AGB-Check und Tracker-Radar: Daten-Spione im Netz entlarven

Kaum jemand liest die Nutzungsbedingungen, bevor er auf „Akzeptieren" klickt. Genau darauf ist das Kleingedruckte gebaut. Zwei Prüfungen bringen Sie in wenigen Sekunden auf Augenhöhe: ein Blick in die AGB auf die kritischen Klauseln und ein technischer Blick unter die Motorhaube der Webseite, welche Werbenetzwerke dort tatsächlich mitschneiden. Was danach kommt, ist die eigentliche Arbeit: die bereits abgeflossenen Daten wieder einsammeln zu lassen.

Die Gefahr im Kleingedruckten: Warum ein Klick so viel entscheidet

Wer heute ein Konto bei einem neuen Dienst anlegt, klickt meist blind auf „Akzeptieren". Das ist kein Charakterfehler, sondern das erwartete Verhalten: Die Bedingungen sind lang, in Juristendeutsch verfasst und stehen zwischen Ihnen und dem, was Sie eigentlich vorhatten. In diesem Moment stimmen viele Menschen Klauseln zu, die eine Weitergabe ihrer Daten an nicht näher benannte „Partnerunternehmen" erlauben oder eine Speicherung weit über die Kontolöschung hinaus vorsehen. Portale wie die bekannte AGB Ampel (das Freiwilligenprojekt ToS;DR, „Terms of Service; Didn't Read") haben hier seit 2012 Pionierarbeit geleistet und bewerten die Bedingungen großer Dienste auf einer Skala von A bis E.

Dass der Klick so verlässlich funktioniert, ist einkalkuliert. Eine Untersuchung im Auftrag der EU-Kommission fand bereits 2022 heraus, dass 97 Prozent der bei EU-Verbrauchern beliebtesten Webseiten und Apps mindestens ein sogenanntes Dark Pattern einsetzen, also ein manipulatives Design-Muster. Dahinter steckt eine simple Mechanik, die Sie aus dem Supermarkt kennen: Die Ware, die Sie kaufen sollen, liegt auf Augenhöhe, die günstige Alternative im untersten Regalfach. Übersetzt auf den Bildschirm heißt das: ein leuchtender „Alle akzeptieren"-Knopf, während sich das Ablehnen hinter einer grauen Textzeile und zwei weiteren Klicks versteckt.

Der unsichtbare Schatten: Wer trackt Sie wirklich?

Neben den rechtlichen Bedingungen gibt es die technische Realität, und die beiden stimmen erstaunlich oft nicht überein. Während Sie eine Nachrichtenseite lesen, laden im Hintergrund Dutzende Skripte von Werbenetzwerken, Analysediensten und Datenbanken, die Sie nie ausgewählt haben. Sie protokollieren, welchen Artikel Sie geöffnet haben, wie lange Sie geblieben sind, mit welchem Gerät und aus welcher Region. Aus diesen Bausteinen entsteht kein Datensatz über einen Besuch, sondern ein fortlaufendes Interessenprofil über Jahre.

Wie zentral dieses Geschäft ist, zeigt ein Urteil aus Brüssel. Der Berufungsgerichtshof entschied am 14. Mai 2025 (Az. 2022/AR/292) über das „Transparency and Consent Framework" (TCF) von IAB Europe, den Einwilligungs-Standard, über den ein Großteil der europäischen Online-Werbung abgewickelt wird. Das Gericht stufte den sogenannten TC-String, also die kompakte Zeichenkette, in der Ihre Cookie-Entscheidung an alle beteiligten Werbepartner weitergereicht wird, endgültig als personenbezogenes Datum ein und bestätigte ein Bußgeld von 250.000 Euro nebst einem Zwangsgeld von 5.000 Euro pro Tag bei Nichterfüllung. Im Klartext: Schon die Information darüber, wie Sie im Cookie-Banner entschieden haben, ist selbst ein Datum über Sie, das seine Runde durch die Werbeindustrie dreht.

Das Tracking hört längst nicht am Browserrand auf. Auf dem Smartphone übernimmt die Werbe-ID die Rolle des Cookies und verknüpft App-Nutzung mit Ihrem Gerät. Wie Sie diese Kennung zurücksetzen und die App-Verfolgung unter Android und iOS eindämmen, erklärt unsere Anleitung, wie Sie die Werbe-ID löschen und App-Tracking stoppen.

