Zwei zentrale Compliance-Themen für Websites

Wie gut sind die Websites deutscher Partei-Landesverbände bei Datenschutz und digitaler Barrierefreiheit aufgestellt?

Im Mittelpunkt der Analyse standen zwei zentrale Aspekte der digitalen Compliance: mögliche Datenschutzlücken und technische Barrieren bei der digitalen Barrierefreiheit. Ziel der Analyse war es, einen parteiübergreifenden Überblick zu geben und aufzuzeigen in welchem Umfang Verbesserungspotenzial besteht. Ausgewertet wurde, welche Risiko-Score-Verteilungen die Websites der einzelnen Landesverbände aufweisen. Zudem wurde der Gesamtscore pro Partei ermittelt.

Die Ergebnisse unterscheiden sich deutlich: Beim Datenschutz schneiden die untersuchten Websites insgesamt besser ab als bei der digitalen Barrierefreiheit. Während beim Datenschutz 78 % der Websites (64 von 82) Hinweise auf Datenschutzlücken haben, zeigen bei der Barrierefreiheit 99 % der Websites (81 von 82) automatisiert erkennbare Auffälligkeiten.

Gleichzeitig macht die Analyse deutlich, dass beide Themen kontinuierliche Aufmerksamkeit erfordern. Ein Cookie-Banner und eine Datenschutzerklärung machen eine Website nicht automatisch Datenschutzkonform. Entscheidend ist, ob die technische Datenverarbeitung, die Einwilligungsmechanismen und die Informationen in der Datenschutzerklärung tatsächlich zusammenpassen.

Bei der Analyse der digitalen Barrierefreiheit wird untersucht, ob technische und strukturelle Barrieren die Wahrnehmung, Bedienung oder das Verständnis einer Website erschweren können. Dazu zählen unter anderem die Zugänglichkeit von Inhalten, eine nachvollziehbare Seitenstruktur sowie die Nutzbarkeit von Navigation, Links, Buttons und Formularen.

Politische Websites tragen besondere digitale Verantwortung

Parteien wollen Menschen informieren, politische Positionen vermitteln und gesellschaftliche Beteiligung ermöglichen.

Politische Websites sind daher eine zentrale Anlaufstelle für Bürgerinnen und Bürger. Ein verantwortungsvoller Umgang mit personenbezogenen Daten ist von besonderer Bedeutung, wenn Bürgerinnen und Bürger Kontaktformulare nutzen, Newsletter abonnieren oder sich über Mitgliedschaft und Beteiligungsmöglichkeiten informieren. Eine transparente und datenschutzbewusste technische Gestaltung unterstützt dabei das Vertrauen in diese Angebote.

Barrierefreiheit ist aus Perspektive der Teilhabe besonders relevant: Bürgerinnen und Bürger sollten politische Informationen und Beteiligungsmöglichkeiten möglichst unabhängig davon nutzen können, ob sie beispielsweise auf Tastaturnavigation, Screenreader, Vergrößerungsfunktionen oder andere assistive Technologien angewiesen sind. Sind diese Voraussetzungen nicht gegeben, wird eine relevante Anzahl an Nutzern von den digitalen Angeboten ausgeschlossen. Mit Blick auf die demografische Entwicklung in Deutschland ist die Teilhabe von älteren Menschen an digitalen Angeboten hervorzuheben.

Barrierefreiheit zeigt das größte Verbesserungspotenzial

Bewertet wurde auf einer Skala von A=bester Wert bis G= schlechtester Wert. Das Ergebnis bei der digitalen Barrierefreiheit fällt deutlich aus. Nur eine der 82 untersuchten Websites erreicht den Risiko-Score A – das ist 1 %. Bei 99 % der untersuchten Websites gibt es Hinweise auf Probleme mit Barrierefreiheit.

Die Websites wurden wie folgt eingeordnet:

• 1 Website (1 %) mit Score A
• 9 Websites (11 %) mit Score B
• 11 Websites (13 %) mit Score C
• 31 Websites (38 %) mit Score D
• 5 Websites (6 %) mit Score E
• 21 Websites (26 %) mit Score F
• 4 Websites (5 %) mit Score G

Untersucht wurde zusätzlich der durchschnittliche Gesamtscore pro Partei. Hier gibt es ebenfalls ein heterogenes Bild. Am besten scheidet die Partei Die Linke mit einem Gesamtscore von C ab. Im Durchschnitt kommt die SPD auf einen Gesamtscore von D. Damit liegt sie gleichauf mit AfD, BSW, Bündnis 90 / Die Grünen und FDP. CDU/CSU sowie die Klein- und Regionalparteien erreichen jeweils den Gesamtscore E.

Beim Scan auf Probleme mit Barrierefreiheit wurden automatisiert erkennbare Auffälligkeiten festgestellt. Diese können beispielsweise Kontraste, Alternativtexte für Bilder, Formularbeschriftungen, Links und Buttons, Spracheinstellungen oder Überschriftenstrukturen betreffen. Die erkannten Hinweise geben einen Überblick über technisch bedingte Probleme einer Website in Bezug auf Barrierefreiheit und zeigen auf, in welchen Bereichen Handlungsbedarf besteht.

