Auf der Website erscheint ein Cookie-Banner, Besucher können „Akzeptieren“ oder „Ablehnen“ wählen – damit scheint das Thema erledigt. Technisch kann es trotzdem anders aussehen: Ein Analytics-Skript startet bereits vor der Auswahl, ein eingebettetes Video lädt externe Inhalte oder ein später installiertes Marketing-Plugin wurde nie in das Consent-System aufgenommen. Deshalb sollte die entscheidende Frage nicht lauten: „Haben wir ein Cookie-Banner?“, sondern: „Steuert unsere Einwilligung tatsächlich, was auf der Website geladen und gespeichert wird?“
1. Warum ein Cookie-Banner allein wenig beweist
Ein Consent-Banner ist zunächst eine sichtbare Benutzeroberfläche. Er zeigt Auswahlmöglichkeiten und Informationen an. Entscheidend ist jedoch, was die Website technisch mit dieser Entscheidung macht.
Ein einfaches Beispiel: Ein Besucher öffnet die Website zum ersten Mal. Noch bevor er eine Auswahl trifft, sendet ein Marketing- oder Analytics-Dienst bereits eine Anfrage an einen externen Anbieter. Wenn dieser Zugriff eine vorherige Einwilligung erfordert, kann der nachträgliche Klick auf „Ablehnen“ den bereits erfolgten Zugriff nicht rückgängig machen.
§ 25 TDDDG stellt für das Speichern von Informationen in der Endeinrichtung eines Endnutzers oder den Zugriff auf bereits gespeicherte Informationen grundsätzlich auf eine vorherige Einwilligung ab. Das Gesetz enthält zugleich Ausnahmen, unter anderem für Vorgänge, die unbedingt erforderlich sind, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann.
§ 25 TDDDG: Schutz der Privatsphäre bei Endeinrichtungen
Deshalb ist auch die pauschale Aussage „Jeder Cookie braucht Zustimmung“ zu einfach. Die Datenschutzkonferenz weist ausdrücklich darauf hin, dass nicht jeder Einsatz von Cookies oder Tracking automatisch einwilligungsbedürftig ist.
Die praktische Aufgabe lautet also nicht, möglichst viele Dienste in einem Banner aufzulisten. Zuerst muss verstanden werden, welche technischen Zugriffe stattfinden, wofür sie benötigt werden und welche davon tatsächlich von einer Einwilligungsentscheidung abhängig gemacht werden müssen.
2. Cookie-Banner prüfen: sieben Punkte für Unternehmen
1. Was passiert vor jeder Auswahl?
Öffnen Sie die Website in einer neuen Sitzung, bevor Sie im Banner eine Entscheidung treffen. Genau dieser Zustand ist für die erste technische Prüfung wichtig.
Prüfen Sie, welche Cookies, Local-Storage-Einträge, Skripte und externen Netzwerkverbindungen bereits entstehen. Ein sichtbarer Banner sagt darüber allein nichts aus.
Besondere Aufmerksamkeit verdienen Dienste für Analytics, Werbung, Remarketing, externe Medien, Karten, Chat-Funktionen und andere nachträglich integrierte Drittanbieter.
2. Was passiert nach „Ablehnen“?
Eine Ablehnung sollte technisch einen Unterschied machen, wenn optionale Dienste von einer Einwilligung abhängig sind.
Deshalb sollte nicht nur geprüft werden, ob sich der Banner schließt. Prüfen Sie anschließend erneut, welche Dienste tatsächlich geladen werden.
Ein typischer Fehler: Die Oberfläche speichert zwar „abgelehnt“, das externe Tracking-Skript wurde aber unabhängig davon bereits im Template, Tag Manager oder Plugin eingebunden.
3. Was passiert nach „Akzeptieren“?
Auch die Gegenprobe ist wichtig. Werden Dienste, denen der Nutzer zugestimmt hat, danach tatsächlich aktiviert? Funktioniert die Auswahl nur beim ersten Seitenaufruf oder auch beim Wechsel auf Unterseiten?
Damit lässt sich feststellen, ob Consent-Banner und technische Implementierung überhaupt miteinander verbunden sind.
