Ein Cookie-Consent-Manager, direkt in deine Analytics integriert

Nichts von uns läuft vor einer Entscheidung

Im Opt-in-Modus wartet das PulsePanda-Snippet auf eine Entscheidung, bevor es startet. Bis der Besucher Analyse akzeptiert, gibt es kein Session Replay, keine Heatmap- oder Klick-, Scroll- und Eingabe-Erfassung, kein Event-Tracking und keine Kennung, die in den Browser geschrieben wird.

Tags von Drittanbietern warten auf ihre Kategorie

Um Google Analytics, das Meta-Pixel oder ein anderes Tag zurückzuhalten, ändere seinen type in text/plain und füge data-pp-consent mit der Kategorie hinzu, zu der es gehört. Der Browser ignoriert ein Skript dieses Typs, es läuft also nie. Sobald der Besucher die Kategorie freigibt, ersetzt PulsePanda jedes getaggte Skript durch eine aktive Kopie mit denselben Attributen, sodass externe und Inline-Skripte beide laufen. Externe laden asynchron, ein Tag, das vor einem anderen laufen muss, sollte also inline eingebunden oder verkettet werden.

<!-- Läuft erst, nachdem der Besucher "marketing" akzeptiert hat -->
<script type="text/plain" data-pp-consent="marketing"
        src="https://connect.facebook.net/en_US/fbevents.js"></script>

<!-- Inline-Skripte funktionieren genauso -->
<script type="text/plain" data-pp-consent="analytics">
  gtag('config', 'G-XXXXXXXXXX');
</script>

Automatisches Blockieren fängt die Cookies ab, die du übersehen hast

Das Taggen deckt die Skripte ab, die du kennst. Mit aktiviertem automatischem Blockieren überwacht PulsePanda außerdem jedes Cookie, das ein Skript über document.cookie schreiben will. Ein Cookie aus einer Kategorie, die der Besucher nicht freigegeben hat, wird verworfen. Im Opt-in-Modus wird auch ein Cookie, das überhaupt nicht in deinem Verzeichnis steht, verworfen, bis der Besucher entscheidet. Unbedingt erforderliche Cookies kommen immer durch.

Das geschieht bewusst nach bestem Bemühen, und es lohnt sich zu wissen, wo es aufhört: Es sieht keine Cookies, die dein Server mit einem Set-Cookie-Header setzt, und keine Cookies, die in einem iframe eines Drittanbieters geschrieben werden. Blockiere diese an der Quelle.

Ein Widerruf räumt auf

Wenn ein Besucher eine Kategorie ausschaltet, lässt PulsePanda die Cookies, die dein Verzeichnis für diese Kategorie auflistet, sofort ablaufen, sowohl auf dem aktuellen Host als auch auf der übergeordneten Domain, statt sie bis zu ihrem Ablauf liegen zu lassen.

Wenn das PulsePanda-Banner dein Consent-Tool ist, erreicht jede Entscheidung die Google-Tags als Consent-Mode-v2-Update, über denselben dataLayer, den gtag.js und Google Tag Manager lesen. Die gespeicherte Wahl eines wiederkehrenden Besuchers wird auf jeder Seite erneut gesendet, und ein Widerruf setzt die Signale wieder auf abgelehnt.

• Analyse setzt analytics_storage.
• Marketing setzt ad_storage, ad_user_data und ad_personalization.
• Präferenzen setzt functionality_storage und personalization_storage.

Eine Kategorie, die dein Banner nicht anbietet, bleibt abgelehnt, also aktiviere Marketing, wenn du Google-Ads-Tags nutzt.

