Wie weisen Sie nach, dass Besucher eingewilligt haben?
Sie weisen es mit einem Einwilligungsnachweis nach: einem gespeicherten Eintrag, der zeigt, wer eingewilligt hat, wann, in welche Kategorien, auf welchem Weg und welche Version des Hinweises er gesehen hat. Artikel 7 Absatz 1 legt diese Last auf Sie. Eine Aufsichtsbehörde schaut sich vielleicht auch Ihr Banner an, aber eine Einwilligung nachzuweisen heißt, einen Nachweis vorzulegen, für einen Besucher, an einem Datum.
Ist ein Cookie-Banner ein Einwilligungsnachweis?
Verlangt wird, nachzuweisen, dass eine Einwilligung vorliegt, und das Wort „nachweisen“ trägt die ganze Last. Es genügt nicht, zu zeigen, dass es ein Banner gibt, oder einen Screenshot des Banners zu machen, das heute Morgen auf Ihrer Website lief. Beides beschreibt Ihre aktuelle Konfiguration. Keines davon sagt etwas darüber, was ein bestimmter Besucher an einem bestimmten Dienstag im März gesehen hat, und genau danach fragt jemand.
Artikel 7 Absatz 1 DSGVO ist die entscheidende Stelle, und die veröffentlichten Checklisten zitieren ihn korrekt. Dünn werden sie bei der anderen Hälfte der Aufgabe. Zur Erfassung sind sie ausführlich und listen die Felder auf, die ein Protokoll enthalten sollte. Zum Abrufen sagen sie kaum etwas: wie Sie den Eintrag eines einzelnen Besuchers finden, was er überstehen muss und wessen Name darauf steht. Die Erfassung bringt das Produkt mit. Wie es um den Abruf steht, merken Sie erst, wenn es darauf ankommt.
Ein Banner ist kein Beweis. Ein Nachweis schon.
Ein Einwilligungsnachweis
- Wer: eine pseudonyme Sitzungs-ID
- Wann: Zeitstempel und jede Änderung
- Was: erlaubte und abgelehnte Kategorien
- Wie: der verwendete Mechanismus
- Hinweis: angezeigte Bannerversion
Wo es verloren geht
- Kein Abruf: nur Zustimmungsraten, nie ein Besucher an einem Datum
- Falscher Verantwortlicher: genannt ist die Agentur, nicht der Websitebetreiber
- Kein Export: nur im Dashboard, weg bei Wechsel oder Offboarding
Alle drei Fehler bestehen eine Installationsprüfung.
Die fünf Felder und das eine, das alle vergessen
Wer, wann, was, wie und zu welchem Hinweis. Die ersten vier stehen auf den meisten veröffentlichten Listen. Das fünfte macht den Nachweis zum Beweis, und genau dieses fehlt am häufigsten.
Überlegen Sie, was ein Nachweis ohne dieses Feld aussagt: Diese Sitzung hat zu diesem Zeitpunkt Analytics und Werbung akzeptiert. Er sagt nicht, was der Person mitgeteilt wurde. Hat sich Ihr Bannertext im Lauf des Jahres geändert, und das ist fast sicher der Fall, kann ein Nachweis ohne Hinweisversion nicht belegen, dass die Person irgendetwas Bestimmtem zugestimmt hat.
Das Wer-Feld klingt nach einem Problem, ist aber keines: Sie speichern eine pseudonyme Sitzungsreferenz statt eines Namens. Mehr identifizierende Daten zu sammeln, um zu belegen, dass Sie um Erlaubnis zum Datensammeln gebeten haben, wäre ein seltsames Ergebnis. Die Übersicht der Anforderungen zeigt, wo das zwischen den anderen Pflichten steht.
Können Sie den Nachweis eines Besuchers auf Abruf vorlegen?
Machen Sie das einmal. Nur so wissen Sie, ob Ihr Einwilligungsprotokoll ein Beweis ist oder Dekoration.
