Wie werden GDPR-Cookies konfiguriert? Praktische Hinweise von der Einwilligung im Pop-up bis zur Protokollaufbewahrung

Zunächst den Umfang klären: Welche Cookies verwalten Sie eigentlich?

　　Viele suchen sofort nach dem passenden Pop-up-Design und überspringen dabei den wichtigsten Schritt. Eine GDPR-Cookie-Konfiguration ist nicht mit einem „Einwilligungsbutton“ erledigt. Entscheidend für die weitere Konfiguration ist, welche Cookies auf Ihrer Website tatsächlich vorhanden sind, wer sie setzt, welchem Zweck sie dienen und ob sie bereits beim ersten Seitenaufruf geladen werden oder erst nach einer Nutzeraktion ausgelöst werden.

　　In der Praxis empfiehlt es sich, zunächst eine Übersicht aller Ressourcen zu erstellen und mindestens diese vier Kategorien klar zu erfassen: für den Betrieb der Website erforderliche Cookies, Analyse-Cookies, Werbe- und Marketing-Cookies sowie Einbettungen von Drittanbietern. Anmeldestatus, Warenkorb und Spracheinstellungen gehören in der Regel zur Kategorie „notwendig“. Besuchsstatistiken, Heatmaps, Remarketing-Pixel, Videoplayer und Online-Kundendienst müssen dagegen daraufhin geprüft werden, ob sie vor der Einwilligung des Nutzers blockiert werden können.

　　Die häufigsten Fehler sind zweierlei: Erstens werden alle Cookies als „notwendig“ eingestuft. Zweitens werden nur die selbst hinzugefügten Codes geprüft, nicht aber Tag-Manager, Werbeplattformen, Plug-ins und eingebettete Komponenten. Gerade Letztere werden leicht übersehen, da viele Cookies nicht von einem selbst geschriebenen Skript gesetzt werden, sondern bereits beim Laden eines Drittanbieter-Skripts entstehen.

　　Bei der Bewertung sollten Sie nicht nur auf den Namen des Cookies achten, sondern auch auf die Quelle des Auslösers, die Speicherdauer, die Zweckbeschreibung und darauf, ob Cross-Site-Tracking stattfindet. Dient ein Cookie nicht ausschließlich einer Funktion, die der Nutzer ausdrücklich angefordert hat, sollte es nicht vorschnell als notwendig eingestuft werden.

Beim Pop-up nicht zuerst auf gutes Aussehen achten, sondern auf einen korrekten Einwilligungsmechanismus

　　Bei einem ordnungsgemäßen Einwilligungs-Pop-up geht es nicht in erster Linie darum, dass ein Dialogfenster erscheint. Entscheidend ist, dass nicht notwendige Cookies vor der Entscheidung des Nutzers nicht gesetzt werden dürfen. Bei vielen Websites sind zwar äußerlich die Optionen „Akzeptieren“ und „Einstellungen“ vorhanden, doch beim Öffnen der Seite wurden Analyse- und Werbeskripte bereits ausgeführt. Eine solche Konfiguration birgt ein hohes Risiko.

　　Sie können die folgende Checkliste direkt verwenden:

• Werden nicht notwendige Kategorien beim ersten Besuch standardmäßig abgelehnt?
• Sind „Akzeptieren“ und „Ablehnen“ auf derselben Ebene sichtbar, anstatt dass eine Option deutlich hervorgehoben und die andere schwer auffindbar ist?
• Ist eine Auswahl nach Kategorien möglich, anstatt nur eine vollständige Zustimmung?
• Gibt es einen separaten Zugang, über den Nutzer ihre Auswahl später ändern können?
• Wird im Informationstext der Zweck jeder Cookie-Kategorie klar erläutert, anstatt pauschal von einer „Verbesserung der Nutzererfahrung“ zu sprechen?

　　Ein häufig übersehenes Detail: Das Schließen des Pop-ups ist keine Einwilligung. Wenn ein Nutzer lediglich auf das Schließen-Symbol oben rechts klickt oder weiter auf der Seite navigiert, darf dies nicht automatisch als Zustimmung zu Marketing- und Analyse-Cookies gewertet werden.

Die Skriptblockierung muss tatsächlich blockieren und darf nicht nur den Text ändern

　　Viele Probleme in Projekten entstehen genau an dieser Stelle. Auf der Website ist zwar scheinbar ein GDPR-Cookie-Pop-up vorhanden, technisch fehlt jedoch die Blockierungslogik. Google Analytics, Werbe-Conversion-Tags, Meta Pixel, Hotjar und eingebettete YouTube-Skripte werden weiterhin ausgeführt.

