Wie setzt man einen Consent-Banner DSGVO-konform um und welche Fehler sollte man unbedingt vermeiden?

Einen Consent-Banner DSGVO-konform umzusetzen bedeutet, Nutzern eine echte, freiwillige und informierte Wahlmöglichkeit zu geben, bevor technisch nicht notwendige Cookies oder Tracking-Dienste geladen werden. Die DSGVO verlangt dabei eine aktive Einwilligung, die genauso leicht zu verweigern ist wie zu erteilen. Die folgenden Abschnitte beantworten die häufigsten Fragen rund um Anforderungen, typische Fehler und die praktische Umsetzung.

Welche Anforderungen stellt die DSGVO an einen Consent-Banner?

Die DSGVO verlangt für den Einsatz nicht technisch notwendiger Cookies und Tracking-Dienste eine vorherige, informierte und freiwillige Einwilligung der Nutzenden. Das bedeutet: Bevor solche Cookies oder Dienste geladen werden, muss der Consent-Banner erscheinen und eine aktive Zustimmung einholen. Eine stillschweigende oder vorab erteilte Einwilligung ist nicht zulässig.

Im Einzelnen leiten sich aus Art. 4 Nr. 11 und Art. 7 DSGVO sowie aus der Rechtsprechung des Europäischen Gerichtshofs folgende Kernanforderungen ab:

• Freiwilligkeit: Die Einwilligung darf nicht an den Zugang zur Website geknüpft sein. Nutzende müssen die Seite auch ohne Zustimmung zu nicht notwendigen Cookies nutzen können.
• Informiertheit: Der Banner muss klar benennen, welche Kategorien von Cookies oder Diensten eingesetzt werden, zu welchem Zweck und von welchen Anbietern.
• Aktive Handlung: Eine Einwilligung gilt nur durch eine eindeutige Handlung, etwa durch Klicken eines Buttons. Vorausgewählte Checkboxen oder das bloße Weitersurfen gelten nicht.
• Gleichwertigkeit von Zustimmung und Ablehnung: Der „Ablehnen“-Button muss genauso prominent gestaltet und ebenso einfach zu bedienen sein wie der „Akzeptieren“-Button.
• Widerrufbarkeit: Nutzende müssen ihre Einwilligung jederzeit so einfach widerrufen können, wie sie sie erteilt haben.
• Nachweisbarkeit: Website-Betreiber müssen belegen können, dass eine wirksame Einwilligung erteilt wurde und zu welchem Zeitpunkt.

Ergänzend zur DSGVO gilt in Deutschland das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), das für den Einsatz von Cookies auf Endgeräten ebenfalls eine Einwilligung verlangt, sofern diese nicht technisch unbedingt erforderlich sind.

Wie unterscheidet sich ein DSGVO-konformer Consent-Banner von einem nicht-konformen?

Der entscheidende Unterschied liegt darin, ob der Banner eine echte Wahlmöglichkeit bietet oder lediglich eine Scheinkontrolle. Ein DSGVO-konformer Banner holt eine aktive Einwilligung ein, bevor nicht notwendige Dienste laden, und stellt Ablehnung und Zustimmung gleichwertig dar. Ein nicht-konformer Banner hingegen dient häufig nur der Information, ohne die tatsächliche Datenverarbeitung zu steuern.

Merkmale eines konformen Consent-Banners

• Alle nicht technisch notwendigen Cookies und Dienste sind standardmäßig deaktiviert.
• „Ablehnen“ und „Akzeptieren“ sind optisch gleichwertig und auf der gleichen Ebene platziert.
• Granulare Auswahlmöglichkeiten nach Kategorien (z. B. Marketing, Statistik) sind vorhanden.
• Der Banner blockiert das Laden externer Dienste, bis eine Entscheidung getroffen wurde.
• Die erteilte Einwilligung wird mit Zeitstempel gespeichert und ist nachweisbar.

