Compliance-Register mit 2000 Prüfpunkten

Fehlende ARIA-Labels bei interaktiven Elementen

Schaltflächen, Links und interaktive Bedienelemente haben keinen zugänglichen Namen über aria-label oder aria-labelledby. Screenreader-Nutzer können den Zweck dieser Elemente nicht erkennen, was eine Nutzungsbarriere schafft.

Rechtsgrundlage: WCAG 2.1 SC 4.1.2

WCAG 2.1 SC 4.1.2

Kein Link zum Überspringen der Navigation

Der Seite fehlt ein Link „Zum Hauptinhalt springen“ als erstes fokussierbares Element. Tastatur- und Screenreader-Nutzer müssen bei jedem Seitenaufruf mit der Tabulatortaste durch die gesamte Navigation gehen — eine dokumentierte Barriere.

Rechtsgrundlage: WCAG 2.1 SC 2.4.1

WCAG 2.1 SC 2.4.1

Fehlende Beschriftungen von Formularfeldern

Formulareingaben haben keine zugeordneten <label>-Elemente oder aria-label-Attribute. Screenreader-Nutzer können nicht erkennen, welche Angaben verlangt werden, und das Formular nicht ausfüllen.

Rechtsgrundlage: WCAG 2.1 SC 1.3.1

WCAG 2.1 SC 1.3.1

Fehlendes HTML-lang-Attribut

Das <html>-Element hat kein lang-Attribut, das die Seitensprache angibt. Screenreader können die richtigen Ausspracheregeln nicht bestimmen, was zu verzerrter Sprachausgabe für den gesamten Seiteninhalt führt.

Rechtsgrundlage: WCAG 2.1 SC 3.1.1

WCAG 2.1 SC 3.1.1

Nicht barrierefreies Karriere-/Bewerbungsportal

Die Karriereseite oder das Bewerbungsportal ist für Menschen mit Behinderungen nicht zugänglich. Das begründet eine Haftung sowohl nach ADA Title I (Beschäftigung) als auch Title III (öffentliche Einrichtungen) und ist ein häufiges Ziel von Serienklägern nach dem ADA.

Rechtsgrundlage: ADA Title I § 12112; Title III § 12182

Google Analytics im Patientenportal ohne BAA

Google Analytics erhebt Daten auf Seiten des Patientenportals ohne unterzeichnetes Business Associate Agreement. Google unterzeichnet keine BAAs für das Standard-Analytics, sodass jedes Tracking im Patientenportal automatisch ein HIPAA-Verstoß ist.

Rechtsgrundlage: 45 CFR § 164.502(e)

45 CFR 164.502

Social-Media-Pixel auf Seiten zu Gesundheitsleistungen

TikTok-, Snapchat- oder andere Social-Media-Tracking-Pixel sind auf Seiten aktiv, die bestimmte Erkrankungen oder Behandlungen beschreiben. Diese Pixel übertragen URL-Pfade, die verraten, zu welchen Erkrankungen Nutzer recherchieren.

Rechtsgrundlage: 45 CFR § 164.502; FTC Health Breach Notification Rule

45 CFR 164.502

Medizinischer Chatbot erfasst Symptome ohne Einwilligung

Ein KI-gestützter oder skriptbasierter Chatbot erfasst Symptome, Beschwerden oder Krankengeschichte, ohne eine HIPAA-Autorisierung oder einen Hinweis zu Datenschutzpraktiken (Notice of Privacy Practices) anzuzeigen. So entsteht eine unkontrollierte Erfassungsstelle für PHI.

Rechtsgrundlage: 45 CFR § 164.520; § 164.508

45 CFR 164.520

Fehlender Link für Auskunftsanfragen zu Patienten-PHI

Die Website bietet Patienten keine Möglichkeit, Zugang zu ihren geschützten Gesundheitsinformationen zu beantragen oder sie herunterzuladen. HIPAA gewährt Patienten ein Recht auf Zugang zu ihren PHI, und das Verfahren muss klar kommuniziert werden.

Rechtsgrundlage: 45 CFR § 164.524

45 CFR 164.524

Gesundheits-Tracking ohne MHMDA-Einwilligung

Eine Gesundheits- oder Wellness-Website verfolgt das Nutzerverhalten ohne die nach dem My Health My Data Act (MHMDA) des Bundesstaates Washington erforderliche Einwilligung. Dieses Gesetz gilt für jede Stelle, die Gesundheitsdaten von Einwohnern Washingtons erhebt, nicht nur für HIPAA-pflichtige Einrichtungen.

Rechtsgrundlage: RCW 19.373 (Washington MHMDA)

RCW 19.373.030

E-Mail-Rabatt-Popup ohne Hinweis auf finanziellen Anreiz

Ein Popup zur E-Mail-Anmeldung bietet einen Rabatt an (z. B. „10 % Rabatt bei Anmeldung“) ohne Hinweis auf einen finanziellen Anreiz (Financial Incentive Notice). CCPA/CPRA verpflichten Unternehmen, die wesentlichen Bedingungen jedes an eine Datenerhebung geknüpften Anreizprogramms offenzulegen.

Rechtsgrundlage: Cal. Civ. Code § 1798.125(b)

Cal. Civ. Code § 1798.125

Fehlende oder unzureichende Datenschutzerklärung

Der Website fehlt eine umfassende Datenschutzerklärung oder die vorhandene legt die vom CCPA geforderten Kategorien nicht offen: Arten der erhobenen personenbezogenen Daten, Zwecke, Weitergabe an Dritte und Verbraucherrechte.

Rechtsgrundlage: Cal. Civ. Code § 1798.130(a)(5)

Cal. Civ. Code § 1798.130

Kein Verfahren für Löschanfragen

Die Website bietet Verbrauchern keine Möglichkeit, die Löschung ihrer personenbezogenen Daten zu verlangen. Der CCPA verlangt mindestens zwei Wege zur Einreichung von Verbraucheranfragen, bei größeren Unternehmen einschließlich einer gebührenfreien Telefonnummer.

Rechtsgrundlage: Cal. Civ. Code § 1798.105; § 1798.130

Cal. Civ. Code § 1798.105Cal. Civ. Code § 1798.130

Fehlendes Cookie-Einwilligungsbanner für Nutzer in Kalifornien

Besuchern aus Kalifornien wird kein Mechanismus zur Cookie-Einwilligung angezeigt. Der CCPA schreibt Cookie-Banner zwar nicht ausdrücklich vor, doch die CPPA hat signalisiert, dass sie Websites vorrangig verfolgt, die Tracking-Cookies setzen, ohne Opt-out-Signale zu beachten.

Rechtsgrundlage: 11 CCR § 7025; Cal. Civ. Code § 1798.135(e)

11 CCR § 7025 (CCPA Regulations)Cal. Civ. Code § 1798.135

Tätigkeit als Datenhändler ohne Registrierung

Das Unternehmen erhebt und verkauft personenbezogene Daten von Verbrauchern, zu denen es keine direkte Beziehung hat, und erfüllt damit die Definition eines Datenhändlers, ohne sich wie von Texas SB 2105 und dem kalifornischen Delete Act verlangt beim Bundesstaat registriert zu haben.

Rechtsgrundlage: TX Bus. & Com. Code § 509; Cal. Civ. Code § 1798.99.82

Cal. Civ. Code § 1798.99.82

Irreführender durchgestrichener „Originalpreis“

Es wird ein durchgestrichener „Originalpreis“ angezeigt, der nie der tatsächliche Verkaufspreis war, und so ein Scheinrabatt erzeugt. Die FTC-Leitlinien gegen irreführende Preisangaben (Guides Against Deceptive Pricing) verbieten fiktive frühere Preise.

Rechtsgrundlage: 16 CFR § 233; FTC Act § 5

16 CFR Part 233FTC Act § 5 — 15 U.S.C. 45

Nicht verifizierte Kundenbewertungen

Kundenbewertungen werden ohne Prüfung des Kaufs oder der Echtheit angezeigt. Die FTC-Regel von 2024 zur Verwendung von Verbraucherbewertungen verbietet gefälschte, gekaufte oder durch Anreize erlangte Bewertungen ohne klare Offenlegung.

Rechtsgrundlage: 16 CFR § 465 (FTC Review Rule 2024)

16 CFR Part 465

Fehlende Offenlegung von Affiliate-Beziehungen

Affiliate-Links und Provisionen für Botschafter werden nicht klar und gut sichtbar oberhalb des ersten Affiliate-Links auf der Seite offengelegt. Die FTC verlangt die Offenlegung einer wesentlichen Verbindung, bevor der Verbraucher auf die Empfehlung stößt.

Rechtsgrundlage: 16 CFR § 255.5; FTC Endorsement Guides

16 CFR 255.5

Unbelegte Umweltaussagen

Marketingtexte verwenden Begriffe wie „umweltfreundlich“, „klimaneutral“ oder „nachhaltig“ ohne Zertifizierung durch Dritte oder Belege. Die Green Guides der FTC verlangen für Umweltaussagen fundierte und verlässliche wissenschaftliche Nachweise.

Rechtsgrundlage: 16 CFR § 260 (FTC Green Guides)

16 CFR Part 260

Lockvogel-Preisgestaltung (Bait-and-Switch)

Der in Werbung oder Suchergebnissen angezeigte Preis weicht vom Preis an der Kasse ab, weil Gebühren hinzukommen, andere Produktversionen gelten oder Bedingungen geändert wurden. Das ist eine klassische Lockvogeltäuschung.

Rechtsgrundlage: FTC Act § 5; 16 CFR § 238 (Bait Advertising)

FTC Act § 5 — 15 U.S.C. 4516 CFR Part 238

Marketing-SMS nach 20 Uhr Ortszeit versendet

Automatisierte Marketing-SMS werden außerhalb der zulässigen Zeiten versendet. Der Florida Telephone Solicitation Act (FTSA) beschränkt SMS auf 8–20 Uhr Ortszeit; andere Bundesstaaten sehen ähnliche Zeitfenster vor.

Rechtsgrundlage: FL Stat. § 501.059 (FTSA); 47 U.S.C. § 227

47 U.S.C. 227

Marketing-E-Mails ohne Postanschrift

Kommerzielle E-Mails enthalten keine gültige postalische Anschrift des Absenders. CAN-SPAM verlangt in jeder kommerziellen E-Mail die aktuelle Straßenanschrift oder ein registriertes Postfach des Absenders.

Rechtsgrundlage: 15 U.S.C. § 7704(a)(5)(A); 16 CFR § 316.2

15 U.S.C. 770416 CFR 316.2

SMS zu abgebrochenen Warenkörben ohne vorherige schriftliche Einwilligung

SMS zur Rückgewinnung abgebrochener Warenkörbe werden an Verbraucher gesendet, die keine vorherige ausdrückliche schriftliche Einwilligung für Marketing-SMS erteilt haben. Ein abgebrochener Warenkorb gilt nach dem TCPA nicht als Einwilligung.

