Cookie-Banner DSGVO-konform einrichten: Praxis-Guide für Consent und Tracking

Cookie-Banner DSGVO-konform umsetzen: Consent-Tool auswählen, Kategorien richtig zuordnen, Skripte wirksam blockieren, Google Consent Mode, Nachweis führen und typische Fehler vermeiden.

Viele Unternehmen haben „irgendwie Tracking drin“ und „irgendein Banner“. Rechtlich ist das wackelig, und die Zahlen sind nicht belastbar: doppelte Seitenaufrufe, fehlende Conversions, Tools, die trotz „Ablehnen“ laden, Berichte, denen niemand traut. Dieser Guide zeigt Schritt für Schritt, wie du ein Cookie-Banner DSGVO-konform einrichtest – von der Tool-Auswahl bis zum Test nach dem Livegang.

Er richtet sich an Inhaber, Marketing-Verantwortliche und alle, die die Umsetzung beauftragen oder abnehmen. Die Grundlagen – was Cookies sind, welche Arten es gibt und wann du überhaupt eine Einwilligung brauchst – erklären wir im Artikel Cookies: brauche ich das?. Hier geht es um die Praxis. Du bekommst:

• eine Kurzantwort, wie ein sauberes Setup aussieht
• den rechtlichen Rahmen in verständlicher Kürze, ohne Rechtsberatung
• sechs Schritte von der Tool-Inventur bis zum Test
• eine Einordnung des Google Consent Mode
• die typischen Fehler aus unseren Audits mit Lösung
• eine Checkliste zum Abhaken

Ein Hinweis vorab: Wir sind Webagentur, keine Kanzlei. Was hier steht, ist Praxiserfahrung aus vielen Projekten. Bei rechtlichen Fragen zu deinem konkreten Fall ist ein Datenschutzbeauftragter oder ein Anwalt die richtige Adresse.

Kurzantwort: So sieht ein DSGVO-konformes Setup aus

Ein DSGVO-konformes Cookie-Banner erfüllt in der Regel fünf Bedingungen: Erstens laden Statistik- und Marketing-Skripte erst, nachdem der Besucher zugestimmt hat. Zweitens sind „Alle akzeptieren“ und „Ablehnen“ gleichwertig auf der ersten Ebene erreichbar, ohne vorangekreuzte Kästchen. Drittens sind die Tools korrekt in Kategorien eingeordnet und verständlich beschrieben. Viertens kann der Besucher seine Entscheidung jederzeit über einen Link im Footer ändern. Fünftens wird jede Einwilligung protokolliert, und die Datenschutzerklärung passt zum tatsächlichen Setup. Der häufigste Fehler liegt nicht im Text des Banners, sondern in der Technik: Das Banner ist da, aber die Skripte laden trotzdem.

Rechtlicher Rahmen in Kürze

Zwei Regelwerke spielen zusammen. Die DSGVO regelt die Verarbeitung personenbezogener Daten, also etwa das Auswerten von Nutzerverhalten durch Analyse- und Werbedienste. Das TDDDG, bis 2024 unter dem Namen TTDSG bekannt, regelt in Paragraf 25 den Zugriff auf Informationen im Endgerät des Nutzers – dazu zählen Cookies, aber auch Speicher im Browser und ähnliche Techniken. Für diesen Zugriff ist eine Einwilligung nötig, sofern er nicht unbedingt erforderlich ist, um einen vom Nutzer gewünschten Dienst bereitzustellen.

Eine wirksame Einwilligung muss nach allgemeiner Lesart freiwillig, informiert, vorab und widerrufbar sein. Übersetzt für die Praxis:

• Freiwillig: Ablehnen ist genauso leicht wie Zustimmen. Kein Zwang, keine vorangekreuzten Kästchen, kein Banner, das den Zugang zur Seite sperrt.
• Informiert: Der Besucher versteht, welche Tools zu welchem Zweck eingesetzt werden, bevor er entscheidet.
• Vorab: Nichts wird geladen, bevor die Entscheidung gefallen ist.
• Widerrufbar: Die Einstellungen sind jederzeit erreichbar und änderbar.