Typische Merkmale eines nicht-konformen Banners

• Cookies werden bereits beim ersten Seitenaufruf gesetzt, noch bevor der Nutzer etwas geklickt hat.
• Es gibt nur einen „Akzeptieren“-Button, aber keine gleichwertige Ablehnungsoption.
• Checkboxen für bestimmte Cookie-Kategorien sind vorausgewählt.
• Der Banner ist rein informierend und steuert keine tatsächliche Datenverarbeitung.
• Das Schließen des Banners wird als Zustimmung gewertet.

Welche Fehler beim Consent-Banner führen zu Abmahnungen oder Bußgeldern?

Die häufigsten Fehler, die Aufsichtsbehörden und Abmahnanwälte bemängeln, sind das vorzeitige Laden von Tracking-Diensten, fehlende oder versteckte Ablehnungsoptionen sowie eine irreführende Gestaltung des Banners. Diese Fehler verstoßen direkt gegen die Einwilligungsanforderungen der DSGVO und des TDDDG.

Zu den besonders risikoreichen Fehlern gehören:

• Cookies vor der Einwilligung: Tracking-Cookies oder externe Dienste wie Google Analytics werden bereits beim ersten Seitenaufruf geladen, bevor der Nutzer interagiert hat.
• Kein gleichwertiger Ablehnungsbutton: Der „Ablehnen“-Button ist kleiner, grau eingefärbt oder erst nach mehreren Klicks erreichbar, während „Akzeptieren“ prominent platziert ist.
• Vorausgewählte Kategorien: Checkboxen für Marketing- oder Analyse-Cookies sind standardmäßig aktiviert.
• Unvollständige Informationen: Der Banner benennt nicht konkret, welche Anbieter und Zwecke hinter den Cookies stehen.
• Kein Widerrufsmechanismus: Nutzende finden keine Möglichkeit, eine bereits erteilte Einwilligung nachträglich zu widerrufen.
• Fehlende oder veraltete Datenschutzerklärung: Die Datenschutzerklärung erwähnt eingesetzte Dienste nicht oder stimmt nicht mit den tatsächlich gesetzten Cookies überein.
• Google Consent Mode falsch konfiguriert: Seit März 2024 verlangt Google für die Kombination aus Google Analytics und Google-Werbung die Implementierung des Consent Mode V2. Eine fehlerhafte Konfiguration, etwa wenn auch ohne Einwilligung an Google gemeldet wird, dass eine Einwilligung erteilt wurde, ist sowohl gegenüber Google als auch datenschutzrechtlich problematisch.

Wie setzt man einen Consent-Banner technisch korrekt um?

Für eine technisch korrekte Umsetzung benötigen Sie ein Consent-Management-Tool (CMP), das die Datenverarbeitung tatsächlich steuert und nicht nur anzeigt. Das Tool muss sicherstellen, dass externe Skripte und Cookies erst nach einer aktiven Einwilligung geladen werden, und die Einwilligungsentscheidungen revisionssicher speichern.

Die wichtigsten Schritte bei der technischen Umsetzung:

1. Bestandsaufnahme aller Cookies und Dienste: Ermitteln Sie zunächst, welche Cookies, Tracker und externe Dienste Ihre Website einsetzt. Nur wer seinen eigenen Ist-Zustand kennt, kann den Banner korrekt konfigurieren.
2. Auswahl eines geeigneten CMP: Setzen Sie auf ein etabliertes Consent-Management-Tool, das für Ihre Anforderungen geeignet ist. Wenn Sie Google-Dienste und Google-Werbung kombinieren, sollte das Tool zudem für den Google Consent Mode V2 zertifiziert sein.
3. Korrekte Kategorisierung der Dienste: Ordnen Sie jeden Dienst der richtigen Kategorie zu (z. B. Notwendig, Statistik, Marketing) und legen Sie die Rechtsgrundlage fest. Werbedienste benötigen in der Regel immer eine Einwilligung.
4. Blocking vor Einwilligung sicherstellen: Konfigurieren Sie Ihre Website so, dass externe Skripte und Cookies erst nach der Einwilligungsentscheidung geladen werden, nicht schon beim ersten Seitenaufruf.
5. Datenschutzerklärung synchronisieren: Ihre Datenschutzerklärung muss alle eingesetzten Dienste vollständig und aktuell aufführen. Eine Diskrepanz zwischen Banner und Datenschutzerklärung ist ein häufiger Befund bei Prüfungen.
6. Widerrufsoption einbauen: Stellen Sie sicher, dass Nutzende über einen dauerhaft erreichbaren Link (z. B. in der Fußzeile) ihre Einwilligungen jederzeit einsehen und widerrufen können.
7. Consent Mode V2 konfigurieren: Wenn Sie Google Analytics und Google-Werbung einsetzen, implementieren Sie den Consent Mode V2 korrekt. Im Basic Mode werden Google-Tags erst nach einer Einwilligung geladen. Im Advanced Mode werden auch ohne Einwilligung reduzierte Signale an Google übertragen, was datenschutzrechtlich nicht unproblematisch ist und sorgfältig abgewogen werden sollte.

