Cookie-Banner & Tracking: Einwilligung richtig umsetzen

Nutzt Ihre Webseite Analyse-Tools, Marketing-Pixel oder Social-Media-Widgets, brauchen Sie in der Regel die Einwilligung Ihrer Besucher – und zwar bevor diese Dienste laden. Dieser Ratgeber erklärt, wann ein Cookie-Banner nötig ist, was er können muss, welche Consent-Tools es gibt und wie Sie Google Analytics und andere Tracking-Werkzeuge datenschutzbewusst einsetzen.

Das Wichtigste in Kürze

• Unbedingt notwendige Cookies, etwa für Warenkorb oder Sicherheit, brauchen keine Einwilligung, gehören aber in die Datenschutzerklärung.
• Für Analyse, Marketing und Social-Media-Dienste ist in der Regel eine aktive Einwilligung nötig, bevor sie laden (Opt-in).
• Ein guter Banner bietet eine echte Wahl einschließlich „Nur notwendige“, verlinkt auf die Datenschutzerklärung und lässt sich später über „Cookie-Einstellungen“ ändern.
• Entscheidend ist die Technik: Skripte dürfen erst nach der Zustimmung laden, sonst ist die Einwilligung wirkungslos.
• Je weniger Dienste Sie einbinden, desto einfacher werden Banner und Datenschutzerklärung.

Wann ist eine Einwilligung für Cookies nötig?

Cookies und ähnliche Techniken wie Local Storage oder Tracking-Pixel verarbeiten oft personenbezogene Daten. Neben der DSGVO regelt in Deutschland das TDDDG (früher TTDSG), wann Informationen auf den Geräten der Besucher gespeichert oder ausgelesen werden dürfen. Für die Praxis bedeutet das:

• Unbedingt notwendige Cookies, etwa für Sitzung, Warenkorb, Sicherheit oder das Speichern der Cookie-Auswahl: Keine Einwilligung nötig, aber in der Datenschutzerklärung erwähnen.
• Alle anderen Cookies und Skripte, etwa für Analyse, Marketing, personalisierte Werbung oder Social-Media-Widgets: Nach aktueller Rechtslage in Deutschland und der EU in der Regel nur mit Einwilligung vor dem Setzen (Opt-in). Vorher dürfen sie nicht geladen werden.
• Transparenz: In der Datenschutzerklärung beschreiben Sie, welche Cookies und Skripte Sie nutzen, zu welchem Zweck, wie lange und ob Dritte Zugriff haben.

Das betrifft nicht nur Cookies im engeren Sinn. Auch extern eingebundene Inhalte wie Videos, Karten oder Schriftarten von fremden Servern übertragen beim Laden Daten wie die IP-Adresse an den jeweiligen Anbieter. Mehr zum Einbinden von Karten lesen Sie im Ratgeber Google Maps und Anfahrt auf der Webseite einbinden.

Was muss ein Cookie-Banner enthalten?

• Eine kurze, verständliche Erklärung, wofür Sie Cookies nutzen, etwa „Wir nutzen Cookies für …“.
• Einen Link zur vollständigen Datenschutzerklärung.
• Eine echte Wahl: „Alle akzeptieren“, „Nur notwendige“ und gegebenenfalls „Einstellungen“ für einzelne Kategorien.
• Keine voreingestellte Zustimmung: „Alle akzeptieren“ darf nicht vorausgewählt sein, und Besucher brauchen eine echte Entscheidung statt eines bloßen Durchklickens.
• Eine dauerhafte Möglichkeit, die Einwilligung zu ändern oder zu widerrufen, zum Beispiel über einen Link „Cookie-Einstellungen“ im Footer.

Erst zustimmen, dann laden: die technische Umsetzung

Die beste Formulierung im Banner nützt nichts, wenn die Technik nicht mitspielt. Analyse-, Marketing- und Social-Media-Skripte dürfen erst laden, nachdem der Besucher eingewilligt hat – sonst ist die Einwilligung wirkungslos. Konfigurieren Sie Banner oder Consent-Tool so, dass jeder Dienst erst mit der passenden Zustimmung aktiv wird, und speichern Sie die Auswahl so, dass Besucher sie später ändern können.