Rechtsgrundlage: 47 U.S.C. § 227(b)(1)(A)(iii)

47 U.S.C. 227

Fehlende A2P-10DLC-Kampagnenregistrierung

Geschäftliche SMS werden über Langnummern (10-stellige Nummern) ohne ordnungsgemäße A2P-10DLC-Kampagnenregistrierung bei den Netzbetreibern versendet. Nicht registrierten Kampagnen drohen Nachrichtenfilterung, Sperrung und Strafgebühren der Netzbetreiber pro Nachricht.

Rechtsgrundlage: CTIA 10DLC Policy; Carrier A2P Guidelines

Vorab aufgezeichnete Sprachnachrichten ohne Opt-in

Vorab aufgezeichnete oder künstlich erzeugte Werbesprachnachrichten werden ohne vorherige ausdrückliche schriftliche Einwilligung an Verbraucher übermittelt. Die Robocall-Bestimmungen des TCPA sehen gesetzlichen Schadensersatz von 500–1.500 $ pro Anruf vor.

Rechtsgrundlage: 47 U.S.C. § 227(b)(1)(B)

47 U.S.C. 227

Kein Cookie-Einwilligungsbanner für Besucher aus der EU

Die Website zeigt Besuchern aus EU-Mitgliedstaaten keinen Mechanismus zur Cookie-Einwilligung. Die ePrivacy-Richtlinie und die DSGVO verlangen eine informierte Einwilligung, bevor nicht notwendige Cookies oder Tracking-Technologien eingesetzt werden.

Rechtsgrundlage: GDPR Article 7; ePrivacy Directive Article 5(3)

GDPR Art. 7ePrivacy Directive Art. 5(3)

Kein Auftragsverarbeitungsvertrag mit Auftragsverarbeitern

Drittanbieter, die im Auftrag des Verantwortlichen personenbezogene Daten verarbeiten, arbeiten ohne unterzeichneten Auftragsverarbeitungsvertrag. Die DSGVO schreibt schriftliche Verträge vor, die Umfang, Zweck und Sicherheitspflichten der Verarbeitung festlegen.

Rechtsgrundlage: GDPR Article 28(3)

GDPR Art. 28(3)

Grenzüberschreitende Datenübermittlung ohne Garantien

Personenbezogene Daten von EU-Bürgern werden ohne Standardvertragsklauseln (SCCs), Angemessenheitsbeschlüsse oder andere zugelassene Übermittlungsmechanismen an Server oder Dienste in den USA übermittelt, wie es seit dem Schrems-II-Urteil erforderlich ist.

Rechtsgrundlage: GDPR Articles 44–49; Schrems II (C-311/18)

GDPR Art. 44–49CJEU C-311/18

Kein Verfahren für das „Recht auf Vergessenwerden“

Die Website bietet betroffenen Personen keine Möglichkeit, die Löschung ihrer personenbezogenen Daten zu verlangen. Das Recht auf Löschung nach der DSGVO verpflichtet Verantwortliche, personenbezogene Daten auf Antrag zu löschen, wenn keine vorrangige Rechtsgrundlage besteht.

Rechtsgrundlage: GDPR Article 17

GDPR Art. 17

Einwilligungsbanner mit vorab angekreuzten Kästchen

Das Cookie-Einwilligungsbanner zeigt vorab angekreuzte Einwilligungskästchen für Analyse- oder Marketing-Cookies. Der EuGH hat im Urteil Planet49 entschieden, dass vorab angekreuzte Kästchen keine wirksame Einwilligung nach der DSGVO darstellen.

Rechtsgrundlage: GDPR Article 4(11); CJEU Planet49 (C-673/17)

GDPR Art. 4(11)CJEU C-673/17

API-Schlüssel im Frontend-Quellcode offengelegt

API-Schlüssel für Dienste wie Google Maps, Stripe oder SendGrid sind im clientseitigen JavaScript-Quellcode sichtbar. Offengelegte geheime Schlüssel können von Bots abgegriffen und für unbefugten API-Zugriff, Abrechnungsbetrug oder Datenabfluss genutzt werden.

Rechtsgrundlage: PCI-DSS v4.0 Req. 2.2.7; OWASP API Security Top 10

PCI DSS — PCI Security Standards Council

Fehlendes HTTPS auf Formular- oder Zahlungsseiten

Seiten mit Formularen, Anmeldefeldern oder Zahlungseingaben werden über unverschlüsseltes HTTP ausgeliefert. Alle auf diesen Seiten übermittelten Daten können unterwegs von jedem Netzwerk-Zwischenknoten abgefangen werden.

Rechtsgrundlage: PCI-DSS v4.0 Req. 4.2.1

PCI DSS — PCI Security Standards Council

Offene Verzeichnisauflistung

Serververzeichnisse wie /wp-content/uploads/ sind durchsuchbar und legen hochgeladene Dateien, interne Dokumente und möglicherweise sensible Daten offen. Die Verzeichnisauflistung muss auf allen über das Web erreichbaren Pfaden deaktiviert sein.

Rechtsgrundlage: PCI-DSS v4.0 Req. 2.2.7; CIS Apache Benchmark

PCI DSS — PCI Security Standards Council

Veraltetes CMS mit bekannten CVEs

Das Content-Management-System (WordPress, Magento, Drupal) läuft in einer veralteten Version mit öffentlich bekannten Sicherheitslücken. Ungepatchte CMS-Installationen sind der Hauptangriffsweg bei kompromittierten Websites.

Rechtsgrundlage: PCI-DSS v4.0 Req. 6.3.1; Req. 6.3.3

PCI DSS — PCI Security Standards Council

Formulare ohne CAPTCHA-Schutz

Kontaktformulare, Anmelde- und Registrierungsseiten haben kein CAPTCHA und keine Bot-Erkennung. Ungeschützte Formulare sind anfällig für Credential Stuffing, Spam-Einschleusung und automatisierten Missbrauch in großem Maßstab.

Rechtsgrundlage: PCI-DSS v4.0 Req. 6.2.4; OWASP Automated Threats

PCI DSS — PCI Security Standards Council

BIPA: Virtuelle Anprobe ohne biometrische Einwilligung

Eine Funktion zur virtuellen Anprobe oder Gesichtserfassung erhebt biometrische Merkmale, ohne die nach dem Illinois BIPA erforderliche informierte schriftliche Einwilligung einzuholen. Verstöße ziehen gesetzlichen Schadensersatz von 1.000–5.000 $ pro Scan nach sich.

Rechtsgrundlage: 740 ILCS 14/15 (Illinois BIPA)

740 ILCS 14/15

CA BOT Act: KI nutzt menschlichen Namen ohne Offenlegung

Ein KI-Chatbot oder automatisiertes Konto verwendet einen menschlichen Namen, Avatar oder eine Persona, ohne offenzulegen, dass es kein Mensch ist. Der kalifornische BOT Act (SB 1001) verlangt eine klare Offenlegung, wenn KI in Online-Interaktionen einen Menschen nachahmt.

Rechtsgrundlage: Cal. Bus. & Prof. Code § 17941 (SB 1001)

Cal. Bus. & Prof. Code § 17941

CA Auto-Renewal: Keine Erinnerung vor der Jahresabbuchung

Jahresabonnements verlängern sich, ohne vor der Abbuchung eine Erinnerungs-E-Mail zu senden. Das kalifornische Gesetz über automatische Verlängerungen verlangt vor jeder Verlängerung eine klare Erinnerung mit Kündigungshinweisen.

Rechtsgrundlage: Cal. Bus. & Prof. Code § 17601 (ARL)

Cal. Bus. & Prof. Code § 17601

SB 478: Versteckte Servicegebühren an der Kasse

Pflichtgebühren, Servicegebühren oder Zuschläge werden erst an der Kasse angezeigt, statt im beworbenen Preis enthalten zu sein. Das kalifornische SB 478 (Junk-Fee-Verbot) verbietet versteckte, nicht vorab offengelegte Gebühren.

Rechtsgrundlage: Cal. Civ. Code § 1770(a)(29) (SB 478)

Cal. Civ. Code § 1770

Stellenanzeigen ohne Gehaltsspanne

Stellenanzeigen enthalten keine Vergütungsspanne, wie sie die Gesetze zur Gehaltstransparenz in Kalifornien, New York, Colorado und Washington verlangen. Die Strafen reichen bis zu 10.000 $ pro nicht konformer Anzeige.

Rechtsgrundlage: Cal. Lab. Code § 432.3; NY Lab. Law § 194-b; CO SB 19-085

FinCEN BOI: Fehlende Meldung der wirtschaftlich Berechtigten

Die LLC oder Kapitalgesellschaft hat keine Meldung zu den wirtschaftlich Berechtigten (Beneficial Ownership Information) bei FinCEN eingereicht, wie es der Corporate Transparency Act verlangt. Bei Nichteinhaltung drohen Strafen von 500 $ pro Tag, bis zu 10.000 $, sowie mögliche strafrechtliche Haftung.

Rechtsgrundlage: 31 U.S.C. § 5336; 31 CFR § 1010.380 (CTA/BOI)

31 U.S.C. 533631 CFR 1010.380

Fehlende Lizenznummer des Bauunternehmers auf der Website

Die Website eines lizenzierten Bauunternehmers zeigt die bundesstaatliche Lizenznummer nicht an. Die meisten Bundesstaaten verlangen die Angabe der Lizenznummer in jeder Werbung und Geschäftskommunikation; die Strafen betragen 2.000–5.000 $.

Rechtsgrundlage: Cal. Bus. & Prof. Code § 7030.5; State Contractor License Acts

Cal. Bus. & Prof. Code § 7030.5

Fehlende Schiedsklausel in den Nutzungsbedingungen

Den Nutzungsbedingungen fehlen ein Verzicht auf Sammelklagen und eine verbindliche Schiedsklausel. Ohne diese Bestimmungen ist das Unternehmen bei jedem Verbraucherstreit Sammelklagen ausgesetzt.

Rechtsgrundlage: 9 U.S.C. § 2 (Federal Arbitration Act)

9 U.S.C. 2

Kreditkartenzuschlag ohne vorherigen Hinweis

An der Kasse wird ein Kreditkartenzuschlag oder eine Bearbeitungsgebühr ohne vorherigen Hinweis beim Betreten hinzugefügt. Mehrere Bundesstaaten verlangen eine vorherige Beschilderung/Offenlegung, und die Regeln der Kartennetzwerke begrenzen Zuschläge auf 3 % mit Offenlegungspflicht.