Wichtig für die Einordnung: Automatisierte Prüfungen können nur einen Teil möglicher Barrierefreiheitsprobleme erkennen und ersetzen kein vollständiges manuelles Audit. Sie liefern jedoch konkrete technische Hinweise darauf, wo eine weiterführende Prüfung sinnvoll ist.

Beim Datenschutz-Scan zeigt sich ein differenzierteres Bild

Beim Datenschutz fallen die Ergebnisse gemischter aus. Das Thema scheint stärker bei der Umsetzung der Websites verankert zu sein. 22 % (18 von 82) der Websites erreichen mit Score A die beste Bewertung innerhalb der Analyse. Gleichzeitig wurden bei insgesamt 78 % (64 von 82) der Websites technische Auffälligkeiten oder Risikohinweise festgestellt.

Das Ergebnis:

• 22 % (18) der Websites mit Score A
• 38 % (31) der Websites mit Score B
• 9 % (7) der Websites mit Score C
• 23 % (19) der Websites mit Score D
• 9 % (7) der Websites mit Score E

Auch bei den Ergebnissen aus den Datenschutz-Scans wurde der durchschnittliche Gesamtscore pro Partei ermittelt. Der durchschnittliche Wert der Parteien liegt nah beieinander: bei 4-mal B und 4-mal C.  Mit einer Gesamtbewertung von B schneiden BSW, Die Linke, FDP sowie die Klein- und Regionalparteien im Vergleich am besten ab. AfD, Bündnis 90/Die Grünen, CDU/CSU und SPD erreichen jeweils die Gesamtbewertung C.

Die Ergebnisse zeigen damit einerseits Beispiele für eine solide technische Umsetzung, andererseits aber auch weiteres Optimierungspotenzial.

Die Ergebnisse betreffen das gesamte Parteienspektrum

Die Analyse macht Unterschiede zwischen einzelnen Partei-Landesverbänden sichtbar, zeigt zugleich aber eine klare Gemeinsamkeit: Verbesserungspotenziale bei Datenschutz und Barrierefreiheit lassen sich nicht einer bestimmten politischen Richtung zuordnen.

Bei der digitalen Barrierefreiheit finden sich bei allen Parteigruppen durchgehend Landesverbände mit mittleren oder höheren Risikowerten. Eine barrierefreie Website ist hier die Ausnahme von der Regel.

Beim Datenschutz ist das Bild differenzierter: Verschiedene Partei-Landesverbände verfügen über Websites mit Score A oder B, gleichzeitig treten bei einzelnen Landesverbänden höhere Risikowerte auf. Insgesamt ist das Thema Datenschutzkonformität stärker in der Umsetzung der Websites verankert.

Dennoch besteht bei einer erheblichen Anzahl der untersuchten Websites in Bezug auf mögliche Datenschutzlücken und bei automatisiert erkennbaren Barrieren Verbesserungspotenzial.

Wie bei der Betrachtung der Gesamtwerte nach Parteien sichtbar wurde, steht weniger das Abschneiden einzelner Parteien im Vordergrund als eine gemeinsame Frage: Wie können politische Websites dauerhaft zugänglich, datenschutzbewusst und nutzerfreundlich gestaltet werden?

Was Parteien und Webagenturen konkret tun können

Viele technische Auffälligkeiten entstehen in wiederverwendeten Templates, Designsystemen, CMS-Komponenten, Formularmodulen oder eingebundenen Drittanbieter-Diensten. Verbesserungen an diesen zentralen Stellen können sich daher auf zahlreiche Unterseiten gleichzeitig auswirken.

Mögliche Ansatzpunkte sind:

• Barrierefreiheit früh berücksichtigen: Navigation, Buttons, Formulare, Dialogfenster und Consent-Banner bereits bei Konzeption und Entwicklung auf Zugänglichkeit prüfen.
• Datenschutz regelmäßig kontrollieren: Tracking, Cookies, externe Dienste, Consent-Mechanismen und Formularprozesse technisch überprüfen.
• Automatisiertes Monitoring etablieren: Wiederkehrende Scans nutzen, um Veränderungen und neue technische Auffälligkeiten frühzeitig zu erkennen.
• Manuelle Barrierefreiheit-Tests ergänzen: Zentrale Nutzerwege mit Tastatur, Screenreader und Vergrößerungsfunktionen praktisch überprüfen.
• Verantwortlichkeiten verbinden: Redaktion, Entwicklung, UX, Datenschutz und Compliance in gemeinsame Qualitätsprozesse einbeziehen.

Fazit: Eine gemeinsame Qualitätsaufgabe für politische Websites

Die Analyse liefert vor allem eine zentrale Erkenntnis: Bei der digitalen Barrierefreiheit besteht auf den untersuchten Partei-Websites parteiübergreifend deutliches Verbesserungspotenzial. Beim Datenschutz ist das Bild differenzierter, auch hier zeigen sich jedoch bei vielen Websites technische Ansatzpunkte für Verbesserungen.

Die Ergebnisse sollen dabei nicht einzelne Parteien an den Pranger stellen. Sie zeigen vielmehr, dass Datenschutz und digitale Barrierefreiheit dauerhafte Qualitätsaufgaben für politische Webangebote sind.

