Consent Log: Cookie-Einwilligungen richtig nachweisen

Ein Consent Log ist das Protokoll, mit dem du nachweist, dass ein Besucher deiner Website in Cookies und Tracking eingewilligt hat. Die Pflicht dazu ergibt sich aus Art. 7 Abs. 1 der Datenschutz-Grundverordnung (DSGVO): Beruht eine Verarbeitung auf einer Einwilligung, musst du nachweisen können, dass sie erteilt wurde. Ein guter Consent Log speichert dafür den Zeitpunkt, eine zufällige Kennung, die Auswahl je Kategorie und die Version des Banners, aber keine Daten, die für den Nachweis nicht gebraucht werden. Dieser Artikel ist keine Rechtsberatung.

Warum musst du Einwilligungen nachweisen?

Einwilligungen musst du nachweisen, weil das Gesetz es verlangt. Nach § 25 TDDDG brauchst du eine Einwilligung, bevor deine Website Informationen auf dem Gerät der Besucher speichert oder ausliest, sofern das nicht unbedingt erforderlich ist. Für die Anforderungen an diese Einwilligung verweist das TDDDG auf die DSGVO. Dort steht in Art. 7 Abs. 1 die Nachweispflicht: Der Verantwortliche, also du als Betreiber der Website, muss belegen können, dass die Einwilligung vorliegt.

Praktisch bedeutet die Nachweispflicht: Fragt eine Aufsichtsbehörde nach, oder beschwert sich ein Besucher, dass ohne seine Zustimmung getrackt wurde, solltest du zeigen können, wann welche Einwilligung mit welchem Banner erteilt wurde. Ein Banner, der Einwilligungen zwar abfragt, aber nirgends festhält, hilft dir in dieser Situation wenig. Der Consent Log schließt diese Lücke.

Der Einwilligungsnachweis betrifft nicht nur große Firmen. Auch ein Handwerksbetrieb mit Google Analytics 4 (GA4) und Google Ads oder ein kleiner Onlineshop mit Meta-Pixel stützt sich auf Einwilligungen und sollte sie belegen können.

Was sollte ein Consent Log speichern?

Ein Consent Log muss zwei Dinge zeigen: was der Besucher entschieden hat und was er dabei gesehen hat. Daraus ergeben sich die Angaben, die ein Consent Log üblicherweise festhält, und die Angaben, die nicht hineingehören.

Die Banner-Version wird im Consent Log oft vergessen, ist aber wichtig. Eine Einwilligung gilt nur für das, was dem Besucher beschrieben wurde. Wenn du später neue Dienste ergänzt, etwa einen weiteren Werbe-Pixel, deckt die alte Einwilligung diesen Dienst nicht ab. Mit einer Versionsnummer kannst du nachvollziehen, welche Fassung jemand gesehen hat, und den Banner bei wesentlichen Änderungen erneut anzeigen.

Viele Cookie-Banner protokollieren nicht nur Zustimmungen, sondern auch Ablehnungen. Für den Nachweis nach Art. 7 DSGVO kommt es auf die Zustimmungen an, ein Protokoll aller Entscheidungen hat aber einen praktischen Nutzen: Es zeigt, dass der Banner tatsächlich eine Wahl lässt, und es hilft beim Erkennen von Fehlern. Sinkt der Anteil der Zustimmungen nach einer Änderung plötzlich stark, oder taucht eine Kategorie gar nicht mehr auf, stimmt vermutlich etwas mit der Einbindung nicht.

Passend dazu: Server-Side Tracking und DSGVO: was gilt?

Was gehört nicht in den Consent Log?

In den Consent Log gehören keine Daten, die für den Nachweis nicht nötig sind. Die DSGVO verlangt in Art. 5 Datenminimierung, und das gilt auch für den Consent Log. Die vollständige IP-Adresse, Gerätekennungen, der genaue Browser-Fingerabdruck oder gar Namen und E-Mail-Adressen sind für den Nachweis einer Cookie-Einwilligung in der Regel nicht erforderlich. Eine zufällige Kennung, die nur im Browser des Besuchers und im Log steht, reicht aus, um eine Entscheidung zuzuordnen, wenn der Besucher selbst nachfragt.

