TL;DR: Ein Cookie-Banner muss eine verständliche, freiwillige Entscheidung ermöglichen und diese technisch umsetzen. Prüfen Sie nicht nur die Schaltflächen: Auch Tags, CMS-Plug-ins und serverseitige Ereignisse müssen den gewählten Zustand beachten. Eine CMP oder Consent Mode ist keine automatische Rechtsgarantie.
Ein Banner kann korrekt aussehen, während ein Plugin bereits Werbung misst. Umgekehrt kann die Blockierung funktionieren, aber die Ablehnung im Interface versteckt sein. Beide Probleme gehören in einen Audit, bevor neue Kampagnen auf diesen Daten aufbauen.
Dieser Leitfaden ist eine technische und produktbezogene Prüfliste für österreichische Websites. Die rechtliche Bewertung hängt von Technologien, Zwecken, Empfängern und Besuchermärkten ab. Die österreichische Datenschutzbehörde erläutert § 165 Abs. 3 TKG 2021 und die Ausnahme für unbedingt erforderliche Technologien; die Verarbeitung personenbezogener Daten ist zusätzlich nach der DSGVO zu prüfen. Stand: 28. September 2026.
Warum Cookie-Banner weiterhin überprüft werden müssen
Ein einmal eingerichteter Banner bleibt selten die einzige Komponente. Neue GTM-Tags, eingebettete Videos, CMS-Erweiterungen oder Backend-Schnittstellen können die ursprüngliche Blockierung umgehen. Der Text verspricht dann einen anderen Ablauf als die Website tatsächlich ausführt.
Beschwerden, etwa durch noyb, können eine Überprüfung auslösen. Daraus lässt sich weder eine allgemeine Fehlerquote österreichischer Websites noch ein pauschaler Bußgeldbetrag für kleine Unternehmen ableiten. Entscheidend ist der konkrete Vorgang. Ein hoher Anteil an Zustimmung beweist ebenfalls keinen gültigen Consent.
Vergleichen Sie deshalb drei Ebenen: die Information im Banner, die Entscheidung des Besuchers und die tatsächlichen Datenflüsse. Diese sieben Fehler sind praktische Prüfbereiche, keine Rangliste ihrer Häufigkeit.
Fehler 1: Ablehnen ist schwerer als Akzeptieren
Auf der ersten Ebene sollte ein neuer Besucher erkennen, wie er optionale Technologien ablehnen kann. Ein auffälliges „Alle akzeptieren“ neben einer kaum lesbaren Verknüpfung oder ein mehrstufiger Ablehnungsweg erschwert eine freie Entscheidung.
Der Bericht der EDPB-Arbeitsgruppe zu Cookie-Bannern behandelt fehlende Ablehnung, Vorauswahl und irreführendes Design. Er schreibt keinen universellen Farb- oder Kontrastwert vor: Das gesamte Interface zählt. Unterschiedliche Farben sind nicht automatisch rechtswidrig; eine praktisch unsichtbare Ablehnung ist trotzdem problematisch.
Prüfung: Lassen Sie eine Person ohne Vorkenntnisse am Desktop und am Telefon ablehnen. Prüfen Sie Beschriftung, Lesbarkeit, Tastaturbedienung und die Zahl der nötigen Schritte. Formulierungen dürfen weder beschämen noch falsche Vorteile versprechen.
Fehler 2: Optionale Kategorien sind vorausgewählt
Analyse, Werbung und Personalisierung dürfen nicht deshalb aktiviert sein, weil ein CMP-Standardtemplate sie einschaltet. Trennen Sie erforderliche Funktionen von optionalen Zwecken. Erklären Sie etwa, warum ein Warenkorb eine bestimmte Speicherung braucht; nennen Sie Werbemessung nicht einfach „notwendig“.
