Anforderungen an Cookie-Banner nach DSGVO 2026 und die Prüfung, die jede belegt

Alle Beiträge

Ein DSGVO-konformes Cookie-Banner muss 2026 nicht notwendige Cookies blockieren, bis jemand zustimmt, Ablehnen genauso klar anbieten wie Zustimmen, die Einwilligung nach Zwecken trennen, eine spätere Änderung der Entscheidung ermöglichen, einen Nachweis der Auswahl speichern und all das in verständlicher Sprache beschreiben. Die meisten Banner behaupten das. Weniger können es auch belegen.

Die Anforderungen und wie Sie jede belegen

Was folgt, ist die Arbeitsversion: nicht der Gesetzestext, sondern die Form, die er annimmt, sobald Sie ihn umsetzen und zeigen müssen, dass er funktioniert. Der Einwilligungsmaßstab selbst stammt aus der DSGVO, und der Europäische Datenschutzausschuss (EDSA) erläutert ihn in seinen Leitlinien zur Einwilligung. Lesen Sie jede Anforderung zusammen mit ihrer Prüfung. Die Prüfungen fehlen fast überall sonst, und sie sind der einzige Grund, dem Ganzen zu trauen.

1. Setzen Sie nichts Nicht-Notwendiges, bevor der Besucher zustimmt

   Auf dieser Anforderung baut alles andere auf, und sie wird am häufigsten nur halb umgesetzt. Ein Banner, das erscheint, während die Analyse- und Werbe-Tags schon laden, erfüllt sie nicht, egal wie der Text formuliert ist. Die Prüfung: Öffnen Sie die Website in einem sauberen Browserprofil, lehnen Sie alles ab und sehen Sie sich dann die Cookies und die ausgehenden Anfragen an. Dort darf nur stehen, was wirklich notwendig ist.

2. Geben Sie Ablehnen dasselbe Gewicht wie Zustimmen

   Ablehnen muss so einfach sein wie Zustimmen. In der Praxis hat sich das so eingependelt: gleiche Prominenz, gleiche Ebene, gleiche Anzahl an Klicks. Die Prüfung: Sehen Sie sich nur die erste Ebene an und zählen Sie. Ist Zustimmen ein Klick und Ablehnen zwei, oder liegt Ablehnen hinter einem Link zu den Einstellungen, fällt das Banner schon allein deshalb durch.

3. Trennen Sie die Einwilligung nach Zwecken

   Ein Schalter für alles ist keine informierte Einwilligung. Statistik, Marketing und Funktionalität sind getrennte Entscheidungen, und ein Besucher muss das eine erlauben und das andere ablehnen können. Die Prüfung: Akzeptieren Sie nur Statistik und beobachten Sie, was feuert. Geht trotzdem ein Marketing-Tag hinaus, sind die Kategorien Dekoration und die Granularität ist nicht echt.

4. Machen Sie das Umentscheiden so einfach wie das Entscheiden

   Der Widerruf muss so einfach sein wie die Einwilligung. In der Praxis heißt das: ein dauerhaft verfügbares Element, das die Auswahl von überall auf der Website wieder öffnet, und kein Absatz in der Datenschutzerklärung, der erklärt, wie man Cookies löscht. Die Prüfung: Gehen Sie auf eine tief liegende Seite, suchen Sie das Element, wechseln Sie von Zustimmung auf Ablehnung und prüfen Sie, ob die Tags stoppen. Ein Banner, das sich öffnet und wieder schließt, ohne etwas zu ändern, ist hier der typische Fehler.

5. Speichern Sie einen Nachweis der Auswahl

   Rechenschaftspflicht heißt, zeigen zu können, wozu ein bestimmter Besucher wann eingewilligt hat, und nicht bloß, dass ein Banner installiert war. Die Prüfung: Fragen Sie, was Ihr Consent-Nachweis tatsächlich enthält und ob Sie einen Eintrag abrufen können, für einen Besucher, an einem Datum, mit den gewählten Kategorien. Kann das niemand beantworten, existiert der Nachweis in keinem brauchbaren Sinn.

6. Sagen Sie, was Sie setzen, in Worten, die Menschen verstehen

   Das Banner muss in verständlicher Sprache erklären, was gesetzt wird und warum, und die Cookie-Richtlinie dahinter muss der Realität entsprechen, nicht einer Vorlage. Die Prüfung: Gleichen Sie die Richtlinie mit den Cookies ab, die Sie bei der ersten Prüfung gesehen haben. Aufgeführte Einträge, die nie gesetzt werden, sind unordentlich. Gesetzte Cookies, die nirgends aufgeführt sind, sind das Problem.