Rechtsgrundlage: Visa Core Rules § 5.6.2; State Surcharge Statutes

Lead-Generierung für Versicherungen ohne vorgeschriebene Offenlegungen

Die Website erzeugt Versicherungsangebote oder Leads ohne die von den Bundesstaaten verlangten Offenlegungen zur Art der Dienstleistung, zu Vergütungsvereinbarungen und zum Lizenzstatus. Mehrere Bundesstaaten verlangen spezifische Offenlegungen von Lead-Generatoren für Versicherungen.

Rechtsgrundlage: State Insurance Codes; NAIC Producer Licensing Model Act

Fehlender SPF-Eintrag

Die Domain hat keinen SPF-DNS-Eintrag (Sender Policy Framework) und ist dadurch anfällig für E-Mail-Spoofing. Angreifer können E-Mails versenden, die scheinbar von der Domain stammen, und so Phishing-Angriffe auf Kunden und Partner ermöglichen.

Rechtsgrundlage: RFC 7208; Google Sender Guidelines 2024

RFC 7208

Verwaiste Tracking-Skripte eingestellter Dienste

Die Website lädt JavaScript von Diensten, die eingestellt, übernommen oder aufgegeben wurden. Diese Zombie-Skripte verlängern die Ladezeit, können Funktionen beeinträchtigen und bergen ein Lieferketten-Sicherheitsrisiko, falls die Domain neu registriert wird.

Rechtsgrundlage: PCI-DSS v4.0 Req. 6.4.3; OWASP Supply Chain Security

PCI DSS — PCI Security Standards Council

Veraltete Copyright-Jahreszahl im Footer

Der Footer der Website zeigt eine veraltete Copyright-Jahreszahl und signalisiert Besuchern, Suchmaschinen und potenziellen Klägern, dass die Website verlassen oder ungepflegt sein könnte. Das untergräbt das Vertrauen und kann das Suchmaschinenranking verschlechtern.

Rechtsgrundlage: Google Search Quality Evaluator Guidelines § 4.5

Zu kleine Touch-Ziele auf Mobilgeräten

Interaktive Elemente (Schaltflächen, Links, Formularfelder) sind kleiner als 48×48 CSS-Pixel oder liegen zu dicht beieinander, was auf Mobilgeräten häufig zu Fehleingaben führt. Das ist sowohl ein UX-Problem als auch ein Verstoß gegen WCAG 2.5.5.

Rechtsgrundlage: WCAG 2.5.8; Google Mobile Usability Guidelines

WCAG 2.2 SC 2.5.8

Fehlendes oder abgelaufenes SSL-Zertifikat

Die Website hat kein gültiges SSL/TLS-Zertifikat oder das Zertifikat ist abgelaufen. Browser zeigen auffällige Sicherheitswarnungen, die Besucher vertreiben, und Suchmaschinen stufen Websites ohne HTTPS im Ranking herab.

Rechtsgrundlage: PCI-DSS v4.0 Req. 4.2.1; Google HTTPS Ranking Signal

PCI DSS — PCI Security Standards Council

Nicht konforme öffentliche Feedback-Verfahren

Der Feedback-Mechanismus der Website ist für Menschen mit Behinderungen nicht zugänglich und verstößt gegen die AODA-Standards für den Kundenservice von Organisationen mit Sitz in Ontario.

Rechtsgrundlage: AODA IASR Sec. 7

Fehlende vorgeschriebene Kontaktdaten des Datenschutzbeauftragten

Eine auf Kanada ausgerichtete Website veröffentlicht weder Namen noch Kontaktdaten des benannten Privacy Officers, der für die Einhaltung des PIPEDA verantwortlich ist.

Rechtsgrundlage: PIPEDA Schedule 1 Sec. 4.1

Kein benannter Datenschutzbeauftragter (DPO)

Eine auf Brasilien ausgerichtete Website nennt ihren DPO (Encarregado) nicht und gibt keine Kontaktdaten an, was gegen Artikel 41 LGPD verstößt.

Rechtsgrundlage: LGPD Art. 41

LGPD Art. 41

Direktmarketing ohne Opt-in-Einwilligung

Die Website setzt für elektronisches Direktmarketing vorab angekreuzte Einwilligungskästchen oder Opt-out-Formulare ein und verstößt damit gegen die Opt-in-Vorschriften des POPIA für südafrikanische Verbraucher.

Rechtsgrundlage: POPIA Sec. 69

POPIA Sec. 69

Nicht konforme Erklärung zur Offenlegung von Daten ins Ausland

Eine auf Australien ausgerichtete Website gibt in ihrer Datenschutzerklärung nicht an, ob sie personenbezogene Daten voraussichtlich an Empfänger im Ausland weitergibt und, falls ja, in welche Länder.

Rechtsgrundlage: APP 1.4(g)

APP 1.4(g)

Fehlende Angaben zu Auskunfts- und Berichtigungsanträgen

Eine singapurische Website gibt in ihren Datenschutzhinweisen nicht an, wie Nutzer Zugang zu ihren personenbezogenen Daten oder deren Berichtigung beantragen können.

Rechtsgrundlage: PDPA Sec. 21 & 22

Nicht gekennzeichnete Ausgaben generativer KI / Deepfakes

Die Website zeigt KI-generierte Texte, Audio- oder Videoinhalte (Deepfakes), ohne sie in maschinenlesbarer Form als KI-generiert zu kennzeichnen, und verstößt damit gegen die Transparenzregeln des EU AI Act.

Rechtsgrundlage: AI Act Art. 50(2)

AI Act Art. 50(2)

Irreführende UI-Muster (Dark Patterns) im Design

Die Website setzt Dark Patterns ein, die die Fähigkeit der Nutzer zu autonomen, informierten Entscheidungen verzerren oder beeinträchtigen (z. B. umständliche Abmeldeprozesse, irreführende Einwilligungs-Popups).

Rechtsgrundlage: DSA Art. 25

Digital Services Act Art. 25

Rechtswidrige Zusammenführung von Daten über Dienste hinweg

Plattformen in Gatekeeper-Größe führen personenbezogene Daten ihres zentralen Plattformdienstes ohne spezifische Einwilligung der Nutzer mit Daten aus anderen Diensten zusammen und verstoßen damit gegen den DMA.

Rechtsgrundlage: DMA Art. 5(2)

Digital Markets Act Art. 5(2)

Kein Verfahren für Widersprüche von Verbrauchern

Die Datenschutzerklärung erläutert nicht, wie Verbraucher Widerspruch gegen die Ablehnung eines Antrags auf Wahrnehmung ihrer Datenschutzrechte einlegen können, und verstößt damit gegen den Virginia VCDPA und den Texas TDPSA.

Rechtsgrundlage: Va. Code § 59.1-577 / Tex. Bus. & Com. Code § 541.053

Va. Code § 59.1-577Tex. Bus. & Com. Code § 541.053

Keine Multi-Faktor-Authentifizierung (MFA) für die Cybersicherheit

Die Website eines Finanzdienstleisters erzwingt keine Multi-Faktor-Authentifizierung für den Zugriff auf Unternehmens-E-Mails oder Datenbanken des Kundenportals und verstößt damit gegen die Anforderungen des NY DFS.

Rechtsgrundlage: 23 NYCRR Section 500.12

23 NYCRR Part 500 (DFS text)

Keine Datenschutz-Folgenabschätzung (PIA) für die Übermittlung

Die Website übermittelt personenbezogene Daten aus Québec heraus, ohne die vorgeschriebene Datenschutz-Folgenabschätzung durchzuführen, und verstößt damit gegen Law 25.

Rechtsgrundlage: Quebec Law 25 Sec. 17

Video-Tracking-Pixel wird ohne VPPA-Einwilligung ausgelöst

Die Website bettet Videoinhalte (HTML5-Video, YouTube- oder Vimeo-iframes) zusammen mit Meta Pixel, Google Analytics oder anderen Tracking-Pixeln ein, die Daten zum Videokonsum an Dritte übertragen, ohne eine gesonderte, ausdrückliche schriftliche Einwilligung einzuholen. Nach dem VPPA ist die wissentliche Offenlegung personenbezogener Daten eines Verbrauchers in Verbindung mit seinem Videokonsum ohne vorherige Einwilligung ein Verstoß.

Rechtsgrundlage: 18 U.S.C. § 2710 (VPPA)

18 U.S.C. 2710

Keine security.txt und keine Richtlinie zur Offenlegung von Schwachstellen (NIS2)

Der Website einer wesentlichen oder wichtigen Einrichtung (Energie, Gesundheit, Verkehr, digitale Infrastruktur) fehlen eine /.well-known/security.txt-Datei und jede öffentlich zugängliche Richtlinie zur Offenlegung von Schwachstellen. Die NIS2-Richtlinie verpflichtet erfasste Einrichtungen, Maßnahmen zur Bewältigung von Sicherheitsvorfällen und zum Schwachstellenmanagement umzusetzen.

Rechtsgrundlage: EU Directive 2022/2555 (NIS2), Art. 21(2)(b), (e)

NIS2 Art. 21(2)(b), (e)

Cookie-Wall blockiert den Zugang ohne gültige Ablehnungsoption

Die Website zeigt ein Cookie-Einwilligungsbanner, das jeglichen Zugang zu Inhalten blockiert, bis Cookies akzeptiert werden, ohne Option „Alle ablehnen“ oder gleichwertige kostenfreie Alternative. EDSA und EuGH haben entschieden, dass Cookie-Walls, die den Zugang zum Dienst von der Annahme nicht notwendiger Cookies abhängig machen, keine freiwillige Einwilligung nach der DSGVO darstellen.

Rechtsgrundlage: GDPR Art. 7(4); ePrivacy Directive Art. 5(3); EDPB Opinion 08/2024

GDPR Art. 7(4)ePrivacy Directive Art. 5(3)

Website beachtet das Global-Privacy-Control-Signal nicht (Oregon CPA)

Eine auf Oregon ausgerichtete Website erkennt das Browsersignal Global Privacy Control (GPC) nicht als gültigen Widerspruch gegen gezielte Werbung und den Verkauf personenbezogener Daten an oder beachtet es nicht. Der Oregon Consumer Privacy Act schreibt ab dem 1. Januar 2026 die Anerkennung universeller Opt-out-Präferenzsignale vor.

Rechtsgrundlage: ORS 646A.570–646A.589 (Oregon Consumer Privacy Act)

Cookie-Daten ohne Offenlegung nach dem japanischen APPI an Dritte weitergegeben

Eine auf Japan ausgerichtete Website übermittelt Cookie- bzw. Tracking-Daten an Werbe- oder Analyseanbieter, die sie zur Identifizierung von Personen zusammenführen können, ohne diese Übermittlungen offenzulegen oder die Einwilligung gegenüber Dritten zu bestätigen. Das japanische APPI und der Telecommunications Business Act verlangen für solche Übermittlungen Transparenz und eine Bestätigung der Einwilligung.

