Consent preflight: Prüfung vor der Veröffentlichung
Warum (so vermitteln): Vibe Coding macht es einfach, eine App an einem Nachmittag zu veröffentlichen – und genauso einfach, eine Klage zu riskieren. Die übliche Falle ist ein Tracking-Pixel (Meta, Google, TikTok), das ab dem Moment des Seitenaufrufs feuert. In Kalifornien kann Tracking vor der Einwilligung als Abhören behandelt werden, mit bis zu 5.000 USD pro Verstoß. Ein Cookie-Banner schützt dich nicht, wenn das Pixel feuert, bevor jemand darauf klickt. Ein Banner zu haben und auf die Erlaubnis zu warten, sind zwei völlig verschiedene Dinge. Die Lösung ist ein einziger Befehl an deinen KI-Builder, plus die Überprüfung, ob er funktioniert hat.
Der eine Prompt, den man sich merken sollte: „Stelle sicher, dass keine Tracking-Pixel, Analytics oder Drittanbieter-Skripte laden, bis der Benutzer auf Akzeptieren in meinem Cookie-Banner klickt.“
Keine Rechtsberatung. Dieses Tool erfasst die häufigen, teuren Fehler; es zertifiziert nichts.
Die 10 Prüfungen
Führe sie auf der Vorschau- oder Live-URL in einem frischen, cookie-freien Tab aus (Claudes integrierter Browser: gespeicherte Daten löschen, dann read_network_requests vor einem Klick), plus den Code-Scan, falls Code verfügbar ist:
python3 ~/.claude/skills/consent-audit/scripts/scan_trackers.py <app-dir>
| # | Prüfung | Bestehen |
|---|---|---|
| 1 | Frischer Besuch, kein Klick: irgendeine Anfrage an eine Werbe-/Analyse-/Wiedergabe-Domain (facebook, google-analytics, googletagmanager, tiktok, licdn, hotjar, clarity, posthog, segment, heycatch…)? | Keine |
| 2 | Cookies vor dem Klick: _ga, _fbp, _gcl_au, _ttp, _hj*, ph_*? | Keine |
| 3 | Host-Add-ons aus oder abgeschottet: Lovable Visitor analytics, Vercel/Netlify/Cloudflare analytics, Site-Builder-Pixel-Felder | Aus oder abgeschottet |
| 4 | Ablehnen funktioniert: auf Ablehnen klicken, 2 Seiten durchblättern, nichts Optionales feuert | Ja |
| 5 | Banner ist fair: Akzeptieren und Ablehnen gleich prominent; Kippschalter deaktiviert. Wenn es keine optionalen Tracker gibt, gibt es kein Banner (keines nötig) | Ja |
| 6 | Weg zurück: ein Footer-Link „Datenschutzeinstellungen“ zum Ändern oder Widerrufen | Ja (falls Banner existiert) |
| 7 | Keine Identität an Tracker: mit einem Testkonto anmelden; keine E-Mail oder Benutzer-ID in Tracker-Anfragen | Keine gesendet |
| 8 | Keine Geheimnisse in gesendeten URLs: kein ?code=, ?token=, ?email= oder Suchtext in Tracker-Anfragen | Keine |
| 9 | Datenschutzhinweis: öffentliche Seite, im Footer und bei der Anmeldung verlinkt, nennt die echten Anbieter und echten Kontakt | Ja |
| 10 | Veröffentlichungsumfang: du kennst jede unveröffentlichte Änderung, die diese Veröffentlichung freigibt | Aufgelistet und abgesegnet |
Ergebnis
PREFLIGHT: <app> - <PASS / ZUERST FIXEN> (<Datum>)
1 ✅/❌ ... 10 ✅/❌ (jeweils eine Beweiszeile: gesehene Domains, gefundene Cookies oder „keine“)
Zuerst fixen: <die fehlgeschlagenen Prüfungen, nach Risiko geordnet: 1, 7, 2, 3 zuerst>
- Alle bestanden: veröffentlichen, dann Prüfungen 1, 2 und 4 auf der Live-URL wiederholen. Hosting kann Skripte hinzufügen, die die Vorschau nicht hatte.
- Irgendeine von 1-4 oder 7-8 fehlgeschlagen: nicht veröffentlichen.
consent-auditfür das vollständige Inventar ausführen, dannconsent-gate(oder den Tracker entfernen). - Nur 5, 6 oder 9 fehlgeschlagen: mit dem Banner-/Hinweis-Abschnitt von
consent-gatebeheben, dann veröffentlichen.
Lehrmaterial (für Studierende)
- Zeigen, nicht erzählen: öffne ihre Website in einem frischen Tab mit DevTools → Netzwerk, filtere nach „facebook“ oder „google“, lade neu und lass sie zusehen, wie das Pixel feuert, bevor sie das Banner berühren. Dieser Moment macht die Lektion einprägsam.
- Weniger Tracker ist der einfache Gewinn. Wenn sie noch keine Werbung schalten, brauchen sie noch kein Pixel. Kein Tracker bedeutet kein Banner und kein Risiko.
- Analytics vs. eigene Daten: das Ausschalten von Trackern löscht nicht, was ihre App für Benutzer speichert (Konten, Fortschritt, Formularantworten). Das sind Erstanbieter-Daten, die durch ihren Datenschutzhinweis abgedeckt sind, nicht durch das Banner.
- Kurs- und Videoseiten: ein Meta-Pixel auf Seiten, die Videos abspielen, birgt ein zusätzliches Bundesrisiko (VPPA). Halte Pixel von Lektionsseiten fern.