So prüfen Sie das selbst: Öffnen Sie Ihre Webseite in einem privaten Browserfenster, starten Sie die Entwicklertools des Browsers (meist mit der Taste F12) und beobachten Sie im Reiter „Netzwerk“, welche Dienste vor Ihrer Zustimmung geladen werden. Tauchen dort schon Analyse- oder Marketing-Anbieter auf, stimmt die Konfiguration nicht.

Consent-Tools im Überblick: Cookiebot und Co.

Ein Consent-Tool, auch Consent-Management-Plattform genannt, holt Einwilligungen ein, speichert sie und lädt Skripte erst nach Zustimmung. Auswahl und Konfiguration müssen zu Ihren Diensten und zu Ihrer Datenschutzerklärung passen.

Was ein gutes Consent-Tool können sollte

• Opt-in vor dem Laden: Nicht notwendige Cookies und Skripte starten erst nach aktiver Zustimmung.
• Wahlmöglichkeit: „Nur notwendige“, „Alle“ oder einzelne Kategorien wie Statistik oder Marketing.
• Dokumentation: Das Tool zeigt, welche Cookies und Skripte nach welcher Wahl gesetzt werden – idealerweise mit automatischem Cookie-Scan, damit die Angaben zur Datenschutzerklärung passen.
• Widerruf: Besucher können ihre Einwilligung später jederzeit ändern.
• Passender Anbieter: Anbieter mit Sitz in der EU oder mit DSGVO-konformen Verträgen sind oft unkomplizierter; bei US-Anbietern prüfen Sie AV-Vertrag und Hinweise in der Datenschutzerklärung besonders sorgfältig.

Anbieter und Varianten

• Fertige Dienste wie Cookiebot, CookieYes oder Consent Manager: Sie scannen oft die Seite, listen gefundene Cookies auf und lassen Kategorien konfigurieren. Die Kosten hängen je nach Anbieter etwa von Seitenaufrufen oder Funktionsumfang ab.
• Selbst umgesetzter Banner: Ein eigenes Skript lädt Dienste erst nach Klick auf „Akzeptieren“ oder die passende Kategorie. Das bedeutet mehr Aufwand, dafür volle Kontrolle.
• Open-Source- und kostenlose Lösungen: Für einfache Fälle gibt es schlanke Varianten. Ob sie zu Ihren Diensten wie Google Analytics oder dem Facebook-Pixel passen und rechtlich ausreichen, müssen Sie im Einzelfall prüfen.

Worauf Sie bei der Einrichtung achten sollten

• Datenschutzerklärung anpassen: welches Tool, welche Daten, wo sie verarbeitet werden, Speicherdauer, Rechtsgrundlage und Betroffenenrechte.
• AV-Vertrag abschließen: Verarbeitet das Tool personenbezogene Daten für Sie, brauchen Sie in der Regel einen Vertrag zur Auftragsverarbeitung – mehr dazu im Ratgeber Datenschutz in der Praxis: AV-Vertrag und Newsletter.
• Konfiguration testen: Lädt wirklich nichts vor der Zustimmung, und werden keine Daten vorab an Dritte übertragen?

Google Analytics und Tracking datenschutzbewusst einsetzen

Analyse-Tools wie Google Analytics verarbeiten personenbezogene Daten, etwa IP-Adressen sowie Geräte- und Nutzungsdaten. Die Datenschutz-Aufsichtsbehörden sehen eine solche Nutzungsanalyse nicht allein durch ein berechtigtes Interesse gedeckt. In der Praxis brauchen Sie deshalb eine Einwilligung, bevor Analyse-Cookies oder -Skripte laden; ohne Einwilligung bleiben nur stark anonymisierte Auswertungen oder der Verzicht auf das Tool.

Diese Maßnahmen gehören dazu

• Einwilligung vor Aktivierung: Das Analyse-Tool startet erst, wenn der Besucher der passenden Kategorie zugestimmt hat.
• Datensparsam konfigurieren: Senden Sie nur die Daten an den Anbieter, die Sie für Ihre Auswertung wirklich brauchen, und nutzen Sie vorhandene Einstellungen zur Anonymisierung oder Kürzung von IP-Adressen.
• AV-Vertrag abschließen: Bei Google Analytics geschieht das oft per Zustimmung zu den Vertragsbedingungen im Konto; prüfen Sie, ob das für Ihre Nutzung ausreicht.
• Übermittlung in die USA: Sitzt der Anbieter in den USA, ist die Datenübermittlung nur mit einem geeigneten rechtlichen Mechanismus zulässig, etwa Standardvertragsklauseln. Die Rechtslage dazu hat sich wiederholt geändert – behalten Sie aktuelle Urteile und Empfehlungen der Aufsichtsbehörden im Blick.

