Prüfbericht bluehwerk-papeterie.at

Kurzfazit

Ein Einwilligungsbanner (Complianz) ist vorhanden, trotzdem laufen 44 Tracking-Requests schon vor der Einwilligung; alle davon gehen an Anbieter mit Sitz oder Konzernmutter in den USA. Sie sind alle nach Anbieterliste DPF-zertifiziert; eine Rechtsgrundlage nach Art. 6 DSGVO bleibt trotzdem erforderlich.

Rechtstexte: in der Datenschutzerklärung fehlt der Punkt „Drittlandübermittlung und Garantie (erkannt: Google LLC (Google Ads/DoubleClick/AdSense und Google Tag Manager))“; die Datenschutzerklärung nennt Google (Ads/DoubleClick/AdSense und Tag Manager) nicht; die Rechtstexte verweisen auf veraltete Gesetze.

Technik: HSTS-Header fehlt, Schwere niedrig.

So sieht ein Erstbesucher die Seite

Startseite beim Erstbesuch — Startseite im Zustand des Erstbesuchs, ohne Klick auf ein Einwilligungsbanner. Was hier sichtbar ist, sieht jeder neue Besucher.

Befunde

Nach Bereichen geordnet, innerhalb eines Bereichs nach Schwere. Jeder Befund nennt die Belege aus dem Scan, die Rechtsgrundlage und einen konkreten nächsten Schritt.

Einwilligung und Cookies

1 Befund · höchste Schwere Kritisch

Übermittlung in Drittländer

1 Befund · höchste Schwere Niedrig

Datenübermittlung in Drittland

Niedrig

Vor einer Einwilligung gehen Daten (mindestens die IP-Adresse) an 1 Anbieter mit Sitz oder Mutterkonzern außerhalb des EWR (44 Requests an pagead2.googlesyndication.com, www.googletagmanager.com auf 11 Seiten): Google LLC (USA, DPF-zertifiziert; Google Ads/DoubleClick/AdSense, Google Tag Manager). Bewertet wird der Anbieter, nicht der Serverstandort. Für DPF-zertifizierte Anbieter gilt derzeit der Angemessenheitsbeschluss zum EU-US Data Privacy Framework; Rechtsgrundlage nach Art. 6 DSGVO und Nennung in der Datenschutzerklärung bleiben nötig.

Belege (2)

Request
pagead2.googlesyndication.com: Google LLC – Google Ads/DoubleClick/AdSense (USA, DPF-zertifiziert), 22 Requestshttps://pagead2.googlesyndication.com/ccm/collect?rcb=3&frm=0&apvc=1&tid=AW-17928503140&en=page_view&dl=https%3A%2F%2Fbluehwerk-papeterie.at%2F&scrsrc=www.googletagmanager.com&rnd=1788562153.1791710073&navt=n&npa=1&did=dOGY3NW&gdid=dOGY3NW&gtm=45be6a72z8f_AW-17928503140za208xecxf1&gcs=G100&gcd=13p3p3p2p5l1&dma_cps=-&dma=1&tag_exp=115616986~115938465~115938468~118897920~118897930~120385423~120469145~120469153~121046263~121046271~121246026~121246034&tft=1791710072900&tfd=1370&tids=AW-17928503140&fmt=8gefunden auf /
Request
www.googletagmanager.com: Google LLC – Google Tag Manager (USA, DPF-zertifiziert), 22 Requestshttps://www.googletagmanager.com/gtag/js?id=AW-17928503140gefunden auf /

Rechtsgrundlage

Regel third-country-transfer

Empfehlung

Nennen Sie jeden Empfänger mit Drittland und Garantie in der Datenschutzerklärung (Art. 13 Abs. 1 lit. e, f DSGVO). Bei Anbietern, die nach dem EU-US Data Privacy Framework zertifiziert sind, trägt der Angemessenheitsbeschluss die Übermittlung; holen Sie, soweit erforderlich, vorher eine Einwilligung ein. Für Anbieter ohne DPF-Zertifizierung oder mit Sitz in anderen Drittländern besteht keine gesicherte Grundlage: Ersetzen Sie den Dienst durch einen EU-Anbieter oder laden Sie ihn erst nach Einwilligung und mit dokumentierten Garantien (Art. 46 DSGVO).

