CHECKLISTE
Ihr Banner funktioniert. Ob es rechtskonform ist, ist eine andere Frage.
Eine schwache Kampagne zeigt sich in einer niedrigen Conversion-Rate. Ein fehlerhaftes Formular zeigt sich in abgebrochenen Übermittlungen. Ein nicht konformes Consent-Banner zeigt sich nirgends — es wird angezeigt, es sammelt Klicks, Ihre Tags lösen aus, und das Dashboard meldet eine gesunde Einwilligungsrate. An der Oberfläche deutet nichts darauf hin, dass die Einwilligung darunter unwirksam ist. Sie merken es an der Stelle, an der es am teuersten ist: bei einer Beschwerde, einem Audit, einer Prüfung durch die Aufsichtsbehörde. Und weil die Behörden den Dialog als Ganzes beurteilen, ist es selten nur ein Tag oder ein Cookie — es ist jede Einwilligung, die Sie darauf aufgebaut haben.
1
Ein fehlendes Kriterium macht die gesamte Einwilligung unwirksam.
Die meisten Anforderungen zu erfüllen bringt Sie nicht fast ans Ziel.
Wo Consent-Banner tatsächlich scheitern
Der Leitfaden arbeitet sechs Bereiche der Reihe nach ab, jeweils mit einem Kästchen zum Abhaken gegen Ihre eigene Implementierung:
- Gestaltung und Funktion — „Ablehnen“ und „Akzeptieren“ sind selten so gleichwertig, wie sie aussehen. Sechs Regeln entscheiden, ob Ihr Banner eine echte Wahl bietet oder ein Dark Pattern ist — und eine davon ist der Grund, warum viele „konforme“ Banner es in Wahrheit nicht sind.
- Speicherung und Widerruf — Eine Einwilligung hat ein Verfallsdatum, und die wenigsten Teams haben die Uhr gestellt. Wann sie unbemerkt abläuft, wie lange sie gültig bleibt und die Widerrufs-Anforderung, an der fast jede Umsetzung scheitert.
- Notwendige Informationen — Sie holen zwei Einwilligungen ein, nicht eine: für den Einsatz von Cookies (§ 25 Abs. 1 TDDDG) und für die Datenverarbeitung (Art. 6 Abs. 1 lit. a DSGVO). Welche Angaben auf die erste Ebene gehören und welche auf die Detail-Ebene — der Leitfaden ordnet beides zu, damit nichts an der falschen Stelle landet.
- Korrekte Kategorisierung — Warum Google Analytics und der Tag Manager einwilligungspflichtig sind, selbst wenn sie so eingerichtet sind, dass es nicht danach aussieht, das GA4-Verhalten, das Teams überrascht, und welche „datenschutzfreundlichen“ Tools trotzdem nicht ausgenommen sind.
- Technische Fallstricke — Die Konfigurationen, die Tags ohne Einwilligung auslösen, während an der Oberfläche alles in Ordnung wirkt — inklusive zweier Dienste, die fast jede Website einbindet und die standardmäßig blockiert werden müssen.
Eine Checkliste zum Durcharbeiten, kein PDF zum Überfliegen
Wenn Sie für die Website verantwortlich sind, aber nicht für die rechtliche Prüfung, wenn man Ihnen gesagt hat, das Consent-Banner sei ein Plugin, das man einmal installiert und dann vergisst, oder wenn Sie nicht mit Sicherheit sagen können, dass Ihr „Ablehnen“-Button wirklich gleichwertig zu „Akzeptieren“ ist: Diese Checkliste ist zum Abarbeiten Punkt für Punkt gemacht — jedes Kriterium aus der Orientierungshilfe der Aufsichtsbehörden für Anbieter von digitalen Diensten (OH Digitale Dienste, Version 1.2), aufbereitet als Checkliste, die Sie mit Recht und IT teilen können.
Bevor Sie herunterladen
Sobald ein einziges Kriterium fehlt. Die Aufsichtsbehörden beurteilen den Consent-Dialog als Ganzes — scheitert er an nur einer Anforderung, ist die gesamte eingeholte Einwilligung unwirksam, nicht nur der eine Punkt, an dem es hakt.