Prüfung: Öffnen Sie die Einstellungen in einem sauberen Browserprofil. Kontrollieren Sie jeden optionalen Schalter vor einer Entscheidung, nach Ablehnung und beim erneuten Aufruf. Das Schließen des Banners oder bloßes Weitersurfen darf nicht als Zustimmung zu optionalem Tracking umgesetzt werden.
Fehler 3: Tracking startet vor der Entscheidung
Ein nachträglich eingeblendeter Banner kann bereits versandte Anfragen nicht zurückholen. Prüfen Sie Netzwerkverkehr, Cookies, Local Storage, eingebettete Dienste und direkte Skripte außerhalb des GTM-Containers. Ein Cookie-Scanner allein erfasst nicht jede Ladebedingung.
Prüfung: Testen Sie den ersten Besuch ohne Auswahl, einen vollständigen und einen teilweisen Consent sowie die Ablehnung. Wiederholen Sie das nach einem Seitenwechsel und nach Neuladen. Dokumentieren Sie nicht nur einen Cookie-Namen, sondern Dienst, Zweck, Startzeitpunkt und Empfänger.
Fehler 4: Die Cookie Wall verhindert eine freie Entscheidung
Ein „Zustimmen oder gehen“-Interface ist nicht schon deshalb freiwillig, weil eine Schaltfläche existiert. Auch eine kostenpflichtige Alternative macht jedes Modell nicht automatisch zulässig. Die DSB beschreibt Bedingungen für „Pay or Okay“, unter anderem eine angemessene Alternative und die tatsächliche Wahlfreiheit.
Prüfung: Lassen Sie ein Zugangsmodell gesondert bewerten: Welche Leistung ist ohne Werbetracking verfügbar, was kostet die Alternative und wie werden deren Daten verarbeitet? Eine pauschale Aussage „alle Cookie Walls sind verboten“ beantwortet diese Fragen nicht.
Fehler 5: Zwecke und Anbieter bleiben unverständlich
Ein einziger Schalter „alles andere“ verschleiert unterschiedliche Zwecke. Eine lange Liste technischer Anbieter ohne Erklärung hilft ebenfalls nicht. Nutzer müssen erkennen, welche Funktionen, Empfänger und Verarbeitungen hinter ihrer Auswahl stehen.
Das bedeutet nicht, dass grundsätzlich jeder Anbieter einen eigenen Checkbox-Schalter braucht. Die notwendige Granularität richtet sich nach den tatsächlichen Zwecken und dem verwendeten Rahmen. Kategorien, Anbieterinformationen und Datenschutzhinweise müssen zusammenpassen.
Prüfung: Ordnen Sie jeden Dienst einem konkreten Zweck zu. Kontrollieren Sie, ob ein Besucher Statistik erlauben kann, ohne dadurch ungefragt personalisierte Werbung freizugeben. Neue Zwecke oder Empfänger dürfen nicht stillschweigend auf alten Consent gestützt werden.
Fehler 6: Der Consent ist nicht nachvollziehbar
Die Organisation muss eine Entscheidung mit der damals gezeigten Information verbinden können. Dokumentieren Sie Version, Zeitpunkt, ausgewählte Zustände und eine angemessene Zuordnung. Begrenzen Sie Datenumfang, Zugriff und Aufbewahrung auf das Erforderliche.
Ein IP-Hash ist weder eine vorgeschriebene Standardlösung noch automatisch anonym. Auch ein pseudonymer Identifier kann personenbezogen bleiben. Speichern Sie keine zusätzlichen Daten nur, weil die CMP dafür ein Feld anbietet.
Prüfung: Können Sie für einen Testvorgang nachvollziehen, welche Version gezeigt wurde und welche Kategorien erlaubt waren? Prüfen Sie außerdem die jederzeit erreichbare Funktion „Cookie-Einstellungen“. Widerruf muss ebenso einfach möglich sein wie Zustimmung und die weitere entsprechende Verarbeitung beenden.