Impressum

1 Befund · höchste Schwere Niedrig

Veraltete Rechtsverweise im Impressum

Niedrig

Das Impressum verweist auf überholte Rechtsgrundlagen: EU-OS-Plattform (seit 20.07.2025 abgeschaltet).

Belege (1)

Text
EU-OS-Plattform (seit 20.07.2025 abgeschaltet)…cher*innen haben die Möglichkeit, Beschwerden an die Online Streitbeilegungsplattformen der EU zu richten: http://ec.europa.eu/odr. Sie können al…gefunden auf /impressum/

Rechtsgrundlage

Regel impressum-outdated-reference

Empfehlung

Aktualisieren Sie die Rechtsverweise: Seit 14.05.2024 gilt § 5 DDG statt § 5 TMG, statt § 55 RStV gilt § 18 MStV, und der Hinweis auf die EU-OS-Plattform ist seit 20.07.2025 entfallen.

Datenschutzerklärung

2 Befunde · höchste Schwere Hoch

Datenschutzerklärung unvollständig

Hoch

In der Datenschutzerklärung fehlen Pflichtangaben: Drittlandübermittlung und Garantie (erkannt: Google LLC (Google Ads/DoubleClick/AdSense, Google Tag Manager)). Geprüft wurde formal anhand von Schlagworten (deutsch und englisch).

Belege (1)

Text
FehltDrittlandübermittlung und Garantie (erkannt: Google LLC (Google Ads/DoubleClick/AdSense, Google Tag Manager))gefunden auf /datenschutzerklaerung/

Rechtsgrundlage

Regel privacy-incomplete

Empfehlung

Ergänzen Sie die im Befund genannten Pflichtinformationen nach Art. 13 DSGVO. Die Prüfung ist formal (Schlagworte); sie ersetzt keine inhaltliche Kontrolle.

Eingebundene Drittanbieter nicht in der Datenschutzerklärung genannt

Hoch

Die Website lädt Inhalte von einem Drittanbieter, der in der Datenschutzerklärung nicht genannt ist: Google LLC (Google Ads/DoubleClick/AdSense, Google Tag Manager).

Belege (2)

Request
Google LLC (Google Ads/DoubleClick/AdSense) – pagead2.googlesyndication.comhttps://pagead2.googlesyndication.com/ccm/collect?rcb=3&frm=0&apvc=1&tid=AW-17928503140&en=page_view&dl=https%3A%2F%2Fbluehwerk-papeterie.at%2F&scrsrc=www.googletagmanager.com&rnd=1788562153.1791710073&navt=n&npa=1&did=dOGY3NW&gdid=dOGY3NW&gtm=45be6a72z8f_AW-17928503140za208xecxf1&gcs=G100&gcd=13p3p3p2p5l1&dma_cps=-&dma=1&tag_exp=115616986~115938465~115938468~118897920~118897930~120385423~120469145~120469153~121046263~121046271~121246026~121246034&tft=1791710072900&tfd=1370&tids=AW-17928503140&fmt=8gefunden auf /
Request
Google LLC (Google Tag Manager) – www.googletagmanager.comhttps://www.googletagmanager.com/gtag/js?id=AW-17928503140gefunden auf /

Rechtsgrundlage

Regel privacy-undisclosed-vendors

Empfehlung

Nennen Sie in der Datenschutzerklärung alle eingebundenen Drittanbieter mit Zweck, Rechtsgrundlage, Empfänger und ggf. Drittlandübermittlung – mindestens die im Befund aufgeführten.