Sobald ein einziges Kriterium fehlt. Die Aufsichtsbehörden beurteilen den Consent-Dialog als Ganzes — scheitert er an nur einer Anforderung, ist die gesamte eingeholte Einwilligung unwirksam, nicht nur der eine Punkt, an dem es hakt.
Die Ablehnung muss eine gleichwertige Alternative zur Einwilligung sein. Sie darf nicht mehr Klicks oder Aufwand erfordern als das Akzeptieren, und Farbe oder Kontrast dürfen den Blick nicht auf die Einwilligung lenken. Wenn die Einwilligung auf der obersten Ebene erteilt werden kann, müssen Nutzer dort auch alles ablehnen können.
Die Ablehnung muss eine gleichwertige Alternative zur Einwilligung sein. Sie darf nicht mehr Klicks oder Aufwand erfordern als das Akzeptieren, und Farbe oder Kontrast dürfen den Blick nicht auf die Einwilligung lenken. Wenn die Einwilligung auf der obersten Ebene erteilt werden kann, müssen Nutzer dort auch alles ablehnen können.
Ja, uneingeschränkt. Im Advanced Consent Mode von GA4 wird das Skript geladen, bevor der Nutzer eine Auswahl trifft; lehnt er ab oder reagiert nicht, setzt GA4 zwar keine Cookies, sendet aber „cookie-lose Pings“ an die Google-Server. Wegen der Zweckentfremdung der Daten und der möglichen Re-Identifizierung trotz IP-Anonymisierung ist dafür eine Einwilligung erforderlich — auch wenn die Einrichtung auf den ersten Blick konform wirkt.
Ja, uneingeschränkt. Im Advanced Consent Mode von GA4 wird das Skript geladen, bevor der Nutzer eine Auswahl trifft; lehnt er ab oder reagiert nicht, setzt GA4 zwar keine Cookies, sendet aber „cookie-lose Pings“ an die Google-Server. Wegen der Zweckentfremdung der Daten und der möglichen Re-Identifizierung trotz IP-Anonymisierung ist dafür eine Einwilligung erforderlich — auch wenn die Einrichtung auf den ersten Blick konform wirkt.
Nach 6 bis 24 Monaten, und sofort, sobald sich die zugrunde liegenden Zwecke oder Dienste ändern. Die Entscheidung muss außerdem gespeichert werden, damit das Banner in der Zwischenzeit nicht bei jedem Seitenaufruf erscheint.
Nach 6 bis 24 Monaten, und sofort, sobald sich die zugrunde liegenden Zwecke oder Dienste ändern. Die Entscheidung muss außerdem gespeichert werden, damit das Banner in der Zwischenzeit nicht bei jedem Seitenaufruf erscheint.
Standardmäßig ja. Auch als datenschutzfreundlich positionierte Tools lesen unter anderem aktiv die Bildschirmauflösung aus und dürfen daher ohne Einwilligung nicht ohne Weiteres eingesetzt werden. Der Leitfaden zeigt die eine Messarchitektur, die tatsächlich einwilligungsfrei ist.
Standardmäßig ja. Auch als datenschutzfreundlich positionierte Tools lesen unter anderem aktiv die Bildschirmauflösung aus und dürfen daher ohne Einwilligung nicht ohne Weiteres eingesetzt werden. Der Leitfaden zeigt die eine Messarchitektur, die tatsächlich einwilligungsfrei ist.
Welches Problem können wir für Sie lösen?
Jedes Kriterium in dieser Checkliste beschreibt den Standard. Ob Ihre eigene Website ihn erfüllt, ist eine andere Frage. etracker, Teil der JustRelate Group, führt ein 30-tägiges Parallel-Deployment neben Ihrem bestehenden Stack durch — erfasst über eine einwilligungsfreie Architektur, konform mit dem TDDDG und der DSGVO, bis zu 99 % der Besuche und Conversions — und zeigt Ihnen genau, wo Ihr aktuelles Consent-Setup gegenüber den Anforderungen aus diesem Leitfaden steht.