Cookie-Banner: Warum „Ablehnen“ allein nicht reicht
Kurz gesagt
Ein Cookie-Banner ist nur eine Oberfläche. Rechtlich zählt, ob Analyse- und Marketing-Tools wirklich erst nach der Einwilligung laden. In unserer Messung an 500 Websites sendeten 105 Daten, bevor jemand zugestimmt hatte. Prüfen kannst du das selbst in der Netzwerk-Ansicht deines Browsers.
Was muss ein Cookie-Banner eigentlich leisten?
Nach § 25 TDDDG darf eine Website Informationen auf dem Gerät des Besuchers nur speichern oder auslesen, wenn er vorher eingewilligt hat. Ausgenommen ist nur, was für den gewünschten Dienst unbedingt erforderlich ist. Für die weitere Verarbeitung personenbezogener Daten gilt zusätzlich die DSGVO.
Eine Einwilligung muss freiwillig, informiert und aktiv erteilt werden. Der Europäische Gerichtshof hat 2019 in der Entscheidung Planet49 (C‑673/17) klargestellt: Ein vorausgefülltes Häkchen ist keine wirksame Einwilligung. Daraus folgt für den Banner: Solange niemand zugestimmt hat, dürfen einwilligungspflichtige Tools nicht laden.
Warum senden Websites trotz Banner Daten?
Der Banner zeigt eine Auswahl an. Ob die Website sich daran hält, entscheidet die technische Verkabelung dahinter. Die häufigsten Ursachen aus unseren Messungen:
- Der Tracking-Code steht fest im Theme oder im Header und lädt unabhängig vom Banner.
- Im Google Tag Manager feuern Tags auf „Alle Seiten“, ohne an die Einwilligung gekoppelt zu sein.
- Plugins für Karten, Videos, Bewertungen oder Social-Feeds laden ihre Inhalte direkt.
- „Ablehnen“ wird zwar gespeichert, die Tools werden danach aber nicht blockiert.
Das Ergebnis sieht man von außen nicht. In unserer eigenen Messung an 500 Websites sendeten 105 Seiten Daten vor der Zustimmung: 51 an Google Analytics, 15 an das Meta Pixel, 6 an Google Ads, 6 an Matomo und 4 an Microsoft Clarity.
Wie prüfe ich meinen Cookie-Banner selbst?
- Öffne deine Website in einem privaten Fenster. Klicke im Banner nichts an.
- Öffne mit F12 die Entwicklertools, Reiter Netzwerk, und lade die Seite neu.
- Filtere nach
google-analytics,googletagmanager,facebookundclarity. Jeder Treffer vor deiner Entscheidung ist ein Warnsignal. - Klicke jetzt auf Ablehnen, lade neu und prüfe erneut. Auch nach dem Ablehnen darf nichts davon auftauchen.
- Schau im Reiter Anwendung unter Cookies nach Namen wie
_gaoder_fbp.
Was ist mit Google Consent Mode?
Der Google Consent Mode steuert, wie sich Google-Tags je nach Einwilligung verhalten. Im einfachen Modus laden die Tags erst nach der Zustimmung. Im erweiterten Modus senden sie schon vorher sogenannte cookielose Pings an Google. Ob das ohne Einwilligung zulässig ist, ist umstritten. Wer auf Nummer sicher gehen will, lädt Google-Tags erst nach der Zustimmung.
Wer ist verantwortlich, wenn der Banner falsch verkabelt ist?
Verantwortlich ist der Betreiber der Website, also du als Unternehmer. Das gilt auch, wenn eine Agentur, ein Freelancer oder ein Baukasten den Banner eingerichtet hat. Deshalb lohnt sich eine Prüfung nach jedem neuen Plugin, Theme-Update oder Werbe-Tool.
Häufige Fragen
Reicht ein Cookie-Banner für die DSGVO?
Nein. Der Banner muss technisch dafür sorgen, dass einwilligungspflichtige Tools erst nach der Zustimmung laden. Ein Banner ohne diese Blockierung erfüllt die Anforderungen nicht.
Muss „Ablehnen“ genauso sichtbar sein wie „Akzeptieren“?
Die Datenschutzbehörden erwarten, dass die Ablehnung so einfach möglich ist wie die Zustimmung. Ein versteckter oder umständlicher Ablehnen-Weg macht die Einwilligung angreifbar.
Welche Cookies brauchen keine Einwilligung?
Cookies, die für den ausdrücklich gewünschten Dienst unbedingt erforderlich sind, etwa für den Warenkorb, den Login oder das Speichern der Banner-Entscheidung selbst.
Fazit
Ein Cookie-Banner ist so gut wie seine Verkabelung. Entscheidend ist nicht, was der Banner anzeigt, sondern was die Website tatsächlich sendet. Fünf Minuten in der Netzwerk-Ansicht zeigen dir, ob dein Banner hält, was er verspricht.
Quellen
Julia leitet bei InnoWave die DSGVO-Checks. Sie zeichnet auf, was Websites vor und nach der Zustimmung senden, und erklärt Befunde so, dass Inhaber sie ohne Technikwissen verstehen.
PHP2Shell: Ist deine Website von der PHP-Lücke betroffen?Was passiert ist, welche Versionen sicher sind und wie du es prüfst.
Google Fonts: Warum die Abmahnwelle 2022 jeden treffen konnteEine extern geladene Schrift reichte. Was dahintersteckt und wie du es prüfst.
Was ein KI-Telefonassistent im Handwerk übernimmtTermine, Routinefragen, Rückrufwünsche: ein Blick in den Alltag.