Ein echtes Datum und einen echten Besucher wählen
Keine Testsitzung. Wählen Sie einen gewöhnlichen Tag vor einigen Wochen und daraus einen Besucher, so wie eine echte Anfrage eintreffen würde. Aussagekräftig ist das nur, wenn der Nachweis Ihre normale Aufbewahrung schon durchlaufen hat, ebenso wie alles, was Ihre Plattform mit alten Daten macht. Ein Nachweis von heute Morgen beweist wenig.
Den Nachweis aus Ihrer Consent-Plattform abrufen
Öffnen Sie Ihr Consent-Tool und suchen Sie den Eintrag dieses Besuchers. Stoppen Sie die Zeit. An diesem Schritt hakt es meistens, entweder weil die Oberfläche nur aggregierte Werte zeigt und keine Suche nach einzelnen Personen bietet, oder weil die Suche eine Kennung braucht, die niemand erfasst hat. Beides ist derselbe Befund: Das Protokoll existiert, der Abruf nicht.
Prüfen, ob der Nachweis alle fünf Fragen beantwortet
Wer, wann, was, wie und zu welchem Hinweis. Ein gespeicherter Eintrag, der nur sagt, dass ein Besucher zugestimmt hat, ohne festzuhalten, welche Bannerversion er gesehen und welchen Kategorien er zugestimmt hat, belegt nichts darüber, worin er tatsächlich eingewilligt hat. Der Hinweistext ist das Feld, das am häufigsten fehlt, und gerade er gibt dem Rest seine Bedeutung.
Prüfen, wer darin als Verantwortlicher genannt ist
Lesen Sie den Nachweis und prüfen Sie, wessen Name darauf steht. Wenn Sie als Agentur Consent für Kunden betreiben, entscheidet dieses Feld, wessen Pflicht Sie gerade tragen. Sie bleibt beim Kunden, egal unter welcher Marke das Banner läuft, und ein Nachweis, der die falsche Partei nennt, wirkt erledigt, obwohl er es nicht ist.
Exportieren, bevor Sie es brauchen
Fordern Sie einen vollständigen Export in einem Format an, das Sie ohne den Anbieter lesen können: eine Datei, keine Dashboard-Ansicht. Tun Sie es jetzt, solange das Konto aktiv ist. Ein Export, den Sie nie ausgeführt haben, ist eine Funktion, von der Sie nur annehmen, dass es sie gibt. Und wenn Sie das Protokoll am dringendsten brauchen, haben Sie am wahrscheinlichsten keinen Zugriff mehr darauf.
Die drei Fehler, die wie Erfolg aussehen
Jeder dieser Fehler hinterlässt eine Installation, die jede Prüfung besteht. Das Tool ist da, das Banner funktioniert, das Dashboard füllt sich mit Zustimmungsraten, und das, was Sie am entscheidenden Tag bräuchten, fehlt.
Kein Abruf. Die Plattform ist auf Reporting ausgelegt, nicht auf Einzelabfragen. Sie sehen, welcher Anteil der Besucher letzten Monat zugestimmt hat, können aber keine Frage zu einem einzelnen beantworten. Das ist der häufigste der drei Fehler und der, den man am leichtesten übersieht, weil das Dashboard wie ein Beweis aussieht.
Der falsche Verantwortliche. Dieser Fehler betrifft Agenturen, und er fällt kaum auf. Ein Nachweis, der die Agentur statt des Websitebetreibers nennt, verschiebt die Pflicht nicht. Er sorgt nur dafür, dass die Unterlagen dem Gesetz widersprechen. Wessen Name im Nachweis steht, wo das Protokoll liegt und ob es mit dem Kunden mitgeht, behandelt der Beitrag über Consent unter der eigenen Marke.
Kein Export. Ein Protokoll, das Sie nur im Dashboard lesen können, verlieren Sie mit einem gekündigten Tarif, einer Migration oder einem Konto, auf das Sie keinen Zugriff mehr haben. Gerade beim Wechsel gehen Nachweise gern verloren.
