DSGVO und Cookie-Consent im Online-Shop (Consent Mode v2)

Die meisten Cookie-Banner, die wir in griechischen Online-Shops sehen, kranken an einem von zwei Problemen. Entweder sind sie reine Dekoration – die Tracking-Skripte feuern, bevor der Besucher überhaupt etwas angeklickt hat. Oder sie sind so streng verdrahtet, dass Google Ads und Meta im Dunkeln tappen und die Kampagnen nicht mehr wissen, was sich verkauft. Beides hat seinen Preis: Das erste wird rechtlich teuer, das zweite geschäftlich.

Hinweis: Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. Die Anforderungen ändern sich. Lassen Sie Ihre konkrete Situation von einem Anwalt oder Datenschutzberater prüfen.

Der rechtliche Rahmen in einem Absatz

Die DSGVO regelt, wie Sie personenbezogene Daten verarbeiten. Die ePrivacy-Vorschriften legen zusätzlich fest, dass das Speichern oder Auslesen von Informationen auf dem Gerät des Nutzers (Cookies, localStorage, Pixel) eine vorherige Einwilligung erfordert – es sei denn, es ist für die Bereitstellung des Dienstes unbedingt erforderlich. Die griechische Datenschutzbehörde hat einen lesenswerten Leitfaden zu Cookies veröffentlicht und griechische Websites in der Vergangenheit bereits überprüft.

So sieht ein „ordentlicher“ Cookie-Banner aus

Orientiert man sich an den Leitlinien der Datenschutzbehörden, erfüllt ein konformer Banner folgende Punkte:

• Vor der Einwilligung werden keine nicht notwendigen Cookies geladen. Webanalyse, Werbepixel und Heatmaps müssen warten.
• „Ablehnen“ ist genauso einfach wie „Akzeptieren“. Gleiche Ebene, gleiche Sichtbarkeit – also kein großer grüner „Akzeptieren“-Button neben einem kleinen grauen „Einstellungen“-Link.
• Keine vorausgewählten Kategorien.
• Scrollen oder Weitersurfen gilt nicht als Einwilligung.
• Verständliche Sprache: Welche Kategorien gibt es, welche Drittanbieter sind beteiligt?
• Einwilligungen lassen sich leicht widerrufen, etwa über einen Link „Cookie-Einstellungen“ im Footer.
• Einwilligungen werden protokolliert, damit Sie nachweisen können, was der Nutzer gewählt hat.

Dazu gehört selbstverständlich eine Cookie-Richtlinie, die zu dem passt, was Ihre Website tatsächlich einsetzt – und kein Text, der von einem anderen Shop kopiert wurde.

Welche Cookies sind „notwendig“?

In einem Online-Shop sind das: der Warenkorb, die Login-Session, Sicherheitsfunktionen (etwa CSRF-Schutz), gegebenenfalls die Speicherung der Cookie-Auswahl selbst und die Spracheinstellung. Google Analytics, das Meta-Pixel, das TikTok-Pixel, Remarketing-Tags und die meisten Heatmap-Tools sind nicht notwendig.

Was ist Consent Mode v2?

Consent Mode ist der Mechanismus, mit dem Googles Tags (GA4, Google Ads, Floodlight) auf die Entscheidung des Nutzers „hören“ und ihr Verhalten entsprechend anpassen. Version 2 hat zwei neue Signale eingeführt. Google setzt sie für Nutzer im EWR voraus, wenn Sie Funktionen wie Remarketing und personalisierte Werbung nutzen wollen.

Die vier zentralen Signale:

• ad_storage: Speichern von Werbe-Cookies.
• analytics_storage: Speichern von Analyse-Cookies.
• ad_user_data: Übermittlung von Nutzerdaten an Google zu Werbezwecken.
• ad_personalization: personalisierte Anzeigen und Remarketing.

Basic oder Advanced

• Basic: Die Google-Tags werden erst nach der Einwilligung geladen. Lehnt der Nutzer ab, erhält Google gar nichts.
• Advanced: Die Tags laden mit der Voreinstellung „denied“ und senden cookielose Pings. Google nutzt diese, um Conversions zu modellieren.