Automatisierte Prüfungen können hierfür einen Ausgangspunkt bilden, indem sie technische Auffälligkeiten sichtbar machen und eine gezielte Priorisierung ermöglichen. In Kombination mit manuellen Tests und fachlicher Bewertung können sie Parteien und Webagenturen dabei unterstützen, ihre Angebote kontinuierlich weiterzuentwickeln.

Das Ziel ist dabei ebenso einfach wie relevant: Politische Informationen sollten für möglichst viele Menschen zugänglich sein und über digitale Angebote bereitgestellt werden, denen Bürgerinnen und Bürger vertrauen können.

Über die Analyse

Untersucht wurden 82 Websites von Landesverbänden der in deutschen Landtagen vertretenen Parteien. Die automatisierte Analyse wurde mit der decareto Plattform für Website-Compliance-Analyse am 3. August 2026 durchgeführt.

Die ermittelten Scores und Befunde stellen technische Risikohinweise dar und sind ausdrücklich nicht mit einer abschließenden rechtlichen Bewertung oder einem vollständigen Barrierefreiheits-Audit gleichzusetzen.

Folgende Websites von deutschen Partei-Landesverbänden wurden untersucht

AfD Hessen, AfD Landesverband Baden-Württemberg, AfD Landesverband Bayern, AfD Landesverband Berlin, AfD Landesverband Brandenburg, AfD Landesverband Bremen, AfD Landesverband Hamburg, AfD Landesverband Niedersachsen, AfD Landesverband NRW, AfD Landesverband Rheinland-Pfalz, AfD Landesverband Saarland, AfD Landesverband Sachsen, AfD Landesverband Sachsen-Anhalt, AfD Landesverband Thüringen, AfD Mecklenburg-Vorpommern, BSW Brandenburg, BSW Landesverband Berlin, BSW Landesverband Sachsen, BSW Landesverband Thüringen, BÜNDNIS 90/DIE GRÜNEN Berlin, BÜNDNIS 90/DIE GRÜNEN Rheinland-Pfalz, BÜNDNIS 90/DIE GRÜNEN Baden-Württemberg, BÜNDNIS 90/DIE GRÜNEN Hessen, BÜNDNIS 90/DIE GRÜNEN Landesverband Bayern, BÜNDNIS 90/DIE GRÜNEN Landesverband Niedersachsen, BÜNDNIS 90/DIE GRÜNEN Landesverband NRW, BÜNDNIS 90/DIE GRÜNEN Landesverband Schleswig-Holstein, BÜNDNIS 90/DIE GRÜNEN Mecklenburg-Vorpommern, BÜNDNIS 90/DIE GRÜNEN Sachsen, BÜNDNIS 90/DIE GRÜNEN Sachsen-Anhalt, BÜNDNIS 90/DIE GRÜNEN Landesverband Bremen, BÜNDNIS DEUTSCHLAND Landesverband Bremen, Bürgerallianz Bremen/Bremerhaven, CDU Hessen, CDU in Niedersachsen, CDU Landesverband Berlin, CDU Landesverband Bremen, CDU Landesverband Hamburg, CDU Landesverband Mecklenburg-Vorpommern, CDU Landesverband Nordrhein-Westfalen, CDU Landesverband Rheinland-Pfalz, CDU Landesverband Saar, CDU Landesverband Thüringen, CDU Sachsen, CDU Sachsen-Anhalt, CDU Schleswig-Holstein, CDU-Landesverband Baden-Württemberg, CDU-Landesverband Brandenburg, CSU-Bayern, Die Linke Berlin, Die Linke Hamburg, Die Linke Landesverband Bremen, Die Linke Landesverband Sachsen-Anhalt, Die Linke Mecklenburg-Vorpommern, Die Linke Sachsen, Die Linke Thüringen, FDP Fraktion Schleswig-Holstein, FDP Landesverband Bremen, FDP Landesverband Hessen e.V., FDP Landesverband Mecklenburg-Vorpommern, FDP Landesverband NRW, FDP Sachsen-Anhalt, Freie Wähler in Bayern, Freie Wähler Sachsen e.V., GRÜNER Landesverband Hamburg, SPD Landesverband Berlin, SPD – BayernSPD Landesverband, SPD Brandenburg, SPD Landesorganisation Hamburg, SPD Landesverband Hessen, SPD Landesverband Nordrhein-Westfalen, SPD Landesverband Saarland, SPD Landesverband Sachsen, SPD Mecklenburg-Vorpommern, SPD Rheinland-Pfalz, SPD Sachsen-Anhalt, SPD Schleswig-Holstein, SPD-Landesorganisation Bremen, SPD-Landesverband Baden-Württemberg, SPD-Landesverband Niedersachsen, SPD-Landesverband Thüringen, Südschleswigscher Wählerverband

Pharmaunternehmen unterliegen umfassenden regulatorischen Anforderungen. Neben branchenspezifischen Vorschriften für Arzneimittel gewinnen auch Datenschutz, Informationssicherheit, digitale Barrierefreiheit und der rechtskonforme Betrieb von Websites zunehmend an Bedeutung. Compliance-Anforderungen betreffen somit neben Produktion und Forschung auch die gesamte digitale Unternehmenspräsenz.

Umso überraschender sind die Ergebnisse einer aktuellen Analyse von decareto: Trotz hoher Compliance-Anforderungen weisen zahlreiche Websites von Pharmaunternehmen erhebliche Defizite bei der Umsetzung datenschutzrechtlicher Vorgaben auf. Viele der untersuchten Websites erfüllen zentrale Anforderungen der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) nur unzureichend.