Standardwerte setzen, bevor Google-Tags laden

Consent Mode braucht einen Standardzustand, bevor irgendein Google-Tag läuft. In Google Tag Manager setzt ihn die Tag-Vorlage PulsePanda Analytics: Aktiviere Set Google Consent Mode defaults, löse das Tag bei Einwilligungsinitialisierung – Alle Seiten aus und liste optional die Regionen auf, in denen eine Einwilligung nötig ist. Sie stellt außerdem die Wahl eines wiederkehrenden Besuchers wieder her, bevor andere Tags feuern. Mit gtag.js setzt du die Standardwerte oberhalb deines Google-Tags:

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag() { dataLayer.push(arguments); }
  gtag('consent', 'default', {
    analytics_storage: 'denied',
    ad_storage: 'denied',
    ad_user_data: 'denied',
    ad_personalization: 'denied',
    wait_for_update: 500
  });
</script>

Auf jedes Update folgt ein Event pulsepanda_consent im dataLayer, das du als Trigger in Tag Manager nutzen kannst. Wenn eine andere Plattform die Einwilligung einholt und mit setConsent an PulsePanda weitergibt, überlässt PulsePanda die Google-Einwilligung dieser Plattform.

Das PulsePanda-Snippet setzt keine Cookies. Sobald ein Besucher eingewilligt hat, speichert es drei Schlüssel im localStorage:

• _sr_vid: der aktuelle Besuch, der nach 30 Minuten ohne Aktivität endet.
• _sr_uid: eine zufällige anonyme ID, damit wiederkehrende Besuche verknüpft werden können.
• _pp_consent: die Wahl des Besuchers pro Kategorie, die Version der Richtlinie und der Zeitpunkt der Entscheidung, damit das Banner nicht auf jeder Seite wieder erscheint.

Lehnt ein Besucher Analyse ab oder widerruft er sie später, stoppt die Erfassung, und die Schlüssel für Besuch und anonyme ID werden gelöscht. Führe die drei Schlüssel in deiner Cookie-Richtlinie auf; das Dashboard zeigt sie neben den Banner-Einstellungen an.

Jede Entscheidung wird außerdem in deinem Workspace mit der anonymen ID, den gewählten Kategorien, der Version der Richtlinie und einem Zeitstempel festgehalten. Die Einwilligungsübersicht zeigt die letzten Entscheidungen mit deiner Zustimmungsrate und exportiert sie als CSV, wenn dich jemand bittet nachzuweisen, dass eine Einwilligung erteilt wurde.

Du musst keine Consent-Plattform ersetzen, die du bereits betreibst. Lass das PulsePanda-Banner ausgeschaltet und gib die Entscheidung, die deine Plattform erfasst, aus deren Consent-Callback an PulsePanda weiter:

<script>
  window.PulsePanda = window.PulsePanda || [];
  // Aus dem Consent-Callback deiner CMP aufrufen:
  window.PulsePanda.push(['setConsent', true]);   // Besucher hat Analyse freigegeben
  // window.PulsePanda.push(['setConsent', false]); // Besucher hat abgelehnt oder widerrufen
</script>

Du nutzt stattdessen das PulsePanda-Banner? Verlinke „Cookie-Einstellungen“ in deinem Footer mit window.PulsePanda.push(['showConsentBanner']), damit Besucher ihre Meinung jederzeit ändern können – laut DSGVO muss das so einfach sein wie die Einwilligung selbst.

Der Consent-Manager von PulsePanda ist für Teams gebaut, die Einwilligung und Analytics an einem Ort wollen. Er ist nicht für jede Website das richtige Werkzeug. Wähle eine zertifizierte Consent-Plattform wie Cookiebot oder OneTrust, wenn du etwas davon brauchst:

• IAB TCF v2.2. PulsePanda erzeugt keinen TCF-Consent-String, den programmatische Werbe-Stacks in der EU verlangen.
• Einen Cookie-Scan per Crawler. Das Verzeichnis entsteht aus dem, was die Browser echter Besucher enthalten, nicht aus einem geplanten Crawl jeder Seite.
• Eine Einwilligung über mehrere Domains. Entscheidungen werden pro Website gespeichert, sodass ein Besucher, der auf einer Domain zustimmt, auf einer anderen erneut gefragt wird.

Wenn du nur ein Banner und keine Analytics brauchst, liefert dir der kostenlose Generator für Cookie-Consent-Banner eines ohne Abhängigkeiten, das du in jede Website einfügen kannst.