Technik und Verschlüsselung

1 Befund · höchste Schwere Niedrig

HSTS-Header fehlt

Niedrig

Die HTTPS-Antwort der Startseite enthält keinen Strict-Transport-Security-Header. Ohne wirksames HSTS bleibt jeder Aufruf angreifbar, der über http:// oder einen alten Link beginnt: Ein Angreifer im selben Netz kann die Weiterleitung auf HTTPS abfangen und die Verbindung unverschlüsselt halten (SSL-Stripping). HSTS wirkt erst, nachdem der Browser den Header bei einem früheren HTTPS-Besuch gespeichert hat, also ab dem zweiten Besuch; den allerersten Aufruf schützt nur die Aufnahme der Domain in die HSTS-Preload-Liste der Browser. Ob die Domain dort bereits steht (hstspreload.org), prüft das Tool nicht.

Belege (1)

Header
Strict-Transport-Security(fehlt)gefunden auf /

Rechtsgrundlage

Art. 32 DSGVO (Stand der Technik; Empfehlung)

Regel hsts-missing

Empfehlung

Setzen Sie den Header Strict-Transport-Security: max-age=31536000; includeSubDomains, damit Browser die Seite nur noch verschlüsselt aufrufen. includeSubDomains nur setzen, wenn alle Subdomains per HTTPS erreichbar sind; Browser rufen sie danach nicht mehr über HTTP auf.

Drittanbieter

2 Hosts fremder Anbieter wurden beim Erstbesuch kontaktiert. Jeder dieser Requests überträgt mindestens die IP-Adresse des Besuchers. Daneben gingen 495 Requests an die eigene Domain.

Drittlandbezug (Sitz oder Konzernmutter außerhalb des EWR): 2 US-bezogen und nach Anbieterliste DPF-zertifiziert.

Host	Anbieter	Land	Mutter-Land	DPF	Kategorie	Requests
pagead2.googlesyndication.comUSA · DPF	Google LLC (Google Ads/DoubleClick/AdSense)	USA	USA	ja	Werbungeinwilligungspflichtig	22
www.googletagmanager.comUSA · DPF	Google LLC (Google Tag Manager)	USA	USA	ja	Analyseeinwilligungspflichtig	22

USA · DPF: US-Anbieter oder US-Konzernmutter, nach Anbieterliste unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss (EU) 2023/1795).

Maßgeblich ist der Empfänger (Kapitel V DSGVO, Art. 44–46 DSGVO). Bei EU-Töchtern zählt auch das Land der Konzernmutter, wenn es außerhalb des EWR liegt und keinen Angemessenheitsbeschluss hat (z. B. US-Mutter ohne DPF, Mutter in China oder Russland). Der DPF-Status stammt aus einer kuratierten Liste und wird nicht live abgefragt. Gegen den DPF-Angemessenheitsbeschluss ist beim EuGH ein Rechtsmittel anhängig (C-703/25 P); fällt er weg, gelten DPF-Übermittlungen als ungesichert.

Cookies und Speicher

Alles, was beim Erstbesuch ohne Einwilligung auf dem Endgerät gespeichert wurde. Speichern und Auslesen braucht nach § 25 Abs. 1 TDDDG grundsätzlich eine Einwilligung. Ohne Einwilligung zulässig ist es nur in zwei Ausnahmefällen: wenn der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist (§ 25 Abs. 2 Nr. 1 TDDDG) oder wenn es unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kann (Nr. 2).

