Was ist eine Consent-Management-Plattform?
Eine Consent-Management-Plattform beantwortet für jeden Besucher die Frage: Darf diese Website gerade Cookies setzen und Tracking laden — ja oder nein?
Sichtbar ist die CMP als Cookie-Banner. Dahinter steckt mehr: Sie blockiert Tracking-Skripte, bis eine Entscheidung gefallen ist, dokumentiert die Einwilligung, gibt sie an die eingebundenen Dienste weiter — etwa an Googles Consent Mode — und lässt den Besucher seine Wahl später ändern.
Warum das nötig ist: Nach § 25 TDDDG darf eine Website Informationen auf dem Gerät eines Besuchers nur speichern oder auslesen, wenn er eingewilligt hat. Ausgenommen ist nur, was für den gewünschten Dienst unbedingt erforderlich ist. Das Gesetz gilt nicht nur für Cookies, sondern auch für ähnliche Techniken wie den lokalen Speicher des Browsers.
Dazu kommt die DSGVO: Sie regelt, was mit den erhobenen Daten danach passiert. Ein Banner fragt deshalb meist für beides — für den Zugriff aufs Gerät und für die weitere Verarbeitung.
Was muss ein Cookie-Banner können?
Die deutschen Aufsichtsbehörden haben ihre Anforderungen in der Orientierungshilfe für digitale Dienste beschrieben (Stand November 2024). Die wichtigsten Punkte:
- Erst fragen, dann laden: Solange der Banner angezeigt wird, laufen keine Skripte, die eine Einwilligung brauchen.
- Nichts vorausgewählt: Angekreuzte Kästchen oder „Weitersurfen gilt als Zustimmung“ sind keine Einwilligung.
- Ablehnen so leicht wie Annehmen: kein Mehraufwand an Klicks, gleichwertig in Größe, Farbe und Kontrast.
- Klar informieren: Zwecke, Drittanbieter und eine Übermittlung außerhalb der EU stehen schon auf der ersten Ebene.
- Widerruf jederzeit: auf demselben einfachen Weg, etwa über ein dauerhaft sichtbares Symbol — nicht nur per E-Mail.
- Impressum und Datenschutzerklärung bleiben trotz Banner erreichbar.
Und muss „Alles ablehnen“ direkt neben „Alle akzeptieren“ stehen? Die Datenschutzkonferenz sagt: nicht in jedem Fall, aber bei den üblichen Bannern sehr häufig. Das LG München I (2022) und das VG Hannover (2025) waren deutlicher: Wer „Alle akzeptieren“ auf der ersten Ebene anbietet, braucht dort ein gleichwertiges „Ablehnen“. Für die Praxis heißt das: beide Knöpfe nebeneinander.
CMP, Consent Mode und Google
Die CMP fragt, der Consent Mode übersetzt die Antwort für Google. Er sagt Google-Diensten wie Analytics und Ads, ob sie Cookies nutzen dürfen. Eine Einwilligung holt er nicht selbst ein — das bleibt Aufgabe der CMP.
Wer über AdSense, Ad Manager oder AdMob personalisierte Werbung im Europäischen Wirtschaftsraum ausspielt, muss seit Januar 2024 eine von Google zertifizierte CMP nutzen, die mit dem Branchenstandard IAB TCF arbeitet. Auf Googles Liste stehen rund 140 Anbieter, darunter Usercentrics, Cookiebot, Borlabs Cookie, consentmanager und OneTrust.
Wichtig: Die Zertifizierung prüft technische Kriterien, nicht die Rechtslage. Ob dein Banner zulässig ist, entscheidet die Einstellung — ein zertifiziertes Tool mit falsch gebautem Banner bleibt ein falsch gebauter Banner.
Beispiele aus der Praxis
Zwei Zahlen, die zeigen, warum die Gestaltung des Banners so viel ausmacht — einmal Befragung, einmal Bußgeld.
Case A · Befragung
Wie Deutsche mit Cookie-Bannern umgehen
60 %
lehnen pauschal ab
83 %
wollen selbst entscheiden
Wer ablehnen kann, tut es oft
Datenbarometer des Bundesdatenschutzbeauftragten 2025, forsa-Befragung von 1.112 Personen. Selbstauskunft, kein gemessenes Klickverhalten.
Case B · Bußgeld
Online-Händler SHEIN in Frankreich
150 Mio. €
Bußgeld
2025
durch die CNIL
Werbe-Cookies vor jeder Wahl und trotz „Ablehnen“ gesetzt
Die französische Datenschutzbehörde nannte beides als Gründe. In Deutschland drohen nach § 28 TDDDG bis zu 300.000 € — dazu Abmahnungen.