25 Pharmaunternehmen untersucht

Für die Untersuchung analysierte decareto die deutschen Websites von 25 Pharmaunternehmen hinsichtlich ihrer technischen Datenschutzkonfiguration. Im Fokus standen die Einhaltung der Einwilligungspflichten nach § 25 TDDDG – insbesondere:

• Einsatz von Consent-Bannern und Consent-Management-Plattformen
• Laden externer Dienste
• Setzen von Cookies
• Vollständigkeit der Datenschutzerklärungen

Die Ergebnisse zeigen, dass Datenschutzmängel trotz vorhandener Consent-Banner und umfassender Datenschutzerklärungen weit verbreitet sind.

88 % der Consent-Banner fehlerhaft konfiguriert

Ein Consent-Banner, auch Cookie-Banner genannt, dient der Einholung und Verwaltung von Einwilligungen für zustimmungspflichtige Datenverarbeitungen auf Websites und soll sicherstellen, dass diese erst nach wirksamer Zustimmung der Nutzer erfolgen.

Alle untersuchten Pharmaunternehmen setzen ein Consent-Banner bzw. eine Consent-Management-Software ein. Die technische Umsetzung des Consent-Banners entspricht jedoch häufig nicht den gesetzlichen Anforderungen.

Bei 22 von 25 Websites (88 %) wurden zustimmungspflichtige Dienste bzw. Cookies bereits beim ersten Seitenaufruf aktiviert – noch bevor Besucher ihre Einwilligung erteilt hatten. Damit verliert das Consent-Banner seine eigentliche Schutzfunktion.

88 % setzen nicht notwendige Cookies ohne Einwilligung

Cookies sind eine von mehreren Technologien zur Speicherung oder zum Auslesen von Informationen auf Endgeräten. Notwendig sind laut TDDDG nur Cookies, die für die Grundfunktion der Seite zwingend erforderlich sind (z. B. ein Warenkorb).

Die Analyse ergab, dass 22 der 25 Pharmaunternehmen (88 %) nicht erforderliche Cookies bereits vor einer Zustimmung der Nutzer speichern.

Nach der Rechtsprechung des Europäischen Gerichtshofs sowie des Bundesgerichtshofs dürfen solche Cookies grundsätzlich erst nach einer wirksamen Einwilligung gesetzt werden.

Besonders kritisch: Ein Großteil der betroffenen Websites vermittelt durch ein Cookie-Banner den Eindruck, die Entscheidung der Nutzer abzuwarten, verarbeitet jedoch bereits vorher personenbezogene Daten.

84 % laden zustimmungspflichtige externe Dienste bereits vor Zustimmung

Externe Drittanbieterdienste werden etwas seltener ohne Einwilligung eingebunden als Cookies, denn nicht alle zustimmungspflichtigen Dienste setzen auch Cookies.

21 von 25 Pharmaunternehmen (84 %) luden mindestens einen zustimmungspflichtigen externen Dienst bereits beim Seitenaufruf.

Dabei handelt es sich überwiegend um Dienste aus den Bereichen:

• Webanalyse
• Marketing
• Werbung
• Content Delivery
• Tag Management

Diese Technologien übertragen regelmäßig personenbezogene Daten an Drittanbieter und bedürfen daher häufig einer vorherigen Einwilligung.

Fehlende Transparenz in Datenschutzerklärungen bei 80 % der Pharmaunternehmen-Websites

Neben der technischen Analyse untersuchte decareto auch die Datenschutzerklärungen der Pharmaunternehmen.

Das Ergebnis:

20 von 25 Websites (80 %) enthielten Hinweise auf den Einsatz externer Dienste, die in der jeweiligen Datenschutzerklärung nicht oder nicht eindeutig erwähnt wurden.

Damit bestehen möglicherweise Verstöße gegen die Informationspflichten nach Art. 13 DSGVO, wonach Verantwortliche Empfänger oder Kategorien von Empfängern personenbezogener Daten transparent angeben müssen.

Ohne Einwilligung genutzt: Google-Dienste dominieren Technologien

Die Untersuchung zeigt eine deutliche Konzentration auf wenige große Technologieanbieter.

Unter den am häufigsten identifizierten Anbietern von Drittanbieterdiensten, die ohne Einwilligung verwendet werden, befinden sich:

Auffällig ist die starke Dominanz von Google. 19 von 25 untersuchten Pharmaunternehmen (76 %) laden Google-Dienste bereits vor einer Einwilligung. Zu den erkannten Diensten zählen unter anderem:

• Google Tag Manager
• Google Analytics
• Google Ads
• Google Adsense
• Google Fonts
• Google Maps
• Google reCAPTCHA
• Google Cloud Platform
• YouTube

Daneben kommen regelmäßig Marketing- und Webanalyse-Technologien von Adobe, Cloudflare und Akamai Technologies zum Einsatz.

Datenübermittlungen in die USA bleiben relevant

Auch nach Einführung des EU-US Data Privacy Framework im Juli 2023 bleiben Datentransfers in die USA datenschutzrechtlich ein sensibles Thema.

