Pharmaunternehmen-Websites im Datenschutz-Check 2026: 88 % mit Datenschutzmängeln

Pharmaunternehmen unterliegen umfassenden regulatorischen Anforderungen. Neben branchenspezifischen Vorschriften für Arzneimittel gewinnen auch Datenschutz, Informationssicherheit, digitale Barrierefreiheit und der rechtskonforme Betrieb von Websites zunehmend an Bedeutung. Compliance-Anforderungen betreffen somit neben Produktion und Forschung auch die gesamte digitale Unternehmenspräsenz.

Umso überraschender sind die Ergebnisse einer aktuellen Analyse von decareto: Trotz hoher Compliance-Anforderungen weisen zahlreiche Websites von Pharmaunternehmen erhebliche Defizite bei der Umsetzung datenschutzrechtlicher Vorgaben auf. Viele der untersuchten Websites erfüllen zentrale Anforderungen der Datenschutz-Grundverordnung (DSGVO) und des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG) nur unzureichend.

25 Pharmaunternehmen untersucht

Für die Untersuchung analysierte decareto die deutschen Websites von 25 Pharmaunternehmen hinsichtlich ihrer technischen Datenschutzkonfiguration. Im Fokus standen die Einhaltung der Einwilligungspflichten nach § 25 TDDDG – insbesondere:

• Einsatz von Consent-Bannern und Consent-Management-Plattformen
• Laden externer Dienste
• Setzen von Cookies
• Vollständigkeit der Datenschutzerklärungen

Die Ergebnisse zeigen, dass Datenschutzmängel trotz vorhandener Consent-Banner und umfassender Datenschutzerklärungen weit verbreitet sind.

88 % der Consent-Banner fehlerhaft konfiguriert

Ein Consent-Banner, auch Cookie-Banner genannt, dient der Einholung und Verwaltung von Einwilligungen für zustimmungspflichtige Datenverarbeitungen auf Websites und soll sicherstellen, dass diese erst nach wirksamer Zustimmung der Nutzer erfolgen.

Alle untersuchten Pharmaunternehmen setzen ein Consent-Banner bzw. eine Consent-Management-Software ein. Die technische Umsetzung des Consent-Banners entspricht jedoch häufig nicht den gesetzlichen Anforderungen.

Bei 22 von 25 Websites (88 %) wurden zustimmungspflichtige Dienste bzw. Cookies bereits beim ersten Seitenaufruf aktiviert – noch bevor Besucher ihre Einwilligung erteilt hatten. Damit verliert das Consent-Banner seine eigentliche Schutzfunktion.

88 % setzen nicht notwendige Cookies ohne Einwilligung

Cookies sind eine von mehreren Technologien zur Speicherung oder zum Auslesen von Informationen auf Endgeräten. Notwendig sind laut TDDDG nur Cookies, die für die Grundfunktion der Seite zwingend erforderlich sind (z. B. ein Warenkorb).

Die Analyse ergab, dass 22 der 25 Pharmaunternehmen (88 %) nicht erforderliche Cookies bereits vor einer Zustimmung der Nutzer speichern.

Nach der Rechtsprechung des Europäischen Gerichtshofs sowie des Bundesgerichtshofs dürfen solche Cookies grundsätzlich erst nach einer wirksamen Einwilligung gesetzt werden.

Besonders kritisch: Ein Großteil der betroffenen Websites vermittelt durch ein Cookie-Banner den Eindruck, die Entscheidung der Nutzer abzuwarten, verarbeitet jedoch bereits vorher personenbezogene Daten.

84 % laden zustimmungspflichtige externe Dienste bereits vor Zustimmung

Externe Drittanbieterdienste werden etwas seltener ohne Einwilligung eingebunden als Cookies, denn nicht alle zustimmungspflichtigen Dienste setzen auch Cookies.

21 von 25 Pharmaunternehmen (84 %) luden mindestens einen zustimmungspflichtigen externen Dienst bereits beim Seitenaufruf.

Dabei handelt es sich überwiegend um Dienste aus den Bereichen:

• Webanalyse
• Marketing
• Werbung
• Content Delivery
• Tag Management

Diese Technologien übertragen regelmäßig personenbezogene Daten an Drittanbieter und bedürfen daher häufig einer vorherigen Einwilligung.

