Consent Management Platform (CMP): was sie leisten muss

Was ist eine Consent Management Platform?

Eine Consent Management Platform, kurz CMP, ist die Software, die auf deiner Website die Einwilligung der Besucher abfragt, speichert, nachweist und an alle eingebundenen Dienste weitergibt. Sichtbar ist davon nur der Cookie-Banner. Dahinter steckt die eigentliche Arbeit: Die CMP sorgt dafür, dass Google Analytics, Google Ads, das Meta-Pixel und andere Dienste erst dann Cookies setzen oder Daten senden, wenn der Besucher das erlaubt hat. Oft wird sie auch Consent Manager oder Consent-Management-Tool genannt. Gemeint ist immer dasselbe.

Die rechtliche Grundlage in Deutschland ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das bis Mai 2024 TTDSG hieß. Er regelt, wann auf das Endgerät eines Nutzers zugegriffen werden darf, also wann Cookies gesetzt oder ausgelesen werden dürfen. Für alles, was nicht unbedingt erforderlich ist, braucht es in der Regel eine Einwilligung. Die Datenschutz-Grundverordnung (DSGVO) verlangt in Artikel 7 zusätzlich, dass du diese Einwilligung nachweisen kannst und dass ein Widerruf so einfach ist wie die Zustimmung. Dieser Artikel ist keine Rechtsberatung, er erklärt die Technik.

Welche Aufgaben hat ein Consent Manager?

Ein Consent Manager erledigt sechs Aufgaben, die eng zusammenhängen. Fällt eine davon aus, entstehen entweder Datenschutzprobleme oder Lücken in deinen Zahlen.

• Abfragen: Der Banner erklärt die Zwecke verständlich und bietet Zustimmen und Ablehnen gleichwertig an.
• Speichern: Die Entscheidung wird im Browser gespeichert, damit der Banner nicht bei jedem Seitenaufruf neu erscheint.
• Nachweisen: Jede Einwilligung wird mit Zeitpunkt, Version des Banners und gewählten Zwecken protokolliert.
• Weitergeben: Die Entscheidung geht an den Google Consent Mode und an alle anderen Tags, die davon abhängen.
• Widerruf ermöglichen: Besucher können ihre Entscheidung jederzeit ändern, zum Beispiel über einen Link im Fußbereich.
• Scannen: Ein Cookie-Scan zeigt, welche Cookies und Dienste auf der Seite tatsächlich vorkommen.

Passend dazu: Server-Side Tagging oder Client-Side: der Vergleich

Consent Management und der Google Consent Mode v2

Für Google ist die wichtigste Aufgabe der CMP die Weitergabe an den Google Consent Mode v2, die Schnittstelle, über die Google-Tags die Entscheidung des Besuchers erfahren. Er kennt vier Signale: ad_storage und analytics_storage regeln, ob Cookies für Werbung und Analyse gesetzt werden dürfen. ad_user_data regelt, ob Nutzerdaten für Werbezwecke an Google gehen dürfen, und ad_personalization, ob personalisierte Werbung erlaubt ist. Beim Laden der Seite setzt die CMP für alle vier einen Standardwert, in der EU üblicherweise „denied“. Nach dem Klick auf einen Knopf schickt sie ein Update mit der tatsächlichen Entscheidung.

Seit März 2024 erwartet Google für Besucher aus dem Europäischen Wirtschaftsraum, dass diese Signale übermittelt werden, wenn Daten für Werbung und Remarketing genutzt werden sollen. Fehlen sie, kann Google Ads Zielgruppen und Conversions nur eingeschränkt nutzen. Google unterscheidet zwei Varianten: Bei der einfachen Implementierung laden Google-Tags erst nach der Zustimmung. Bei der erweiterten Implementierung laden sie sofort mit dem Standard „denied“ und senden ohne Zustimmung nur Messungen ohne Cookies, aus denen Google fehlende Werte schätzt. Welche Variante passt, ist eine Abwägung, die du bewusst treffen solltest.

Andere Dienste haben eigene Mechanismen. Microsoft Advertising unterstützt für sein Universal Event Tracking (UET) ein eigenes Einwilligungssignal, für Meta, LinkedIn, TikTok oder Pinterest wird das Tag im Google Tag Manager meist so eingestellt, dass es erst nach der Zustimmung für Marketing auslöst. Eine gute CMP liefert dafür im Google-Tag-Manager-Container ein eigenes Ereignis oder eine Variable, an der sich die Trigger orientieren können.

Der Cookie-Scan ist eine weitere Aufgabe einer CMP. Er ruft deine Seiten automatisch auf und listet, welche Cookies, lokalen Speicher und Dienste dort tatsächlich vorkommen. Das ist wichtig, weil sich Websites ständig ändern: Ein neues Plugin bindet eine Karte ein, ein Video kommt von einer Plattform, ein Chat-Fenster setzt eigene Cookies. Taucht ein Dienst im Scan auf, aber nicht im Banner, fragt der Banner nicht nach etwas, das trotzdem passiert. Die Ergebnisse des Scans gehören außerdem in die Cookie-Tabelle deiner Datenschutzerklärung, damit Besucher nachlesen können, worin sie einwilligen.