Web Storage (4)

Schlüssel	Art	Origin	Wert (Auszug)
wc_cart_hash_e2733a4e00f0c611ed20085bb145afdc	Local Storage	https://bluehwerk-papeterie.at	436ce4e5a632b19ca854e340b383bb43
wc_cart_created	Session Storage	https://bluehwerk-papeterie.at	1791710096742
wc_cart_hash_e2733a4e00f0c611ed20085bb145afdc	Session Storage	https://bluehwerk-papeterie.at	436ce4e5a632b19ca854e340b383bb43
wc_fragments_e2733a4e00f0c611ed20085bb145afdc	Session Storage	https://bluehwerk-papeterie.at	{"div.widget_shopping_cart_content":"<di

Einwilligungsbanner

Einwilligungsbanner: erkannt
Consent-Tool: Complianz
Ablehnen auf erster Ebene: ja
Akzeptieren auf erster Ebene: ja
Tracking-Requests vor Einwilligung: 44
Text des Einwilligungsbanners (Auszug): Einwilligung verwalten Um dir ein optimales Erlebnis zu bieten, verwenden wir Technologien wie Cookies, um Geräteinformationen zu speichern und/oder darauf zuzugreifen. Wenn du diesen Technologien zustimmst, können wir Daten wie das Surfverhalten oder eindeutige IDs auf dieser Website verarbeiten.…

Impressum

Seite gefunden: ja https://bluehwerk-papeterie.at/impressum/
Von der Startseite verlinkt: ja Linktext „Impressum“

Pflichtangaben nach § 5 DDG

Name bzw. Firma des Anbietersgefunden
Ladungsfähige Anschriftgefunden
E-Mail-Adressegefunden
Zweiter schneller Kontaktweg (Telefon oder Kontaktformular)gefunden

Veraltete Verweise: …cher*innen haben die Möglichkeit, Beschwerden an die Online Streitbeilegungsplattformen der EU zu richten: http://ec.europa.eu/odr. Sie können al…

Formale Prüfung auf Schlüsselbegriffe. Ob eine Angabe inhaltlich richtig ist (z. B. die Anschrift ladungsfähig), lässt sich automatisch nicht feststellen.

Datenschutzerklärung

Seite gefunden: ja https://bluehwerk-papeterie.at/datenschutzerklaerung/
Von der Startseite verlinkt: ja Linktext „Datenschutzerklärung“

Pflichtinhalte nach Art. 13 DSGVO

Verantwortlicher und Kontakt (Art. 13 Abs. 1 lit. a)gefunden
Datenschutzbeauftragter, falls benannt (lit. b)nicht gefunden
Zwecke der Verarbeitung (lit. c)gefunden
Rechtsgrundlagen (lit. c)gefunden
Berechtigte Interessen (lit. d)gefunden
Empfänger (lit. e)gefunden
Drittlandübermittlung und Garantien (lit. f)nicht gefunden
Speicherdauer (Abs. 2 lit. a)gefunden
Betroffenenrechte (Abs. 2 lit. b)gefunden
Widerspruchsrecht (Art. 21)gefunden
Widerruf der Einwilligung (Abs. 2 lit. c)gefunden
Beschwerderecht (Abs. 2 lit. d)gefunden
Pflicht zur Bereitstellung (Abs. 2 lit. e)nicht gefunden
Automatisierte Entscheidungen (Abs. 2 lit. f)nicht gefunden

Zusätzlich geprüft

Hinweise zu Cookies und Endgerätezugriffgefunden

Informationen zu Cookies und Endgerätezugriff gehören zur informierten Einwilligung nach § 25 Abs. 1 TDDDG; sie sind keine eigene Pflichtangabe nach Art. 13 DSGVO.

Fehlt laut Prüfung: Drittlandübermittlung und Garantie (erkannt: Google LLC (Google Ads/DoubleClick/AdSense, Google Tag Manager))

Eingebunden, aber nicht genannt: Google (Ads/DoubleClick/AdSense, Tag Manager)

Formale Prüfung auf Schlüsselbegriffe (deutsch und englisch). Die Qualität und Richtigkeit der Texte bewertet das Tool nicht.

Technik

HTTPS: ja
HTTP leitet auf HTTPS um: ja
HSTS: nicht gesetzt
TLS-Zertifikat: TLS 1.3, ausgestellt von YR2 für *.bluehwerk-papeterie.at, gültig bis 15.12.2026
Unverschlüsselte Inhalte: keine
Formulare über HTTP: keine

Sicherheits-Header

Empfohlen als Stand der Technik für technische und organisatorische Maßnahmen (Art. 32 DSGVO, § 19 Abs. 4 TDDDG). Keiner dieser Header ist einzeln vorgeschrieben; fehlende Header sind deshalb kein eigener Befund.