4. Kann eine Entscheidung später geändert werden?
Eine Website sollte nicht nur den ersten Klick berücksichtigen. Prüfen Sie auch, wie ein Besucher seine Consent-Einstellungen später erneut öffnen und ändern kann.
Nach einer Änderung sollte die Website den neuen Zustand technisch berücksichtigen. Dabei ist zu unterscheiden zwischen zukünftigen Zugriffen und Daten beziehungsweise Informationen, die bereits verarbeitet oder gespeichert wurden.
5. Stimmen Banner und tatsächlich eingesetzte Dienste überein?
Websites verändern sich. Ein neues Analysewerkzeug wird eingebaut, ein YouTube-Video ergänzt, ein Terminbuchungssystem integriert oder eine Werbekampagne startet mit zusätzlichem Tracking.
Der Consent-Banner bleibt dabei häufig auf dem Stand der ursprünglichen Website.
Vergleichen Sie deshalb regelmäßig die im Consent-System beschriebenen Dienste mit dem, was die Website technisch tatsächlich lädt.
6. Werden Auswahlmöglichkeiten voreingestellt?
Die Orientierungshilfe der deutschen Datenschutzaufsichtsbehörden beschreibt für einwilligungsbedürftige Zugriffe beziehungsweise Verarbeitungen, dass Auswahlmöglichkeiten nicht bereits aktiv voreingestellt sein sollen.
Datenschutzkonferenz: Orientierungshilfe für Anbieter digitaler Dienste
Bei der Prüfung geht es deshalb nicht nur um die Beschriftung der Buttons. Auch Kategorien, Schalter und andere Auswahlfelder sollten in ihrem tatsächlichen Ausgangszustand betrachtet werden.
7. Sind die Informationen konkret genug?
Bezeichnungen wie „Marketing“, „Statistik“ oder „Partner“ allein erklären einem Nutzer noch nicht unbedingt, was tatsächlich passiert.
Die Datenschutzkonferenz nennt unter anderem konkrete Verarbeitungszwecke und bei eingebundenen Drittdiensten deren Benennung als relevante Informationen für eine informierte Einwilligung.
Technische Inventur und sichtbare Information gehören deshalb zusammen: Was die Website tatsächlich macht, sollte sich in der Consent-Konfiguration nachvollziehbar wiederfinden.
3. Beispiel: Der Banner funktioniert – das Tracking aber anders
Fiktives Beispiel: Ein mittelständisches Unternehmen nutzt WordPress. Auf der Website ist seit längerer Zeit ein Consent-Plugin eingerichtet. Später wurde für eine Werbekampagne zusätzlich ein Tracking-Dienst integriert.
Der Geschäftsführer sieht beim Aufruf der Website weiterhin den gewohnten Cookie-Banner und geht davon aus, dass der neue Dienst automatisch darüber gesteuert wird.
Bei einer technischen Prüfung ergibt sich folgendes Bild:
| Test | Beobachtung | Nächster Schritt |
|---|---|---|
| Erster Aufruf ohne Auswahl | Der neu integrierte Tracking-Dienst wird bereits angefragt | Einbindung und Auslösebedingung technisch prüfen |
| Ablehnen | Consent-Status wird gespeichert, der Dienst war zuvor aber bereits aktiv | Ausführung vor erforderlicher Zustimmung verhindern |
| Akzeptieren | Der Dienst bleibt aktiv | Gewünschtes Verhalten dokumentieren und gegen die Konfiguration prüfen |
| Consent-Einstellungen | Der neue Dienst wird im Banner nicht konkret abgebildet | Consent-Inventar und tatsächliche Website-Dienste abgleichen |
| Widerruf beziehungsweise Änderung | Einstellungen lassen sich öffnen und ändern | Zusätzlich technisch testen, ob die Änderung zukünftige Zugriffe tatsächlich steuert |
Das Problem wäre in diesem Beispiel nicht, dass überhaupt kein Cookie-Banner vorhanden ist. Das Problem liegt in der fehlenden Verbindung zwischen sichtbarer Einwilligungsoberfläche und später hinzugefügter Technik.