Wie lässt sich ein Consent-Banner auf DSGVO-Konformität prüfen?

Um einen Consent-Banner auf DSGVO-Konformität zu prüfen, sollten Sie systematisch untersuchen, ob externe Dienste und Cookies tatsächlich erst nach einer Nutzerinteraktion geladen werden, ob die Ablehnungsoption gleichwertig gestaltet ist und ob die Datenschutzerklärung mit den eingesetzten Diensten übereinstimmt. Eine vollständige manuelle Prüfung ist aufwendig, kann aber durch automatisierte Tools unterstützt werden.

Folgende Prüfpunkte sollten Sie systematisch abarbeiten:

• Öffnen Sie die Website im privaten Browsermodus und prüfen Sie mit den Entwicklertools, welche Cookies und Netzwerkanfragen bereits beim ersten Laden ohne jede Interaktion entstehen.
• Testen Sie die Ablehnungsoption: Ist „Ablehnen“ genauso leicht erreichbar wie „Akzeptieren“? Werden nach dem Ablehnen tatsächlich keine nicht notwendigen Cookies gesetzt?
• Prüfen Sie, ob der Banner nach dem Ablehnen dauerhaft verschwindet und nicht bei jedem Seitenaufruf erneut erscheint.
• Vergleichen Sie die im Banner genannten Dienste mit den tatsächlich gesetzten Cookies und den in der Datenschutzerklärung aufgeführten Diensten.
• Prüfen Sie, ob ein Widerrufsmechanismus vorhanden und leicht auffindbar ist.
• Wenn Google Analytics eingesetzt wird: Prüfen Sie, ob der Google Consent Mode V2 implementiert ist und korrekt funktioniert.

Automatisierte Scan-Tools können diesen Prozess erheblich beschleunigen. Sie simulieren typischerweise Nutzerinteraktionen, klicken den Akzeptieren-Button und analysieren, welche Dienste mit und ohne Einwilligung geladen werden. Wichtig zu verstehen: Ein automatisierter Scan kann nicht abschließend beurteilen, ob eine Einwilligung im rechtlichen Sinne wirksam ist, da er nicht zwischen einem echten Consent-Management-System und einem rein informierenden Banner unterscheiden kann. Die Ergebnisse liefern wertvolle Hinweise, ersetzen aber keine rechtliche Einschätzung durch eine qualifizierte Fachkraft. Wenn Sie Ihre Website auf DSGVO-Konformität prüfen möchten, bieten solche Tools einen guten Ausgangspunkt.

Wann muss ein Consent-Banner aktualisiert werden?

Ein Consent-Banner muss immer dann aktualisiert werden, wenn sich die eingesetzten Dienste, Cookies oder Verarbeitungszwecke auf der Website ändern, wenn neue rechtliche Anforderungen in Kraft treten oder wenn die Datenschutzerklärung angepasst wird. Eine einmalige Einrichtung reicht nicht aus, da Websites sich laufend verändern.