Zwar ermöglicht der Angemessenheitsbeschluss der Europäischen Kommission Datenübermittlungen an zertifizierte US-Unternehmen. Für den Einsatz vieler Tracking-, Marketing- und Analysedienste ist jedoch weiterhin eine vorherige Einwilligung nach § 25 TDDDG sowie regelmäßig nach Art. 6 Abs. 1 lit. a DSGVO erforderlich.

Unabhängig von der Zulässigkeit internationaler Datenübermittlungen bleibt daher die korrekte technische Umsetzung von Consent-Lösungen entscheidend.

Gesamtbewertung der Pharmaunternehmen-Websites

Die Gesamtbewertung der untersuchten Websites fällt entsprechend kritisch aus.

• 2 der Pharmaunternehmen-Websites erreichen die Bestnote A.
• B:3, C:3, D:7, E:10

Damit weisen die meisten der untersuchten Pharmaunternehmen-Websites technische oder organisatorische Datenschutzmängel auf.

Kernergebnisse der Analyse

• 88 % setzen nicht notwendige Cookies ohne Zustimmung.
• 84 % laden externe Drittanbieterdienste vor der Einwilligung.
• 80 % erwähnen erkannte externe Dienste nicht vollständig in ihrer Datenschutzerklärung.
• 88 % der Consent-Banner erfüllen ihre Schutzfunktion nicht vollständig.
• Google stellt bei 19 von 25 Pharmaunternehmen-Websites die am häufigsten identifizierten Drittanbieterdienste, die ohne Einwilligung geladen werden.

Über die Analyse

Für die Analyse untersuchte decareto im Juli 2026 die Websites von 25 Pharmaunternehmen in Deutschland. Dafür wurde die decareto Plattform für Website-Compliance-Analyse eingesetzt. Bewertet wurden die technische Umsetzung der Einwilligungsmechanismen, der Einsatz externer Dienste, Cookie-Setzungen sowie die Transparenz der Datenschutzerklärungen. Grundlage der Bewertung waren die Anforderungen der DSGVO, des TDDDG sowie die aktuelle europäische und deutsche Rechtsprechung zum Einsatz zustimmungspflichtiger Technologien.

Folgende Pharmaunternehmen wurden untersucht

Abbott, ALTANA, Amgen, AstraZeneca, Bayer, Berlin-Chemie, BioNTech, Eli Lilly, Fresenius Kabi, GSK, Grünenthal, Hexal, Roche, Janssen-Cilag, Merck, MSD, Mundipharma, Novartis, Novo Nordisk, Pfizer, ratiopharm, Sanofi, STADA, Takeda, UCB

Versicherungsunternehmen unterliegen umfassenden Compliance-Anforderungen, die neben versicherungsaufsichtsrechtlichen Vorgaben insbesondere Datenschutz, Informationssicherheit, digitale Barrierefreiheit sowie den rechtskonformen Betrieb ihrer digitalen Angebote umfassen.

Umso überraschender sind die Ergebnisse einer aktuellen Analyse von decareto: Trotz hoher Compliance-Anforderungen weisen zahlreiche Websites deutscher Versicherungen erhebliche Defizite bei der Umsetzung datenschutzrechtlicher Vorgaben auf. Viele der untersuchten Websites erfüllen zentrale Anforderungen der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) nur unzureichend.

37 Versicherungen untersucht

Für die Untersuchung analysierte decareto die Websites von 37 Versicherungen in Deutschland hinsichtlich ihrer technischen Datenschutzkonfiguration. Im Fokus standen die Einhaltung der Einwilligungspflichten nach § 25 TDDDG – insbesondere:

• Einsatz von Consent-Bannern und Consent-Management-Plattformen
• Laden externer Dienste
• Setzen von Cookies
• Vollständigkeit der Datenschutzerklärungen

Die Ergebnisse zeigen, dass Datenschutzverstöße trotz vorhandener Consent-Banner und umfassender Datenschutzerklärungen weit verbreitet sind.

95 % der Consent-Banner fehlerhaft konfiguriert

Ein Consent-Banner, auch Cookie-Banner genannt, dient der Einholung und Verwaltung von Einwilligungen für zustimmungspflichtige Datenverarbeitungen auf Websites und soll sicherstellen, dass diese erst nach wirksamer Zustimmung der Nutzer erfolgen.

Alle untersuchten Versicherungen setzen ein Consent-Banner bzw. eine Consent-Management-Software ein. Die technische Umsetzung des Consent-Banners entspricht jedoch häufig nicht den gesetzlichen Anforderungen.

Bei 35 von 37 Websites (95 %) wurden zustimmungspflichtige Dienste bzw. Cookies bereits beim ersten Seitenaufruf aktiviert – noch bevor Besucher ihre Einwilligung erteilt hatten. Damit verliert das Consent-Banner seine eigentliche Schutzfunktion.

70 % setzen nicht notwendige Cookies ohne Einwilligung

Cookies sind eine von mehreren Technologien zur Speicherung oder zum Auslesen von Informationen auf Endgeräten. Notwendig sind laut TDDDG nur Cookies, die für die Grundfunktion der Seite zwingend erforderlich sind (z. B. ein Warenkorb).

Die Analyse ergab, dass 26 der 37 Versicherungen (70 %) nicht erforderliche Cookies bereits vor einer Zustimmung der Nutzer speichern.