Cookie-Banner lesen lernen: Fünf Merkmale, die einen unfairen Banner verraten

Sie müssen kein Jurist sein, um ein problematisches Einwilligungsfenster zu erkennen. Die Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder hat in ihrer Orientierungshilfe für Anbieter von Telemedien festgehalten, wie eine wirksame Einwilligung aussehen muss. Daraus lassen sich fünf Merkmale ableiten, die Sie in wenigen Sekunden prüfen können:

• Kein gleichwertiger Ablehnen-Knopf: Ablehnen muss auf derselben Ebene und mit demselben Aufwand möglich sein wie Zustimmen. Führt der Weg zum Nein über „Einstellungen" und drei weitere Klicks, während „Alle akzeptieren" grün leuchtet, ist das nach Auffassung der Aufsichtsbehörden eine unzulässige Beeinflussung.
• Vorangekreuzte Kästchen: Ein bereits gesetztes Häkchen ist keine Einwilligung. Das hat der Europäische Gerichtshof 2019 im Verfahren Planet49 (Az. C-673/17) entschieden, der Bundesgerichtshof hat es am 28. Mai 2020 für Deutschland übernommen.
• „Weitersurfen gilt als Zustimmung": Diese Formulierung taucht immer noch auf. Sie ist unwirksam, denn eine Einwilligung verlangt eine aktive Handlung, kein bloßes Weiterlesen.
• Marketing unter „berechtigtem Interesse": Öffnen Sie die zweite Ebene des Banners. Findet sich dort ein Reiter, in dem Werbezwecke ohne Wahlmöglichkeit unter „berechtigtes Interesse" einsortiert sind, wird Ihnen eine Entscheidung nur vorgespielt.
• Tracking läuft schon vor der Entscheidung: Der häufigste und unsichtbarste Verstoß. Das Banner sieht sauber aus, die Werbeskripte starten aber bereits beim Seitenaufruf. Sichtbar wird das nur durch eine technische Prüfung der Seite, nicht durch Lesen.

Wie verbreitet die Mängel sind, zeigt eine Marktbeobachtung des Verbraucherzentrale Bundesverbands: Bei einer Stichprobe von 949 Webseiten war rund jedes zehnte Cookie-Banner klar rechtswidrig, was zu 98 Abmahnungen und 66 Unterlassungserklärungen führte. Die Verbraucherschützer stuften darüber hinaus einen großen Teil der übrigen Banner als Grauzone mit manipulativem Design ein. Mehr Hintergrund dazu bietet die Auswertung des vzbv zu Cookie-Bannern.

AGB-Klauseln, bei denen Sie stutzig werden sollten

Bei den Nutzungsbedingungen lohnt sich die Suche nach immer denselben Mustern. Wenn Sie die folgenden sechs Formulierungen im Dokument suchen (in fast jedem Browser mit Strg und F), haben Sie die kritischen Stellen in unter einer Minute beisammen:

• „Partner", „verbundene Unternehmen", „Dritte": Je unbestimmter der Empfängerkreis beschrieben ist, desto weiter reicht die Weitergabe. Seriöse Anbieter benennen Kategorien und Zwecke, nicht nur ein Sammelwort.
• „Weltweite, unentgeltliche, übertragbare Lizenz": Diese Klausel betrifft Ihre eigenen Inhalte, also Fotos, Texte und Bewertungen. Sie räumt dem Anbieter weitgehende Nutzungsrechte ein, oft über das Ende Ihrer Mitgliedschaft hinaus.
• „Auch nach Beendigung des Vertragsverhältnisses": Hier steht, was nach Ihrer Kontolöschung übrig bleibt. Gesetzliche Aufbewahrungsfristen sind legitim, eine unbefristete Aufbewahrung „zu Analysezwecken" ist es nicht.
• Automatische Verlängerung und Kündigungsfrist: Der Klassiker der Abo-Falle. Prüfen Sie, ob es bei kostenpflichtigen Diensten den gesetzlich vorgeschriebenen Kündigungsknopf gibt oder ob Sie schriftlich kündigen müssen.
• Drittlandtransfer und Gerichtsstand: Sitzt der Vertragspartner außerhalb der EU, wird die Durchsetzung Ihrer Rechte in der Praxis deutlich mühsamer, auch wenn die DSGVO formal weiter gilt.
• „Änderungen treten mit Veröffentlichung in Kraft": Eine Klausel, die den Anbieter berechtigt, die Regeln einseitig und ohne aktive Zustimmung zu ändern, verschiebt das Gleichgewicht dauerhaft zu Ihren Ungunsten.