Rechtsgrundlage: Japan APPI (Act No. 57 of 2003, amended 2022), Art. 31; Telecom Business Act, Art. 27-12

Tracking-Pixel auf Bildungswebsites übertragen Schülerdaten

Die Website einer Bildungseinrichtung bettet Meta Pixel, Google Analytics oder ähnliche Tracking-Technologien auf Seiten für Lernende ein (Portale, Anmeldeformulare, Kursverzeichnisse), die potenziell identifizierbare Daten von Lernenden an Dritte übertragen. FERPA verbietet die unbefugte Offenlegung personenbezogener Daten aus Bildungsunterlagen.

Rechtsgrundlage: 20 U.S.C. § 1232g (FERPA); 34 CFR Part 99

20 U.S.C. 1232g34 CFR Part 99

Datenschutzhinweis nicht in den vorgeschriebenen Sprachen verfügbar (India DPDP Act)

Eine Website, die personenbezogene Daten von Nutzern in Indien erhebt, stellt keinen Datenschutzhinweis auf Englisch und in mindestens einer der 22 anerkannten indischen Sprachen bereit, wie es der Digital Personal Data Protection Act 2023 verlangt. Der Hinweis muss die erhobenen Daten, die Zwecke und die Nutzerrechte einzeln aufführen.

Rechtsgrundlage: India DPDP Act 2023 (Act No. 22 of 2023), Sections 5–6

Kein klarer Opt-out-Mechanismus für Verbraucher in Delaware (DPDPA)

Einer auf Delaware ausgerichteten Website fehlt ein klarer, gut sichtbarer Opt-out-Link für gezielte Werbung und den Verkauf personenbezogener Daten, oder sie erkennt universelle Opt-out-Signale (GPC) nicht. Der Delaware Personal Data Privacy Act (in Kraft seit dem 1. Januar 2025) verlangt beide Mechanismen.

Rechtsgrundlage: Delaware DPDPA (HB 154, Chapter 12C, Title 6)

SEC-meldepflichtigem Unternehmen fehlt die Offenlegung zur Cybersicherheits-Governance

Die Website eines bei der SEC meldepflichtigen börsennotierten Unternehmens enthält keine Angaben zum Cybersicherheits-Risikomanagement (Aufsicht durch das Board, Fachkompetenz des Managements, Risikobewertungsprozesse), wie sie in 10-K-Berichten vorgeschrieben sind, und verlinkt auch nicht darauf. Unternehmenswebsites müssen für die Investor-Relations-Compliance auf diese Angaben verweisen oder verlinken.

Rechtsgrundlage: SEC Final Rule 33-11216 (2023); Regulation S-K, Item 106

Grenzüberschreitende Datenübermittlung ohne Einhaltung von IPP 12 des neuseeländischen Privacy Act

Die Website erhebt personenbezogene Daten von Nutzern in Neuseeland und übermittelt sie ins Ausland (erkennbar an Tracking-Skripten mit Sitz in den USA/der EU), ohne in der Datenschutzerklärung offenzulegen, dass Daten ins Ausland übermittelt werden können und welche Garantien gemäß Information Privacy Principle 12 bestehen.

Rechtsgrundlage: New Zealand Privacy Act 2020, IPP 12

NZ Privacy Act 2020, IPP 12

Sehr große Online-Plattform nicht auf die Akzeptanz der EUDI-Wallet vorbereitet

Eine sehr große Online-Plattform (VLOP), die eine starke Kundenauthentifizierung für Anmeldung, Altersprüfung oder KYC verlangt, unterstützt die EU-Brieftasche für die Digitale Identität nicht und zeigt keine Bereitschaft dazu. eIDAS 2.0 verpflichtet VLOPs, die EUDI-Wallet bis Dezember 2027 zu akzeptieren.

Rechtsgrundlage: Regulation (EU) 2024/1183 (eIDAS 2.0), Art. 12b

Geofencing in der Nähe von Gesundheitseinrichtungen zur Datenerhebung (CT SB 3)

Die Website oder eine zugehörige mobile App nutzt Geofencing im Umkreis von 1.750 Fuß um eine Einrichtung für psychische, reproduktive oder sexuelle Gesundheit, um Verbraucher zur Erhebung von Gesundheitsdaten zu identifizieren, zu verfolgen oder ihnen Push-Benachrichtigungen zu senden. Connecticut SB 3 verbietet diese Praxis ausdrücklich.

Rechtsgrundlage: CT Public Act 23-56 (SB 3), § 4(d)

Cookie-Einwilligungsbanner mit asymmetrischem Annehmen/Ablehnen-Design

Das Cookie-Einwilligungsbanner der Website hebt den Button „Alle akzeptieren“ optisch hervor (größer, farbig, weiter oben), während die Option „Alle ablehnen“ oder „Einstellungen verwalten“ versteckt, kleiner ist oder zusätzliche Klicks erfordert. Europäische Datenschutzbehörden (CNIL, AEPD, belgische DSB) haben entschieden, dass asymmetrische Cookie-Banner Dark Patterns sind, die eine freiwillige Einwilligung untergraben.

Rechtsgrundlage: GDPR Art. 7(4), Art. 4(11); ePrivacy Art. 5(3); CNIL Deliberation 2023-010

GDPR Art. 7(4)GDPR Art. 4(11)ePrivacy Directive Art. 5(3)

Fehlende maschinenlesbare Metadaten/Wasserzeichen in KI-generierten Inhalten (EU AI Act)

Anbieter von KI-Systemen, die Bild-, Audio- oder Videoinhalte erzeugen oder manipulieren (synthetische Inhalte/Deepfakes), müssen sicherstellen, dass die Ausgaben in maschinenlesbarer Form gekennzeichnet und als künstlich erzeugt oder manipuliert erkennbar sind.

Rechtsgrundlage: Regulation (EU) 2024/1689 (EU AI Act), Art. 50(2)

AI Act Art. 50(2)

Global-Privacy-Control-Opt-out-Signal (GPC) wird nicht erkannt (Colorado CPA)

Eine auf Colorado ausgerichtete Website erkennt und verarbeitet das universelle Opt-out-Signal Global Privacy Control (GPC) nicht, um Nutzer automatisch von der Verarbeitung ihrer personenbezogenen Daten für gezielte Werbung oder den Verkauf auszunehmen, was seit dem 1. Juli 2024 verpflichtend ist.

Rechtsgrundlage: 4 CCR 904-3 (Colorado Privacy Act Rules), Rule 5.05 & 5.06

Fehlende gesonderte Einwilligung für die Verarbeitung sensibler personenbezogener Daten (China PIPL)

Eine auf chinesische Einwohner ausgerichtete Website erhebt sensible personenbezogene Daten (etwa Finanzkonten, Krankenakten, biometrische Daten oder genaue Standorte), ohne für jede Kategorie sensibler Daten eine gesonderte, spezifische Einwilligung einzuholen, und verstößt damit gegen Artikel 29 PIPL.

Rechtsgrundlage: China Personal Information Protection Law (PIPL), Article 29 & 66

Gebündelte Einwilligung in Datenübermittlungen an Dritte (Südkorea PIPA)

Die Website erhebt personenbezogene Daten südkoreanischer Einwohner und gibt sie an Dritte weiter (etwa Marketingnetzwerke, CRM-Tools oder Analysedienste), bündelt die Zustimmung zur Übermittlung an Dritte aber mit der allgemeinen Datenschutzerklärung oder den Nutzungsbedingungen und verstößt damit gegen Artikel 17 des südkoreanischen PIPA.

Rechtsgrundlage: Personal Information Protection Act of South Korea (PIPA), Article 15, 17 & 75

Fehlender Hinweis auf Emotionserkennung / biometrische Kategorisierung (EU AI Act)

Anbieter oder Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen die davon betroffenen natürlichen Personen über den Betrieb des Systems informieren; andernfalls liegt ein Verstoß gegen die Transparenzpflichten nach Artikel 50 Abs. 3 EU AI Act vor.

Rechtsgrundlage: Regulation (EU) 2024/1689 (EU AI Act), Art. 50(3)

AI Act Art. 50(3)

Fehlende Richtlinie zur Aufbewahrung und Vernichtung biometrischer Daten (BIPA)

Eine Website, die biometrische Daten erhebt oder nutzt (virtuelle Anprobe, Authentifizierung), veröffentlicht keinen öffentlich zugänglichen Aufbewahrungsplan und keine Vernichtungsrichtlinien, wie es der Illinois BIPA vorschreibt.

Rechtsgrundlage: 740 ILCS 14/15(a)

Geofencing um Gesundheitseinrichtungen zur Datenerhebung (VCDPA)

Die Website oder App nutzt Geofencing im Umkreis von 1.750 Fuß um eine Gesundheitseinrichtung, um Verbraucher zur Erhebung von Gesundheitsdaten zu verfolgen, zu identifizieren oder gezielt anzusprechen, was nach dem geänderten VCDPA von Virginia verboten ist.

Rechtsgrundlage: Va. Code § 59.1-574 (VCDPA)

Fehlende Überprüfung der elterlichen Einwilligung für Kinder unter 13 (Montana MCDPA)

Eine auf Montana ausgerichtete Website erhebt personenbezogene Daten von Kindern unter 13 Jahren, ohne gemäß dem Montana Consumer Data Privacy Act eine überprüfbare Einwilligung der Eltern einzuholen.

Rechtsgrundlage: Mont. Code Ann. § 30-14

Fehlende Datenschutzhinweise für Kinderdaten (New Jersey Privacy Act)

Eine auf New Jersey ausgerichtete Website erhebt Daten von Minderjährigen (unter 18), ohne den vorgeschriebenen erweiterten Datenschutzhinweis mit den konkreten Verarbeitungs- und Weitergaberichtlinien bereitzustellen.

Rechtsgrundlage: N.J. Stat. Ann. 56:8-1

Fehlender Opt-out-Link für Direktmarketing (New Hampshire Privacy Act)

Eine auf New Hampshire ausgerichtete Website bietet auf ihrer Startseite keinen leicht zugänglichen Opt-out-Link für gezielte Werbung oder den Verkauf personenbezogener Daten und verstößt damit gegen den New Hampshire Privacy Act.

