Technical Compliance
Cookie Banner DSGVO für Websites
Wann deutsche Websites ein Consent-Banner brauchen, was gleichwertiges Ablehnen bedeutet und wie Tags vor dem Klick gestoppt werden. TTDSG plus DSGVO, für Operatoren.
Kurz gesagt
- In Deutschland braucht das Speichern oder Auslesen von Informationen auf dem Endgerät (Cookies, localStorage, Pixel, SDKs) in der Regel vorherige Einwilligung, es sei denn, die Speicherung ist unbedingt erforderlich für einen vom Nutzer ausdrücklich gewünschten Dienst.
- Die DSGVO regelt die folgende Verarbeitung personenbezogener Daten. TTDSG-/ePrivacy-nahe Regeln regeln den Gerätezugriff. Beide Ebenen zählen für ein Live-Banner.
- Ablehnen muss so einfach sein wie Akzeptieren. Vorausgewählte Marketing-Haken fallen durch. Analytics und Ads bleiben still, bis der Nutzer zustimmt.
- Ein Banner allein reicht nicht. Dazu gehören treffende Datenschutzerklärung, AV-Verträge und ein Retest nach jedem neuen Pixel. Siehe DSGVO Website Checkliste und DSGVO-Audit.
Warum diese Seite
Die meisten Banner-Fails sind technisch: Tags laden vor dem Klick.
Teams bestellen oft ein „DSGVO-Cookie-Banner“, als wäre der UI-Text die ganze Arbeit. Auf Production sieht der Fail anders aus: Google Analytics, Meta, LinkedIn, Hotjar oder ein Chat-Widget sprechen schon beim ersten Paint mit dem Netzwerk, während das Banner noch um eine Wahl bittet.
Dieser Artikel gilt für Deutschland-orientierte Business-Sites: Marketing-WordPress, B2B-Lead-Gen und Produkt-Marketing mit Analytics oder Ads. Er stützt das kommerzielle DSGVO-Audit. Kostenrahmen: DSGVO-Audit Kosten.
Das ist Operator-Guidance für Implementierungschecks. Bildungsinhalt. Rechtsgrundlagen auf Entity-Ebene und Anwaltsreview bleiben bei Ihren Beratern.
Ein Cookie-Banner ohne blockierte Tags ist Dekoration. Consent braucht blockierte Tags bis zur Zustimmung.
TTDSG + DSGVO
Zwei Ebenen: Gerätezugriff, dann Verarbeitung personenbezogener Daten.
Geräte-Ebene (TTDSG / ePrivacy-nahe Regeln in Deutschland): Speichern oder Auslesen von Informationen auf dem Endgerät braucht in der Regel vorherige Einwilligung, es sei denn, die Speicherung ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen (z. B. ein Load-Balancer-Cookie für eine Login-Session).
Verarbeitungs-Ebene (DSGVO): Sobald Kennungen oder Verhaltensdaten personenbezogen sind, brauchen Sie eine Rechtsgrundlage, transparente Hinweise und die üblichen Verantwortlichen-Pflichten. Für Marketing und die meisten Analytics ist das typischerweise Einwilligung.
Praxis für deutsche Websites: Nicht notwendige Cookies, Pixel und ähnliche Technik hinter Consent legen. Notwendige Technik bleibt an; alles andere wartet. Die Datenschutzerklärung muss beschreiben, was nach Zustimmung wirklich läuft.
Wann ein Banner nötig ist
Kurzmap: notwendige Speicherung vs. consent-pflichtige Tools.
