Cookie-Consent und DSGVO: Complianz Schritt fuer Schritt

Der Banner braucht gleichwertige Buttons "Akzeptieren" und "Ablehnen", ohne Voreinstellung
Skripte blockierst du vor der Einwilligung, nicht danach
Complianz scannt Cookies, erstellt die Datenschutzerklaerung und blockiert Skripte nativ
Google Consent Mode v2 seit 2024 fuer Remarketing in Google Ads Pflicht
Paragraf 25 TDDDG verlangt die Einwilligung fuer Cookies ausdruecklich
Haeufigster Fehler ist der Schein-Banner, der nur so aussieht
[/dwb_keytakeaways]

Wozu ueberhaupt eine Cookie-Einwilligung

Cookie-Consent ist kein Deko-Element und kein Haekchen zum Abarbeiten. Es ist eine rechtliche Pflicht mit einer einfachen Aussage: Bevor du einen Nutzer trackst, musst du ihn fragen und ein klares "Ja" bekommen. Das gilt fuer alles, was Daten im Browser speichert oder eine Person identifiziert und nicht zwingend fuer den Betrieb der Seite noetig ist.

Praktisch geht es um drei Gruppen von Skripten: Statistik (Google Analytics), Marketing (Meta Pixel, Google Ads, Remarketing) und eingebettete externe Inhalte (Google Maps, YouTube-Videos, Chat). Rein technische Cookies wie der Warenkorb im Shop oder das Merken des Logins laufen ohne Einwilligung, weil die Seite ohne sie ihre Funktion nicht erfuellt.

Der entscheidende Grundsatz, an dem die meisten Seiten scheitern: Die Einwilligung muss vor dem Skriptstart liegen. Es reicht nicht, den Banner zu zeigen und Analytics gleichzeitig im Hintergrund zu laden. Startet das Skript vor dem Klick auf die Einwilligung, ist der Banner nur Dekoration und die Seite verstoesst gegen das Gesetz, egal wie schoen sie aussieht.

DSGVO und TDDDG: zwei Ebenen, beide gelten

Bevor wir zur Konfiguration kommen, eine kurze Einordnung, denn die Rechtslage in Deutschland hat zwei Ebenen. Die DSGVO ist die EU-Verordnung zum Datenschutz allgemein, sie regelt, wie du mit personenbezogenen Daten umgehst. Das TDDDG ist das deutsche Spezialgesetz fuer den Zugriff auf das Endgeraet, also fuer das Setzen und Auslesen von Cookies.

Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) hat im Mai 2024 das fruehere TTDSG abgeloest, inhaltlich ohne grosse Aenderungen. Sein Paragraf 25 sagt klar: Fuer das Speichern und Auslesen von Informationen auf dem Geraet brauchst du die Einwilligung, ausser fuer das technisch Unbedingte. Wichtig ist die deutsche Eigenheit der Abmahnung. Anders als in vielen anderen Laendern koennen hier Wettbewerber und Verbaende kostenpflichtig abmahnen, bevor ueberhaupt eine Behoerde taetig wird. Das macht einen sauberen Banner in Deutschland nicht zur Kür, sondern zur Pflicht.

Cookie-Kategorien: die richtige Aufteilung

Ein rechtssicherer Banner behandelt nicht alle Cookies gleich. Er teilt sie in Kategorien, ueber die der Nutzer einzeln entscheidet (ausser den notwendigen). Die uebliche, anerkannte Aufteilung sieht so aus:

Im Banner sind die notwendigen Cookies immer aktiv und ausgegraut, sie lassen sich nicht abschalten, weil die Seite sonst nicht laeuft. Der Rest ist standardmaessig aus und wartet auf die Entscheidung des Nutzers. Genau hier passiert der haeufige Fehler, naemlich Statistik oder Marketing vorab aktiviert zu lassen, was unzulaessig ist.

Complianz: warum dieses Plugin

Auf WordPress gibt es mehrere Consent-Plugins, doch zwei Dinge heben Complianz hervor: die native Skript-Blockierung und der Dokumenten-Assistent. Es zeigt nicht nur den Banner, sondern haelt Analytics, Pixel oder eingebettetes YouTube bis zur Einwilligung tatsaechlich an, ueber WordPress-Hooks, ohne Eingriff in den Theme-Code.

• Cookie-Scanner: durchsucht die Seite, erkennt genutzte Cookies und Skripte und ordnet sie automatisch den Kategorien zu.
• Dokumenten-Assistent: erstellt Datenschutzerklaerung, Cookie-Richtlinie und Erklaerungen passend zur Region (DSGVO, CCPA).
• Skript-Blockierung: haelt bekannte Marketing- und Statistik-Skripte vor der Einwilligung an, auch die ueber den Tag-Manager.
• Consent Mode v2: bindet die Einwilligungssignale fuer Google per Schalter ein.

Die Gratis-Version reicht fuer die meisten einfachen Seiten. Premium, im Bereich von rund 60-70 Euro pro Jahr fuer eine einzelne Domain, ergaenzt den Hybrid-Scan (erkennt auch Cookies, die erst nach der Einwilligung erscheinen), einen Assistenten fuer Auftragsverarbeitungsvertraege und Support. Fuer einen Shop mit vielen Pixeln lohnt Premium meist, fuer eine Visitenkarte ist es nicht noetig.

Complianz Schritt fuer Schritt konfigurieren

Das gesamte Setup dauert auf einer einfachen Seite meist 30-45 Minuten. Der Assistent fuehrt durch den Prozess, aber ein paar Entscheidungen solltest du verstehen, statt blind zu klicken.