Nach der Rechtsprechung des Europäischen Gerichtshofs sowie des Bundesgerichtshofs dürfen solche Cookies grundsätzlich erst nach einer wirksamen Einwilligung gesetzt werden.

Besonders kritisch: Ein Großteil der betroffenen Websites vermittelt durch ein Cookie-Banner den Eindruck, die Entscheidung der Nutzer abzuwarten, verarbeitet jedoch bereits vorher personenbezogene Daten.

 95 % laden externe Dienste bereits vor Zustimmung

Noch häufiger als Cookies werden externe Drittanbieterdienste ohne Einwilligung eingebunden, denn nicht alle zustimmungspflichtigen Dienste setzen auch Cookies.

35 von 37 Versicherungen (95 %) luden mindestens einen zustimmungspflichtigen externen Dienst bereits beim Seitenaufruf.

Dabei handelt es sich überwiegend um Dienste aus den Bereichen:

• Webanalyse
• Marketing
• Werbung
• Tag Management

Diese Technologien übertragen regelmäßig personenbezogene Daten an Drittanbieter und bedürfen daher häufig einer vorherigen Einwilligung.

Fehlende Transparenz in Datenschutzerklärungen bei 73 % der Versicherungen-Websites

Neben der technischen Analyse untersuchte decareto auch die Datenschutzerklärungen der Versicherungen.

Das Ergebnis: 27 von 37 Websites (73 %) enthielten externe Dienste, die in der jeweiligen Datenschutzerklärung nicht oder nicht eindeutig erwähnt wurden.

Damit bestehen mögliche Verstöße gegen die Informationspflichten nach Art. 13 DSGVO, wonach Verantwortliche sämtliche Empfänger personenbezogener Daten transparent benennen müssen.

Google-Dienste dominieren Technologien

Die Untersuchung zeigt eine deutliche Konzentration auf wenige große Technologieanbieter.

Unter den am häufigsten identifizierten Diensten, die ohne Einwilligung verwendet werden, befinden sich:

Rang Anbieter Kategorie

1 / Google / Werbung · Webanalyse · Tag Management · Marketing

2 / Dynatrace / Webanalyse

3 / Adobe / Tag Management · Marketing

4 / Cloudflare / Webanalyse

5 / HubSpot / Marketing · Webanalyse

6 / OpenJS Foundation (jQuery) / Technische Infrastruktur

7 / Piwik PRO / Webanalyse

8 / EQS Group / Marketing / Unternehmenskommunikation

9 / etracker GmbH / Webanalyse

10 / Fonticons Inc. (Font Awesome) / Technische Infrastruktur

11 / Matomo / Webanalyse

12 / Tealium / Tag Management · Marketing

13 / Volentio JSD Limited (jsDelivr) / Technische Infrastruktur

14 / AWIN Group / Marketing · Werbung

15 / bunny.net / Technische Infrastruktur

Auffällig ist die starke Dominanz von Google. 29 von 37 untersuchten Websites nutzen Google-Dienste ohne Einwilligung. Zu den erkannten Diensten zählen unter anderem:

• Google Tag Manager
• Google Analytics
• Google Ads
• Google Ads Conversion Tracking
• Google Fonts
• Google Maps
• Google reCAPTCHA
• Google Photos
• Google Adsense / Google Adsense for YouTube
• YouTube / YouTube NoCookie / YouTube Images

Daneben kommen regelmäßig Marketing-, Tag Management- und Webanalyse-Werkzeuge von Dynatrace, Adobe und Cloudflare zum Einsatz.

Datenübermittlungen in die USA bleiben relevant

Auch nach Einführung des EU-US Data Privacy Framework im Juli 2023 bleiben Datentransfers in die USA datenschutzrechtlich ein sensibles Thema.

Zwar ermöglicht der Angemessenheitsbeschluss der Europäischen Kommission Datenübermittlungen an zertifizierte US-Unternehmen. Für den Einsatz vieler Tracking-, Marketing- und Analysedienste ist jedoch weiterhin eine vorherige Einwilligung nach § 25 TDDDG sowie regelmäßig nach Art. 6 Abs. 1 lit. a DSGVO erforderlich.

Unabhängig von der Zulässigkeit internationaler Datenübermittlungen bleibt daher die korrekte technische Umsetzung von Consent-Lösungen entscheidend.

Gesamtbewertung der Versicherungen-Websites

Die Gesamtbewertung der untersuchten Websites fällt entsprechend kritisch aus.

• 2 von 37 Versicherungen erreichten die Bestnote A.
• A: 2, B: 8, C: 15, D: 8, E: 4 Versicherungen

Damit weist die Mehrheit der untersuchten Versicherungen-Websites technische oder organisatorische Datenschutzmängel auf.

Kernergebnisse der Analyse

• 70 % setzen nicht notwendige Cookies ohne Zustimmung.
• 95 % laden externe Drittanbieterdienste vor der Einwilligung.
• 73 % erwähnen erkannte externe Dienste nicht vollständig in ihrer Datenschutzerklärung.
• 95 % der Consent-Banner erfüllen ihre Schutzfunktion nicht vollständig
• 78 % der untersuchten Websites nutzen Drittanbieterdienste von Google ohne Einwilligung

Über die Analyse

Für die Analyse untersuchte decareto im Juli 2026 die Websites von 37 Versicherungsunternehmen in Deutschland. Dafür wurde die decareto Plattform für Website-Compliance-Analyse eingesetzt. Bewertet wurden die technische Umsetzung der Einwilligungsmechanismen, der Einsatz externer Dienste, Cookie-Setzungen sowie die Transparenz der Datenschutzerklärungen. Grundlage der Bewertung waren die Anforderungen der DSGVO, des TDDDG sowie die aktuelle europäische und deutsche Rechtsprechung zum Einsatz zustimmungspflichtiger Technologien.