Aufsichtsbehörden haben in den vergangenen Jahren mehrfach klargestellt, dass Banner ohne echte Ablehnen-Option oder mit irreführender Gestaltung nicht ausreichen. Wie streng das im Einzelfall ausgelegt wird, ist eine Rechtsfrage – deshalb der Hinweis auf Datenschutzbeauftragte. Für die Umsetzung gilt: Wer die fünf Bedingungen aus der Kurzantwort erfüllt, ist nach unserer Erfahrung auf der sicheren Seite der aktuellen Praxis.

Schritt 1: Inventar – welche Tools laufen auf deiner Website?

Bevor du ein Banner konfigurierst, musst du wissen, was es steuern soll. Die meisten Websites haben mehr Tools eingebunden, als ihre Betreiber wissen: ein Analytics-Tag vom letzten Relaunch, ein Facebook-Pixel aus einer alten Kampagne, ein Chat-Widget, eine Karte, ein Video-Player. Jedes davon kann Cookies setzen oder Daten übertragen.

So machst du das Inventar:

1. Öffne deine Website im privaten Fenster und akzeptiere alles.
2. Öffne die Entwicklerwerkzeuge des Browsers (Taste F12), Reiter „Netzwerk“. Lade die Seite neu und notiere alle Domains, die nicht deine eigene sind.
3. Prüfe unter „Anwendung“ oder „Speicher“ die gesetzten Cookies und ihre Absender.
4. Frag intern nach: Wer hat wann welches Tool eingebaut, und wird es noch gebraucht?

Das Ergebnis ist eine Liste wie diese:

Die Spalte „Behalten?“ ist die wichtigste. Jedes Tool, das du entfernst, musst du weder kategorisieren noch blockieren noch erklären – und deine Website wird schneller. Nach unserer Erfahrung lässt sich bei vielen Websites ein Drittel der eingebundenen Skripte streichen, ohne dass jemand etwas vermisst. Welche Werkzeuge du für belastbare Zahlen wirklich brauchst, steht im Artikel zu GA4 und Alternativen.

Tipp: Lege das Inventar als Tabelle ab und ergänze eine Spalte „Verantwortlich“. Wenn in einem Jahr jemand ein neues Tool einbauen will, ist das die Stelle, an der es eingetragen und in das Banner aufgenommen wird.

Schritt 2: Consent-Tool auswählen

Ein Consent-Tool ist die Software, die das Banner anzeigt, die Entscheidung speichert, die Skripte steuert und die Einwilligung protokolliert. Es gibt drei Arten:

Kriterien, die bei der Auswahl zählen:

• Blockiert es wirklich? Das Tool muss verhindern, dass Skripte vor der Einwilligung laden, nicht nur Cookies nachträglich löschen.
• Protokolliert es? Zeitpunkt, Auswahl, Version des Banners – ohne Protokoll fehlt dir der Nachweis.
• Unterstützt es den Google Consent Mode? Wenn du Google-Dienste nutzt, ist das Pflicht.
• Wie schwer ist es? Manche Consent-Skripte sind größer als der Rest der Seite. Das kostet Ladezeit, siehe Core Web Vitals.
• Lässt es sich an dein Design anpassen? Ein Banner, das wie ein Fremdkörper wirkt, wird eher weggeklickt als gelesen.
• Was kostet es? Viele Anbieter haben kostenlose Stufen für kleine Websites; ab einer bestimmten Zahl von Seitenaufrufen wird es kostenpflichtig.

Bei individuellen Websites mit Next.js bauen wir das Banner in vielen Projekten selbst: Es ist dann Teil der Seite, lädt kein Fremdskript und steuert alle anderen Skripte über einen zentralen Einwilligungsstatus. Der Aufwand ist etwas höher, dafür bleibt die Website schlank.

Schritt 3: Kategorien zuordnen und Banner gestalten

Die vier üblichen Kategorien:

• Notwendig: Ohne sie funktioniert die Seite nicht. Session, Spam-Schutz, Warenkorb, Einwilligungsspeicher. Immer aktiv, nicht abwählbar, aber erklärt.
• Funktional: Komfort, den der Besucher gezielt nutzt. Kartenanzeige, Videos, Spracheinstellung. Meist einwilligungspflichtig, wenn dabei Daten an Dritte fließen.
• Statistik: Reichweitenmessung, Analyse des Nutzerverhaltens. Einwilligungspflichtig in der Regel.
• Marketing: Werbung, Retargeting, Pixel von Werbeplattformen. Einwilligungspflichtig praktisch immer.