Fehlende Transparenz in Datenschutzerklärungen bei 80 % der Pharmaunternehmen-Websites

Neben der technischen Analyse untersuchte decareto auch die Datenschutzerklärungen der Pharmaunternehmen.

Das Ergebnis:

20 von 25 Websites (80 %) enthielten Hinweise auf den Einsatz externer Dienste, die in der jeweiligen Datenschutzerklärung nicht oder nicht eindeutig erwähnt wurden.

Damit bestehen möglicherweise Verstöße gegen die Informationspflichten nach Art. 13 DSGVO, wonach Verantwortliche Empfänger oder Kategorien von Empfängern personenbezogener Daten transparent angeben müssen.

Ohne Einwilligung genutzt: Google-Dienste dominieren Technologien

Die Untersuchung zeigt eine deutliche Konzentration auf wenige große Technologieanbieter.

Unter den am häufigsten identifizierten Anbietern von Drittanbieterdiensten, die ohne Einwilligung verwendet werden, befinden sich:

Auffällig ist die starke Dominanz von Google. 19 von 25 untersuchten Pharmaunternehmen (76 %) laden Google-Dienste bereits vor einer Einwilligung. Zu den erkannten Diensten zählen unter anderem:

• Google Tag Manager
• Google Analytics
• Google Ads
• Google Adsense
• Google Fonts
• Google Maps
• Google reCAPTCHA
• Google Cloud Platform
• YouTube

Daneben kommen regelmäßig Marketing- und Webanalyse-Technologien von Adobe, Cloudflare und Akamai Technologies zum Einsatz.

Datenübermittlungen in die USA bleiben relevant

Auch nach Einführung des EU-US Data Privacy Framework im Juli 2023 bleiben Datentransfers in die USA datenschutzrechtlich ein sensibles Thema.

Zwar ermöglicht der Angemessenheitsbeschluss der Europäischen Kommission Datenübermittlungen an zertifizierte US-Unternehmen. Für den Einsatz vieler Tracking-, Marketing- und Analysedienste ist jedoch weiterhin eine vorherige Einwilligung nach § 25 TDDDG sowie regelmäßig nach Art. 6 Abs. 1 lit. a DSGVO erforderlich.

Unabhängig von der Zulässigkeit internationaler Datenübermittlungen bleibt daher die korrekte technische Umsetzung von Consent-Lösungen entscheidend.

Gesamtbewertung der Pharmaunternehmen-Websites

Die Gesamtbewertung der untersuchten Websites fällt entsprechend kritisch aus.

• 2 der Pharmaunternehmen-Websites erreichen die Bestnote A.
• B:3, C:3, D:7, E:10

Damit weisen die meisten der untersuchten Pharmaunternehmen-Websites technische oder organisatorische Datenschutzmängel auf.

Kernergebnisse der Analyse

• 88 % setzen nicht notwendige Cookies ohne Zustimmung.
• 84 % laden externe Drittanbieterdienste vor der Einwilligung.
• 80 % erwähnen erkannte externe Dienste nicht vollständig in ihrer Datenschutzerklärung.
• 88 % der Consent-Banner erfüllen ihre Schutzfunktion nicht vollständig.
• Google stellt bei 19 von 25 Pharmaunternehmen-Websites die am häufigsten identifizierten Drittanbieterdienste, die ohne Einwilligung geladen werden.

Über die Analyse

Für die Analyse untersuchte decareto im Juli 2026 die Websites von 25 Pharmaunternehmen in Deutschland. Dafür wurde die decareto Plattform für Website-Compliance-Analyse eingesetzt. Bewertet wurden die technische Umsetzung der Einwilligungsmechanismen, der Einsatz externer Dienste, Cookie-Setzungen sowie die Transparenz der Datenschutzerklärungen. Grundlage der Bewertung waren die Anforderungen der DSGVO, des TDDDG sowie die aktuelle europäische und deutsche Rechtsprechung zum Einsatz zustimmungspflichtiger Technologien.

Folgende Pharmaunternehmen wurden untersucht

Abbott, ALTANA, Amgen, AstraZeneca, Bayer, Berlin-Chemie, BioNTech, Eli Lilly, Fresenius Kabi, GSK, Grünenthal, Hexal, Roche, Janssen-Cilag, Merck, MSD, Mundipharma, Novartis, Novo Nordisk, Pfizer, ratiopharm, Sanofi, STADA, Takeda, UCB