 13/14 Informationspflichten am Erhebungspunkt; AV-Verträge mit jedem Auftragsverarbeiter einschließlich Hosting und Analytics -- @ctx:atlas-legal-dach-website-compliance-stack@1
• Etch stellt das aktuelle Datum als site.currentDate bereit -- @ctx:atlas-wordpress-plugins-etch-dynamic-data@3
• Datumsausgabe über den Modifier .dateFormat(format) nach PHP-DateTime-Syntax, etwa {site.currentDate.dateFormat("Y")} für die Jahreszahl -- @ctx:atlas-wordpress-plugins-etch-dynamic-data-modifiers@3