Rechtsgrundlage: N.H. Rev. Stat. § 507-H

Datenschutzinformationen ohne mehrschichtige Struktur (DSGVO)

Die Website zeigt eine einzige, dichte, nicht navigierbare Textwüste als Datenschutzerklärung, ohne ein mehrschichtiges, in Registerkarten gegliedertes oder aufklappbares Design zu nutzen, das Transparenz und Lesbarkeit sicherstellt.

Rechtsgrundlage: GDPR Article 12(1)

GDPR Art. 12(1)

Fehlende zentrale Kontaktstelle für Behörden (EU DSA)

Eine auf EU-Nutzer ausgerichtete digitale Plattform veröffentlicht keine eigene, leicht zugängliche E-Mail-Adresse und keinen Kommunikationskanal für die direkte Kontaktaufnahme durch EU-Behörden und verstößt damit gegen Artikel 11 DSA.

Rechtsgrundlage: Regulation (EU) 2022/2065 (DSA), Art. 11

Digital Services Act Art. 11

Smart-Contract-Zugang ohne Abschaltmöglichkeit (EU Data Act)

Web-Panels zur Verwaltung von Smart Contracts oder IoT-Systemen bieten keine Mechanismen zur sicheren, autorisierten Abschaltung und Beendigung von Smart Contracts und verstoßen damit gegen Artikel 30 des EU Data Act.

Rechtsgrundlage: Regulation (EU) 2023/2854 (Data Act), Art. 30

Ausführung von Cookies und Trackern vor der Einwilligung (ePrivacy)

Die Website führt nicht notwendige Analyse- oder Werbe-Tracking-Skripte (z. B. Google Analytics, Meta Pixel) aus, bevor der Nutzer mit dem Cookie-Einwilligungsbanner interagiert, und verstößt damit gegen die ePrivacy-Richtlinie.

Rechtsgrundlage: Directive 2002/58/EC (ePrivacy), Art. 5(3)

ePrivacy Directive Art. 5(3)

Fehlende Speicherfristen in den Datenschutzhinweisen (DSGVO)

Die Datenschutzerklärung nennt keine konkreten Speicherfristen oder Kriterien zur Festlegung der Speicherdauer für einzelne Kategorien personenbezogener Daten und verstößt damit gegen die Transparenzgrundsätze der DSGVO.

Rechtsgrundlage: GDPR Article 13(2)(a)

GDPR Art. 13(2)(a)

Fehlender Mechanismus zum Widerruf der Einwilligung (Singapur PDPA)

Eine Website, die Daten von Einwohnern Singapurs erhebt, bietet kein leicht zugängliches Online-Tool oder Formular, mit dem Nutzer ihre Einwilligung in Marketing oder Datenverarbeitung widerrufen können, und verstößt damit gegen den singapurischen PDPA.

Rechtsgrundlage: Singapore PDPA 2012, Sec. 16

Fehlender Hinweis auf das Recht zur Benennung eines Vertreters (India DPDP Act)

Eine auf indische Einwohner ausgerichtete Website informiert Nutzer in ihrer Datenschutzerklärung nicht über ihr Recht, eine andere Person zu benennen, die im Todesfall oder bei Handlungsunfähigkeit in ihrem Namen handelt, und verstößt damit gegen Section 14 DPDP Act.

Rechtsgrundlage: India DPDP Act 2023, Section 14

India DPDP Act 2023, Sec. 14

Fehlende Offenlegung zum Umgang mit anonymisierten Daten (Japan APPI)

Eine Website, die anonymisierte Daten japanischer Einwohner nutzt, veröffentlicht nicht, welche personenbezogenen Angaben in den anonymisierten Daten enthalten sind und welche Sicherheitsmaßnahmen getroffen wurden, und verstößt damit gegen Artikel 36 APPI.

Rechtsgrundlage: Japan APPI, Article 36

Fehlende Kontaktdaten des DPO in Einwilligungsabläufen (Thailand PDPA)

Die Website erhebt personenbezogene Daten thailändischer Einwohner, gibt aber in ihren Einwilligungsbannern oder Richtlinien keine Kontaktdaten des Datenschutzbeauftragten oder Vertreters an und verstößt damit gegen Section 42 des thailändischen PDPA.

Rechtsgrundlage: Thailand PDPA B.E. 2562, Section 42

Gebündelte Einwilligung für Profiling und automatisierte Entscheidungen (Philippines DPA)

Die Website erhebt Daten philippinischer Einwohner und führt automatisiertes Profiling oder automatisierte Entscheidungen durch, ohne eine gesonderte, ausdrückliche Einwilligung einzuholen, und verstößt damit gegen den Philippines Data Privacy Act.

Rechtsgrundlage: Philippines Data Privacy Act of 2012, Sec. 12

Fehlende vorherige Genehmigung für die Verarbeitung von Kreditdaten (Südafrika POPIA)

Die Website eines Finanz- oder Bonitätsprüfungsdienstes für südafrikanische Einwohner verarbeitet Kreditauskünfte oder -historien von Verbrauchern ohne vorherige Registrierung oder Genehmigung und verstößt damit gegen Section 57 POPIA.

Rechtsgrundlage: South Africa POPIA 2013, Section 57

Fehlende Angabe zum Registrierungsstatus der Datenbank (Israel Privacy Act)

Eine Website, die personenbezogene Daten israelischer Einwohner erhebt, gibt nicht an, ob die Datenbank beim Database Registrar registriert ist, welche Registrierungsnummer sie hat und zu welchen Zwecken Daten erhoben werden, und verstößt damit gegen den israelischen Privacy Act.

Rechtsgrundlage: Israel Privacy Protection Act 1981, Sec. 8

Fehlende Offenlegung grenzüberschreitender Datenübermittlungen (Nigeria NDPA)

Eine Website, die Daten nigerianischer Einwohner erhebt, übermittelt sie an ausländische Server (z. B. Analysedienste in den USA/der EU), ohne die Zielländer offenzulegen und die Angemessenheit zu prüfen, und verstößt damit gegen den Nigeria Data Protection Act.

Rechtsgrundlage: Nigeria Data Protection Act 2023, Sec. 42

Fehlende Lizenz für elektronische Marketingnachrichten (Ägypten DPA)

Eine auf Ägypten ausgerichtete Website versendet Werbe-E-Mails oder -Nachrichten, ohne die erforderliche Lizenz für elektronisches Marketing beim Data Protection Center einzuholen, und verstößt damit gegen das ägyptische Gesetz 151.

Rechtsgrundlage: Egypt Law No. 151 of 2020, Art. 13

Unzureichende Offenlegung der Sicherheitsstandards (Brasilien LGPD)

Eine Website, die personenbezogene Daten erhebt, legt die konkreten administrativen und technischen Sicherheitsmaßnahmen zum Schutz der Nutzerdaten nicht offen und verstößt damit gegen die Transparenzpflichten nach Artikel 46 LGPD.

Rechtsgrundlage: Brazil LGPD, Art. 46

LGPD Art. 46

Fehlender Link zur Bereitstellung des Datenschutzhinweises (GLBA)

Die Website eines Finanzdienstleisters bietet nicht auf allen Seiten der Kontoverwaltung oder Kundeneröffnung einen klaren, sichtbaren Link zu ihrem jährlichen Datenschutzhinweis nach dem Gramm-Leach-Bliley Act und verstößt damit gegen die GLBA-Vorschriften der FTC.

Rechtsgrundlage: 16 CFR Part 313 (GLBA Privacy Rule)

16 CFR 313.1 (Part 313)

Fehlender Nachweis der elektronischen Archivierung (SEC Rule 17a-4)

Ein Broker-Dealer oder Finanzanlageportal legt seine Systeme zur elektronischen Archivierung (WORM-Speicher-Konformität) nicht offen und verlinkt nicht darauf, was gegen die Aufbewahrungsvorschriften der SEC verstößt.

Rechtsgrundlage: 17 CFR § 240.17a-4

17 CFR 240.17a-4

Fehlende Angaben zur Verhinderung von Identitätsdiebstahl (FTC Red Flags)

Das Portal eines Kreditgebers oder Finanzversorgers zeigt sein Programm zur Verhinderung von Identitätsdiebstahl (ITPP) nicht an, verlinkt nicht darauf oder zeigt bei der Kontoeröffnung keine aktiven Schritte zur Identitätsprüfung und verstößt damit gegen die FTC Red Flags Rule.

Rechtsgrundlage: 16 CFR § 681.1

16 CFR 681.1

Nicht überwachte Drittanbieter-Skripte auf der Checkout-Seite (PCI-DSS v4.0)

Die Checkout-Seite führt Skripte von Drittanbietern aus (z. B. Live-Chats, Analysen), ohne Kontrollen der Skriptintegrität, CSP-Beschränkungen oder ausdrückliche Ladeautorisierung, und verstößt damit gegen PCI-DSS Anforderung 6.4.3.

Rechtsgrundlage: PCI-DSS v4.0 Req 6.4.3

PCI DSS — PCI Security Standards Council

Nicht hervorgehobene Angabe des effektiven Jahreszinses in Kreditwerbung (TILA)

Eine Website, die Kredit- oder Darlehensangebote bewirbt, nennt Finanzierungssätze oder Aktionsgebühren, ohne den effektiven Jahreszins (APR) gut sichtbar neben dem Satz anzugeben, und verstößt damit gegen Regulation Z des Truth in Lending Act.

Rechtsgrundlage: 12 CFR Part 1026 (Regulation Z)

12 CFR 1026.1 (Part 1026)

Vorgetäuschte Dringlichkeit & gefälschte Countdown-Timer (FTC Section 5)

Die Website zeigt Countdown-Timer oder dynamische Texte, die geringe Lagerbestände, hohe Nachfrage oder begrenzte Angebote behaupten, aber künstlich sind und keine echten Transaktionsdaten widerspiegeln, und täuscht so Verbraucher.

Rechtsgrundlage: 15 U.S.C. § 45 (FTC Act Section 5)

15 U.S.C. 45

Fehlende Angaben zu Smart-Contract-Audits in der dApp (SEC Framework)

Eine dezentrale Web3-Anwendung, die Token oder NFTs ausgibt, veröffentlicht keine externen Sicherheitsaudit-Zertifikate für ihre Smart Contracts und verlinkt nicht darauf, was gegen die Transparenzleitlinien der SEC verstößt.

Rechtsgrundlage: SEC Framework for Investment Contracts

Fehlende algorithmische Transparenz von Empfehlungssystemen (EU DSA)

Eine Website mit algorithmischen Empfehlungssystemen (z. B. personalisierter Feed, Produktvorschläge) erläutert in ihren Nutzungsbedingungen nicht die wichtigsten Parameter der Algorithmen und verstößt damit gegen den DSA.