Fehler 7: Browser oder Server ignorieren die Auswahl
Ein korrektes Banner reicht nicht, wenn ein CMS-Plugin oder Backend trotzdem Werbeereignisse sendet. Prüfen Sie Google-Tags, Meta Pixel, TikTok und serverseitige Schnittstellen jeweils anhand ihrer tatsächlichen Regeln. Consent Mode v2 steuert Google-Tags, nicht automatisch Meta CAPI oder TikTok Events API.
Google unterscheidet Basic und Advanced Consent Mode. Basic blockiert Google-Tags vor Consent und überträgt ohne Zustimmung keine Daten an Google. Advanced kann bei denied begrenzte Anfragen ohne Cookies senden. „Cookieless“ bedeutet nicht automatisch anonym oder rechtlich freigegeben.
Prüfung: Vergleichen Sie die vier Google-Zustände mit der CMP-Auswahl und den ausgehenden Anfragen. Prüfen Sie jeden Serverpfad nach Ablehnung und Widerruf. Details: Consent Mode v2 für österreichische Unternehmen.
Welche CMP passt zum Website-Stack?
Diese vier Produkte sind Beispiele, keine Rangliste oder rechtliche Empfehlung. Prüfen Sie aktuelle Konditionen beim Anbieter; Seitenlimits, Domains, Sprachen, App-Unterstützung und Vertragslaufzeit können den Preis ändern.
| Lösung | Frage vor der Auswahl |
|---|---|
| Cookiebot | Passt die Integration zu Ihrem CMS, den Domains und der gewünschten Scan-Abdeckung? |
| Usercentrics | Werden die benötigten Web-, App- und Mehrdomain-Abläufe im konkreten Paket unterstützt? |
| Borlabs Cookie | Nutzen Sie WordPress? Das Produkt ist dafür vorgesehen, nicht für Astro oder Shopify. |
| consentmanager | Sind Kategorien, Sprachen, Nachweis und serverseitige Übergabe passend konfigurierbar? |
Testen Sie die Einrichtung anhand von Auswahl, Widerruf und tatsächlicher Tag-Ausführung. Für Google-Publisherprodukte wie AdSense gelten eigene Anforderungen an zertifizierte CMPs; das ist keine allgemeine Zertifizierung der Rechtmäßigkeit einer Website oder Pflicht für jeden Google-Ads-Werbekunden.
IAB TCF übermittelt Signale in der Werbelieferkette. Am Prüfdatum ist TCF 2.4 veröffentlicht; die neuen Offenlegungsvorgaben haben Übergangsfristen bis 23. Oktober 2026 für Web-CMPs und 23. Februar 2027 für Apps/CTV. Prüfen Sie mit Ihrem Anbieter die tatsächlich erforderliche Migration. IAB Europe: bestätigter Zeitplan. TCF ersetzt weder die Bannerprüfung noch Consent Mode.
Zwei praktische Szenarien
Szenario 1: Das Interface funktioniert, die Serverübertragung nicht. Nach Ablehnung bleibt das Browser-Pixel aus, aber das Backend sendet weiterhin Purchase an eine Werbeplattform. Die Korrektur betrifft den Consent im Backend; eine neue Button-Farbe löst das Problem nicht.
Szenario 2: Die Blockierung funktioniert, die Auswahl ist irreführend. Optionale Tags laden erst nach Zustimmung, doch Ablehnen ist im Einstellungsdialog versteckt. Hier muss der Auswahlweg korrigiert werden. Die technisch richtige Blockierung ersetzt keine freie Entscheidung.
Das sind Lehrbeispiele, keine nachgewiesenen Kundenfälle. Aus einer Umstellung lassen sich ohne vergleichbare Messung weder bessere Leadqualität noch ein bestimmter CPA ableiten. Eine veränderte Zustimmungsquote kann zudem das gemessene Publikum verändern.
Was gehört in einen technischen Audit?
