Cookie-Hinweis nur mit „OK“: warum das keine Einwilligung ist

Der Hinweis, den es fast überall gibt

Du kennst ihn von vielen Websites: ein schmaler Balken am unteren Rand mit dem Text „Diese Website verwendet Cookies. Mit der weiteren Nutzung stimmen Sie zu.“ und einem Knopf „OK“. Manchmal gibt es statt des Knopfs nur ein Schließen-Kreuz. Für den Betreiber ist das bequem, weil der Hinweis kaum stört. Für das Tracking ist er ein Problem, denn er holt keine Einwilligung ein, sondern behauptet sie. Viele ältere Websites, besonders solche, die vor Jahren aufgesetzt und seitdem kaum angefasst wurden, haben noch genau so einen Hinweis.

Dieser Artikel ist keine Rechtsberatung. Er erklärt die technische Seite: was ein Hinweis dieser Art für dein Tracking bedeutet, was du stattdessen brauchst und wie du es prüfst. Rechtliche Einzelfragen klärt eine fachkundige Person.

Warum „OK“ nicht reicht

Eine Einwilligung muss aktiv, freiwillig, informiert und für einen bestimmten Zweck erteilt werden. Prüfe deinen Hinweis an diesen vier Punkten. Aktiv heißt: Der Besucher macht einen eindeutigen Klick, und Nichtstun oder Weitersurfen gilt nicht als Zustimmung. Freiwillig heißt: Er hat eine echte Wahl, also kann er ablehnen, und das ist so einfach möglich wie zustimmen. Informiert heißt: Er weiß vorher, welche Daten zu welchem Zweck verarbeitet werden. Und zweckbezogen heißt: Die Zustimmung gilt für den genannten Zweck, nicht pauschal für alles.

Ein Balken, der nur „OK“ anbietet, bietet keine Wahl. Wer das Kreuz klickt, hat nicht zugestimmt, sondern den Balken weggeklickt. Und der Satz „Mit der Nutzung stimmen Sie zu“ ersetzt den aktiven Klick durch eine Annahme. Für dein Tracking heißt das: Mit so einem Hinweis solltest du Analyse- und Werbe-Tags eigentlich nicht starten. Technisch korrekt ist dann „ohne Zustimmung nichts“. Wer Besucher messen will, braucht einen echten Banner.

• Aktiv: ein eindeutiger Klick, Nichtstun zählt nicht.
• Freiwillig: Ablehnen ist so einfach erreichbar wie Zustimmen.
• Informiert: Zwecke und Empfänger sind vorab erkennbar.
• Zweckbezogen: Die Zustimmung gilt für den genannten Zweck, nicht pauschal.

Passend dazu: DSGVO-konformes Tracking: der praxisnahe Überblick

Was ein brauchbarer Banner anbietet

Ein Banner, der die Anforderungen technisch erfüllt, hat mindestens zwei gleichwertige Wege: „Alle akzeptieren“ und „Ablehnen“, beide auf der ersten Ebene, beide gleich gut sichtbar. Dazu kommt ein Weg zu den Einzelheiten, in dem Besucher nach Kategorien wie Statistik und Marketing entscheiden können. Die Voreinstellung aller nicht notwendigen Kategorien lautet „aus“. Vorangekreuzte Kästchen sind keine aktive Zustimmung.

Außerdem muss die Wahl später änderbar sein. Üblich ist ein kleiner Link im Fußbereich der Seite, über den Besucher den Banner erneut öffnen und ihre Entscheidung widerrufen können. Verlässlich ist das nur, wenn der Banner seinen Status wirklich an die Tags weitergibt. Ein Banner, der nach „Ablehnen“ trotzdem alles laden lässt, ist schlimmer als gar keiner, weil er Sicherheit vortäuscht.

Was das technisch bedeutet

Der Tag Manager liest den Status des Banners und startet nur Tags, für die eine Einwilligung vorliegt. Der Standard lautet „abgelehnt“, bis der Besucher gewählt hat. Für Google-Tags übermittelst du den Status per Consent Mode v2, für andere Tags wie das Meta Pixel setzt du die Einwilligungsprüfung im Tag Manager. Der Consent Mode ersetzt den Banner nicht, er gibt nur dessen Ergebnis weiter. Ohne echte Wahl im Banner gibt es nichts weiterzugeben.

Ein Beispiel: Ein Handwerksbetrieb hat einen alten Hinweis mit „OK“ und lädt GA4 und das Meta Pixel direkt beim Seitenaufruf. Die Umstellung besteht aus drei Schritten. Erstens ersetzt er den Hinweis durch einen Banner mit Ablehnen-Knopf. Zweitens legt er im Tag Manager den Standardstatus auf „abgelehnt“. Drittens bindet er GA4 und Pixel an den Status. Danach sind seine Zahlen kleiner, denn wer ablehnt, wird nicht mehr gemessen. Das ist kein Fehler, sondern der gewollte Zustand. Wie groß der Unterschied ausfällt, hängt von deiner Seite ab. Dafür sind die Zahlen der übrigen Besucher verlässlich.

Altlasten außerhalb des Tag Managers finden

Viele alte Seiten laden Dienste nicht über den Tag Manager, sondern direkt: ein Analytics-Skript im Header, ein Pixel im Theme, ein Plugin, das eigenmächtig Skripte einbindet. Ein neuer Banner schützt davor nicht, denn diese Skripte ignorieren ihn. Rufe deine Seite auf, öffne den Quelltext und suche nach Namen wie „googletagmanager“, „gtag“, „fbq“ oder „facebook“. Alles, was dort ohne Bezug zum Banner steht, muss in den Tag Manager verschoben oder an die Einwilligung gebunden werden.

Eingebettete Inhalte zählen ebenfalls: Videos, Karten und Social-Plugins laden beim Aufruf oft Skripte und setzen Cookies. Auch sie solltest du in deine Prüfung einbeziehen.

So prüfst du es

Öffne die Seite in einem privaten Fenster und beobachte in den Entwicklertools des Browsers im Reiter „Netzwerk“, was gesendet wird. Nach „Ablehnen“ dürfen keine Analyse- und Werbe-Anfragen mit Cookies hinausgehen. Schau zusätzlich in den Reiter „Anwendung“ und prüfe die gesetzten Cookies. Teste auch das Schließen des Banners ohne Klick auf eine Auswahl: Es darf nicht als Zustimmung gelten. Klicke dann „Alle akzeptieren“ und prüfe, dass die Tags nun laufen. Wiederhole den Test auf dem Handy, weil dort oft ein anderes Layout und manchmal ein anderes Verhalten des Banners vorliegt.

Wenn du es nicht selbst umbauen willst

Der Wechsel von einem Hinweis zu einem sauberen Banner mit Consent Mode betrifft Banner, Container und Tags gleichzeitig. Trackum richtet Tracking mit Consent Mode v2 ein und testet mit und ohne Einwilligung.