Rechtsgrundlage: Regulation (EU) 2022/2065 (DSA), Art. 27

Digital Services Act Art. 27

Bedingungen zur automatischen Verlängerung ohne verständliche Zusammenfassung (UK CRA)

Eine Website mit wiederkehrenden Abonnementzahlungen stellt keine gut sichtbare, verständliche Zusammenfassung der Abrechnungsbedingungen, Preisänderungen und Verlängerungstermine bereit und verstößt damit gegen den UK Consumer Rights Act.

Rechtsgrundlage: UK Consumer Rights Act 2015, Sec. 68

UK Consumer Rights Act 2015 s. 68

Umgehung der Einwilligung für Analyse-Cookies (Deutschland TDDDG)

Eine auf Deutschland ausgerichtete Website löst Analyse-, Heatmap- oder Performance-Cookies aus, bevor eine ausdrückliche Einwilligung vorliegt, und verstößt damit gegen § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG).

Rechtsgrundlage: Germany TDDDG Section 25

TDDDG § 25

Fehlende Altersprüfung für soziale Plattformen (Utah SMRA)

Eine Social-Media-Plattform prüft das Alter von Einwohnern Utahs bei der Kontoerstellung nicht oder holt für Minderjährige keine überprüfbare Einwilligung der Eltern ein und verstößt damit gegen den Utah Social Media Regulation Act.

Rechtsgrundlage: Utah Code § 13-63-102 (SMRA)

Geofencing um Einrichtungen für psychische Gesundheit (Connecticut SB 3)

Die Website oder App nutzt Geofencing im Umkreis von 1.750 Fuß um eine Einrichtung für psychische, reproduktive oder sexuelle Gesundheit, um gesundheitsbezogene Daten zu erheben, und verstößt damit gegen Connecticut SB 3.

Rechtsgrundlage: CT Public Act 23-56 (SB 3)

Profiling für Konten Minderjähriger standardmäßig aktiviert (CA AADC)

Bei einer Website, die voraussichtlich von Kindern genutzt wird, sind Profiling, personalisierte Werbung oder algorithmische Feeds für Konten Minderjähriger standardmäßig aktiviert, was gegen den kalifornischen Age-Appropriate Design Code Act verstößt.

Rechtsgrundlage: Cal. Civ. Code § 1798.99.31 (AADC)

Cal. Civ. Code § 1798.99.31

Fehlende Einwilligung der Eltern für personenbezogene Daten von Kindern (Colorado CPA)

Die Website erhebt oder verarbeitet personenbezogene Daten von Verbrauchern, von denen bekannt ist, dass sie unter 13 Jahre alt sind, ohne vorher eine überprüfbare Einwilligung der Eltern einzuholen, und verstößt damit gegen die Colorado Privacy Act Rules.

Rechtsgrundlage: 4 CCR 904-3 Rule 6.09

Fehlendes Widerspruchsverfahren in der Datenschutzerklärung (Tennessee TIPA)

Der Datenschutzhinweis einer auf Tennessee ausgerichteten Website beschreibt nicht klar, wie gegen die Ablehnung eines Antrags auf Wahrnehmung von Datenschutzrechten Widerspruch eingelegt werden kann, und verstößt damit gegen den Tennessee Information Protection Act.

Rechtsgrundlage: Tenn. Code Ann. § 47-18-32

Fehlende gültige Absenderidentität und Postanschrift (CAN-SPAM)

Marketing-E-Mails der Website enthalten keine gültige postalische Anschrift des Absenders oder verwenden irreführende Kopfzeilen, was gegen die bundesrechtlichen CAN-SPAM-Anforderungen verstößt.

Rechtsgrundlage: 16 CFR § 316.4

16 CFR 316.4

Hürden bei der Tastaturnavigation im Warenkorb (EAA)

Die Checkout-Seite oder das Warenkorb-Widget enthält Tastaturfallen oder lässt sich nicht allein mit der Tastatur bedienen, was gegen die Anforderungen des European Accessibility Act an den elektronischen Handel verstößt.

Rechtsgrundlage: EN 301 549 Clause 9.2.1 (EAA)

European Accessibility Act

Nicht barrierefreie Dokument-Downloads (Ontario AODA)

Die Website bietet öffentliche Dokumente zum Download an (PDFs, Bedienungsanleitungen), die nicht WCAG 2.0 Stufe AA hinsichtlich Tagging und Barrierefreiheit entsprechen, und verstößt damit gegen Section 14 der Ontario AODA.

Rechtsgrundlage: AODA Section 14

Nicht barrierefreie Mediaplayer (ADA Title III)

Web-Mediaplayer haben keine zugänglichen Beschriftungen der Bedienelemente oder keine Tastatursteuerung und sperren so Screenreader- und Tastaturnutzer aus, was gegen die Anforderungen von ADA Title III verstößt.

Rechtsgrundlage: WCAG 2.1 SC 2.1.1 & 4.1.2

WCAG 2.1 SC 2.1.1WCAG 2.1 SC 4.1.2

Gefälschte KI-Testimonials und -Bewertungen (FTC Consumer Review Rule)

Die Website zeigt KI-generierte oder synthetische Kundenbewertungen oder Testimonials, ohne klar und gut sichtbar offenzulegen, dass es sich nicht um echte Verbraucherbewertungen handelt, und verstößt damit gegen die FTC-Regel gegen unlautere und irreführende Bewertungen.

Rechtsgrundlage: 16 CFR Part 465

16 CFR Part 465

Unsichere Übertragung von Patientenakten per SMS/E-Mail (HIPAA)

Telemedizin- oder medizinische Aufnahmeformulare versenden unverschlüsselte Gesundheitszusammenfassungen von Patienten über gewöhnliche E-Mail- oder SMS-Netze und verstoßen damit gegen die Standards der HIPAA Security Rule.

Rechtsgrundlage: 45 CFR § 164.312(e)

45 CFR 164.312

Unsichere Ausführung von Zahlungsskripten auf Checkout-Seiten (PCI-DSS v4.0)

Der Checkout führt extern geladene Skripte aus, ohne deren Integrität zu prüfen oder den Zugriff über Content Security Policies (CSP) zu beschränken, und verstößt damit gegen die PCI-DSS-Anforderungen.

Rechtsgrundlage: PCI-DSS v4.0 Req 6.4.3

PCI DSS — PCI Security Standards Council

Fehlende Sitzungs-Timeouts bei der Anmeldung im Webportal (NIST SP 800-53)

Das Kundenportal oder Systempanel beendet inaktive angemeldete Sitzungen nicht automatisch nach einer angemessenen Zeit und verstößt damit gegen die NIST-Sicherheitskontrollen.

Rechtsgrundlage: NIST SP 800-53 Rev 5 (IA-11)

Nicht offengelegte Softwareplattformen am Ende ihres Lebenszyklus (Cyberversicherung)

Eine SaaS-Website oder das zugrunde liegende Framework nutzt nicht mehr unterstützte Plattformen am Ende ihres Lebenszyklus, ohne die Risiken gegenüber Cyberversicherern offenzulegen, und verstößt damit gegen die Bedingungen der Cyberversicherung.

Rechtsgrundlage: Cyber Insurance Risk Standards

Fehlende Sitzungsbegrenzung im Kundenportal (FTC Safeguards)

Ein Fintech-Portal konfiguriert und erzwingt keine strengen maximalen Sitzungsdauern für den Zugriff auf das Kunden-Dashboard und verstößt damit gegen die FTC Safeguards Rule.

Rechtsgrundlage: 16 CFR § 314.4(c)(5)

16 CFR 314.4

Verbotener Verkauf sensibler personenbezogener Daten (Maryland MODPA)

Die Website erhebt und verkauft sensible personenbezogene Daten (z. B. genauen Standort, Gesundheit, ethnische Herkunft) von Verbrauchern in Maryland, was nach dem Maryland Online Data Privacy Act streng verboten ist.

Rechtsgrundlage: Maryland MODPA (SB 541), Sec. 14-46

Verkäufe an Dritte im Datenschutzhinweis nicht offengelegt (Rhode Island RIDTPPA)

Eine auf Rhode Island ausgerichtete Website führt in ihrem Datenschutzhinweis nicht ausdrücklich alle Dritten auf, an die personenbezogene Daten verkauft oder weitergegeben werden, und verstößt damit gegen den RIDTPPA.

Rechtsgrundlage: Rhode Island RIDTPPA (SB 2502), Sec. 6

Rechtswidrige Weitergabe von Gesundheitsmetriken an Tracker (FTC Health Breach Rule)

Die Website erhebt Anfragen zu Gesundheit, Symptomen oder Wellness und gibt sie ohne ausdrückliche Genehmigung an Werbetracker von Drittanbietern weiter, was Verstöße gegen die FTC Health Breach Notification Rule auslöst.

Rechtsgrundlage: 16 CFR Part 318 (HBNR Rule)

16 CFR Part 318

Fehlende schriftliche Freigabe für die biometrische Erfassung (Illinois BIPA)

Die Website erhebt biometrische Merkmale (z. B. Gesichts- oder Stimmabdrücke), ohne vor der Erhebung eine unterzeichnete schriftliche Freigabe des Nutzers einzuholen, und verstößt damit gegen BIPA Section 15(b).

Rechtsgrundlage: 740 ILCS 14/15(b)

Unzureichende Zielgröße interaktiver Elemente (WCAG 2.2)

Interaktive Zielelemente (Schaltflächen, Links, Formulareingaben) sind kleiner als 24×24 CSS-Pixel und haben keinen ausreichenden Abstand, was gegen die Richtlinien von WCAG 2.2 Stufe AA für Touch- und Zeigereingaben verstößt.

Rechtsgrundlage: WCAG 2.2 SC 2.5.8

WCAG 2.2 SC 2.5.8

Kein eingerichtetes und dokumentiertes System zur Beobachtung nach dem Inverkehrbringen für Hochrisiko-KI (EU AI Act)

Ein Anbieter eines Hochrisiko-KI-Systems richtet kein System zur Beobachtung nach dem Inverkehrbringen ein, das der Art der KI-Technologien und den Risiken des Systems angemessen ist, und dokumentiert es nicht, oder er führt keinen aktiv dokumentierten Plan zur Beobachtung nach dem Inverkehrbringen als Teil der technischen Dokumentation nach Art. 72 EU AI Act.

Rechtsgrundlage: Regulation (EU) 2024/1689 (EU AI Act), Art. 72

AI Act Art. 72

Fehlende Altersprüfung zum Schutz Minderjähriger (EU DSA)

Eine für Minderjährige zugängliche Online-Plattform setzt keine geeigneten und verhältnismäßigen Maßnahmen zur Altersprüfung ein, um die Sicherheit von Kindern im Netz zu gewährleisten, und verstößt damit gegen Artikel 28 DSA.