Der häufigste Fehler bei der Zuordnung: Marketing- oder Statistik-Tools landen unter „Notwendig“, weil sie „für uns notwendig“ sind. Notwendig meint aber: notwendig für den Dienst, den der Besucher nutzen will. Analytics ist das nie.

Für das Banner selbst gelten diese Regeln, die sich aus der Aufsichtspraxis und aus Nutzerfreundlichkeit ergeben:

• Erste Ebene: kurzer Text, Buttons „Alle akzeptieren“, „Ablehnen“ oder „Nur notwendige“ und „Einstellungen“ – gleich groß, gleich gut sichtbar.
• Kein vorangekreuztes Kästchen bei Statistik oder Marketing.
• Kein Countdown, kein Ausgrauen der Seite, das erst nach Zustimmung verschwindet, keine versteckten Ablehnen-Links in Grau auf Grau. Solche Tricks heißen Dark Patterns und werden von Behörden beanstandet.
• Einstellungen mit Kategorien, Beschreibung je Tool und Anbieter, Speicherdauer.
• Link „Cookie-Einstellungen“ dauerhaft im Footer.
• Banner erst anzeigen, wenn die Seite nutzbar ist – nicht die Impressum-Seite blockieren, die der Besucher gerade lesen will.

Schritt 4: Skripte wirksam blockieren

Hier entscheidet sich, ob dein Setup konform ist. Drei Wege, je nach Technik:

Google Tag Manager: Alle Tags bekommen eine Einwilligungsprüfung. Im Tag Manager gibt es dafür Einstellungen, die ein Tag nur feuern lassen, wenn die passende Kategorie zugestimmt wurde. Das Consent-Tool schickt dem Tag Manager den Status, der Tag Manager hält alle Tags zurück, bis er ihn hat. Wichtig: Das Tag-Manager-Skript selbst darf laden, aber kein Tag darin.

Direkt eingebundene Skripte: Skripte werden so eingebunden, dass der Browser sie zunächst nicht ausführt; das Consent-Tool aktiviert sie nach Einwilligung. Die meisten Consent-Tools bieten dafür eine Anleitung. Fehleranfällig ist, wenn ein Skript an mehreren Stellen eingebaut ist – etwa einmal im Theme und einmal per Plugin.

Individuelle Websites: Der Einwilligungsstatus liegt an zentraler Stelle, und jede Komponente, die ein Fremdskript lädt, prüft ihn vorher. Videos, Karten und Analytics werden erst nachgeladen, wenn die Kategorie freigegeben ist. Das ist die sauberste Lösung, weil es keine Umwege gibt.

Für eingebettete Inhalte wie YouTube-Videos oder Google Maps hat sich die Zwei-Klick-Lösung bewährt: Statt des Videos erscheint ein Vorschaubild mit dem Hinweis, dass beim Abspielen Daten an den Anbieter fließen. Erst der Klick lädt das Video. Das ist nutzerfreundlich und vermeidet, dass jede Seite mit einem Video den Marketing-Kanal öffnet.

Tipp: Wenn Tracking bei dir über mehrere Wege eingebaut ist – Theme, Plugin, Tag Manager, Agentur-Snippet – räume erst auf und binde jedes Tool genau einmal ein. Doppelte Einbindung ist der häufigste Grund für Tags, die trotz Ablehnen feuern, und für doppelt gezählte Seitenaufrufe.

Google Consent Mode: Was es ist und wann du es brauchst

Der Google Consent Mode ist eine Schnittstelle, über die dein Consent-Tool an Google-Dienste meldet, welche Einwilligungen ein Besucher gegeben hat. Google Analytics und Google Ads passen ihr Verhalten daran an. Seit 2024 verlangt Google den Consent Mode in der aktuellen Version für Websites im Europäischen Wirtschaftsraum, wenn Funktionen wie Remarketing oder Conversion-Messung in Google Ads genutzt werden sollen.

Es gibt zwei Betriebsarten:

• Basis-Modus: Google-Tags laden erst nach Einwilligung. Vor der Einwilligung passiert nichts. Das entspricht dem klassischen Blocking und ist die Variante, die wir empfehlen.
• Erweiterter Modus: Google-Tags laden sofort, senden vor der Einwilligung aber nur cookielose Signale, aus denen Google Conversions hochrechnet. Dieser Modus wird von vielen Datenschutzfachleuten in Deutschland kritisch gesehen, weil vor der Einwilligung bereits Daten an Google fließen. Nach unserer Erfahrung ist er für die meisten kleinen und mittleren Unternehmen das Risiko nicht wert.