Häufige Fehler
Fehler 1 · Kein gleichwertiges „Ablehnen“
Grüner Knopf „Alle akzeptieren“, daneben ein grauer Link „Einstellungen“ — so sehen viele Banner aus. Behörden und Gerichte werten das regelmäßig als unwirksam. Beide Möglichkeiten gehören gleich groß und gleich gut sichtbar nebeneinander.
Fehler 2 · Tracking lädt vor der Entscheidung
Der Banner steht noch da, aber im Hintergrund feuern schon Analytics und Pixel. Das passiert oft, wenn Skripte direkt im Theme eingebaut sind statt über die CMP. Prüf im Browser, welche Cookies vor dem ersten Klick schon gesetzt sind.
Fehler 3 · Das „X“ als Zustimmung werten
Wer den Banner wegklickt, hat nicht eingewilligt. Das OLG Köln hat 2024 entschieden: Das Schließen-Kreuz verstehen Nutzer als Schließen, nicht als Ja. Wertet dein Banner das „X“ als Zustimmung, ist die Einwilligung unwirksam.
Fehler 4 · Marketing-Cookies als „essenziell“ einstufen
Was in der Kategorie „notwendig“ steht, lädt ohne Frage. Der Europäische Datenschutzausschuss sieht es als Problem, wenn dort Dienste landen, die gar nicht nötig sind. Geh deine Liste einmal Dienst für Dienst durch.
So richtest du eine CMP ein
- Dienste erfassen: Welche Tools setzen Cookies oder laden Inhalte von fremden Servern — Analytics, Pixel, Karten, Videos, Schriften?
- Tool wählen: für WordPress etwa Borlabs Cookie, sonst Usercentrics, Cookiebot oder consentmanager. Wer Google-Werbung ausspielt, nimmt ein zertifiziertes.
- Skripte über die CMP laden, nicht direkt im Theme — nur so werden sie wirklich blockiert.
- Banner gestalten: „Akzeptieren“ und „Ablehnen“ gleichwertig, Zwecke und Anbieter klar benannt.
- Consent Mode anbinden, wenn du Google Analytics oder Google Ads nutzt.
- Testen: Im privaten Fenster prüfen, was vor dem Klick, nach „Ablehnen“ und nach „Akzeptieren“ geladen wird.
Häufige Fragen
Brauche ich eine CMP, wenn ich nur notwendige Cookies nutze?
Nein. Für Cookies, die für deine Website unbedingt erforderlich sind, verlangt § 25 TDDDG keine Einwilligung. Die Datenschutzkonferenz rät sogar, dann keinen Banner zu zeigen. Prüf aber genau, ob wirklich alles notwendig ist — eingebettete Videos oder Karten sind es meist nicht.
Muss „Alles ablehnen“ auf der ersten Ebene stehen?
Wenn es dort „Alle akzeptieren“ gibt, nach Ansicht mehrerer Gerichte und der Aufsichtsbehörden in Niedersachsen: ja, gleichwertig daneben. Die Datenschutzkonferenz sieht Ausnahmen, hält die Pflicht bei üblichen Bannern aber für sehr häufig gegeben. Wer auf Nummer sicher gehen will, setzt beide Knöpfe nebeneinander.
Reicht Googles Consent Mode statt Cookie-Banner?
Nein. Der Consent Mode gibt eine Entscheidung nur an Google-Dienste weiter. Einholen musst du sie selbst, über deine CMP. Google schreibt das auch so: Für die Einwilligung der Nutzer bist du verantwortlich.
Was droht bei einem fehlerhaften Cookie-Banner?
Nach § 28 TDDDG ein Bußgeld von bis zu 300.000 €. Häufiger sind Abmahnungen durch Verbraucherverbände oder Mitbewerber und Anordnungen der Aufsichtsbehörden. Und praktisch: Unwirksame Einwilligungen bedeuten, dass du die damit erhobenen Daten gar nicht hättest nutzen dürfen.
Was ist ein Dienst zur Einwilligungsverwaltung?
Seit 2025 gibt es in Deutschland eine Verordnung für anerkannte Dienste, bei denen Nutzer ihre Cookie-Entscheidungen zentral hinterlegen können. Websites dürfen solche Dienste einbinden, müssen aber nicht. Anerkannt ist bisher ein einziger Dienst.
Quellen
- § 25 TDDDG
- § 28 TDDDG
- Datenschutzkonferenz: Orientierungshilfe für digitale Dienste
- Europäischer Datenschutzausschuss: Bericht der Cookie-Banner-Taskforce
- LG München I, Urteil vom 29.11.2022 (33 O 14776/19)
- LfD Niedersachsen: Pressemitteilung zum Urteil des VG Hannover
- OLG Köln, Urteil vom 19.01.2024 (6 U 80/23)
- Google Ad Manager-Hilfe: Zertifizierte CMPs
- BfDI: Datenbarometer zur Cookie-Einwilligung
- CNIL: Bußgeld gegen SHEIN
- BfDI: Einwilligungsverwaltung
