Cookie-Consent und DSGVO: Complianz Schritt für Schritt

Der Banner braucht gleichwertige Buttons "Akzeptieren" und "Ablehnen", ohne Voreinstellung
Skripte blockierst du vor der Einwilligung, nicht danach
Complianz scannt Cookies, erstellt die Datenschutzerklaerung und blockiert Skripte nativ
Google Consent Mode v2 seit 2024 für Remarketing in Google Ads Pflicht
Paragraf 25 TDDDG verlangt die Einwilligung für Cookies ausdrücklich
Häufigster Fehler ist der Schein-Banner, der nur so aussieht
[/dwb_keytakeaways]

Wozu überhaupt eine Cookie-Einwilligung

Cookie-Consent ist kein Deko-Element und kein Häkchen zum Abarbeiten. Es ist eine rechtliche Pflicht mit einer einfachen Aussage: Bevor du einen Nutzer trackst, musst du ihn fragen und ein klares "Ja" bekommen. Das gilt für alles, was Daten im Browser speichert oder eine Person identifiziert und nicht zwingend für den Betrieb der Seite nötig ist.

Praktisch geht es um drei Gruppen von Skripten: Statistik (Google Analytics), Marketing (Meta Pixel, Google Ads, Remarketing) und eingebettete externe Inhalte (Google Maps, YouTube-Videos, Chat). Rein technische Cookies wie der Warenkorb im Shop oder das Merken des Logins laufen ohne Einwilligung, weil die Seite ohne sie ihre Funktion nicht erfüllt.

Der entscheidende Grundsatz, an dem die meisten Seiten scheitern: Die Einwilligung muss vor dem Skriptstart liegen. Es reicht nicht, den Banner zu zeigen und Analytics gleichzeitig im Hintergrund zu laden. Startet das Skript vor dem Klick auf die Einwilligung, ist der Banner nur Dekoration und die Seite verstößt gegen das Gesetz, egal wie schön sie aussieht.

DSGVO und TDDDG: zwei Ebenen, beide gelten

Bevor wir zur Konfiguration kommen, eine kurze Einordnung, denn die Rechtslage in Deutschland hat zwei Ebenen. Die DSGVO ist die EU-Verordnung zum Datenschutz allgemein, sie regelt, wie du mit personenbezogenen Daten umgehst. Das TDDDG ist das deutsche Spezialgesetz für den Zugriff auf das Endgeraet, also für das Setzen und Auslesen von Cookies.

Das TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) hat im Mai 2024 das frühere TTDSG abgelöst, inhaltlich ohne große Änderungen. Sein Paragraf 25 sagt klar: Für das Speichern und Auslesen von Informationen auf dem Gerät brauchst du die Einwilligung, außer für das technisch Unbedingte. Wichtig ist die deutsche Eigenheit der Abmahnung. Anders als in vielen anderen Ländern können hier Wettbewerber und Verbände kostenpflichtig abmahnen, bevor überhaupt eine Behörde tätig wird. Das macht einen sauberen Banner in Deutschland nicht zur Kür, sondern zur Pflicht.

Cookie-Kategorien: die richtige Aufteilung

Ein rechtssicherer Banner behandelt nicht alle Cookies gleich. Er teilt sie in Kategorien, über die der Nutzer einzeln entscheidet (außer den notwendigen). Die übliche, anerkannte Aufteilung sieht so aus:

Im Banner sind die notwendigen Cookies immer aktiv und ausgegraut, sie lassen sich nicht abschalten, weil die Seite sonst nicht läuft. Der Rest ist standardmäßig aus und wartet auf die Entscheidung des Nutzers. Genau hier passiert der häufige Fehler, nämlich Statistik oder Marketing vorab aktiviert zu lassen, was unzulässig ist.

Complianz: warum dieses Plugin

Auf WordPress gibt es mehrere Consent-Plugins, doch zwei Dinge heben Complianz hervor: die native Skript-Blockierung und der Dokumenten-Assistent. Es zeigt nicht nur den Banner, sondern hält Analytics, Pixel oder eingebettetes YouTube bis zur Einwilligung tatsächlich an, über WordPress-Hooks, ohne Eingriff in den Theme-Code.

• Cookie-Scanner: durchsucht die Seite, erkennt genutzte Cookies und Skripte und ordnet sie automatisch den Kategorien zu.
• Dokumenten-Assistent: erstellt Datenschutzerklaerung, Cookie-Richtlinie und Erklärungen passend zur Region (DSGVO, CCPA).
• Skript-Blockierung: hält bekannte Marketing- und Statistik-Skripte vor der Einwilligung an, auch die über den Tag-Manager.
• Consent Mode v2: bindet die Einwilligungssignale für Google per Schalter ein.

Die Gratis-Version reicht für die meisten einfachen Seiten. Premium, im Bereich von rund 60-70 Euro pro Jahr für eine einzelne Domain, ergänzt den Hybrid-Scan (erkennt auch Cookies, die erst nach der Einwilligung erscheinen), einen Assistenten für Auftragsverarbeitungsvertraege und Support. Für einen Shop mit vielen Pixeln lohnt Premium meist, für eine Visitenkarte ist es nicht nötig.

Complianz Schritt für Schritt konfigurieren

Das gesamte Setup dauert auf einer einfachen Seite meist 30-45 Minuten. Der Assistent führt durch den Prozess, aber ein paar Entscheidungen solltest du verstehen, statt blind zu klicken.