Praktisch bedeutet das: Wenn du Google Analytics oder Google Ads nutzt, aktiviere in deinem Consent-Tool den Consent Mode im Basis-Modus. Alle gängigen Tools bieten das mit wenigen Klicks. Wenn du keine Google-Dienste nutzt, kannst du das Thema ignorieren.

Schritt 5: Nachweis und Dokumentation

Die DSGVO verlangt, dass du eine Einwilligung nachweisen kannst. Dafür brauchst du drei Dinge:

1. Ein Einwilligungsprotokoll. Gängige Consent-Tools speichern für jede Entscheidung Zeitpunkt, gewählte Kategorien, Version der Banner-Texte und eine anonymisierte Kennung. Prüfe, dass diese Funktion aktiv ist und wie lange die Daten aufbewahrt werden.
2. Versionierung. Wenn du ein Tool hinzufügst oder Texte änderst, entsteht eine neue Version des Banners. Bestehende Einwilligungen gelten dann nicht automatisch für das neue Tool – das Banner muss erneut erscheinen. Gute Tools regeln das automatisch.
3. Eine passende Datenschutzerklärung. Jedes Tool aus dem Inventar steht dort mit Zweck, Anbieter, Rechtsgrundlage und Speicherdauer. Datenschutzerklärung und Banner müssen dieselben Tools nennen. Wenn das Banner ein Tool aufführt, das in der Erklärung fehlt, oder umgekehrt, fällt das bei jeder Prüfung auf.

Dazu kommen die üblichen Pflichten, die nicht das Banner betreffen, aber zum Tracking gehören: Verträge zur Auftragsverarbeitung mit den Tool-Anbietern, ein Eintrag im Verzeichnis der Verarbeitungstätigkeiten und eine interne Zuständigkeit. Lege fest, wer nach Änderungen an der Website prüft, ob das Consent-Setup noch stimmt.

Schritt 6: Testen – vor dem Livegang und nach jeder Änderung

Der Test dauert zehn Minuten und sollte nach jedem Release wiederholt werden. Websites verändern sich, und ein neues Plugin oder ein Snippet aus einer Kampagne kann das Setup unbemerkt aushebeln.

1. Website im privaten Fenster öffnen, Entwicklerwerkzeuge auf dem Reiter „Netzwerk“ bereit.
2. Vor jeder Entscheidung: Es dürfen nur Anfragen an die eigene Domain und an das Consent-Tool laufen. Keine Anfragen an Google Analytics, Werbeplattformen oder Video-Anbieter.
3. Ablehnen klicken: Seite neu laden, mehrere Unterseiten besuchen. Weiterhin keine Anfragen an Statistik- oder Marketing-Dienste. Unter „Anwendung“ dürfen nur notwendige Cookies liegen.
4. Einstellungen ändern, nur Statistik akzeptieren: Jetzt dürfen Analytics-Anfragen laufen, Marketing-Anfragen nicht.
5. Alles akzeptieren: Alle Tools laufen, und zwar jeweils genau einmal pro Seitenaufruf.
6. Widerruf über den Footer-Link: Nach dem Zurücksetzen dürfen die Tools wieder nicht laden.
7. Mobil wiederholen: Auf dem Smartphone ist das Banner bedienbar, „Ablehnen“ sichtbar, nichts überdeckt.

Nimm die Ergebnisse in deine Abnahme auf. Die Website Launch Checkliste enthält diesen Test als festen Punkt vor jedem Livegang.

Typische Fehler und wie du sie behebst

Cookie-Banner und Conversion: Zustimmung ohne Tricks

Ein Banner, das nervt, senkt die Zustimmungsrate und verärgert Besucher, die gerade anfragen wollten. Ein Banner, das trickst, ist angreifbar. Dazwischen gibt es viel Spielraum:

• Kurzer Text. Zwei Sätze, die sagen, wozu du Daten nutzt: „Wir verwenden Cookies, um zu verstehen, welche Seiten hilfreich sind, und um unsere Werbung zu steuern.“ Kein Juristendeutsch auf der ersten Ebene.
• Ehrlicher Nutzen. Wenn du erklärst, dass Statistik dir hilft, die Website zu verbessern, stimmen mehr Menschen zu als bei einem leeren „Wir nutzen Cookies“.
• Design wie die Website. Farben, Schrift und Buttons der eigenen Seite statt Standard-Optik des Tools.
• Position, die nichts blockiert. Unten am Rand oder als kleines Fenster, nicht als Vollbild, das die Seite sperrt.
• Nicht auf jeder Seite neu fragen. Die Entscheidung wird gespeichert und gilt für die Dauer, die du im Tool festlegst.