Rechtsgrundlage: Regulation (EU) 2022/2065 (DSA), Art. 28

Digital Services Act Art. 28

Fehlender Weg zur Ausübung des Rechts auf Einschränkung der Verarbeitung (DSGVO)

Die Website bietet Nutzern keinen direkten Online-Mechanismus (Formular, Schalter oder E-Mail-Weg), um ihr Recht auf Einschränkung der Verarbeitung personenbezogener Daten nach Artikel 18 DSGVO auszuüben.

Rechtsgrundlage: GDPR Article 18

GDPR Art. 18

Fehlende Zusammenfassung des Verzeichnisses von Verarbeitungstätigkeiten (DSGVO)

Der Datenschutzhinweis der Website gibt nicht an, dass das Unternehmen ein Verzeichnis von Verarbeitungstätigkeiten (ROPA) führt, und stellt den Nutzern keine Zusammenfassung bereit, was gegen Artikel 30 DSGVO verstößt.

Rechtsgrundlage: GDPR Article 30

GDPR Art. 30

Fehlende Angaben zur Datenschutz-Folgenabschätzung (DSFA) (DSGVO)

Der Datenschutzhinweis einer Website mit Hochrisikoverarbeitung (z. B. Überwachung öffentlicher Bereiche oder umfassendes Tracking) gibt nicht an, dass eine DSFA durchgeführt und bei der Datenschutzbehörde dokumentiert wurde.

Rechtsgrundlage: GDPR Article 35

GDPR Art. 35

Gebündelte Einwilligung für Werbenachrichten (Kolumbien Gesetz 1581)

Die Website erhebt Daten kolumbianischer Einwohner und bündelt die Einwilligung in Marketingkommunikation mit der allgemeinen Registrierungsvereinbarung, was gegen das Habeas-Data-Gesetz 1581 verstößt.

Rechtsgrundlage: Colombia Law 1581 of 2012, Art. 12

Fehlende Angaben zu grenzüberschreitenden Übermittlungen (Schweiz DSG)

Die Website erhebt Daten von Einwohnern der Schweiz und übermittelt sie international (z. B. über externe Tracking-APIs), ohne in ihrer Datenschutzerklärung die Länder und Sicherheitsgarantien offenzulegen.

Rechtsgrundlage: Switzerland FADP, Art. 16

Unbefugte grenzüberschreitende Übermittlung ohne angemessene Garantien (Türkei KVKK)

Die Website übermittelt personenbezogene Daten türkischer Einwohner an Server außerhalb der Türkei, ohne eine ausdrückliche Einwilligung einzuholen oder konforme Standardvertragsklauseln nachzuweisen, und verstößt damit gegen das KVKK.

Rechtsgrundlage: Turkey Law 6698 (KVKK), Art. 9

KVKK Art. 9

Kein System zur Nachverfolgung von Auskunfts- und Berichtigungsanträgen (Singapur PDPA)

Die Website bietet Einwohnern Singapurs keine eigene E-Mail-Adresse und kein automatisiertes Portal, um eine Bestätigung über die im vergangenen Jahr verarbeiteten Daten anzufordern, und verstößt damit gegen den singapurischen PDPA.

Rechtsgrundlage: Singapore PDPA 2012, Sec. 21

Unzureichender Hinweis auf das Widerspruchsrecht gegen die Verarbeitung (Philippines DPA)

Der Datenschutzhinweis einer auf die Philippinen ausgerichteten Website nennt nicht ausdrücklich das Recht des Nutzers, der Verarbeitung seiner personenbezogenen Daten zu widersprechen, auch zu Marketingzwecken.

Rechtsgrundlage: Philippines Data Privacy Act 2012, Sec. 16

Vorab angekreuzte optionale Zusatzartikel an der Kasse (FTC)

Der Checkout eines Onlineshops kreuzt optionale Leistungen, Garantien oder Zusatzprodukte standardmäßig an und nutzt die Trägheit der Verbraucher, um die Transaktionskosten zu erhöhen.

Rechtsgrundlage: 15 U.S.C. § 45 (FTC Act Section 5)

15 U.S.C. 45

Abmeldung nur gegen Gebühr oder mit Anmeldung (CAN-SPAM)

Die Abmeldelinks für Marketing auf der Website zwingen Nutzer, sich anzumelden, umfangreiche Umfragen auszufüllen oder Bearbeitungsgebühren zu zahlen, um E-Mails abzubestellen, was gegen die CAN-SPAM-Vorschriften verstößt.

Rechtsgrundlage: 16 CFR § 316.5

16 CFR 316.5

Fehlender Kanal für Rückmeldungen zur Barrierefreiheit (Ontario AODA)

Die Website bietet keinen zugänglichen Online-Weg und kein Formular, das speziell für Rückmeldungen von Menschen mit Behinderungen zu Barrierefreiheitsproblemen vorgesehen ist, und verstößt damit gegen die AODA.

Rechtsgrundlage: AODA Section 12

Zeitlimits in Formularen lassen sich nicht anpassen oder verlängern (ADA Title III)

Formulare mit Zeitbeschränkungen (z. B. Ticketreservierungen an der Kasse) erlauben es Nutzern nicht, das Limit vor Ablauf zu deaktivieren, anzupassen oder zu verlängern, was gegen WCAG 2.1 SC 2.2.1 verstößt.

Rechtsgrundlage: WCAG 2.1 SC 2.2.1

WCAG 2.1 SC 2.2.1

Nicht gekennzeichnete Affiliate-Links und gesponserte Inhalte (FTC Endorsement Guides)

Die Website zeigt provisionsbringende Produktlinks oder gesponserte Inhaltsblöcke ohne klare, unmittelbare Kennzeichnung (z. B. „Affiliate-Link“ oder „Gesponsert“) in der Nähe der Links.

Rechtsgrundlage: 16 CFR Part 255

16 CFR Part 255

dApp prüft die Integrität von API-Endpunkten nicht (NIST SP 1800-34)

Eine dezentrale Webanwendung verbindet sich mit RPC-Knoten oder APIs, ohne Antwortsignaturen zu prüfen, sodass Man-in-the-Middle-Angriffe falsche Wallet-Guthaben anzeigen können.

Rechtsgrundlage: NIST SP 1800-34 (Data Integrity)

Session-Replay-Skripte im Kundenportal auf Passwortfeldern aktiv (PCI-DSS)

Tools zur Sitzungsaufzeichnung (z. B. Hotjar, FullStory) laufen in Kundenportalen, ohne sensible Eingabefelder wie Passwort, Karteninhaber oder CVV zu maskieren oder auszuschließen.

Rechtsgrundlage: PCI-DSS v4.0 Req 8.3

PCI DSS — PCI Security Standards Council

Fehlende Berichte zum Protokoll schwerwiegender IKT-Vorfälle (EU DORA)

Die Webkonsole eines EU-Finanzunternehmens stellt keine Protokolle schwerwiegender IKT-bezogener Vorfälle zur Transparenz gegenüber Nutzern und Aufsichtsbehörden bereit und verlinkt nicht darauf, was gegen Artikel 18 DORA verstößt.

Rechtsgrundlage: Regulation (EU) 2022/2554 (DORA), Art. 18

DORA Art. 18

Unzureichende Benachrichtigung über den Entzug von Zugriffsrechten (SOC 2 Type II)

Die Kundenkonsole protokolliert keine widerrufenen Administrator-Token und zeigt keine aktiven Sitzungen mit direkter Beendigungsmöglichkeit an, was gegen die Sicherheitskontrollen SOC 2 CC6.3 verstößt.

Rechtsgrundlage: SOC 2 CC6.3 (Access Controls)

SOC 2 — Trust Services Criteria (AICPA)

Fehlende Identitätsprüfung vor dem Zugriff auf PHI (HIPAA)

Ein Patientenaufnahmeportal oder Symptomtracker erlaubt den Zugriff auf frühere Unterlagen oder geschützte Gesundheitsinformationen (PHI) ohne mehrstufige, verifizierte Identitätsprüfung.

Rechtsgrundlage: 45 CFR § 164.312(d)

45 CFR 164.312

Unzureichende Werbebeschränkungen für Minderjährige auf sozialen Plattformen (Texas SCOPE)

Eine auf Minderjährige in Texas ausgerichtete Social-Media-Plattform schaltet gezielte Werbung auf Grundlage des Profilings von Konten unter 18 Jahren und verstößt damit gegen den SCOPE Act.

Rechtsgrundlage: Texas SCOPE Act, Sec. 509.052

Keine Offenlegung der Ranking-Parameter von Suchmaschinen und der Gewichtung politischer Ausrichtung (Florida FDBR)

Eine auf Einwohner Floridas ausgerichtete Suchmaschine oder Verzeichnisplattform legt bei aktiver algorithmischer Filterung nicht offen, nach welchen Parametern Suchergebnisse gereiht werden, und verstößt damit gegen die FDBR.

Rechtsgrundlage: Fla. Stat. § 501.71(4) (Florida Digital Bill of Rights - Search Engine Ranking Transparency)

Fla. Stat. § 501.71(4)

Verdeckte interaktive Dark Patterns gegenüber Kindern (CA AADC)

Eine Website, die voraussichtlich von Minderjährigen genutzt wird, verwendet irreführende Spielmechaniken oder Gestaltung, um Kinder zu Ausgaben oder zur Angabe ihrer E-Mail-Adresse zu verleiten, und verstößt damit gegen den AADC.

Rechtsgrundlage: Cal. Civ. Code § 1798.99.31

Cal. Civ. Code § 1798.99.31

Fehlende Angaben zur Verarbeitung sensibler Daten (Indiana CDPA)

Der Datenschutzhinweis einer auf Indiana ausgerichteten Website nennt nicht ausdrücklich die verarbeiteten Kategorien sensibler personenbezogener Daten und die konkreten Zwecke und verstößt damit gegen den CDPA.

Rechtsgrundlage: Indiana CDPA, Sec. 24-15-4

Fehlende Möglichkeit zur Löschung für Verbraucher in New Hampshire (NHPA)

Die Website bietet Einwohnern New Hampshires keine klare, automatisierte Methode zur Löschung erhobener personenbezogener Daten und verstößt damit gegen den New Hampshire Privacy Act.

Rechtsgrundlage: New Hampshire Privacy Act, Sec. 507-H.4

Nicht barrierefreie Authentifizierung über kognitive Funktionstests (WCAG 2.2)

Die Authentifizierung der Website verlangt kognitive Funktionstests (etwa das Lösen von Rätseln oder das Abtippen von Codes aus Bildern), ohne eine alternative, barrierefreie Anmeldemethode anzubieten, was gegen WCAG 2.2 SC 3.3.8 verstößt.

