Ein Banner ist keine Einwilligung
Das Banner ist die Oberfläche. Die Einwilligung ist der Nachweis dahinter — freiwillig erteilt, konkret, informiert und widerruflich. Eine Website kann ein wunderschön gebautes Banner haben und trotzdem keine gültige Einwilligung besitzen, weshalb „Wir haben ein Cookie-Banner eingebaut“ keine Antwort auf „Sind wir konform?“ ist.
Dieser Nachweis muss vier Dinge belegen: wer eingewilligt hat, wozu, wann und auf Grundlage welcher Version deiner Cookie-Liste. Wenn du das für einen bestimmten Besucher nicht vorlegen kannst, hast du ein Banner und nichts dahinter.
Die Checkliste
Fünf Punkte, die sich jeweils in etwa fünf Minuten von außerhalb der Codebasis prüfen lassen.
Nichts Nicht-Notwendiges läuft vorher. Analytics, Werbung und eingebettete Inhalte Dritter dürfen erst laden, wenn eine Wahl getroffen wurde. An diesem Punkt scheitern die meisten Websites, weil das Tag vor dem Banner installiert wurde.
Ablehnen ist genauso einfach wie Akzeptieren. Derselbe Bildschirm, dieselbe Zahl an Klicks, vergleichbares visuelles Gewicht. Ein auffälliges „Alle akzeptieren“ neben einem blassen „Einstellungen verwalten“ ist der typische Fehler.
Kategorien sind fein unterteilt, und nichts ist vorausgewählt. Analyse, Funktion und Marketing sind getrennte Entscheidungen, und jeder nicht notwendige Schalter steht anfangs auf aus.
Widerrufen ist so einfach wie Zustimmen. Ein dauerhaftes Bedienelement, das die Auswahl wieder öffnet — keine E-Mail-Adresse, kein Support-Formular.
Die Wahl wird gespeichert und versioniert. Wenn sich deine Cookie-Liste wesentlich ändert, deckt eine für die alte Liste eingeholte Einwilligung den neuen Zweck nicht mehr ab.
Die Muster, die eingeholte Einwilligungen unwirksam machen
Aufsichtsbehörden haben sich auf eine kurze Liste geeinigt, und jeder Punkt darauf macht aus einem eingeholten „Ja“ gar keine Einwilligung.
Ablehnen-Buttons mit wenig Kontrast oder versteckt. Vorausgewählte Kästchen, einschließlich standardmäßig aktivierter Schalter für berechtigtes Interesse. Cookie-Walls, bei denen Ablehnen keinen Zugang bedeutet, ohne dass es eine gleichwertige Alternative gibt. Erneutes Nachfragen bei jedem Seitenaufruf, bis der Besucher nachgibt. Und Einwilligungen, die an die Annahme der Nutzungsbedingungen gekoppelt sind, sodass wer das Produkt nutzen will, auch dem Tracking zustimmen muss.
Der Test hinter all dem ist ein Satz: Wenn die Oberfläche das Nein teurer macht als das Ja, ist das Ja nicht freiwillig erteilt.
Was mit deinen Analytics passiert, wenn jemand ablehnt
Hier werden zwei verschiedene Dinge gleich genannt. Consent-Signalisierung lässt das Tag auf der Seite und teilt ihm mit, dass die Einwilligung verweigert wurde, sodass es cookielose Pings sendet und der Anbieter die Lücke modelliert. Nicht erfassen bedeutet, dass die Anfrage gar nicht erst stattfindet.
Beides ist vertretbar, aber nicht gleichwertig, und der Unterschied zeigt sich in deinen Zahlen. Modellierter Traffic ist eine Schätzung, die mit der Selbstsicherheit einer Messung auftritt, und in einer Session ohne Einwilligung ist sie eine Schätzung auf sehr dünner Basis. Wenn dir Zahlen, nach denen du handeln kannst, lieber sind als Zahlen, die vollständig aussehen, setze auf Messung, die nie eine Einwilligung brauchte — aggregiert, cookielos, ohne websiteübergreifende Kennung — und lass die abgelehnten Sessions ehrlich fehlen.
DSGVO und CCPA sind nicht dieselbe Anforderung
Die DSGVO ist Opt-in: kein nicht notwendiges Cookie vor der Einwilligung, und Schweigen gilt als Ablehnung. CCPA und CPRA funktionieren eher wie Opt-out: Die Erfassung darf beginnen, aber der Besucher muss informiert werden und den Verkauf oder die Weitergabe seiner Daten stoppen können, was in der Praxis die meisten Werbe-Integrationen betrifft.
Ein Banner, das nur für Kalifornien gebaut ist, scheitert in Europa. Eines, das für die DSGVO gebaut ist, erfüllt in der Regel beides, weshalb es die vernünftige Basis für jede Website mit Traffic aus mehr als einer Region ist.
Prüf deins in fünf Minuten
Öffne die Website in einem privaten Fenster mit den Entwicklertools auf dem Netzwerk-Tab. Leere den Speicher, lade die Seite und tu überhaupt nichts. Jede Anfrage an Dritte, die erscheint, bevor du klickst, ist eine, die du nicht rechtfertigen kannst. Wähle dann Ablehnen, lade neu und prüfe, ob die Liste leer bleibt und die Wahl das Neuladen überstanden hat.
Wenn du lieber mit etwas startest, das die Prüfung schon besteht, erzeugt der kostenlose Generator für Cookie-Consent-Banner ein Banner, bei dem Ablehnen-Option, fein unterteilte Kategorien und ein versionierter Nachweis bereits eingebaut sind.