Der wichtigste Schritt ist der mit den Banner-Buttons. Es muessen zwei gleichwertige sein, Zustimmung und Ablehnung, schon auf der ersten Ebene sichtbar, gleich gross und visuell gleich gewichtet. Das "Ablehnen" hinter einem zusaetzlichen Klick zu verstecken oder es als kleinen grauen Link zu gestalten ist ein klassisches Dark Pattern, das die Wirksamkeit der Einwilligung untergraebt.

Google Consent Mode v2: wozu und wie

Consent Mode v2 ist die Bruecke zwischen deinem Banner und den Google-Diensten. Statt die Google-Skripte nur zu blockieren oder freizugeben, uebermittelst du ihnen den Einwilligungsstatus in vier Signalen (unter anderem analytics_storage und ad_storage). So weiss Google, was erlaubt ist und was nicht.

Warum das seit 2024 wichtig ist: Ohne Consent Mode v2 sammeln Remarketing und Zielgruppenlisten in Google Ads keine Daten von EU-Nutzern mehr, und die Conversion-Messung wird lueckenhaft. Es gibt zudem einen praktischen Vorteil. Im Basis-Modus erhaelt Google bei Ablehnung weiterhin anonymisierte, aggregierte Signale (sogenanntes Modeling), sodass die Berichte in Analytics 4 nicht voellig leer bleiben. Das ist der Unterschied zwischen "ich weiss nichts ueber Traffic ohne Einwilligung" und "ich habe Naeherungsdaten".

Skript-Blockierung vor der Einwilligung: der Kern der Sache

Hier entscheidet sich, ob dein Banner echt ist oder nur so tut. Die ganze Idee ist, dass das Tracking-Skript im Browser nicht existiert, solange keine Einwilligung vorliegt. Complianz erreicht das auf mehreren Wegen gleichzeitig.

1. Bekannte Dienste: vom Plugin erkannte Skripte (Analytics, Pixel, gaengige Einbettungen) werden nach der Auswahl im Assistenten automatisch blockiert.
2. Einbettungen: Google Maps und YouTube-Videos werden durch einen Platzhalter ersetzt, der den Inhalt erst nach dem Klick auf die Einwilligung laedt.
3. Manuell ergaenzte Skripte: eigenen Code, den du ins Theme eingefuegt hast, markierst du mit dem passenden Attribut, damit Complianz ihn anhaelt.

Die Pruefung ist einfach und machst du selbst. Du oeffnest die Seite im Inkognito-Modus, gehst in die Entwicklertools des Browsers, Reiter Netzwerk (Network), und laedst neu, bevor du irgendetwas im Banner klickst. Siehst du dort Anfragen an google-analytics, facebook oder doubleclick, funktioniert die Blockierung nicht und die Konfiguration muss korrigiert werden. Nach der Einwilligung sollten diese Anfragen erst erscheinen.

Haeufige Fehler und reale Strafen

Aus Audits von Seiten und Shops sehe ich immer wieder dieselben Stolperfallen. Die meisten sehen nach einer Kleinigkeit aus, lassen aber den ganzen Banner unwirksam werden.

• Schein-Banner: Skripte laden vor der Einwilligung, obwohl der Banner steht. Der haeufigste und schwerste Fehler, denn formal liegt gar keine Einwilligung vor.
• Kein gleichwertiges "Ablehnen": auf der ersten Ebene gibt es nur "Akzeptieren", die Ablehnung steckt tiefer. Verstoesst gegen die Freiwilligkeit.
• Vorab aktivierte Kategorien: Statistik oder Marketing von vornherein an. Ausdruecklich unzulaessig.
• Datenschutzerklaerung aus dem Netz: von einer anderen Seite kopiert, beschreibt nicht die real genutzten Tools und Datenempfaenger.
• Kein Consent Mode v2 bei aktivem Google Ads: die Kampagnen verlieren Daten, und du weisst nicht, warum die Conversions gesunken sind.

Zu den Strafen schuere ich keine Angst mit den Hoechstbetraegen der Verordnung, denn 20 Mio. Euro sind fuer eine kleine Firma ein praxisfernes Szenario. Das reale Risiko ist anders gelagert. Nach TDDDG drohen Bussgelder bis 300.000 Euro, und deutlich haeufiger trifft Betreiber die Abmahnung, also ein kostenpflichtiges Schreiben von Wettbewerbern oder Verbraucherverbaenden, das schon fuer den Brief mehrere hundert bis einige tausend Euro kosten kann, bevor die Sache irgendwo weitergeht.

Kurzer Entscheidungsweg

Damit du nicht mit reiner Theorie zurueckbleibst, so waehle ich die Loesung bei Kunden aus:

• Einfache Firmenseite oder Blog, nur Analytics: Gratis-Complianz, Assistent, Consent Mode v2, in einer Stunde fertig.
• WooCommerce-Shop mit Pixeln und Remarketing: Complianz Premium mit Hybrid-Scan, denn Marketing-Cookies tauchen gern erst nach der Einwilligung auf.
• Seite fuer den deutschen Markt: Konfiguration nach dem strengeren Standard mit TDDDG, Datenschutzdokumente sauber gepflegt, genaue Blockierung vor der Einwilligung.

Wenn du das nicht selbst einrichten oder nicht riskieren willst, dass der Banner nur so aussieht, mache ich das bei DawidWeb standardmaessig bei jeder Seite und jedem Shop: Complianz-Konfiguration fuer deinen Tool-Stack, Datenschutz- und Cookie-Dokumente passend zu den real genutzten Diensten, Consent Mode v2 fuer Google Ads und der Test der Skript-Blockierung vor der Einwilligung. Webseiten und Shops baue ich ab 600 Euro, mit ueber 120 Projekten fuer den deutschen und polnischen Markt, und ein konkretes Angebot bekommst du innerhalb von 24 Stunden.