Wenn Sie beim Durchgehen merken, dass mehrere dieser Punkte auf einen Dienst zutreffen, den Sie seit Jahren nutzen, ist das kein Grund zur Panik, aber ein guter Anlass, hinter dem Anbieter aufzuräumen. Schutz vor neuen Datenspuren einrichten und die alten gleich mit angehen.

Warum Wissen allein Ihre Daten noch nicht löscht

Hier liegt die eigentliche Lücke, die Bewertungsportale und Browser-Erweiterungen konstruktionsbedingt offen lassen. Nur weil Sie wissen, dass ein Dienst Ihre Browserverläufe auswertet, verschwinden diese Auswertungen nicht von dessen Servern. Ein Werbeblocker verhindert künftige Datenpunkte, er löscht aber keinen einzigen der bereits gesammelten. Es ist wie bei einem undichten Wasserhahn: Ihn zuzudrehen ist richtig und wichtig, aber der Keller steht deshalb noch lange nicht trocken.

Für das Trockenlegen gibt es zwei Hebel in der DSGVO. Nach Art. 21 DSGVO können Sie der Verarbeitung zu Zwecken der Direktwerbung jederzeit widersprechen, und zwar ohne Begründung. Nach Art. 17 DSGVO können Sie die Löschung derjenigen Daten verlangen, für deren Verarbeitung keine fortbestehende Rechtsgrundlage mehr besteht, was auf reines Werbe-Profiling ohne Einwilligung typischerweise zutrifft. Was diese beiden Artikel im Detail hergeben und wo ihre Grenzen liegen, haben wir in unserem Ratgeber zu Art. 17 und Art. 21 DSGVO im Klartext aufgeschlüsselt.

Der Website-Scanner: AGB-Check und Tracker-Radar in einem Werkzeug

In unserem Dashboard sitzen beide Prüfungen an derselben Stelle. Sie geben eine Adresse ein, der Website-Scanner ruft die Seite auf und liefert Ihnen zwei Antworten auf einmal:

• AGB-Check: Die Nutzungsbedingungen und die Datenschutzerklärung werden ausgelesen und die auffälligen Klauseln hervorgehoben, etwa eine weitreichende Datenweitergabe oder versteckte Abo-Fallen. Sie bekommen das Kleingedruckte in verständlichem Deutsch zusammengefasst statt in vierzehn Absätzen Juristensprache.
• Tracker-Radar: Der Scanner listet die Werbenetzwerke, Analyse-Skripte und Drittanbieter-Dienste auf, die im Hintergrund Daten sammeln könnten, und ordnet sie den dahinterstehenden Konzernen zu. Der Skriptname allein sagt Ihnen wenig, der Mutterkonzern dagegen sehr viel.
• Sicherheitsprüfung: Zusätzlich prüft der Scanner die Seite auf Malware-Hinweise und Phishing-Muster, bevor Sie einen Link anklicken, den Ihnen jemand per Mail geschickt hat.

Der entscheidende Unterschied zu einem reinen Informationsportal ist, was danach passiert. Ein Bewertungsprojekt zeigt Ihnen eine Note und lässt Sie damit allein. Bei uns folgt auf den Befund der Vorgang: Ihre Löschanfrage nach Art. 17 DSGVO geht gebündelt an über 100 Werbe-, Adress- und Adtech-Broker, und Sie sehen im Dashboard, welcher Empfänger wann reagiert hat.

Von der Webseite zum Datenbroker: Wohin die Spur wirklich führt

Der Tracker auf einer Webseite ist selten das Ziel der Reise, er ist die Auffahrt. Die dort erhobenen Merkmale wandern über die Werbeauktion in die Bestände spezialisierter Unternehmen, die Profile über Millionen Menschen zusammenführen und vermarkten. Im deutschen und europäischen Markt begegnen Ihnen dabei immer wieder dieselben Namen: Criteo, The Trade Desk, LiveRamp, Oracle (BlueKai), Adform, PubMatic, Magnite, zeotap, emetriq, Virtual Minds (ADITION) sowie United Internet Media mit den Reichweiten von GMX, WEB.DE und 1&1. Dazu kommen die klassischen Adressverlage wie Acxiom, Schober, AZ Direct und Deutsche Post Direkt, die Online-Merkmale mit Ihrer Postanschrift verheiraten.