Warum jede Checkliste kurz vor dem nützlichen Teil aufhört

Wer nach dieser Frage sucht, findet gründliche, sorgfältige Listen. Sie stimmen miteinander und im Großen und Ganzen mit der obigen überein. Als Beschreibung der Pflicht taugen sie, und eine weitere zu schreiben, bringt wenig.

Was keine dieser Listen tut: Ihnen sagen, wie Sie herausfinden, ob Ihr eigenes Banner irgendetwas davon umsetzt. Keine nennt eine Prüfung im Browser, eine Anfrage, die man sich ansehen sollte, oder einen Weg, eine funktionierende Installation von einer dekorativen zu unterscheiden. Am Ende des Artikels kann der Leser die Anforderungen aufsagen, ist aber der einzigen Frage, mit der er kam, nicht näher: ob mit seiner Website alles in Ordnung ist. Diese Lücke will dieser Beitrag schließen.

Was tatsächlich schiefgeht, aus den Installationen, die wir sehen

Die Fehler sind selten eine fehlende Anforderung. Es sind Anforderungen, die in der Oberfläche vorhanden sind und im Code fehlen. Ein Banner wird angezeigt, speichert die Entscheidung und gibt nichts davon an die Tags weiter, meist weil irgendeine Kompatibilitätseinstellung seine Integrationen abgeschaltet hat. Ein Consent-Status wird von Hand in die Seite geschrieben und überschreibt, was der Besucher wählt, sodass jeder Besucher als zustimmend erfasst wird. Oder der abgelehnte Standardwert wird einen Tick zu spät gesetzt, nachdem die ersten Tags schon hinausgegangen sind. Dann ist die Website ab dem zweiten Seitenaufruf konform, beim ersten aber nicht.

Von außen sehen alle drei gleich aus: ein korrektes Banner auf einer normalen Seite, das sich normal verhält. Keiner dieser Fehler ist auf einem Screenshot sichtbar, und daraus besteht der Großteil aller Compliance-Nachweise. Sie zeigen sich nur auf dem Ablehnungspfad, also genau auf dem Pfad, der am wenigsten getestet wird. Wenn Sie nach dem Lesen nur eine Sache prüfen, dann prüfen Sie, was Ihr Banner sendet, wenn jemand ablehnt.

Der Teil, der eigentlich keine Rechtsfrage ist

Hier werden zwei Dinge vermischt. Ob Sie überhaupt ein Banner brauchen, hängt von Ihren Besuchern ab und davon, was Sie setzen. Diese Frage haben wir separat beantwortet. Was das Banner enthalten muss, behandelt dieser Artikel. Beides ist keine Rechtsberatung, und die Details unterscheiden sich je nach Mitgliedstaat. Grenzfälle klärt also ein Anwalt, ebenso das, was diese Liste auslässt, etwa Cookie-Walls und die Barrierefreiheit des Banners selbst.

Messbar ist, was Sie das Banner kostet. Einwilligungsentscheidungen verbergen einen Teil der Sitzungen vor Ihrer Webanalyse, und wie groß dieser Teil ist, hängt von Ihrer Region, Ihrer Zielgruppe und Ihrem Banner-Design ab. Die Zustimmungsrate in Ihrer CMP liefert Ihnen den Wert für Ihre eigene Website. Deshalb ist die zweite Anforderung der Liste nicht nur rechtlich, sondern auch geschäftlich wichtig: Ein klar angebotener Ablehnen-Button führt meist zu einer verlässlicheren Zustimmungsrate als ein versteckter. Ein korrektes Consent-Signal erlaubt Google außerdem, einen Teil der Lücke zu modellieren, sofern Ihr Konto die Voraussetzungen erfüllt.

Eine Frage klären diese sechs Anforderungen nicht: ob Sie zusätzlich das eigene Consent-Framework der Werbebranche brauchen. Für die meisten Websites lautet die Antwort nein, und der Test, ob Ihre die Ausnahme ist, dauert etwa fünf Minuten.

Velo setzt den Consent-Status über ein einziges Snippet, bevor Ihre Tags initialisiert werden, speichert den Nachweis darüber, was jeder Besucher gewählt hat, und liefert das Element zum Wiederöffnen, das die vierte Anforderung verlangt. Wie das funktioniert, steht auf der Produktseite.