OneTrust & DSGVO: Consent-Banner richtig einbinden und prüfen
OneTrust ist eine Enterprise-Consent-Plattform aus den USA, die auf vielen großen Websites läuft. Das Tool ist mächtig, aber komplex — und gerade diese Komplexität ist die häufigste Fehlerquelle: Ein eingeblendetes Banner sagt noch nichts darüber aus, ob die Kategorien und Skripte dahinter korrekt verdrahtet sind.
Das Risiko
- Ein Banner ist nur wirksam, wenn das Kategorien-Mapping stimmt — falsch als „unbedingt erforderlich“ eingestufte Tracker laden ohne jede Einwilligung.
- Skripte, die am OneTrust-Auto-Blocking vorbei eingebunden sind, bleiben von der Einwilligungsentscheidung unberührt.
- Fehlt eine gleichwertige Ablehnen-Option auf erster Ebene, kann die eingeholte Einwilligung angreifbar sein.
Wie konfora das erkennt
konfora erkennt OneTrust an Skript- und DOM-Signaturen und dokumentiert es im Report als erkanntes Consent-Tool. Unabhängig davon prüft konfora das Verhalten des Banners:
- onetrust.com
- OptanonWrapper (Skript-Kennung)
Was im Report steht
- Ein dokumentierender Eintrag „Consent-Tool: OneTrust“ — als Information, nicht als Risiko-Befund.
- konfora misst den Zustand vor jeder Einwilligung: Tracker oder Cookies, die bereits beim Laden der Seite feuern, erzeugen eigene Befunde in den Tracker- und Cookie-Kategorien — unabhängig davon, welcher Kategorie das CMP sie zuordnet.
- Akzeptieren- und Ablehnen-Buttons werden im Seiteninhalt gesucht und auf Gleichwertigkeit verglichen — ein deutlich kleinerer Ablehnen-Button wird als Warnung vermerkt.
- Liegen die Bedienelemente eines erkannten CMP nicht im auslesbaren Seiteninhalt, vermerkt der Report „nicht aus dem Seiteninhalt beurteilbar“ statt eines falschen Kritisch-Befunds.
Typische Maßnahmen
- Prüfe das Kategorien-Mapping kritisch: Als „unbedingt erforderlich“ darf nur eingestuft sein, was technisch wirklich notwendig ist.
- Lass alle einwilligungspflichtigen Dienste durch OneTrust steuern und teste nach jeder Änderung erneut — auch im Zustand „Alles ablehnen“.
- Biete eine gleichwertige Ablehnen-Option auf der ersten Banner-Ebene an.
- Halte Datenschutzerklärung und die Dienstliste im CMP synchron.
Grenzen der automatischen Prüfung
Der Check macht technische Hinweise sichtbar und hilft beim Priorisieren. Er ist kein Rechtsgutachten, keine Vollständigkeitsgarantie und ersetzt keine fachkundige Prüfung durch eine Datenschutzbeauftragte oder eine Kanzlei.
- konfora prüft eine Momentaufnahme der Startseite vor jeder Einwilligung — Unterseiten und spätere Zustände sind nicht erfasst.
- Die interne OneTrust-Konfiguration (Kategorien, Geo-Regeln) kann der Scanner nicht einsehen — er bewertet das von außen messbare Verhalten.
konfora prüft als einen von 16 Bereichen automatisiert, welche Dienste deine Seite lädt, und macht solche Funde im Report sichtbar — als technische Bestandsaufnahme mit konkreter Aufgabenliste, nicht als Rechtsgutachten.
Den schnellen, kostenlosen ersten Eindruck bekommst du im Schnellcheck. Der Report als PDF liegt bei 14,99 € (Einmalkauf, kein Abo); den Zugang bekommst du per Magic-Link an deine E-Mail.
Dieser Beitrag liefert technische Hinweise und mögliche Risiken, keine Rechtsberatung. Für eine verbindliche Einschätzung deiner konkreten Situation wendest du dich an deine Datenschutzbeauftragte oder einen Fachanwalt.