Was eine Website mit Daten macht, jenseits des Textes des Banners.

Nein. Es handelt sich um eine technische Messung der öffentlichen Oberfläche der Website, mit Belegen und mit den Grenzen jedes einzelnen Befunds. Viele Pflichten des Gesetzes — die Rechtsgrundlage der Verarbeitung, die Verträge mit Auftragsverarbeitern, das Verzeichnis der Verarbeitungstätigkeiten, die Folgenabschätzung, die Information der Mitarbeiter — lassen sich von außen nicht beobachten und erscheinen nicht im Bericht. Der Score ist keine rechtliche Einschätzung und berechnet keine Strafe.

Der Scanner findet das Banner, drückt die Ablehntaste und hört noch drei Sekunden lang die Netzwerkanfragen ab. Ein Tracker wird nur markiert, wenn er bereits vor der Einwilligung sendete und auch nach der Ablehnung weiter sendet, ohne ein Ablehnungs-Signal in der Anfrage. Es ist die einzige Prüfung in der Engine, die einen lebenden, interaktiven Browser braucht, nicht ein statisches Bild der Seite — und deshalb dauert der Scan Sekunden, nicht Millisekunden.

Nein. Die Engine ist deterministisch: dieselben Eingaben ergeben denselben Score, und jede Gewichtung und jede Schwelle steht in einer einzigen Konstantendatei, nicht verstreut im Code. Es gibt einen Assistenten, der Ihnen den Bericht erklärt, und das ist ein Sprachmodell — aber es berechnet nichts neu, und wenn es einen Artikel zitiert, den wir im Gesetzestext nicht bestätigen, wird seine Antwort nicht angezeigt.

Nein. Er bedeutet, dass sich die getestete öffentliche Oberfläche in den getesteten Szenarien gut verhält. Eine Organisation kann eine einwandfreie Website und ein nicht existentes Verzeichnis der Verarbeitungstätigkeiten haben. Umgekehrt ist ein schlechter Score aussagekräftiger: Er zeigt mit hoher Wahrscheinlichkeit ein echtes Problem, weil die tiefsten Prüfungen — Tracker vor der Einwilligung, eine Ablehnung, die nichts stoppt — etwas beschreiben, das gerade jetzt jedem Besucher passiert.

Es ist ein einziger Besuch, wie der eines gewöhnlichen Besuchers, mit einem Höchstbudget von 45 Sekunden. Der User-Agent identifiziert sich und verweist auf die Seite, die das Scannen und die Ablehnung erklärt, und die robots.txt der Website wird standardmäßig beachtet. Es werden keine Formulare gesendet, keine Konten erstellt und keine Authentifizierung versucht.

Ein verborgenes Banner in einem geschlossenen Shadow-Root bleibt konstruktionsbedingt unsichtbar — das erklären wir und wir haben einen Test, der uns daran festhält. Wir sehen auch nicht, was nach der Authentifizierung geschieht, was der Server mit den Daten eines gesendeten Formulars macht, wohin sie weitergelangen oder was die Verträge vorsehen. Der Bericht sagt, was beobachtet werden konnte und was nicht, und wenn die Seite nicht korrekt gerendert wurde, hält er das Urteil fest, statt eines zu erfinden.

Es gibt ein Register mit den 90 Artikeln des Gesetzes 195/2024, mit dem MD5-Fingerabdruck des Quelldokuments. Ein Artikel, der nicht im Register steht, wird nicht ausgegeben. Und wenn ein Text eine Verweisung einem anderen Akt zuschreibt — etwa der EU-Verordnung 2016/679 — wird das als solches erkannt, nicht als erfunden erklärt. Die beiden Fehler sind nicht symmetrisch: Ein wahrer, zurückgewiesener Verweis verschwindet, ohne dass etwas beschädigt zu sein scheint.

195/2024, vom 23. August 2026. Der Code nimmt das nicht an, sondern berechnet es aus dem Scan-Datum: Vor diesem Datum war 133/2011 aktiv und 195/2024 wurde als Vorbereitung angegeben; danach umgekehrt. Ein älterer Bericht bleibt so in seinem Regime lesbar, ohne zu behaupten, etwas anderes gesagt zu haben.