Cookie-Banner mit Consent Mode v2: fair, leicht, nachweisbar

Was muss ein Cookie-Banner heute leisten?

Ein Cookie-Banner muss die Einwilligung einholen, bevor Statistik- oder Werbedienste Daten im Browser speichern oder auslesen, Ablehnen genauso einfach machen wie Zustimmen, die Wahl über Google Consent Mode v2 an die Google-Tags weitergeben und jede Einwilligung nachweisbar speichern. Der Trackum-Banner setzt genau diese Punkte um und bleibt dabei eine einzige kleine Datei.

Die rechtliche Grundlage in Deutschland ist § 25 TDDDG für den Zugriff auf das Endgerät, dazu die DSGVO für die Verarbeitung personenbezogener Daten. Die Datenschutzbehörden in der EU haben in einem gemeinsamen Bericht ihrer Arbeitsgruppe zu Cookie-Bannern beschrieben, worauf sie achten: eine Möglichkeit zum Ablehnen auf der ersten Ebene, keine vorausgewählten Kästchen, keine irreführenden Farben oder Kontraste und eine einfache Möglichkeit zum Widerruf. Dazu kommt die allgemeine Anforderung an eine informierte Einwilligung: Der Besucher muss erfahren, welche Anbieter wofür eingesetzt werden. Dieser Artikel ist keine Rechtsberatung.

Dazu kommt die Technik. Google erwartet für Besucher aus dem Europäischen Wirtschaftsraum Einwilligungssignale über Consent Mode v2, damit Funktionen wie Remarketing und Messung in Google Ads vollständig zur Verfügung stehen. Gibt der Banner die Wahl nicht weiter, fehlen in Google Ads Daten für Zielgruppen und Conversions. Was ein Banner nicht ersetzt: die Datenschutzerklärung und eine aktuelle Übersicht der eingesetzten Cookies und Anbieter. Beide müssen zu dem passen, was im Banner steht, und sie müssen nach jeder Änderung an den Tags nachgezogen werden.

Wie ist der Banner aufgebaut?

Der Banner ist so gebaut, dass Ablehnen und Zustimmen auf der ersten Ebene gleichwertig sind. Beide Knöpfe haben dieselbe Größe und dieselbe Farbe. Wer genauer wählen will, öffnet die Einstellungen je Zweck und sieht dort die Anbieter jeder Kategorie.

• erste Ebene mit zwei gleichwertigen Knöpfen: „Ablehnen“ und „Alle akzeptieren“
• Einstellungen je Zweck: Notwendig, Statistik, Marketing und Funktional, mit den Anbietern je Kategorie
• Hinweis, dass einige Anbieter in den USA sitzen
• unten mittig, die Seite bleibt bedienbar, kein grauer Schleier
• Texte auf Deutsch und Englisch, ohne Du und ohne Sie, damit sie zu jeder Website passen
• ein kleiner Knopf unten links öffnet die Auswahl jederzeit wieder

Die Gestaltung ist bewusst neutral: Schwarz-Weiß mit Glaseffekt, das sich an den hellen und dunklen Modus der Seite anpasst. Eine eigene Knopffarbe ist möglich, solange beide Knöpfe gleich bleiben.

Passend dazu: Lead-Management: Website-Anfragen mit Herkunft ins CRM

Consent Mode v2 mit allen Einwilligungsarten

Consent Mode v2 ist eine Schnittstelle von Google, über die der Banner den Einwilligungsstatus an Google-Tags meldet. Beim Seitenstart setzt eine eigene Vorlage im Google Tag Manager alle Arten auf „abgelehnt“, noch bevor ein anderes Tag läuft. Das sind ad_storage, ad_user_data, ad_personalization und analytics_storage, dazu functionality_storage und personalization_storage. Nur security_storage ist immer erlaubt.

Klickt der Besucher auf „Alle akzeptieren“, werden alle sechs Arten gewährt. Wählt er nur Statistik, wird nur analytics_storage gewährt. Die Zustimmung wird über die Schnittstelle gesetzt, die Google für Vorlagen im Google Tag Manager beschreibt. Den Ablauf prüfen wir im Tag Assistant von Google: kein Lesen der Einwilligung vor dem Standard, keine Warnung.

