Was der Browser lädt, bevor jemand auf „Zustimmen“ klickt

Für jeden Auftritt wird ein zweiter, frischer Browser-Kontext geöffnet: kein Cookie, kein Speicherinhalt, keine Vorgeschichte. Der Kontext des eigentlichen Barrierefreiheits-Scans taugt dafür nicht, weil er nach der ersten Seite bereits Cookies gesammelt hat. In diesem frischen Kontext wird die Startseite genau einmal geladen. Protokolliert werden alle ausgehenden Aufrufe und alle danach gesetzten Cookies. Gemessen wird damit der Zustand vor jeder Einwilligung.

Es wird nichts angeklickt. Weder „Zustimmen“ noch „Ablehnen“ — beides wäre eine Willenserklärung im fremden Namen, und wir maßen uns nicht an, sie für jemanden abzugeben. Das kostet Aussagekraft: Wir wissen nicht, was nach einem Klick passiert. Es macht die Messung aber sauber, denn genau der Zustand vor der Einwilligung ist der, den § 25 TDDDG adressiert.

Der Lauf dauert je Auftritt zwischen 3,5 und 5,2 Sekunden und läuft parallel zum Barrierefreiheits-Scan; die Gesamtdauer eines Scans ändert sich dadurch praktisch nicht.

Statt „Verstoß“ gibt es fünf Stufen. Auffälligkeit heißt: belegt. Indiz heißt: mehrdeutig. Beobachtung beanstandet nichts. Unauffällig heißt: nichts gefunden. Nicht prüfbar heißt: die Grundlage fehlte. Jeder Zweifelsfall wird herabgestuft, nicht hochgestuft. Und es steht nirgends „erfüllt“: Ein Freibrief wäre genauso ein Rechtsurteil über ein fremdes Unternehmen wie ein Vorwurf.

Im Testlauf haben wir drei eigene Fehlalarme gefunden und abgestellt: Cloudflares Bot-Erkennungs-Cookie __cf_bm galt als Werbe-Cookie; unser eigenes Impressum galt als Verweis auf die eingestellte Streitbeilegungs-Plattform, obwohl es deren Einstellung erklärt; und ein leerer Warenkorb mit „0,00 €“ auf einer Infoseite galt als Angebot ohne Umsatzsteuerangabe. Wir schreiben das dazu, weil eine Messung ohne bekannte Fehlerquellen keine Messung ist, sondern eine Behauptung.

Bei einem Outdoor-Ausrüster protokollierte die Messung beim ersten Aufruf der Startseite, in einem frischen Browser, ohne jede Interaktion: 17 Aufrufe an Dienste mit erkennbarem Mess- oder Werbezweck und 5 gesetzte Cookies mit bekanntem Mess- oder Werbezweck. Ein Einwilligungsbanner war dabei sichtbar.

Die angesprochenen Dienste, mit der Zahl der Aufrufe: Google Ads (16), Google DoubleClick (16), Criteo (14), ein Werbenetz für Real-Time-Bidding (7), ein DoubleClick-Abgleichsendpunkt (6, ausdrücklich ein Endpunkt zur Datenübertragung), ein zweites RTB-Werbenetz (6), Microsoft Advertising (6) und ein Empfehlungsnetzwerk (6). Dazu kamen als mehrdeutig eingestufte Aufrufe an einen Tag-Manager und an ein Bewertungssiegel.

Gesetzt wurden dabei unter anderem test_cookie (doubleclick.net), _fbp (Meta-Pixel), MUID (bing.com), sowie zwei Criteo-Cookies. Insgesamt lagen nach dem einen Aufruf 36 Cookies im Browser — davon 4 in bekannter technischer Funktion, 27 ohne für uns bestimmbaren Zweck.

Was wir daraus nicht folgern. Wir sagen nicht, dass dieser Auftritt gegen § 25 TDDDG verstößt. Ob eine einzelne Speicherung „unbedingt erforderlich“ im Sinne des Absatzes 2 ist, hängt vom Zweck ab, den nur der Betreiber kennt. Wir sagen: Das ist der Zustand, den ein Besucher vorfindet, bevor er irgendetwas entschieden hat. Diese Feststellung ist überprüfbar — jeder kann sie in zwei Minuten selbst nachvollziehen.

Der Tag-Manager feuert unabhängig vom Banner. Der häufigste Fall: Das Einwilligungswerkzeug ist eingebaut und funktioniert, aber ein einzelner Tag im Container ist auf „alle Seiten“ ausgelöst statt auf das Einwilligungsereignis. Das Banner erscheint, der Tag läuft trotzdem. Von außen ist beides nicht zu unterscheiden.

Fremde Bausteine bringen eigene Netze mit. Ein Bewertungssiegel, ein Chatfenster, eine Kartenanzeige, ein Videoeinbetter: Jedes davon lädt oft weitere Hosts nach, die im eigenen Einwilligungswerkzeug gar nicht auftauchen, weil sie erst zur Laufzeit dazukommen.

Serverseitige Einbindungen gehen am Consent-Layer vorbei. Was über den eigenen Server läuft, sieht der Browser nicht als Drittanbieter — die Speicherung im Endgerät findet trotzdem statt, und darauf stellt § 25 ab.

Und Vorabverbindungen zählen mit. preconnect- und dns-prefetch-Angaben zu Werbenetzen bauen die Verbindung auf, bevor der eigentliche Aufruf entschieden ist. Gemeint ist damit Geschwindigkeit; gemessen wird ein Aufruf.

Weil ein Onlineshop erheblich mehr schuldet als Barrierefreiheit — und weil der gesamte Wettbewerb in diesem Feld ausschließlich Barrierefreiheit prüft. Impressum (§ 5 DDG), Datenschutzerklärung (Artikel 13 DSGVO), Einwilligung (§ 25 TDDDG), Preisangaben (§§ 3, 4 und 6 PAngV), Widerrufsbelehrung (§ 312d BGB in Verbindung mit Artikel 246a EGBGB): Das sind fünf Normen, die auf derselben Seite gelten wie EN 301 549.

Der Teil läuft bei uns additiv im selben Lauf mit. Der Barrierefreiheitsbefund bleibt davon unberührt — dieselben Regelsätze, dieselben Zahlen —, und fällt die Pflichtenprüfung aus, läuft der Scan trotzdem durch.

Bewusst nicht geprüft werden dagegen: der Bestellvorgang und die Schaltflächenbeschriftung nach § 312j BGB (dafür müsste der Warenkorb befüllt werden), die inhaltliche Richtigkeit der Rechtstexte, der Schlichtungshinweis nach §§ 36 und 37 VSBG (frei formulierbar und nicht zuverlässig von einer beiläufigen Erwähnung zu unterscheiden), produktbezogene Kennzeichnungspflichten und die Gestaltung des Einwilligungsbanners im Einzelnen. Ein „Ablehnen“, das schwerer zu finden ist als ein „Zustimmen“, messen wir nicht — das wäre eine Bewertung, keine Messung.