Diese Unternehmen einzeln zu identifizieren, anzuschreiben und über Fristen hinweg nachzuhalten, ist der Grund, warum die meisten Menschen nach dem zweiten Brief aufgeben. Wir haben diesen Weg automatisiert: Aus einem Vorgang wird eine gebündelte Welle von Löschanfragen nach Art. 17 DSGVO an über 100 Broker, deren Rückläufe wir für Sie protokollieren. Garantieren können wir Ihnen nicht, wie jedes einzelne Unternehmen reagiert, denn das liegt außerhalb unserer Kontrolle. Was wir garantieren, ist, dass die Anfrage juristisch sauber formuliert raus geht und dass Sie sehen, wer geantwortet hat. Löschanfragen für Ihre Werbedaten anstoßen.

In fünf Schritten zur sauberen Bilanz

• Erstens, prüfen statt vertrauen: Bevor Sie sich irgendwo registrieren, lassen Sie die Adresse einmal durch den Website-Scanner laufen. Zwei Sekunden Prüfung ersparen Ihnen unter Umständen Jahre an Werbedruck.
• Zweitens, im Banner konsequent ablehnen: Suchen Sie den gleichwertigen Ablehnen-Knopf. Finden Sie ihn nicht auf der ersten Ebene, ist das bereits ein Befund über den Anbieter.
• Drittens, die echte Adresse schonen: Für Dienste, die Sie nur einmal brauchen, gehört eine Alias-Adresse in das Formular, nicht Ihr Hauptpostfach. Was nie erfasst wurde, muss später nicht gelöscht werden.
• Viertens, den Altbestand angehen: Alles, was vor dieser Vorsicht liegt, liegt bereits bei den Brokern. Dafür brauchen Sie die gebündelte Löschanfrage nach Art. 17 DSGVO.
• Fünftens, wiederholen: Datenschutz ist kein Zustand, sondern ein Vorgang. Profile bauen sich nach, sobald Sie wieder im Netz unterwegs sind. Einmal löschen reicht daher nicht, es braucht die Wiederholung.

Update August 2026: Was sich rechtlich gerade bewegt

Seit der ersten Fassung dieses Artikels hat sich der rechtliche Rahmen an drei Stellen weiterbewegt. Für Sie als Nutzer ist vor allem interessant, dass die Politik das Cookie-Banner in seiner heutigen Form inzwischen selbst als Problem betrachtet.

• Einwilligungsverwaltungsverordnung (EinwV): Die deutsche Verordnung ist am 1. April 2025 in Kraft getreten und schafft die Grundlage für „anerkannte Dienste zur Einwilligungsverwaltung". Die Idee: Sie hinterlegen Ihre Cookie-Entscheidung einmal zentral, statt sie auf jeder Seite neu wegzuklicken. In der Praxis kommt der Aufbau dieser Dienste langsam in Gang, die ersten Anerkennungen erfolgten Ende 2025. Den Verordnungstext finden Sie bei Gesetze im Internet.
• Digital-Omnibus-Paket: Die EU-Kommission hat am 19. November 2025 ein Vereinfachungspaket für die digitalen Regeln vorgelegt, das unter anderem das Einwilligungsmanagement überarbeiten und browserseitige Präferenzsignale stärken soll. Wichtig für die Einordnung: Das Paket steckt im Gesetzgebungsverfahren und ändert an den heute geltenden Pflichten noch nichts.
• Digital Fairness Act: Genau die Tricks, um die es in diesem Artikel geht, stehen im Zentrum dieses geplanten Gesetzes: Dark Patterns, suchterzeugendes Design, unfaire Vertragsbedingungen und Abos, die sich kaum kündigen lassen. Die öffentliche Konsultation endete am 24. Oktober 2025, den Vorschlag der Kommission erwartet das Europäische Parlament laut seinem Gesetzgebungsmonitor für das vierte Quartal 2026.

Alle drei Entwicklungen zeigen in dieselbe Richtung, sie brauchen aber Jahre bis zur Wirkung. Bis dahin bleibt die Verantwortung praktisch bei Ihnen, und der Bestand an Daten, der bereits im Umlauf ist, verschwindet durch kein künftiges Gesetz von selbst. Jetzt den Löschprozess für Ihre Altdaten in Gang setzen.