Und dann: Akzeptiere die Zahl, die dabei herauskommt. Ein Teil der Besucher lehnt ab. Deine Statistik zeigt danach weniger, aber verlässliche Daten. Für Entscheidungen reicht das in aller Regel – vorausgesetzt, du misst die richtigen Dinge. Was das ist und wie du es festlegst, steht im Event-Tracking Plan.

Aufwand und Kosten realistisch

• Consent-Tool: Viele Anbieter haben kostenlose Stufen für kleine Websites mit wenigen Seitenaufrufen. Darüber fallen monatliche oder jährliche Gebühren an, die sich nach Traffic oder Domains richten. WordPress-Plugins kosten typischerweise eine Jahreslizenz.
• Einrichtung: Inventar, Kategorisierung, Blocking, Consent Mode, Datenschutzerklärung abgleichen, Test. Bei einer kleinen Website mit drei bis fünf Tools ist das in wenigen Stunden erledigt, bei einer gewachsenen Website mit vielen Altlasten dauert das Aufräumen länger als das Einrichten.
• Laufend: Nach jeder Änderung an Website oder Tools ein Test, bei neuen Tools ein Eintrag im Inventar und im Banner. Wer das als festen Punkt in die Website-Wartung aufnimmt, hat keine Überraschungen.

Wann es sich nicht lohnt: Wenn deine Website weder Statistik noch Marketing noch eingebettete Fremdinhalte nutzt, brauchst du kein Consent-Tool. Dann reicht in der Regel eine saubere Datenschutzerklärung – und die Website ist schneller und einfacher. Das ist für viele kleine Unternehmensseiten eine ernsthafte Option.

Checkliste: Consent-Setup in 15 Punkten

• Tool-Inventar erstellt, überflüssige Tools entfernt
• Jedes Tool einer Kategorie zugeordnet, nichts Fremdes unter „Notwendig“
• Consent-Tool gewählt, das Skripte vor Einwilligung blockiert und protokolliert
• „Ablehnen“ und „Akzeptieren“ gleichwertig auf der ersten Ebene
• Keine vorangekreuzten Kästchen, keine Dark Patterns
• Kategorien mit Tool, Anbieter, Zweck und Speicherdauer beschrieben
• Link „Cookie-Einstellungen“ im Footer
• Statistik- und Marketing-Tags feuern erst nach Einwilligung
• Ablehnen stoppt wirklich alle nicht notwendigen Anfragen
• Jedes Tool genau einmal eingebunden, keine doppelten Tags
• Google Consent Mode im Basis-Modus aktiv, falls Google-Dienste im Einsatz
• Einwilligungsprotokoll aktiv, Versionierung geprüft
• Datenschutzerklärung nennt dieselben Tools wie das Banner
• Test aus Schritt 6 durchgeführt und dokumentiert
• Zuständigkeit für Prüfung nach Änderungen festgelegt

Nächster Schritt

Wenn du das selbst umsetzen willst: Beginne mit dem Inventar. Die meisten Probleme lösen sich, sobald klar ist, welche Tools wirklich laufen und welche weg können. Danach folgen Tool-Auswahl, Blocking und Test in der Reihenfolge dieses Artikels.

Wenn du lieber ein Setup willst, das technisch sauber ist und belastbare Zahlen liefert: Wir richten Consent, Tracking und Messplan gemeinsam ein – bei neuen Websites von Anfang an, bei bestehenden Websites als Aufräumaktion mit Test und Dokumentation. Für Unternehmen aus Magdeburg, Sachsen-Anhalt und deutschlandweit.

• Webdesign mit sauberem Consent-Setup
• Kostenloser Website-Check inklusive Tracking-Prüfung
• Kostenloses Erstgespräch vereinbaren