Von folgenden Versicherungsunternehmen wurden Websites untersucht

ADAC Versicherungen, Allianz AG, ALTE LEIPZIGER, ARAG, AXA Konzern AG, BarmeniaGothaer, BGV Badische Versicherungen, Continentale Versicherungsverbund, CosmosDirekt, Debeka, DEVK, Die Haftpflichtkasse, Die Stuttgarter, ERGO, Generali Deutschland AG, GVV Direkt, Hannover Rück, HanseMerkur, HDI, Helvetia Versicherungen, HUK-COBURG Versicherungsgruppe, IDEAL Versicherungsgruppe, INTER Versicherungsgruppe, Lippische Landesbrandversicherung AG, LVM Versicherung, Mecklenburgische Versicherungsgruppe, NÜRNBERGER Versicherung, Provinzial, SV SparkassenVersicherung, Swiss Life Deutschland, Talanx AG, VGH Versicherungen, VHV Versicherungen, VOLKSWOHL BUND, WWK Versicherungen, Württembergische Versicherung AG, Zurich Gruppe Deutschland

Aktualisierung vom 19.08.2026: Die Liste der im Rahmen des Reports untersuchten Unternehmen wurde nach Veröffentlichung angepasst. Die ursprüngliche Veröffentlichung erfolgte am 21.07.2026.

Kreditinstitute und Banken unterliegen umfassenden Compliance- und aufsichtsrechtlichen Anforderungen. Neben klassischen Finanzregulierungen müssen sie auch gesetzliche Vorgaben zum Datenschutz, zur digitalen Barrierefreiheit und zum rechtskonformen Betrieb ihrer Websites erfüllen.

Umso überraschender sind die Ergebnisse einer aktuellen Analyse von decareto: Trotz hoher regulatorischer Anforderungen weisen zahlreiche Websites deutscher Kreditinstitute erhebliche Defizite bei der Umsetzung datenschutzrechtlicher Vorgaben auf. Viele der untersuchten Websites erfüllen zentrale Anforderungen der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) nur unzureichend.

25 große Banken untersucht

Für die Untersuchung analysierte decareto die Websites von 25 großen Kreditinstituten und Banken in Deutschland hinsichtlich ihrer technischen Datenschutzkonfiguration. Im Fokus standen die Einhaltung der Einwilligungspflichten nach § 25 TDDDG – insbesondere:

• Einsatz von Consent-Bannern und Consent-Management-Plattformen
• Laden externer Dienste
• Setzen von Cookies
• Vollständigkeit der Datenschutzerklärungen

Die Ergebnisse zeigen, dass Datenschutzverstöße trotz vorhandener Consent-Banner und umfassender Datenschutzerklärungen weit verbreitet sind.

80 % der Consent-Banner fehlerhaft konfiguriert

Ein Consent-Banner, auch Cookie-Banner genannt, dient der Einholung und Verwaltung von Einwilligungen für zustimmungspflichtige Datenverarbeitungen auf Websites und soll sicherstellen, dass diese erst nach wirksamer Zustimmung der Nutzer erfolgen.

Alle untersuchten Banken setzen eine Consent-Management-Software ein. Die technische Umsetzung des Consent Banners entspricht jedoch häufig nicht den gesetzlichen Anforderungen.

Bei 20 von 25 Websites (80 %) wurden zustimmungspflichtige Dienste bzw. Cookies bereits beim ersten Seitenaufruf aktiviert – noch bevor Besucher ihre Einwilligung erteilt hatten. Damit verliert das Consent-Banner seine eigentliche Schutzfunktion.

76 % setzen nicht notwendige Cookies ohne Einwilligung

Cookies sind eine von mehreren Technologien zur Speicherung oder zum Auslesen von Informationen auf Endgeräten. Notwendig sind laut TDDDG nur Cookies, die für die Grundfunktion der Seite zwingend erforderlich sind (z. B. ein Warenkorb).

Die Analyse ergab, dass 19 der 25 Kreditinstitute und Banken (76 %) nicht erforderliche Cookies bereits vor einer Zustimmung der Nutzer speichern.

Nach der Rechtsprechung des Europäischen Gerichtshofs sowie des Bundesgerichtshofs dürfen solche Cookies grundsätzlich erst nach einer wirksamen Einwilligung gesetzt werden.

Besonders kritisch: Ein Großteil der betroffenen Websites vermittelt durch ein Cookie-Banner den Eindruck, die Entscheidung der Nutzer abzuwarten, verarbeitet jedoch bereits vorher personenbezogene Daten.

80 % laden externe Dienste bereits vor Zustimmung

Noch häufiger als Cookies werden externe Drittanbieterdienste ohne Einwilligung eingebunden, denn nicht alle zustimmungspflichtigen Dienste setzen auch Cookies.