Der wichtigste Schritt ist der mit den Banner-Buttons. Es müssen zwei gleichwertige sein, Zustimmung und Ablehnung, schon auf der ersten Ebene sichtbar, gleich groß und visuell gleich gewichtet. Das "Ablehnen" hinter einem zusätzlichen Klick zu verstecken oder es als kleinen grauen Link zu gestalten ist ein klassisches Dark Pattern, das die Wirksamkeit der Einwilligung untergräbt.

Google Consent Mode v2: wozu und wie

Consent Mode v2 ist die Brücke zwischen deinem Banner und den Google-Diensten. Statt die Google-Skripte nur zu blockieren oder freizugeben, übermittelst du ihnen den Einwilligungsstatus in vier Signalen (unter anderem analytics_storage und ad_storage). So weiß Google, was erlaubt ist und was nicht.

Warum das seit 2024 wichtig ist: Ohne Consent Mode v2 sammeln Remarketing und Zielgruppenlisten in Google Ads keine Daten von EU-Nutzern mehr, und die Conversion-Messung wird lückenhaft. Es gibt zudem einen praktischen Vorteil. Im Basis-Modus erhält Google bei Ablehnung weiterhin anonymisierte, aggregierte Signale (sogenanntes Modeling), sodass die Berichte in Analytics 4 nicht völlig leer bleiben. Das ist der Unterschied zwischen "ich weiß nichts über Traffic ohne Einwilligung" und "ich habe Naeherungsdaten".

Skript-Blockierung vor der Einwilligung: der Kern der Sache

Hier entscheidet sich, ob dein Banner echt ist oder nur so tut. Die ganze Idee ist, dass das Tracking-Skript im Browser nicht existiert, solange keine Einwilligung vorliegt. Complianz erreicht das auf mehreren Wegen gleichzeitig.

1. Bekannte Dienste: vom Plugin erkannte Skripte (Analytics, Pixel, gängige Einbettungen) werden nach der Auswahl im Assistenten automatisch blockiert.
2. Einbettungen: Google Maps und YouTube-Videos werden durch einen Platzhalter ersetzt, der den Inhalt erst nach dem Klick auf die Einwilligung lädt.
3. Manuell ergänzte Skripte: eigenen Code, den du ins Theme eingefügt hast, markierst du mit dem passenden Attribut, damit Complianz ihn anhält.

Die Prüfung ist einfach und machst du selbst. Du öffnest die Seite im Inkognito-Modus, gehst in die Entwicklertools des Browsers, Reiter Netzwerk (Network), und lädst neu, bevor du irgendetwas im Banner klickst. Siehst du dort Anfragen an google-analytics, facebook oder doubleclick, funktioniert die Blockierung nicht und die Konfiguration muss korrigiert werden. Nach der Einwilligung sollten diese Anfragen erst erscheinen.

Häufige Fehler und reale Strafen

Aus Audits von Seiten und Shops sehe ich immer wieder dieselben Stolperfallen. Die meisten sehen nach einer Kleinigkeit aus, lassen aber den ganzen Banner unwirksam werden.

• Schein-Banner: Skripte laden vor der Einwilligung, obwohl der Banner steht. Der häufigste und schwerste Fehler, denn formal liegt gar keine Einwilligung vor.
• Kein gleichwertiges "Ablehnen": auf der ersten Ebene gibt es nur "Akzeptieren", die Ablehnung steckt tiefer. Verstößt gegen die Freiwilligkeit.
• Vorab aktivierte Kategorien: Statistik oder Marketing von vornherein an. Ausdrücklich unzulässig.
• Datenschutzerklaerung aus dem Netz: von einer anderen Seite kopiert, beschreibt nicht die real genutzten Tools und Datenempfaenger.
• Kein Consent Mode v2 bei aktivem Google Ads: die Kampagnen verlieren Daten, und du weißt nicht, warum die Conversions gesunken sind.

Zu den Strafen schüre ich keine Angst mit den Hoechstbetraegen der Verordnung, denn 20 Mio. Euro sind für eine kleine Firma ein praxisfernes Szenario. Das reale Risiko ist anders gelagert. Nach TDDDG drohen Bussgelder bis 300.000 Euro, und deutlich häufiger trifft Betreiber die Abmahnung, also ein kostenpflichtiges Schreiben von Wettbewerbern oder Verbraucherverbaenden, das schon für den Brief mehrere hundert bis einige tausend Euro kosten kann, bevor die Sache irgendwo weitergeht.

Kurzer Entscheidungsweg

Damit du nicht mit reiner Theorie zurückbleibst, so wähle ich die Lösung bei Kunden aus:

• Einfache Firmenseite oder Blog, nur Analytics: Gratis-Complianz, Assistent, Consent Mode v2, in einer Stunde fertig.
• WooCommerce-Shop mit Pixeln und Remarketing: Complianz Premium mit Hybrid-Scan, denn Marketing-Cookies tauchen gern erst nach der Einwilligung auf.
• Seite für den deutschen Markt: Konfiguration nach dem strengeren Standard mit TDDDG, Datenschutzdokumente sauber gepflegt, genaue Blockierung vor der Einwilligung.

Wenn du das nicht selbst einrichten oder nicht riskieren willst, dass der Banner nur so aussieht, mache ich das bei DawidWeb standardmäßig bei jeder Seite und jedem Shop: Complianz-Konfiguration für deinen Tool-Stack, Datenschutz- und Cookie-Dokumente passend zu den real genutzten Diensten, Consent Mode v2 für Google Ads und der Test der Skript-Blockierung vor der Einwilligung. Webseiten und Shops baue ich ab 600 Euro, mit über 120 Projekten für den deutschen und polnischen Markt, und ein konkretes Angebot bekommst du innerhalb von 24 Stunden.