　　Die Prüfung ist unkompliziert: Öffnen Sie ein Inkognito-Fenster, rufen Sie die Website zum ersten Mal auf und klicken Sie auf keine Einwilligungsoption. Prüfen Sie anschließend mit den Entwicklertools des Browsers die Netzwerkanfragen und das Setzen von Cookies. Wenn vor der Zustimmung des Nutzers bereits Anfragen zu Analyse, Werbung oder Weiterleitungen auftreten, ist die Konfiguration Ihres CMP oder Ihrer Tag-Management-Strategie nicht wirksam.

　　Üblicherweise gibt es zwei Nachbesserungsmöglichkeiten. Eine besteht darin, die Auslösebedingungen im Tag-Manager nach dem Einwilligungsstatus zu steuern. Die andere besteht darin, das Laden von Drittanbieter-Skripten zunächst auf Seitenebene zu blockieren und sie erst nach der Zustimmung des Nutzers einzufügen. Welche Methode geeignet ist, hängt von der bestehenden Website-Architektur ab. Das Prinzip ist jedoch dasselbe: erst blockieren, dann freigeben, nicht umgekehrt.

Bei der Kategorisierung „Analyse“ und „Marketing“ nicht zu einer Kategorie zusammenfassen

　　Bei der Auswahl durch den Nutzer sind unklare technische Begriffe besonders problematisch. Auf Konfigurationsebene gilt dagegen: Je unklarer die Kategorien sind, desto schwieriger ist die spätere Verwaltung. In der Praxis sollten mindestens die Kategorien „notwendig“, „Analyse“, „Präferenzen“ und „Marketing“ getrennt werden. Das sorgt nicht nur für mehr Klarheit auf der Website, sondern erleichtert auch die spätere Untersuchung, falls Skripte einer Kategorie außer Kontrolle geraten.

　　Wenn Sie eine mehrsprachige eigenständige Website betreiben, ist dieser Schritt besonders wichtig. Die Einwilligungsoberfläche, die Strategie zum Laden von Skripten und der Inhalt der Cookie-Erklärungsseite sollten für Besucher aus Europa möglichst anders gestaltet werden als für andere Regionen, anstatt die gleiche Logik für die gesamte Website zu verwenden. Denn die Kombination aus Werbe-, Analyse- und Remarketing-Tools unterscheidet sich je nach Markt ohnehin.

Drittanbieter-Inhalte nicht übersehen: Viele Cookies werden „eingebettet“

　　Am leichtesten übersehen werden auf einer Website nicht die Analyse-Codes, sondern verschiedene eingebettete Inhalte. Videos, Karten, Social-Media-Plug-ins, Online-Kundendienst, Formulartools und Chatfenster können die intuitive Einschätzung umgehen. Für die redaktionelle Bearbeitung sieht es vielleicht nur so aus, als würde ein Modul eingefügt. Tatsächlich sendet die Seite beim Öffnen bereits Anfragen an Drittanbieter.

　　Wenn beispielsweise ein Lebensmittel-Exporteur eine Markenwebsite erstellt, werden häufig große Bilder, Videos und Produktübersichten eingesetzt, um die hochwertige Präsentation zu unterstützen. Wenn Sie eine visuell ausgerichtete Website-Lösung wie Landwirtschaft, Agrarprodukte, Lebensmittel verwenden und die Seite zusätzlich Nachrichten, einen individuellen Anfrageformular und responsive Animationen enthält, sollten Sie die Ladekette der Drittanbieter-Inhalte besonders sorgfältig prüfen. Diese Module sind nicht grundsätzlich unzulässig. Es muss jedoch sichergestellt werden, dass sie vor der Einwilligung des Nutzers keine externen Domains aufrufen, Identifikatoren setzen oder Tracking auslösen.

　　In der Praxis empfiehlt es sich, für jedes eingebettete Modul die Quelldomain zu dokumentieren und das Ladeverhalten beim ersten Seitenaufruf einzeln zu testen. So erkennen Sie schnell, dass nicht das Pop-up auf der Startseite, sondern häufig die später vom Content-Team hinzugefügten Komponenten am schwierigsten zu verwalten sind.

Die Protokollaufbewahrung ist kein Nebenaspekt, sondern die Grundlage für die spätere Begründung der Konfiguration

　　Viele Teams konzentrieren sich vollständig auf die Interaktion im Frontend. Wenn dann die Frage aufkommt, wann ein Nutzer zugestimmt hat, welchen Kategorien er zugestimmt hat, welche Textversion verwendet wurde und ob die Einwilligung später widerrufen wurde, liegen im Backend keine vollständigen Aufzeichnungen vor. Ohne diese Protokolle lässt sich nur schwer nachweisen, dass die Konfiguration entsprechend der Auswahl ausgeführt wurde.