| Situation | Typische Einordnung | Banner / Consent-Hinweis |
|---|---|---|
| Session-/Security-Cookies, die den gewünschten Dienst betreiben | Oft notwendig | Können ohne Marketing-Opt-in laufen; trotzdem dokumentieren |
| GA4, Meta Pixel, LinkedIn Insight, Hotjar, A/B-Tools | Consent-pflichtig | Scripts und IDs erst nach Zustimmung laden |
| Eingebettetes YouTube / Karten mit Third-Party-Cookies | Meist consent-pflichtig oder privacy-freundliches Embed | Blockieren oder consent-aware Embed nutzen |
| Chat-Widgets, die beim ersten Load Visitor-IDs setzen | Oft consent-pflichtig | Nach Zustimmung laden oder Modus ohne nicht notwendige Speicherung |
| Strikt first-party Preference-Cookie für „Sprache = DE“ nach Nutzerwahl | Fallbezogen; minimal halten | Zweck dokumentieren; keine Marketing-IDs mitschleifen |
Praktische Checkliste
Acht Cookie-Banner-Checks, bevor die Site „fertig“ heißt.
01
Jedes Cookie und ähnliche Technik inventarisieren
Cookies, localStorage-Keys, Pixel und SDKs nach Zweck listen (notwendig, funktional, Analytics, Marketing). Wer setzt sie? Was fehlt im Inventar, fehlt in der Datenschutzerklärung.
02
Nicht notwendige Tags bis zur Zustimmung blockieren
Im frischen Privatfenster alles ablehnen. Prüfen, dass GA, Ads und Heatmaps keine Network-Calls machen und keine IDs setzen. Nur Analytics akzeptieren und prüfen, dass Marketing aus bleibt, wenn abgelehnt.
03
Ablehnen und Akzeptieren gleich einfach
„Alles ablehnen“ muss auf der ersten Ebene sichtbar sein, mit vergleichbarem Aufwand wie „Alles akzeptieren“. Ablehnen hinter drei Menüs fällt im UX-Test durch.
04
Keine vorausgewählten Marketing- oder Analytics-Haken
Optionale Kategorien starten unchecked. Schweigen oder ein geschlossenes Banner heißt: nicht notwendige Tools bleiben aus. Vorausgewählte Haken sind ein Klassiker-Fail.
05
Consent-Protokoll und Widerrufsweg
Festhalten, was gewählt wurde und wann. Klaren Weg bieten, Consent später zu ändern oder zu widerrufen (Footer-Link ist üblich). Widerruf soll nicht notwendige Tags beim nächsten Load stoppen.
06
Datenschutzerklärung zum Live-Stack passend
Jedes Tool, das nach Zustimmung läuft, muss mit Zweck, Datenkategorien und Empfängern stehen. Policy aktualisieren, wenn Marketing ein Pixel ergänzt.
07
CMP vs. Eigenbau: wählen, was Sie halten können
Eine gepflegte Consent-Management-Platform (CMP) mit Auto-Blocking schlägt oft ein Hand-Script, das beim nächsten GTM-Publish bricht. Eigenbau geht, wenn Engineering Blocking-Tests in CI oder einer Release-Checkliste besitzt.
08
WordPress: Plugins, GTM und Theme-Footer
Plugins prüfen, die Analytics selbst injizieren. GTM so verdrahten, dass Tags das CMP-Signal respektieren. Doppelte hard-codierte GA-Snippets aus dem Theme entfernen. Nach jedem Plugin-Update retesten.
Häufige Fehler
Was wir sehen, wenn Tags das Banner ignorieren.
Tags feuern vor dem Akzeptieren: Scripts im `<head>`, Theme-Footer oder GTM-„All Pages“-Tags ohne Consent-Signal. Fix: Hard-Block oder Consent Mode / CMP-Auto-Block bis zur Freigabe.
Ablehnen ist schwerer als Akzeptieren: Accept-all als großer Button, Reject hinter „Einstellungen“. Fix: gleiche Ebene, gleicher Aufwand.
Banner-UI ohne Processor-Story: Der CMP-Vendor selbst kann Consent-Logs verarbeiten. In die Datenschutzerklärung und AVV, wo nötig.
WordPress doppelt geladen: MonsterInsights / Site Kit / Theme-Code plus GTM feuern alle GA. Fix: ein Injektionspfad, consent-gated.
Fünfzehn-Minuten-Smoke-Test
Im Privatfenster auf Production laufen lassen.
✓
Site-Daten löschen. Homepage laden. Am Banner nichts tun: nicht notwendige Network-Calls bleiben aus.