Der Banner arbeitet im einfachen Modus des Consent Mode. Vor der Wahl lädt kein Google- oder Meta-Tag, es gehen also auch keine cookielosen Signale an Google. Erst nach der Zustimmung erhalten die Anbieter Daten, die der Besucher erlaubt hat. Tags anderer Anbieter wie das Meta Pixel hängen im Google Tag Manager an der Kategorie Marketing.

Prüfen kannst du das Zusammenspiel selbst. Öffne die Seite in einem privaten Fenster und starte den Vorschaumodus des Google Tag Managers. Im Bereich zur Einwilligung siehst du zuerst den Standard mit allen Arten auf „abgelehnt“, nach deiner Wahl im Banner das Update. Feuert vorher ein Tag für Statistik oder Werbung, ist es nicht richtig an die Einwilligung gekoppelt. In den Entwicklertools des Browsers sollten vor der Wahl weder Cookies von Google Analytics noch Anfragen an Google Ads oder Meta auftauchen.

Ein Beispiel aus der Praxis: Ein Handwerksbetrieb mit WordPress-Seite nutzt GA4 und Google Ads. Vorher lief ein Banner-Plugin, das Google Analytics schon vor der Wahl lud. Nach dem Wechsel zeigt der Vorschaumodus den Standard vor allen Tags, GA4 startet erst nach „Alle akzeptieren“ oder nach der Wahl von Statistik, und Google Ads nur mit Marketing.

Wie schnell lädt der Banner?

Der Banner besteht aus einer einzigen Datei mit 6,6 KB und lädt nichts nach. Das ist wichtig, weil der Banner auf jeder Seite als Erstes erscheint und bis zur Wahl den Blick auf die Seite teilweise verdeckt. In unserer eigenen Messung, auf einer leeren Testseite, mit Handy-Simulation und gedrosselter Verbindung (Slow 4G), Median aus 7 Läufen, war der Trackum-Banner nach 0,4 Sekunden sichtbar. Bekannte Banner-Anbieter brauchten unter denselben Bedingungen 1,3 bis 4,3 Sekunden und luden dabei 7 bis 15 Dateien mit 150 bis 210 KB.

Auf einer echten Seite mit Bildern, Schriften und weiteren Skripten fallen die Werte anders aus. Die Messung zeigt aber, wie viel der Banner selbst zur Ladezeit beiträgt, unabhängig vom Rest der Seite.

Jede Wahl wird nachgewiesen

Die DSGVO verlangt in Art. 7, dass du eine Einwilligung nachweisen kannst. Der Banner schickt deshalb bei jeder Wahl einen kurzen Eintrag: eine zufällige Kennung, den Zeitpunkt, die gewählten Zwecke, die Version des Banners und die Seite ohne Parameter. Die Einträge werden in der EU gespeichert, eine IP-Adresse wird nicht gespeichert. Nach 36 Monaten werden sie gelöscht.

Der Banner merkt sich eine Zustimmung zwölf Monate und eine Ablehnung sechs Monate. Kommt ein neuer Anbieter dazu, fragt er erneut, weil die Einwilligung sonst nicht mehr informiert wäre. Über die Version im Nachweis lässt sich später zeigen, welcher Stand des Banners einem Besucher angezeigt wurde.

Widerruf so einfach wie die Zustimmung

Über den Knopf unten links oder einen Link auf #cookie-einstellungen, etwa in der Fußzeile oder in der Datenschutzerklärung, ändert der Besucher seine Wahl jederzeit. Zieht er die Zustimmung zurück, löscht der Banner die Tracking-Cookies und stoppt Google Analytics sofort, nicht erst beim nächsten Laden der Seite. Für den Test reicht ein privates Fenster: zustimmen, dann widerrufen und in den Entwicklertools prüfen, ob die Cookies verschwinden.

Was kostet der Cookie-Banner?

Der Cookie-Banner ist ein Extra für 50 € einmalig plus 4,90 € im Monat, alle Preise zzgl. MwSt. Im Abo für 19 € im Monat ist der Banner bereits enthalten, ebenso der wöchentliche automatische Test der Seite. Cookie-Scan und Datenschutz-Texte gibt es als eigenes Extra für 50 €. Ob dein Banner und deine Texte für deine Website ausreichen, besprichst du mit deinem Datenschutzbeauftragten. Dieser Artikel ist keine Rechtsberatung.