　　Mindestens die folgenden Felder sollten gespeichert werden:

• Zeitstempel der Einwilligung.
• Einwilligungsstatus und ausgewählte Kategorien.
• Zugehörige Version des Datenschutz- oder Cookie-Textes.
• Anonymisierte Kennung zur Identifizierung des Datensatzes.
• Protokolle zu Widerrufen oder Änderungen.

　　Entscheidend ist nicht, möglichst viele Daten zu speichern, sondern sie so zu speichern, dass sie einander eindeutig zugeordnet werden können. Wenn sich die Version des Pop-up-Texts ändert, muss das Backend erkennen können, welcher Version der Nutzer zugestimmt hat. Auch Änderungen an den Tag-Management-Regeln sollten mit einer Veröffentlichungshistorie dokumentiert werden. Andernfalls lässt sich nur nachweisen, wie die Konfiguration heute aussieht, nicht aber, wie sie in den vergangenen Monaten ausgeführt wurde.

Widerrufszugang, Richtlinienseiten und Formularseiten müssen zusammenwirken

　　Eine Einwilligung ist keine einmalige Handlung. Ob Nutzer ihre Entscheidung später ändern können, wird von vielen Websites übersehen. In der Fußzeile, auf der Datenschutzseite oder auf der Cookie-Erklärungsseite sollte sich mindestens ein stabiler Zugang befinden, über den das Präferenzzentrum erneut geöffnet werden kann. Dieser Zugang sollte nicht an einer Stelle verborgen sein, die nur die Rechtsabteilung findet.

　　Ein weiteres praktisches Problem sind Formularseiten. Besonders auf Werbe-Landingpages, Anfrage-Seiten und Seiten für Musteranfragen binden viele Teams Tracking-Skripte zur Zuordnung ein, vergessen aber, dass diese Seiten häufig zu den sensibelsten Erfassungsstellen gehören. Sie müssen gleichzeitig drei Punkte prüfen: Wurden vor dem Absenden des Formulars bereits nicht notwendige Skripte ausgeführt? Stimmen die Datenschutzhinweise neben dem Formular mit der Cookie-Kategorisierung überein? Und wird die Übermittlung von Conversion-Daten durch den Einwilligungsstatus gesteuert?

Vor dem Launch nicht nur die Darstellung prüfen, sondern einen vollständigen Test „vom ersten Besuch bis zur Conversion“ durchführen

　　Die effektivste Abnahmemethode besteht erfahrungsgemäß nicht darin, per Screenshot zu bestätigen, dass das Pop-up erscheint. Stattdessen sollte der reale Besuchsablauf vollständig durchlaufen werden: erster Aufruf, Ablehnung nicht notwendiger Kategorien, Besuch einer Produktseite, Öffnen eines Videos, Absenden eines Formulars, anschließendes erneutes Öffnen des Präferenzzentrums und Änderung der Einwilligung. Danach ist zu prüfen, was jeweils bei Cookies, Anfragen, Analyseplattformen und Werbeplattformen geschieht.

　　Wenn Ihre Website auf mehrere Regionen ausgerichtet ist, sollte eine zusätzliche Prüfung erfolgen: Ist der Besuchsablauf für Europa identisch mit dem für Regionen außerhalb Europas, oder wird nach der regionalen Erkennung ein unterschiedliches Ladeverhalten angewendet? Warten Sie nicht, bis die Werbung bereits läuft und Sie feststellen, dass beim Aufruf aus Europa die Marketing-Tags automatisch ausgelöst werden. Das lässt sich später nur schwer korrigieren und beeinträchtigt zudem die Vergleichbarkeit der Daten.

Bei der praktischen Umsetzung spart diese Reihenfolge Zeit

　　Erfassen Sie zunächst Cookies und Drittanbieter-Skripte, legen Sie anschließend Kategorien und Auslöseregeln fest, konfigurieren Sie danach Pop-up und Präferenzzentrum, richten Sie anschließend die Skriptblockierung ein und ergänzen Sie zum Schluss die Protokollaufbewahrung und den Widerrufsmechanismus. Diese Reihenfolge sollte nicht umgekehrt werden. Solange die vorherigen Kategorien und die Blockierung nicht geklärt sind, ist die Konfiguration unabhängig davon, wie vollständig der Pop-up-Text formuliert ist, noch nicht bereit zur Übergabe.

　　Für die verantwortlichen Mitarbeiter gilt als einfachster Maßstab für eine zuverlässige GDPR-Cookie-Konfiguration: Werden nicht notwendige Skripte vor der Zustimmung des Nutzers tatsächlich angehalten? Haben Sie die Zustimmung nach der Erteilung protokolliert? Kann das System die Änderung umsetzen, wenn der Nutzer seine Meinung ändert? Wenn diese drei Punkte zuverlässig umgesetzt sind, geraten Compliance und Marketingdaten nicht miteinander in Konflikt.