DSGVO-Cookie-Banner für deutsche Websites: Praxisleitfaden

Ein Cookie-Banner ist mehr als ein Designelement: Es sollte verständliche Auswahlmöglichkeiten bieten und technisch korrekt mit den eingebundenen Analyse-, Marketing- und Drittanbieterdiensten zusammenspielen.

Eine Consent-Management-Plattform (CMP) kann dabei helfen, Einwilligungen einzuholen und zu dokumentieren sowie Skripte zu steuern. Sie gewährleistet jedoch nicht allein die rechtliche Konformität. Entscheidend sind auch die eingesetzten Dienste, ihre konkreten Zwecke, die jeweiligen Rechtsgrundlagen, die Datenschutzerklärung und die technische Umsetzung.

Rechtlicher Kontext in Deutschland

Für deutsche Websites sind insbesondere die DSGVO und das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) relevant. § 25 TDDDG betrifft die Speicherung von Informationen auf Endgeräten und den Zugriff auf bereits gespeicherte Informationen. Ob eine Einwilligung erforderlich ist, hängt von der jeweiligen Technologie, ihrem Zweck und den gesetzlichen Voraussetzungen ab.

Hilfreiche Ausgangspunkte für die eigene Prüfung sind:

• § 25 TDDDG
• Bundesbeauftragte für den Datenschutz und die Informationsfreiheit
• Datenschutzkonferenz
• Europäischer Datenschutzausschuss
• Datenschutzinformationen der Europäischen Kommission
• Dokumentation zu Google Consent Mode

Dieser Leitfaden konzentriert sich auf Deutschland. Für Österreich und die Schweiz gelten teilweise andere rechtliche und aufsichtsbehördliche Rahmenbedingungen.

Was ein gutes Cookie-Banner leisten sollte

Das Banner ist der sichtbare Teil eines Einwilligungssystems. Es sollte verständlich über die Auswahlmöglichkeiten informieren und diese technisch korrekt an die eingesetzten Dienste übermitteln.

Komponente	Praktischer Zweck
Verständliche erste Ebene	Erklärt kurz, welche Auswahl getroffen werden kann
Klare Auswahlmöglichkeiten	Ermöglichen Zustimmung, Ablehnung und individuelle Einstellungen
Kategorien	Trennen beispielsweise notwendige, statistische und Marketing-Dienste
Anbieterinformationen	Zeigen, welche Dienste eingesetzt werden
Skriptsteuerung	Verhindert den vorzeitigen Start einwilligungspflichtiger Dienste
Google Consent Mode v2	Übermittelt Einwilligungssignale an unterstützte Google-Dienste
Einwilligungsprotokolle	Dokumentieren die angezeigte Version und die getroffene Auswahl
Präferenzcenter	Ermöglicht eine spätere Änderung oder einen Widerruf

Bezeichnungen wie „Alle akzeptieren“, „Ablehnen“, „Statistik“ und „Marketing“ sollten unmittelbar verständlich sein. Vermeiden Sie Gestaltungen, die eine Auswahl unangemessen hervorheben oder die Ablehnung erschweren.

Cookie-Banner technisch umsetzen

1. Dienste und Skripte erfassen

Erstellen Sie eine Bestandsaufnahme aller eingebundenen Technologien. Dazu können GA4, Google Ads, Meta Pixel, Chat-Widgets, Karten, Videos und andere externe Inhalte gehören. Prüfen Sie neben dem Quellcode auch Tag-Manager, Plugins und nachgeladene Ressourcen.

2. Kategorien festlegen

Ordnen Sie die gefundenen Dienste nachvollziehbaren Kategorien zu. Ob ein Dienst ohne Einwilligung eingesetzt werden darf, sollte anhand seines konkreten Zwecks und seiner technischen Funktionsweise geprüft werden. Die Bezeichnung „notwendig“ allein genügt dafür nicht.

3. Bannertexte verfassen

Formulieren Sie kurze, natürliche deutsche Texte. Die erste Ebene sollte die wesentlichen Auswahlmöglichkeiten enthalten. Ausführlichere Informationen zu Zwecken, Anbietern und Kategorien können in den Einstellungen bereitgestellt werden.

4. Skriptsteuerung konfigurieren

Verbinden Sie die Kategorien mit den tatsächlichen Skripten und Tags. Ein optisch korrektes Banner erfüllt seinen Zweck nicht, wenn einwilligungspflichtige Dienste bereits vor der Auswahl geladen werden.

5. Google Consent Mode v2 zuordnen

Wenn Sie Google Consent Mode v2 einsetzen, sollten die Standardsignale vor den betreffenden Google-Tags gesetzt und nach der Auswahl aktualisiert werden. Consent Mode ist eine technische Signalebene und kein Ersatz für eine erforderliche Einwilligung oder rechtliche Prüfung. Eine ausführlichere Einführung bietet der Leitfaden zu Google Consent Mode v2.

6. Veröffentlichung kontrollieren

Testen Sie die öffentlich erreichbare Website. Verlassen Sie sich nicht ausschließlich auf die Vorschau oder den Administrationsbereich der CMP.

Wichtige Testszenarien

Verwenden Sie für jeden Test ein sauberes Browserprofil und kontrollieren Sie neben der Oberfläche auch Cookies, Local Storage und Netzwerkanfragen.