Konkrete Anlässe für eine Aktualisierung sind:

• Neue Dienste oder Plugins: Jedes neu eingebundene Tool, das Cookies setzt oder Daten an Dritte überträgt, muss im Banner und in der Datenschutzerklärung ergänzt werden.
• Wegfall von Diensten: Wenn ein Dienst entfernt wird, sollte er auch aus dem Banner und der Datenschutzerklärung gestrichen werden, um keine falschen Erwartungen zu wecken.
• Änderungen bei Drittanbietern: Ändert ein eingesetzter Dienst seine Datenschutzpraxis oder seinen Firmensitz, kann dies die Rechtsgrundlage beeinflussen und eine Anpassung erfordern.
• Neue Rechtsprechung oder Leitlinien: Entscheidungen von Aufsichtsbehörden oder Gerichten können dazu führen, dass bestimmte Dienste neu bewertet werden müssen. Beispiele aus der jüngeren Vergangenheit zeigen, dass auch verbreitete Dienste plötzlich als riskant eingestuft werden können.
• Technische Änderungen an der Website: Ein Relaunch, ein neues CMS oder neue Integrationen können dazu führen, dass sich das Cookie-Verhalten der Seite verändert, ohne dass dies bewusst geplant war.

Es empfiehlt sich daher, den Consent-Banner und die zugehörige Datenschutzerklärung in regelmäßigen Abständen, mindestens einmal pro Quartal, systematisch zu überprüfen. Eine kontinuierliche Überwachung, die bei Änderungen automatisch benachrichtigt, ist dabei deutlich zuverlässiger als punktuelle manuelle Kontrollen.

Wie decareto Sie bei der Prüfung Ihres Consent-Banners unterstützt

Wir bei decareto haben eine SaaS-Plattform entwickelt, die Websites automatisiert auf genau die Schwachstellen scannt, die rund um Consent-Banner und Datenschutz relevant sind. Konkret unterstützt decareto Sie dabei:

• Automatische Erkennung des Consent-Banners: Wir identifizieren vorhandene Consent-Tools, simulieren die Nutzerinteraktion und analysieren, welche Cookies und externen Dienste mit und ohne Einwilligung geladen werden, sowohl auf der Startseite als auch auf Unterseiten.
• Prüfung des Google Consent Mode V2: Wenn Google Analytics eingesetzt wird, informieren wir darüber, ob der Consent Mode implementiert ist, in welchem Modus er läuft und ob offensichtliche Konfigurationsfehler vorliegen.
• Datenschutzrechtliche Bewertung: Für jeden erkannten Dienst und Cookie prüfen wir, ob eine Einwilligung erforderlich ist und ob diese tatsächlich eingeholt wird. Fehlende Einwilligungen erscheinen als Warnungen im Report.
• Kontinuierliche Überwachung: Hunderte Websites lassen sich dauerhaft überwachen. Bei relevanten Änderungen erhalten Sie automatische Benachrichtigungen, damit Sie zeitnah reagieren können.
• Strukturierte Reports mit Handlungsempfehlungen: Die Ergebnisse werden übersichtlich aufbereitet und mit konkreten Hinweisen versehen, welche Maßnahmen sinnvoll sind, ohne rechtliche Einschätzungen zu ersetzen.
• Datenschutzerklärung synchron halten: Unser dynamischer Datenschutzgenerator erstellt auf Basis der Scan-Ergebnisse passgenaue Datenschutztexte in 24 Sprachen.

Datenschutzbeauftragte, Kanzleien und Compliance-Teams können damit den Aufwand für Web-Audits erheblich reduzieren und gleichzeitig eine strukturierte, nachvollziehbare Prüfung sicherstellen. Wenn Sie sehen möchten, wie decareto Ihre Website analysiert, können Sie direkt einen Account erstellen und einen ersten Scan starten.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.

Ähnliche Artikel

• Wie testet man Buttons und Links auf Barrierefreiheit korrekt?
• Warum liefern KI-gestützte DSGVO-Scanner konsistentere Ergebnisse als manuelle Prüfungen?
• Wie weise ich die DSGVO-Konformität meiner Website lückenlos gegenüber Behörden nach?
• Brauchen auch Freelancer und Solo-Selbstständige eine DSGVO-Website-Prüfung?
• Was bedeutet WCAG-Konformität für Agenturen und ihre Kunden?