Advanced liefert den Kampagnen ein vollständigeres Bild, überträgt aber bereits vor der Einwilligung einige Daten. Viele Berater in der EU bevorzugen deshalb vorsichtshalber Basic. Besprechen Sie das mit Ihrem Berater – es ist keine rein technische Entscheidung.

Die Umsetzung in der Praxis

1. Wählen Sie eine CMP (Consent-Management-Plattform), die Consent Mode v2 unterstützt. Google führt eine Liste zertifizierter CMPs; für manche Anwendungen (etwa AdSense) ist die Zertifizierung Pflicht. Für WooCommerce wie für Shopify gibt es mehrere Plugins bzw. Apps.
2. Erfassen Sie jedes Skript auf der Website: Webanalyse, Pixel, Chat, Bewertungen, eingebettete Videos, Karten. Viele Shops schleppen vergessene Pixel aus alten Kampagnen mit sich herum.
3. Ordnen Sie jedes Skript einer Kategorie zu: notwendig, Statistik, Marketing, funktional.
4. Setzen Sie für alle Signale „denied“ als Standard, bevor irgendein Tag lädt.
5. Verbinden Sie die CMP mit dem Google Tag Manager oder gtag, damit die Entscheidung des Nutzers die Signale aktualisiert.
6. Blockieren Sie auch Nicht-Google-Skripte (Meta, TikTok, Clarity usw.) bis zur Einwilligung. Consent Mode deckt nur Googles eigene Tags ab.
7. Testen Sie: Öffnen Sie die Website in einem privaten Fenster, rufen Sie die Entwicklertools auf und prüfen Sie, welche Cookies und Requests vor und nach der Auswahl ausgelöst werden. Der Tag Assistant von Google zeigt den Status jedes Signals an.

Häufige Fehler

• Der Banner erscheint, aber Theme oder Plugin haben die Pixel längst geladen.
• Consent Mode ist im GTM eingerichtet, während das Meta-Pixel ungeprüft lädt.
• Der „Ablehnen“-Button ist auf einer zweiten Ebene versteckt.
• Auf dem Smartphone verdeckt der Banner den „In den Warenkorb“-Button und lässt sich kaum schließen.
• Die Auswahl wird nicht gespeichert, sodass der Banner auf jeder Seite erneut auftaucht.
• Nach dem Go-live bricht das GA4-Reporting ein, weil niemand die Einstellungen geprüft hat.

Und Ihre Zahlen?

Sobald ein korrekter Banner live ist, sehen Sie weniger Daten in Ihrer Webanalyse. Das ist normal. Wie viele Besucher zustimmen, hängt stark von Gestaltung und Formulierung des Banners ab – es lohnt sich also, ihn klar und freundlich zu gestalten, ohne in die Irreführung abzurutschen. Die Messlücken lassen sich mit Consent Mode (insbesondere Advanced) und sauber konfigurierten Conversions teilweise schließen.

Checkliste

• Keine nicht notwendigen Cookies vor der Einwilligung
• „Akzeptieren“ und „Ablehnen“ auf derselben Ebene
• Keine vorausgewählten Kategorien
• Ein Link „Cookie-Einstellungen“ im Footer
• Eine Cookie-Richtlinie, die der Realität entspricht
• Eine CMP mit Unterstützung für Consent Mode v2
• Standard „denied“ und korrekte Aktualisierung aller vier Signale
• Auch Nicht-Google-Pixel werden blockiert
• Nach jeder Änderung ein Check mit Entwicklertools und Tag Assistant

Fazit

Ein sauberer Cookie-Banner ist mehr als ein rechtliches Pflichthäkchen. Er ist die Grundlage für verlässliche Daten und für Kampagnen, die innerhalb der Regeln funktionieren. Wenn Sie prüfen lassen möchten, was Ihre Website tatsächlich lädt und wie Consent Mode konfiguriert ist, werfen Sie einen Blick auf unseren Service für Marketing-Automatisierung oder nehmen Sie Kontakt mit uns auf.