Das gehört in die Datenschutzerklärung

Nennen Sie das Tool, die verarbeiteten Daten, den Zweck, die Speicherdauer und die Empfänger, einschließlich eines Hinweises auf eine Übermittlung in die USA, falls zutreffend. Geben Sie als Rechtsgrundlage die Einwilligung an, weisen Sie auf Widerruf und Betroffenenrechte hin und verlinken Sie auf die Cookie-Einstellungen, damit Besucher ihre Entscheidung ändern können.

Welche Alternativen zu umfangreichem Tracking gibt es?

Nicht jede Webseite braucht umfangreiches Tracking. Je weniger Dienste Sie einbinden, desto einfacher werden Banner, Datenschutzerklärung und Verträge.

• Tracking ausmisten: Prüfen Sie, welche Auswertungen Sie tatsächlich nutzen, und entfernen Sie Dienste, die niemand mehr auswertet – auch aus Banner und Datenschutzerklärung.
• Datensparsame Analyse: Es gibt Werkzeuge, die mit stark anonymisierten Daten oder ohne Cookies arbeiten, sowie Open-Source-Software wie Matomo, die Sie auf dem eigenen Server betreiben können. Ob dafür eine Einwilligung nötig ist, hängt von Tool und Konfiguration ab und sollte geprüft werden.
• Google Search Console: Sie zeigt, bei welchen Suchanfragen Ihre Seite in Google erscheint und angeklickt wird, ohne dass dafür ein Tracking-Skript auf Ihrer Webseite laufen muss.
• Externe Inhalte erst auf Klick: Videos oder Karten zeigen zunächst nur einen Platzhalter und laden erst, wenn der Besucher sie aktiv anfordert.

Mehr zur Erfolgsmessung finden Sie im Ratgeber Ranking und Erfolg messen: Sichtbarkeit Ihrer Webseite prüfen.

Checkliste: Cookie-Banner und Tracking prüfen

1. Erfassen Sie alle Cookies, Skripte und eingebundenen Dienste und ordnen Sie sie ein: notwendig, funktional, Analyse, Marketing.
2. Richten Sie einen Banner mit echter Wahl ein: „Alle akzeptieren“, „Nur notwendige“ und „Einstellungen“.
3. Testen Sie im privaten Browserfenster, dass vor der Zustimmung keine Analyse- oder Marketing-Dienste laden.
4. Ergänzen Sie einen Link „Cookie-Einstellungen“ im Footer.
5. Beschreiben Sie jeden Dienst in der Datenschutzerklärung mit Zweck, Anbieter, Speicherdauer und Widerrufsmöglichkeit.
6. Schließen Sie AV-Verträge mit den Anbietern von Consent- und Analyse-Tools ab, soweit diese Daten für Sie verarbeiten.
7. Aktualisieren Sie Banner und Datenschutzerklärung bei jedem neuen oder entfernten Dienst.
8. Prüfen Sie Ihre Einstellungen regelmäßig, denn die rechtlichen Anforderungen an Cookie-Banner entwickeln sich weiter.

Weiterlesen

• Impressum und Datenschutz: Pflichtangaben für Webseiten
• Abmahnung vermeiden: typische Fehler auf Webseiten

Fazit

Ein Cookie-Banner ist nur so gut wie seine technische Umsetzung: Nicht notwendige Dienste dürfen erst nach einer echten Zustimmung laden. Ob Cookiebot, ein anderes Consent-Tool oder eine eigene Lösung – entscheidend ist, dass Banner, Technik und Datenschutzerklärung zusammenpassen. Oft ist weniger Tracking der einfachste Weg zu weniger Aufwand und weniger Risiko.

Dieser Beitrag ist ein allgemeiner Überblick und ersetzt keine Rechtsberatung.