20 von 25 Kreditinstituten und Banken (80 %) luden mindestens einen zustimmungspflichtigen externen Dienst bereits beim Seitenaufruf.

Dabei handelt es sich überwiegend um Dienste aus den Bereichen:

• Webanalyse
• Marketing
• Werbung
• Tag Management

Diese Technologien übertragen regelmäßig personenbezogene Daten an Drittanbieter und bedürfen daher häufig einer vorherigen Einwilligung.

Fehlende Transparenz in Datenschutzerklärungen bei 72 % der Bank-Websites 

Neben der technischen Analyse untersuchte Decareto auch die Datenschutzerklärungen der Kreditinstitute und Banken.

Das Ergebnis:

18 von 25 Websites (72 %) enthielten externe Dienste, die in der jeweiligen Datenschutzerklärung nicht oder nicht eindeutig erwähnt wurden.

Damit bestehen mögliche Verstöße gegen die Informationspflichten nach Art. 13 DSGVO, wonach Verantwortliche sämtliche Empfänger personenbezogener Daten transparent benennen müssen.

Google-Dienste dominieren die eingebundenen Technologien

Die Untersuchung zeigt eine deutliche Konzentration auf wenige große Technologieanbieter.

Unter den am häufigsten identifizierten Diensten befinden sich:

Rang / Dienst / Anbieter / Hauptzweck

1. Google Tag Manager / Google / Tag Management
2. Google Ads / Google / Werbung
3. Google Adsense / Google / Werbung
4. Meta Pixel / Meta / Werbung / Conversion Tracking
5. Usercentrics / Usercentrics / Consent Management
6. Microsoft Advertising / Microsoft / Werbung
7. Matomo / Matomo / Webanalyse
8. Google Analytics / Google / Webanalyse
9. LinkedIn Insight Tag / LinkedIn / Marketing & Analytics
10. Dynatrace / Dynatrace Performance Monitoring

Auffällig ist die starke Dominanz von Google. Fast die Hälfte der 10 am häufigsten identifizierten Dienste stammt direkt von Google.

Daneben kommen regelmäßig Marketing- und Tracking-Technologien von Meta, Microsoft und LinkedIn sowie Analysewerkzeuge wie Matomo oder Dynatrace zum Einsatz.

Datenübermittlungen in die USA bleiben relevant

Auch nach Einführung des EU-US Data Privacy Framework im Juli 2023 bleiben Datentransfers in die USA datenschutzrechtlich ein sensibles Thema.

Zwar ermöglicht der Angemessenheitsbeschluss der Europäischen Kommission Datenübermittlungen an zertifizierte US-Unternehmen. Für den Einsatz vieler Tracking-, Marketing- und Analysedienste ist jedoch weiterhin eine vorherige Einwilligung nach § 25 TDDDG sowie regelmäßig nach Art. 6 Abs. 1 lit. a DSGVO erforderlich.

Unabhängig von der Zulässigkeit internationaler Datenübermittlungen bleibt daher die korrekte technische Umsetzung von Consent-Lösungen entscheidend.

Gesamtbewertung der Banken-Websites

Die Gesamtbewertung der untersuchten Websites fällt entsprechend kritisch aus.

• 5 von 25 Banken (20 %) erreichten die Bestnote A.
• B = 7, C = 4, D = 7, E = 2

Damit weist die Mehrheit der untersuchten Bank-Websites technische oder organisatorische Datenschutzmängel auf.

Kernergebnisse der Analyse

• 76 % setzen nicht notwendige Cookies ohne Zustimmung.
• 80 % laden externe Drittanbieterdienste vor der Einwilligung.
• 72 %
• 80 % der Consent-Banner erfüllen Ihre Schutzfunktion nicht vollständig
• Google stellt 4 der 10 am häufigsten identifizierten Drittanbieterdienste.

Über die Analyse

Für die Analyse untersuchte decareto im Juli 2026 die Websites von 25 großen deutschen Kreditinstituten. Dafür wurde die decareto Plattform für Website-Compliance-Analyse eingesetzt. Bewertet wurden die technische Umsetzung der Einwilligungsmechanismen, der Einsatz externer Dienste, Cookie-Setzungen sowie die Transparenz der Datenschutzerklärungen. Grundlage der Bewertung waren die Anforderungen der DSGVO, des TDDDG sowie die aktuelle europäische und deutsche Rechtsprechung zum Einsatz zustimmungspflichtiger Technologien.

Folgende Kreditinstitute und Banken wurden untersucht

Aareal Bank AG, Deutsche Apotheker- und Ärztebank (apoBank), BayernLB – Bayerische Landesbank, Berliner Volksbank, comdirect, Commerzbank, DekaBank, Deutsche Bank, Deutsche Pfandbriefbank, DKB (Deutsche Kreditbank), DZ BANK, Hamburger Sparkasse (Haspa), Hamburg Commercial Bank (HCOB), Helaba – Landesbank Hessen-Thüringen, HypoVereinsbank (UniCredit Bank GmbH), ING Deutschland, L-Bank (Landeskreditbank Baden-Württemberg), N26, NRW.BANK, Landwirtschaftliche Rentenbank, Santander Consumer Bank, TARGOBANK, UmweltBank, Volkswagen Bank, Vontobel.