Testen Sie mindestens:

• den ersten Besuch ohne gespeicherte Auswahl,
• die Ablehnung optionaler Dienste,
• eine individuelle Auswahl einzelner Kategorien,
• die vollständige Zustimmung,
• die spätere Änderung oder den Widerruf,
• die Darstellung und Bedienung auf Mobilgeräten.

Prüfen Sie außerdem, ob eingebettete Inhalte und Marketing-Tags tatsächlich auf die jeweilige Auswahl reagieren.

Häufige Fehler

• Analyse- oder Marketingdienste laden bereits vor der Auswahl.
• Schaltflächen und Kategorien sind unklar beschriftet.
• Die mobile Darstellung verdeckt Inhalte oder erschwert die Bedienung.
• Neue Plugins, Kampagnen oder Tags werden nicht in die CMP-Konfiguration aufgenommen.
• Consent Mode v2 wird fälschlich als Ersatz für die Einwilligungsverwaltung behandelt.
• Bannertexte, Datenschutzerklärung und technische Konfiguration widersprechen einander.

Zuständigkeiten und laufende Pflege

Benennen Sie eine verantwortliche Person für die Einwilligungsverwaltung. Wenn Marketing, Entwicklung und eine Agentur beteiligt sind, sollten Zuständigkeiten und Freigaben eindeutig dokumentiert werden.

Halten Sie insbesondere folgende Angaben fest:

• Kategorien und zugeordnete Anbieter,
• Tag-Manager-Trigger und Skriptregeln,
• Consent-Mode-Signale,
• Versionen der Bannertexte,
• Datum und Ergebnis der letzten Prüfung.

Überprüfen Sie die Konfiguration nach größeren Website-Änderungen, neuen Plugins, zusätzlichen Werbekanälen und Aktualisierungen der Datenschutzerklärung. Ein regelmäßiger Kontrolltermin kann helfen, Abweichungen frühzeitig zu erkennen.

Besondere Anwendungsfälle

E-Commerce

Kontrollieren Sie Checkout, Zahlungsanbieter, Produktempfehlungen, Analyse und Remarketing besonders sorgfältig. Technisch erforderliche Shop-Funktionen sollten stabil bleiben, während optionale Dienste entsprechend der Auswahl gesteuert werden. Für WooCommerce beschreibt der Leitfaden zum Cookie-Banner im Onlineshop weitere praktische Schritte.

Mehrsprachige Websites

Übersetzen Sie Bannertexte nicht nur wörtlich. Kategorien, Hinweise und Auswahlmöglichkeiten sollten in jeder Sprachversion natürlich und eindeutig formuliert sein. Rechtliche Verweise müssen zum jeweiligen Zielmarkt passen.

Zusammenarbeit mit Agenturen

Dokumentieren Sie die Konfiguration so, dass interne Teams und externe Dienstleister Änderungen nachvollziehen können. Dadurch lassen sich neue Tags und Website-Funktionen leichter in den bestehenden Einwilligungsprozess einordnen.

Häufige Fragen

Reicht ein Cookie-Banner für die Einhaltung der DSGVO aus?

Nein. Ein Banner kann Einwilligungsprozesse unterstützen. Zusätzlich müssen unter anderem die eingesetzten Dienste, Rechtsgrundlagen, Anbieterinformationen, Datenschutzerklärung und technische Umsetzung geprüft werden.

Sollte das Ablehnen so einfach sein wie das Annehmen?

Besucher sollten eine verständliche Auswahl treffen können, ohne dass die Ablehnung unnötig erschwert wird. Die konkrete Gestaltung sollte anhand der aktuellen rechtlichen und aufsichtsbehördlichen Anforderungen geprüft werden.

Muss jedes Cookie vor der Einwilligung blockiert werden?

Nicht jede Speicherung und nicht jeder Zugriff erfordert zwingend eine Einwilligung. Die Beurteilung hängt vom konkreten Zweck und den gesetzlichen Voraussetzungen ab. Prüfen Sie jeden Dienst einzeln, statt sich allein auf seine Kategoriebezeichnung zu verlassen.

Wie oft sollte die Einrichtung geprüft werden?

Eine Prüfung ist insbesondere nach technischen oder inhaltlichen Änderungen sinnvoll. Zusätzlich kann ein regelmäßiger Kontrolltermin helfen, neu hinzugekommene Tags, Plugins und Anbieter zu erfassen.

Fazit: Oberfläche und Technik gemeinsam prüfen

Ein gutes Cookie-Banner verbindet verständliche deutsche Texte mit einer wirksamen Steuerung der eingesetzten Dienste. Entscheidend ist nicht nur die sichtbare Oberfläche, sondern das tatsächliche Verhalten der Website bei Zustimmung, Ablehnung und späteren Änderungen.

Eine CMP kann diesen Ablauf unterstützen; die rechtliche und technische Bewertung der konkreten Website bleibt dennoch erforderlich. Prüfen Sie zunächst mit der Checkliste zur Frage, ob ein Cookie-Banner benötigt wird, welche Anforderungen für Ihre Website relevant sein können. Hinweise zur technischen Einrichtung finden Sie anschließend in der CookiePilot-Dokumentation.