- Inventar von Cookies, SDKs, Pixeln und externen Anfragen;
- Zuordnung von Kategorien, Zwecken, Empfängern und Speicherfristen;
- Tests vor Auswahl, nach Zustimmung, Ablehnung und Widerruf;
- Desktop-, Mobil- und Sprachversionen;
- Browser- und Serverpfade samt Consent-Zuständen;
- Abgleich zwischen Information, Version und tatsächlichem Verhalten;
- Verantwortlicher und erneuter Test nach relevanten Änderungen.
Der Bericht sollte Befund, betroffenen Pfad, Priorität und nachprüfbaren Korrekturtest enthalten. Ein Scanner unterstützt das Inventar, beurteilt aber nicht alle Zwecke oder Interfaces.
Drei Schritte für diese Woche
- Stoppen Sie optionale Übertragungen, die vor Auswahl oder nach Ablehnung stattfinden; testen Sie auch das Backend.
- Prüfen Sie Ablehnung auf der ersten Ebene, Kategorien und den dauerhaft erreichbaren Widerruf.
- Aktualisieren Sie Anbieterinformationen und Versionsnachweis; legen Sie einen Verantwortlichen für Wiederholungsprüfungen fest.
Beginnen Sie mit einem dokumentierten Fehlerbild. Die Höhe der Zustimmung ist kein Ersatz für diese Prüfung. Für die Datenwege: Tracking & CAPI.
Häufig gestellte Fragen
Macht eine CMP die Website automatisch DSGVO-konform?
Nein. Kategorien, Informationen, Blockierung, Empfänger, Nachweis und Widerruf müssen zur tatsächlichen Verarbeitung passen. Die Software allein bewertet das nicht abschließend.
Ist Weitersurfen eine Zustimmung?
Bloßes Weitersurfen, Schweigen oder das Schließen des Banners ist keine aktive Einwilligung in optionale Technologien. Die Oberfläche und ihre technische Umsetzung müssen eine echte Entscheidung ermöglichen.
Ersetzt Consent Mode den Cookie-Banner?
Nein. Consent Mode übermittelt den Zustand an Google-Tags. Information, gültige Entscheidung und korrekte Umsetzung müssen separat gewährleistet sein.
Reicht ein einfacher Cookie-Hinweis?
Ein rein informativer Hinweis sammelt keinen Consent für optionale Technologien. Bei ausschließlich erforderlichen Technologien kann die Ausgangslage anders sein; prüfen Sie zuerst das vollständige Inventar und die Informationspflichten.
Welche Zustimmungsquote ist gut?
Es gibt keinen universellen Zielwert. Auswertung hängt von Besuchern, Märkten, Geräten, Zwecken und Interface ab. Eine hohe Quote beweist weder freie Zustimmung noch bessere Geschäftsergebnisse.
Muss der Banner bei jedem Besuch erscheinen?
Nicht zwingend. Speicherdauer und erneute Abfrage müssen zur konkreten Situation passen. Wesentliche Änderungen an Zwecken oder Empfängern verlangen eine neue Bewertung; eine pauschale Frist für alle Websites ist ungeeignet.
Was unterscheidet TCF von Consent Mode?
TCF ist ein Branchenrahmen für Signale zwischen Werbeteilnehmern. Consent Mode beeinflusst Google-Tags. Beide benötigen eine passende Konfiguration und ersetzen weder Rechtsgrundlage noch verständliche Auswahl.
Müssen auch kleine Unternehmen mit Beschwerden rechnen?
Auch kleine Unternehmen müssen die anwendbaren Regeln einhalten und können überprüft werden. Die tatsächliche Sanktion hängt vom Verstoß und den Umständen ab; es gibt keinen verlässlichen pauschalen Kleinunternehmer-Tarif.
Canem Errant kann die technischen Datenwege und das Bannerverhalten prüfen. Beschreiben Sie die beobachtete Abweichung. Umfang und Umsetzung einer Diagnose werden separat vereinbart; die rechtliche Bewertung erfolgt mit einem entsprechenden Spezialisten.