✓
Alles ablehnen: weiterhin keine Analytics-/Ads-IDs oder Requests.
✓
Nur Analytics akzeptieren: nur diese Tools erscheinen; Marketing bleibt ruhig, wenn abgelehnt.
✓
Einstellungen im Footer erneut öffnen und widerrufen: nächster Load hält nicht notwendige Tools aus.
✓
Datenschutzerklärung öffnen: jedes Live-Tool aus dem Netzwerkpanel ist beschrieben.
Nächste Schritte
Banner steht. Den Blick auf den ganzen Website-Stack weiten.
Nutzen Sie die DSGVO Website Checkliste für Datenschutztexte, AVV, Formulare und Betroffenenrechte. Wenn die Stakes hoch sind (Enterprise-Review, Jahre unkontrollierter Pixel), ein technisches DSGVO-Audit beauftragen. Kostenrahmen: DSGVO-Audit Kosten.
Wenn Google Analytics im Scope ist, als Nächstes Google Analytics DSGVO lesen: Consent vor dem Laden, Verträge und Konfigurationswahl.
Häufige Fragen
Was man zu Cookie-Bannern in Deutschland fragt.
Ist ein Cookie-Banner in Deutschland Pflicht?
Wenn Ihre Site nicht notwendige Informationen auf dem Endgerät speichert oder ausliest (typische Analytics, Ads, viele Embeds), brauchen Sie in der Regel vorherige Einwilligung. Unbedingt erforderliche Speicherung für einen gewünschten Dienst wird anders behandelt. Die meisten Marketing-Sites brauchen einen echten Consent-Mechanismus plus DSGVO-konforme Verarbeitung für die folgenden personenbezogenen Daten.
Was ist der Unterschied zwischen TTDSG und DSGVO bei Cookies?
TTDSG-nahe Regeln zielen auf Zugriff bzw. Speicherung auf dem Gerät. Die DSGVO zielt auf die Verarbeitung personenbezogener Daten. Ein taugliches Setup adressiert beides: Consent vor nicht notwendigem Gerätezugriff und rechtmäßige, transparente Verarbeitung danach.
Muss „Alles ablehnen“ so einfach sein wie „Alles akzeptieren“?
Ja in der Praxis für eine gültige Consent-UX: Nutzer müssen ebenso leicht ablehnen wie akzeptieren können. Ablehnen hinter verschachtelten Einstellungen zu verstecken, während Accept ein Klick ist, ist ein häufiger Befund in Reviews.
Dürfen Marketing-Checkboxen vorausgewählt sein?
Nein. Einwilligung muss freiwillig und eindeutig sein. Vorausgewählte Analytics- oder Marketing-Optionen erfüllen diesen Standard nicht.
Brauchen wir eine CMP, oder reicht ein Eigenbau-Banner?
Kein Gesetz verlangt eine bestimmte CMP-Marke. Sie brauchen gültigen Consent und wirksames Blocking. Viele Teams nutzen eine CMP, weil Auto-Blocking und Logs leichter zu halten sind. Eigenbau geht, wenn Sie die Blocking-Tests besitzen und nach jedem GTM- oder Plugin-Wechsel aktuell halten.
Macht ein Cookie-Banner allein eine deutsche Website DSGVO-konform?
Nein. Sie brauchen weiterhin eine treffende Datenschutzerklärung, AV-Verträge, einen Betroffenenrechte-Pfad und Formulare, die zu Ihren Hinweisen passen. Das Banner ist eine Kontrolle. Siehe die volle Website-Checkliste oder ein DSGVO-Audit.
Hier starten
Bereit fürs Gespräch.Schicken Sie uns die Eckdaten.
oder 15-Minuten-Gespräch buchen →oder direkt per E-Mail →
Unklar, wo Sie anfangen sollen? Schicken Sie die Seite, den Workflow oder das Backlog, das gerade stört. Wir sagen Ihnen, ob ein Scope-Gespräch, eine kurze Diagnose oder ein anderer erster Schritt passt.