Das Beispiel ist fiktiv und stellt keine rechtliche Bewertung eines bestimmten Tracking-Dienstes dar. Ob und unter welchen Voraussetzungen ein konkreter Dienst eingesetzt werden darf, muss für den jeweiligen Fall geprüft werden.
4. Was können Unternehmen selbst testen?
Auch ohne vollständiges Datenschutz-Audit lässt sich ein erster technischer Funktionstest durchführen.
- Öffnen Sie die Website in einer neuen privaten Browser-Sitzung.
- Treffen Sie zunächst keine Auswahl im Consent-Banner und beobachten Sie, welche externen Inhalte oder Funktionen bereits aktiv werden.
- Starten Sie eine neue Sitzung und wählen Sie „Ablehnen“ beziehungsweise die entsprechende Option Ihrer Website.
- Prüfen Sie anschließend wichtige Unterseiten, eingebettete Medien, Formulare und andere Drittanbieter-Funktionen.
- Wiederholen Sie den Test mit einer Zustimmung zu den angebotenen optionalen Diensten.
- Öffnen Sie danach erneut die Consent-Einstellungen, ändern Sie Ihre Auswahl und prüfen Sie das Verhalten noch einmal.
5. Warum Consent nach Website-Änderungen erneut geprüft werden sollte
Eine einmal korrekt konfigurierte Website bleibt nicht automatisch korrekt konfiguriert.
Typische Änderungen sind:
- ein neues Analytics- oder Marketing-Werkzeug
- eine neue Google-Ads- oder Meta-Ads-Kampagne mit zusätzlichem Tracking
- ein neuer Tag im Tag-Management-System
- eingebettete Videos, Karten oder Social-Media-Inhalte
- ein Chat-, Termin- oder Bewertungsdienst
- ein Plugin- oder Theme-Wechsel
- ein Relaunch oder Wechsel des Consent-Management-Systems
Genau deshalb sollte Consent Management als laufende technische Aufgabe verstanden werden und nicht nur als Banner, der beim Relaunch einmal eingerichtet wurde.
Für Unternehmen ist dabei eine einfache interne Regel hilfreich: Wenn ein neuer externer Dienst auf die Website kommt, wird vor der Freischaltung geprüft, welche Daten beziehungsweise Informationen er verarbeitet, wann er technisch geladen wird und ob die bestehende Consent-Konfiguration angepasst werden muss.
6. Wann ist eine genauere technische Prüfung sinnvoll?
Eine genauere Prüfung ist besonders sinnvoll, wenn nicht mehr eindeutig nachvollziehbar ist, welche Dienste auf der Website aktiv sind und wodurch sie ausgelöst werden.
Typische Situationen sind:
- die Website wurde über mehrere Jahre von verschiedenen Dienstleistern erweitert
- mehrere Tracking- und Marketing-Systeme sind eingebunden
- Google Tag Manager oder ein vergleichbares Tag-System wird verwendet
- Plugins laden zusätzliche externe Skripte oder Inhalte
- nach einem Relaunch wurde die alte Consent-Konfiguration übernommen
- niemand kann sicher sagen, was vor „Akzeptieren“ oder nach „Ablehnen“ tatsächlich passiert
- Banner, Datenschutzhinweise und technisch aktive Dienste scheinen nicht mehr zusammenzupassen
Dann sollte nicht einfach ein weiteres Cookie-Plugin installiert werden. Sinnvoller ist zunächst eine Bestandsaufnahme: Welche Dienste existieren? Wann werden sie geladen? Welche Entscheidung steuert sie? Welche Informationen werden gespeichert oder ausgelesen? Und welche Angaben müssen fachlich beziehungsweise rechtlich geprüft werden?
Entscheidend ist nicht der Banner, sondern das tatsächliche Verhalten der Website
Ein professionell gestalteter Cookie-Banner kann Vertrauen schaffen, beweist aber noch nicht, dass Consent technisch korrekt umgesetzt ist.