Rechtsgrundlage: WCAG 2.2 SC 3.3.8

WCAG 2.2 SC 3.3.8

Ziehbewegungen ohne Alternative für einzelne Zeigereingaben (WCAG 2.2)

Die Website verlangt Ziehbewegungen (z. B. eigene Schieberegler, Karten oder Drag-and-drop-Listen), ohne Klick- oder Tipp-Alternativen für einzelne Zeigereingaben anzubieten, was gegen WCAG 2.2 SC 2.5.7 verstößt.

Rechtsgrundlage: WCAG 2.2 SC 2.5.7

WCAG 2.2 SC 2.5.7

Anpassung der Textabstände führt zu überlappendem Text (WCAG 2.1)

Benutzerdefinierte Anpassungen der Schriftabstände (Zeilenhöhe, Zeichenabstand) führen dazu, dass Textelemente der Seite sich überlappen oder abgeschnitten werden, was gegen WCAG 2.1 SC 1.4.12 verstößt.

Rechtsgrundlage: WCAG 2.1 SC 1.4.12

WCAG 2.1 SC 1.4.12

Fehlende Platzhalter oder Kontexthinweise bei Eingaben (WCAG 2.1)

Formulareingaben, die ein bestimmtes Format verlangen (z. B. Datum, Telefonnummer), bieten keine Platzhalter, Beschreibungshinweise oder Kontextanweisungen, was gegen WCAG 2.1 SC 3.3.2 verstößt.

Rechtsgrundlage: WCAG 2.1 SC 3.3.2

WCAG 2.1 SC 3.3.2

Unlogische Tab-Reihenfolge (WCAG 2.1)

Der Fokuspfad bei der Tastaturnavigation durchläuft die Seite in unlogischer oder zufälliger Reihenfolge, die nicht der visuellen Lesereihenfolge entspricht, was gegen WCAG 2.1 SC 2.4.3 verstößt.

Rechtsgrundlage: WCAG 2.1 SC 2.4.3

WCAG 2.1 SC 2.4.3

Fehlende Angaben zu Angemessenheitsbeschlüssen bei externen Übermittlungen (DSGVO)

Laut Datenschutzhinweis werden Daten aus dem EWR heraus übermittelt, ohne offenzulegen, ob für die Zielländer ein Angemessenheitsbeschluss der Kommission vorliegt, oder die konkret eingesetzten Garantien zu nennen.

Rechtsgrundlage: GDPR Article 13(1)(f)

GDPR Art. 13(1)(f)

Fehlende Angaben zur Übermittlung und Verarbeitung durch Dritte (Kanada PIPEDA)

Eine Organisation, die personenbezogene Daten erhebt, übermittelt Informationen zur Verarbeitung an Dritte, bleibt aber nicht rechenschaftspflichtig oder legt in ihrer Datenschutzerklärung nicht offen, dass Daten an Drittverarbeiter übermittelt und durch vergleichbare vertragliche oder sonstige Garantien geschützt werden, wie es der PIPEDA verlangt.

Rechtsgrundlage: PIPEDA Schedule 1, Principle 4.1.3 / Principle 4.8 (Accountability / Openness for third-party transfer and processing)

PIPEDA Schedule 1, Principle 4.1.3

Zwecke geteilter Cookie-Kennungen nicht offengelegt (Japan APPI)

Eine auf japanische Nutzer ausgerichtete Website teilt Werbekennungen oder Cookies von Drittanbietern, ohne in ihrer Cookie-Erklärung die genauen Werbe- und Analysezwecke der Empfänger offenzulegen.

Rechtsgrundlage: Japan APPI, Art. 27

Unzureichender Hinweis auf das Recht auf Löschung (Thailand PDPA)

Eine auf thailändische Nutzer ausgerichtete Website hat eine Datenschutzerklärung, die das Recht der Verbraucher, die Löschung, Vernichtung oder De-Identifizierung ihrer personenbezogenen Daten nach dem PDPA zu verlangen, nicht nennt.

Rechtsgrundlage: Thailand PDPA B.E. 2562, Sec. 30

Änderungen der Datenschutzerklärung nicht gut sichtbar mitgeteilt (Brasilien LGPD)

Die Website ändert Verarbeitungsmethoden oder Datenschutzerklärungen wesentlich, ohne brasilianische Nutzer durch klare Hinweise auf der Website oder E-Mails zu benachrichtigen, und verstößt damit gegen Artikel 9 LGPD.

Rechtsgrundlage: Brazil LGPD, Art. 9

LGPD Art. 9

Fehlende Angaben zu Verwaltungsrichtlinien zum Schutz von Kundeninformationen (SEC)

Die Website eines bei der SEC registrierten Anlageberaters zeigt keine Richtlinien zu physischen und technischen Schutzmaßnahmen für Kundenunterlagen an und verlinkt nicht darauf, was gegen Regulation S-P verstößt.

Rechtsgrundlage: SEC Regulation S-P, Sec. 248.30

17 CFR 248.30

Kryptografisches Schlüsselmanagement nicht dokumentiert (PCI-DSS v4.0)

Eine Website, die Karteninhabertransaktionen abwickelt, dokumentiert oder veröffentlicht keine Zusammenfassungen der kryptografischen Algorithmen und Schlüsselmanagementverfahren, mit denen Kartendaten verschlüsselt werden.

Rechtsgrundlage: PCI-DSS v4.0 Req 12.3.2

PCI DSS — PCI Security Standards Council

Fehlende Angaben zur Kritikalität von IKT-Drittanbietern (EU DORA)

Das Web-Dashboard eines Finanzsystems führt die Kritikalitätsstufen seiner Cloud- und Infrastruktur-Drittanbieter nicht auf und kategorisiert sie nicht, was gegen die Transparenzregeln von DORA verstößt.

Rechtsgrundlage: Regulation (EU) 2022/2554 (DORA), Art. 28

DORA Art. 28

Unzureichende Angaben zum Patch-Management (SOC 2 Type II)

Ein kundenseitiges SaaS-Portal verweist nicht auf Fristen und Verfahren des Patch-Managements zur Behebung bekannter Systemschwachstellen und dokumentiert sie nicht, was gegen SOC 2 CC7.1 verstößt.

Rechtsgrundlage: SOC 2 CC7.1 (Vulnerability Management)

SOC 2 — Trust Services Criteria (AICPA)

Unzureichende Angaben zur Analyse von Cybersicherheitsrisiken (HIPAA Security Rule)

Eine Anwendung zur Patientenaufnahme bestätigt in ihrer Datenschutzerklärung nicht, dass sie regelmäßige Risikoanalysen zu potenziellen Sicherheitslücken bei PHI durchführt, und verstößt damit gegen die HIPAA Security Rule.

Rechtsgrundlage: 45 CFR § 164.308(a)(1)

45 CFR 164.308

Erhebung des Standortverlaufs Minderjähriger ohne Bestätigung der Eltern (Texas SCOPE)

Eine Webanwendung erhebt und speichert historische Standortdaten von Nutzern, die als minderjährig verifiziert sind oder bei denen dies vermutet wird, ohne eine verifizierte Einwilligung der Eltern einzuholen, und verstößt damit gegen den SCOPE Act.

Rechtsgrundlage: Texas SCOPE Act, Sec. 509.053

Fehlender Opt-out-Hinweis zu Datenverkauf und gezielter Werbung (Florida FDBR)

Ein Verantwortlicher, der die Anwendungsschwellen der Florida FDBR erfüllt (einschließlich eines weltweiten Jahresbruttoumsatzes von über 1 Milliarde $) und personenbezogene Daten an Dritte verkauft oder für gezielte Werbung verarbeitet, legt dies nicht klar und gut sichtbar offen und bietet Verbrauchern keine Möglichkeit zum Widerspruch.

Rechtsgrundlage: Fla. Stat. § 501.711(4) (Florida Digital Bill of Rights - Sale of Personal Data / Targeted Advertising Opt-Out Disclosure)

Fla. Stat. § 501.711(4)

Fehlende Begründung zur Folgenabschätzung für die Sicherheit von Kindern (CA AADC)

Eine Website, die voraussichtlich von Minderjährigen genutzt wird, beschreibt in ihrem Datenschutzhinweis nicht die auf Grundlage von Folgenabschätzungen zu Kinderdaten umgesetzten Schutzmaßnahmen und verstößt damit gegen den AADC.

Rechtsgrundlage: Cal. Civ. Code § 1798.99.31

Cal. Civ. Code § 1798.99.31

Unzureichende De-Identifizierung von Patientendaten für die Forschung (HIPAA Privacy)

Ein Gesundheitsportal veröffentlicht klinische Zusammenfassungen oder Symptomdatenbanken mit Postleitzahlen oder genauen Geburtsdaten und erfüllt damit nicht die strengen Safe-Harbor-Regeln zur De-Identifizierung nach HIPAA.

Rechtsgrundlage: 45 CFR § 164.514(b)

45 CFR 164.514

Fehlende Zusammenfassung der Incident-Response-Richtlinie (FTC Safeguards)

Ein Fintech-Portal verweist in seinen Sicherheitshinweisen nicht auf eine Zusammenfassung seines schriftlichen Incident-Response-Plans (IRP) für Datenpannen bei Kundendaten und zeigt sie nicht an, was gegen die FTC Safeguards verstößt.

Rechtsgrundlage: 16 CFR § 314.4(g)

16 CFR 314.4

Fokus durch fixierte Elemente verdeckt

Per Tastatur fokussierte interaktive Elemente werden ganz oder teilweise von fixierten Kopf- oder Fußzeilen oder schwebenden Overlays verdeckt und sind so nicht sichtbar, was gegen WCAG 2.2 verstößt.

Rechtsgrundlage: WCAG 2.2 SC 2.4.12

WCAG 2.2 SC 2.4.12

Interaktive Ziele unter der Mindestgröße

Interaktive Ziele (Schaltflächen, Links) sind kleiner als 24×24 CSS-Pixel und haben keinen ausreichenden Abstand, was bei Touch-Nutzern und Menschen mit motorischen Einschränkungen zu Fehlklicks führt und gegen WCAG 2.2 verstößt.

Rechtsgrundlage: WCAG 2.2 SC 2.5.8

WCAG 2.2 SC 2.5.8

Nicht barrierefreie Multi-Faktor-Authentifizierung

Der Anmeldeablauf erzwingt kognitive Tests (z. B. Passwörter merken, Codes abtippen, Rätsel lösen), ohne eine Alternative per Kopieren und Einfügen oder Hardwareschlüssel anzubieten, was gegen WCAG 2.2 verstößt.

Rechtsgrundlage: WCAG 2.2 SC 3.3.8

WCAG 2.2 SC 3.3.8