Woran du eine gute CMP erkennst

Eine gute CMP erkennst du an der Technik und daran, wie sie sich im Alltag verhält, nicht am Aussehen des Banners. Diese Punkte helfen bei der Auswahl, egal ob du ein fertiges Consent-Management-Tool einsetzt oder eine Lösung einrichten lässt.

• Consent Mode v2 ist direkt eingebaut und setzt den Standardwert, bevor irgendein Tag auslöst.
• „Alle ablehnen“ steht gleichwertig auf der ersten Ebene, nicht versteckt in den Einstellungen.
• Der Banner lädt schnell: wenige Dateien, kein Nachladen von vielen fremden Servern.
• Nachweise werden datensparsam gespeichert, idealerweise ohne IP-Adresse.
• Die Anbindung an den Google Tag Manager ist dokumentiert und funktioniert ohne eigenen Code.
• Texte sind in den Sprachen verfügbar, die deine Seite spricht.

Die Ladezeit einer CMP wird bei der Auswahl oft vergessen. Weil die CMP sehr früh laden muss, damit der Standardwert vor allen anderen Tags gesetzt ist, verzögert jede zusätzliche Datei den Start der Messung und oft auch den Aufbau der Seite. Prüfe deshalb auf einer Testseite, wie viele Dateien der Banner lädt und wann er sichtbar wird. Ein Banner, der auf dem Handy erst nach mehreren Sekunden erscheint, kostet Besucher und verschlechtert die Core Web Vitals.

Passend dazu: Server-Side Tracking: was ist das und wie funktioniert es?

Typische Fehler und woran du sie erkennst

Ein häufiger Fehler einer CMP ist ein Banner, der zwar erscheint, aber nichts steuert. Die Tags im Google Tag Manager lösen beim Seitenaufruf aus, unabhängig von der Entscheidung. Du erkennst das, wenn du in einem privaten Fenster „Alle ablehnen“ klickst und in den Entwicklertools unter Anwendung trotzdem Cookies wie _ga oder _fbp findest. Ein zweiter Fehler ist ein fehlender Standardwert: Der Consent Mode bekommt erst nach dem Klick ein Signal, die ersten Treffer laufen ohne Einwilligungsstatus.

Ebenso kommt es vor, dass die Zustimmung zwar gespeichert, aber nie als Update an den Consent Mode weitergegeben wird. Dann bleibt alles auf „denied“, und Google Analytics zeigt kaum Daten, obwohl viele Besucher zustimmen. Auch falsch zugeordnete Kategorien sind häufig: Das Meta-Pixel hängt an „Statistik“ statt an „Marketing“, oder ein Dienst ist im Banner gar nicht aufgeführt. In der Vorschau des Google Tag Managers siehst du auf dem Reiter für die Einwilligung, welcher Status zu welchem Zeitpunkt galt.

Praxisbeispiel: kleiner Onlineshop mit WooCommerce

Ein Shop für Kaffeezubehör nutzt WooCommerce, Google Analytics 4, Google Ads und das Meta-Pixel. Der Banner wurde vor Jahren über ein Plugin eingebaut, die Tags später über den Google Tag Manager ergänzt. Beim Test zeigt sich: Der Banner fragt sauber ab, aber das Meta-Pixel steckt zusätzlich fest im Theme und lädt immer. Gleichzeitig fehlt der Standardwert für den Consent Mode, weshalb Google Ads kaum Conversions aus der EU sieht.

Die Lösung besteht aus drei Schritten. Das Pixel wird aus dem Theme entfernt und nur noch im Google Tag Manager mit einem Trigger für die Marketing-Zustimmung ausgelöst. Die CMP setzt den Standard „denied“ ganz am Anfang. Danach wird jeder Weg getestet: ohne Entscheidung, mit Ablehnen, mit Zustimmen. Erst wenn in allen drei Fällen das Richtige passiert, geht die Änderung live.

Consent Management einrichten lassen

Trackum richtet die Einwilligung so ein, dass sie im Google Tag Manager deines Unternehmens wirklich greift: Consent Mode v2 mit Standardwert, Trigger für jede Werbeplattform und einen Test in der Vorschau mit und ohne Einwilligung, bevor etwas live geht. Die Einrichtung mit Google Analytics 4 und Consent Mode v2 kostet einmalig 150 €. Der Cookie-Banner von Trackum, eine einzige Datei mit 6,6 KB, die nichts nachlädt, kommt als Extra für 50 € plus 4,90 € im Monat dazu und ist im Abo für 19 € im Monat enthalten. Alle Preise zzgl. MwSt.

Wenn du zuerst wissen willst, ob deine jetzige CMP richtig arbeitet, prüft der Gratis-Check für 0 € und ohne Anmeldung die Seite in einem echten Browser mit und ohne Zustimmung und zeigt dir die Befunde mit Festpreis.