Für Unternehmen ist deshalb ein praktischer Blick hilfreicher: Was passiert vor der Entscheidung, was verändert „Ablehnen“, was verändert „Akzeptieren“ und stimmen diese Abläufe noch mit den tatsächlich eingebauten Diensten überein?
Damit wird aus einem abstrakten Datenschutzthema eine überprüfbare technische Aufgabe. Und genau diese Prüfung sollte nach relevanten Änderungen an Website, Tracking oder Marketing wiederholt werden.
Häufige Fragen zu Cookie-Bannern und Consent
Braucht jede Website einen Cookie-Banner?
Nicht allein deshalb, weil eine Website Cookies verwendet. § 25 TDDDG enthält neben dem grundsätzlichen Einwilligungserfordernis auch Ausnahmen. Die deutschen Datenschutzaufsichtsbehörden weisen ebenfalls darauf hin, dass nicht jeder Cookie-Einsatz automatisch einwilligungsbedürftig ist. Welche Zugriffe und anschließenden Datenverarbeitungen auf einer konkreten Website zulässig sind, muss anhand der tatsächlich eingesetzten Technik geprüft werden.
Darf Tracking schon laufen, bevor der Besucher eine Auswahl getroffen hat?
Das hängt davon ab, um welchen konkreten Zugriff beziehungsweise Dienst es sich handelt und ob dafür eine Einwilligung erforderlich ist. Bei einwilligungsbedürftigen Zugriffen muss die technische Implementierung sicherstellen, dass die erforderliche Zustimmung nicht erst eingeholt wird, nachdem der Zugriff bereits stattgefunden hat.
Reicht es, wenn mein Consent-Plugin korrekt eingestellt ist?
Nicht unbedingt. Zusätzlich sollte geprüft werden, ob alle relevanten Skripte und Dienste tatsächlich über dieses System gesteuert werden. Ein direkt im Theme, Plugin oder Tag Manager eingebundener Dienst kann sich technisch anders verhalten als im Consent-Plugin vorgesehen.
Muss ein technisch notwendiger Cookie ebenfalls freigegeben werden?
§ 25 Absatz 2 TDDDG sieht bestimmte Ausnahmen vom Einwilligungserfordernis vor, unter anderem für eine unbedingt erforderliche Speicherung oder einen unbedingt erforderlichen Zugriff zur Bereitstellung eines vom Nutzer ausdrücklich gewünschten digitalen Dienstes. Ob ein konkreter Vorgang darunter fällt, sollte nicht allein anhand der Bezeichnung „notwendig“ im Cookie-Banner entschieden werden.
Warum sollte ich „Ablehnen“ technisch testen?
Weil die sichtbare Auswahl und die technische Wirkung zwei verschiedene Dinge sind. Der Test zeigt, ob optionale Dienste nach einer Ablehnung tatsächlich nicht aktiviert werden beziehungsweise ob die konfigurierte Entscheidung von der Website korrekt verarbeitet wird.
Muss ich den Consent nach einem Website-Relaunch erneut prüfen?
Eine technische Prüfung ist sinnvoll. Durch einen Relaunch können sich Templates, Plugins, Tag-Systeme, externe Dienste und Auslösebedingungen verändern. Eine unverändert übernommene Banner-Konfiguration beweist deshalb nicht, dass das tatsächliche Verhalten der neuen Website identisch geblieben ist.
Wie oft sollte eine Website auf neue Tracking-Dienste geprüft werden?
Es gibt dafür keine pauschale technische Prüffrist, die für jede Website sinnvoll wäre. Praktisch sollte zumindest nach relevanten Änderungen geprüft werden – beispielsweise wenn neue Marketing-, Analyse-, Video-, Karten-, Chat- oder andere Drittanbieter-Dienste eingebaut werden.
Kann Kubertino bestätigen, dass meine Website DSGVO-konform ist?
Kubertino kann die technische Implementierung untersuchen, beispielsweise aktive Dienste, Skripte, Netzwerkzugriffe und Consent-Auslösebedingungen. Eine pauschale rechtliche Zusicherung, dass eine Website „DSGVO-konform“ ist, wäre damit nicht verbunden. Rechtliche Bewertungen sollten bei Bedarf gesondert erfolgen.