Header	Wert
Content-Security-Policy	nicht gesetzt
X-Content-Type-Options	nosniff
Referrer-Policy	nicht gesetzt
Permissions-Policy	nicht gesetzt
X-Frame-Options	nicht gesetzt

Geprüfte Seiten

Adresse	Rolle	Status
https://bluehwerk-papeterie.at/	Startseite	200
https://bluehwerk-papeterie.at/impressum/	Impressum	200
https://bluehwerk-papeterie.at/datenschutzerklaerung/	Datenschutz	200
https://bluehwerk-papeterie.at/1289-2/	Unterseite	200
https://bluehwerk-papeterie.at/shop/	Unterseite	200
https://bluehwerk-papeterie.at/nachhaltige-weihnachtsgeschenke/	Unterseite	200
https://bluehwerk-papeterie.at/einpflanzbare-hochzeitskarten-aus-saatpapier/	Unterseite	200
https://bluehwerk-papeterie.at/nachhaltige-give-aways-fuer-unternehmen/	Unterseite	200
https://bluehwerk-papeterie.at/pflanzanleitung/	Unterseite	200
https://bluehwerk-papeterie.at/minimalistische-hochzeitspapeterie-serie-pure/	Unterseite	200
https://bluehwerk-papeterie.at/serie-herz/	Unterseite	200

Fehler und Einschränkungen

Während des Scans sind keine Fehler aufgetreten. Allgemeine Grenzen der Prüfung stehen unter „Methodik“.

Methodik

Aufruf mit einem frischen Chromium-Profil, Sprache de-DE, Zeitzone Europe/Berlin, wie ein Erstbesucher. Ein Einwilligungsbanner wird nicht angeklickt; alle Requests, Cookies und Speichereinträge gelten daher als „vor Einwilligung“.
Scan-Standort ist der Server, auf dem dieses Prüftool läuft; seine IP-Herkunft wird nicht erfasst. Manche Consent-Tools zeigen je nach Herkunftsland andere oder keine Banner. Das Ergebnis gilt daher für diesen Standort.
Geprüft werden die Startseite sowie bis zu zehn weitere Seiten, Impressum und Datenschutzerklärung mit Vorrang.
Drittanbieter werden über eine kuratierte Anbieterliste einem Unternehmen, Land und DPF-Status zugeordnet (Stand der Liste und des DPF-Abgleichs: 05.10.2026). Der DPF-Status wird nicht live abgefragt; einzelne Einträge sind aus bekannter langjähriger Teilnahme übernommen und vor einer Beanstandung auf dataprivacyframework.gov zu prüfen.
Impressum und Datenschutzerklärung werden formal auf Pflichtangaben geprüft, nicht inhaltlich.
Nicht geprüft: Inhalte hinter Logins oder Formularen, das Verhalten nach Einwilligung oder Ablehnung, Server-Logs, Auftragsverarbeitungsverträge, Barrierefreiheit.

Schweregrade

KritischSehr wahrscheinlich ein schwerwiegender Verstoß mit hohem Abmahn- oder Bußgeldrisiko. Sofort beheben.
HochWahrscheinlich ein Verstoß. Zeitnah beheben.
MittelRechtlich angreifbar oder vom Einzelfall abhängig. Prüfen und nachbessern.
NiedrigFormaler Mangel oder Stand der Technik. Bei Gelegenheit beheben.
InfoHinweis ohne eigene Bewertung. Manuell prüfen.

Automatisierte Erstprüfung zum angegebenen Zeitpunkt aus Sicht eines Erstbesuchers ohne Einwilligung. Kein Ersatz für eine rechtliche Beratung; Ergebnisse können unvollständig sein.