Nachweisen und Prüfungen bestehen sind zwei verschiedene Aufgaben
Zwei Dinge werden oft vermischt. Der Nachweis belegt, dass eine Einwilligung erteilt wurde. Er sagt nichts darüber, ob sich Ihre Tags danach so verhalten haben, wie der Besucher es wollte. Das ist eine andere Ebene und Thema der Anleitung zur Signalprüfung. Eine Website kann tadellose Nachweise haben und bei einer Ablehnung trotzdem Daten durchlassen. Sie brauchen beides, und beides scheitert unabhängig voneinander.
Velo protokolliert jede Einwilligungsentscheidung als unveränderliches Ereignis und gibt für jede eine Beleg-ID zurück. Erst das macht einen späteren Abruf überhaupt möglich. Wie das funktioniert, steht auf der Produktseite.
Häufige Fragen
Was Leser zu diesem Thema fragen.
Wie weisen Sie nach, dass ein Besucher eingewilligt hat?
Mit einem Einwilligungsnachweis, den Sie jederzeit abrufen können: einem gespeicherten Eintrag, der zeigt, wer eingewilligt hat, wann, in welche Kategorien, auf welchem Weg und welche Version des Hinweises er gesehen hat. Nach dem Grundsatz der Rechenschaftspflicht in der DSGVO muss der Verantwortliche nachweisen, dass eine Einwilligung vorliegt. Der Test lautet also nicht, ob Sie ein Banner haben, sondern ob Sie den Nachweis eines Besuchers für ein bestimmtes Datum vorlegen können.
Was muss ein Einwilligungsnachweis enthalten?
Fünf Dinge. Wer, also eine pseudonyme Kennung, die den Nachweis mit einer Sitzung verknüpft, statt eine Person zu nennen. Wann, ein Zeitstempel für die Auswahl und jede spätere Änderung. Was, die erlaubten und abgelehnten Kategorien statt eines einzelnen Ja. Wie, der verwendete Mechanismus. Und zu welchem Hinweis, also die Version des Bannertexts, die damals angezeigt wurde. Erst dieses letzte Feld macht aus den anderen vier einen Beweis.
Wie lange müssen Sie Einwilligungsnachweise aufbewahren?
Das Gesetz nennt keine Zahl, deshalb sprechen veröffentlichte Leitlinien von einer angemessenen Aufbewahrung statt von einer Frist. Die meisten Teams kommen zu folgendem Schluss: Der Nachweis muss die Verarbeitung überdauern, die er erlaubt hat, plus den Zeitraum, in dem realistischerweise eine Beschwerde eingehen kann. Die Falle ist, den Nachweis zu löschen, sobald ein Besucher widerruft. Dann können Sie nicht mehr zeigen, dass die Einwilligung gültig war, solange Sie sich darauf gestützt haben. Nehmen Sie die konkrete Dauer aus Ihrer eigenen Rechtsberatung, nicht aus der Voreinstellung eines Anbieters.
Wem gehören die Einwilligungsnachweise, wenn eine Agentur das Banner betreibt?
Fast immer der Kunde, denn Verantwortlicher ist, wer über Zweck und Mittel der Verarbeitung entscheidet, und das ist der Websitebetreiber, nicht die Agentur, die das Tool einrichtet. Die praktische Frage ist, wo die Nachweise liegen und ob sie mitgehen. Liegt das Protokoll in einem Konto der Agentur, kann ein Offboarding die Einwilligungsnachweise eines Kunden in einer Umgebung zurücklassen, auf die er keinen Zugriff hat.
Was passiert mit Ihrem Einwilligungsprotokoll, wenn Sie die Consent-Plattform wechseln?
Es bleibt zurück, wenn Sie es nicht gezielt mitnehmen, und die neue Plattform beginnt bei null. Ihre Pflicht, die Einwilligung nachzuweisen, gilt für die Zeit vor dem Wechsel genauso wie danach. Exportieren Sie also das alte Protokoll, bevor Sie das alte Konto kündigen, und notieren Sie das Datum der Umstellung.
Website-Datenschutz, an einem Ort.
Website prüfen →© 2026