Einige Cookie-Banner speichern trotzdem IP-Adressen oder lassen den Nachweis über Server außerhalb der EU laufen. Das schafft neue Fragen, die du eigentlich vermeiden wolltest: Wer hat Zugriff auf diese Daten, wo liegen sie, und wie lange? Je weniger Personendaten im Log stehen, desto einfacher wird die Antwort.

Cookie-Einwilligung nachweisen: so prüfst du deinen Banner

Ob dein Banner Einwilligungen ordentlich nachweist, kannst du mit wenigen Schritten selbst prüfen. Ein Beispiel aus der Praxis: Ein B2B-Dienstleister nutzt seit Jahren einen Banner, den ein früherer Webdesigner eingebaut hat. Auf Nachfrage weiß niemand, ob und wo Einwilligungen gespeichert werden. Die Prüfung zeigt, dass der Banner die Auswahl nur im Browser des Besuchers ablegt. Einen Nachweis auf Seiten des Unternehmens gibt es nicht.

• In der Verwaltung des Banners nachsehen, ob es einen Bereich für Einwilligungsnachweise gibt
• Auf der eigenen Website eine Auswahl treffen und prüfen, ob sie dort mit Zeitpunkt und Kennung auftaucht
• Prüfen, welche Daten pro Eintrag gespeichert werden, insbesondere ob die IP-Adresse dabei ist
• Klären, wo die Nachweise gespeichert werden und wie lange
• Prüfen, ob eine Banner-Version mitgespeichert wird

Fehlt der Nachweis ganz, oder enthält er mehr Daten als nötig, lohnt sich ein Wechsel oder eine Anpassung. Lass dabei auch prüfen, ob der Banner seine Entscheidung richtig an Google Consent Mode v2 meldet. Ein sauberer Nachweis nützt wenig, wenn Tags trotz Ablehnung Cookies setzen oder Daten senden.

Passend dazu: Tracking in der Datenschutzerklärung: was gehört hinein

Wie lange bewahrst du Einwilligungsnachweise auf?

Wie lange du Einwilligungsnachweise aufbewahren musst, regelt die DSGVO nicht mit einer festen Zahl. Der Gedanke dahinter: Du brauchst den Nachweis so lange, wie du dich auf die Einwilligung stützt, und für eine gewisse Zeit danach, um auf Nachfragen oder Beschwerden reagieren zu können. Gleichzeitig darfst du Daten nicht unbegrenzt speichern. Je weniger Personendaten ein Eintrag enthält, desto weniger heikel ist auch eine längere Aufbewahrung, weil der Eintrag kaum Rückschlüsse auf eine Person zulässt.

Sinnvoll ist eine schriftlich festgelegte Frist, die du mit deinem Datenschutzbeauftragten abstimmst und im Verzeichnis der Verarbeitungstätigkeiten festhältst. Ältere Einträge werden danach automatisch gelöscht. Achte darauf, dass dein Cookie-Banner eine solche Löschung unterstützt und dass du die Nachweise bei Bedarf exportieren kannst.

Widerruf: genauso einfach wie die Einwilligung

Nach Art. 7 Abs. 3 DSGVO können Besucher ihre Einwilligung jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung. Wer mit einem Klick zustimmen kann, muss ebenso einfach widerrufen können. Üblich ist ein dauerhaft sichtbarer Link oder ein kleines Symbol, das den Banner erneut öffnet. Ein Hinweis in der Datenschutzerklärung, man möge doch die Cookies im Browser löschen, reicht dafür nicht.

Auch der Widerruf gehört in den Consent Log. Wichtig ist außerdem, dass er technisch wirkt: Nach einem Widerruf dürfen die betroffenen Tags keine Cookies mehr setzen oder auslesen, und Google-Tags müssen über Google Consent Mode v2 erfahren, dass die Zustimmung entzogen wurde. Teste das einmal selbst, indem du zustimmst, dann widerrufst und in der Vorschau des Google Tag Managers nachsiehst, was danach noch feuert.

Der Cookie-Banner von Trackum speichert Einwilligungsnachweise in der EU ohne IP-Adresse. Er ist eine einzelne Datei mit 6,6 KB, lädt nichts nach, unterstützt Consent Mode v2, zeigt Alle ablehnen gleichwertig auf der ersten Ebene und kostet 50 € einmalig plus 4,90 € im Monat. Im Trackum-Abo für 19 € im Monat ist er enthalten, zusammen mit einer wöchentlichen automatischen Prüfung deiner Seite.