Cookie-Banner-Check für KMU: Was vor der Einwilligung nicht laden darf
Beitrag teilen
Ein Cookie-Banner ist keine Dekoration am unteren Bildschirmrand. Es ist der sichtbare Teil eines technischen und organisatorischen Ablaufs: Welche Dienste lädt die Website? Wann dürfen sie starten? Welche Wahl treffen Besucherinnen und Besucher? Und wie können sie diese Wahl später ändern? Gerade kleine Unternehmen verlieren diesen Zusammenhang leicht aus dem Blick, wenn Analyse, Karten, Videos, Newsletter-Tools, Social-Media-Feeds und Werbe-Pixel nach und nach auf der Website landen.
Für österreichische KMU ist deshalb ein regelmäßiger Cookie-Banner-Check sinnvoll. Nicht jedes Cookie braucht dieselbe Behandlung. Aber die Website muss zu ihren tatsächlich eingebundenen Diensten passen. Die Datenschutzbehörde erläutert, dass technisch nicht notwendige Cookies nicht schon vor einer Einwilligung gesetzt oder ausgelesen werden dürfen. § 165 TKG 2021 nennt zugleich Ausnahmen, wenn eine technische Speicherung allein für die Übertragung einer Nachricht oder für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Was im Einzelfall erforderlich ist, hängt vom konkreten Dienst und seiner Umsetzung ab.
Dieser Beitrag ist eine praktische Orientierung für Website-Verantwortliche und keine individuelle Rechtsberatung. Bei ungewöhnlichen Datenflüssen, internationalen Tools, einer umfangreichen Marketing- oder Shop-Konfiguration sollte der Betrieb die eigene Situation fachlich prüfen lassen.
Warum der Banner allein nicht entscheidet
Ein schöner Bannertext hilft nicht, wenn der eingebundene Dienst längst beim ersten Seitenaufruf Kontakt zu einem externen Anbieter aufnimmt. Umgekehrt kann eine technisch saubere Blockierung verwirrend sein, wenn Besucher nur einen großen Zustimmungsbutton sehen und die Alternative versteckt ist. Deshalb gehören Gestaltung und Technik zusammen.
Typische Auslöser für einen Check sind ein Website-Relaunch, ein neues Statistik-Tool, eingebettete Karten oder Videos, ein Kampagnenstart, ein Wechsel der Agentur oder ein neues Kontakt- und Buchungssystem. Auch ein scheinbar kleiner Zusatz kann Auswirkungen haben: Ein Social-Media-Feed, ein eingebundenes Bewertungstool oder ein Tag-Manager kann weitere Skripte laden. Wer nur auf die Cookie-Liste im Banner schaut, übersieht leicht, was tatsächlich im Browser passiert.
Der erste Schritt: Dienste statt Cookie-Namen erfassen
Beginnen Sie nicht mit einer langen Liste kryptischer Cookie-Namen. Erfassen Sie zunächst die Dienste und ihren Zweck. Eine einfache Tabelle reicht:
- Welche Funktion steht auf der Website zur Verfügung?
- Welcher externe oder interne Dienst liefert sie?
- Wofür wird er eingesetzt: Betrieb, Sicherheit, Analyse, Marketing, Komfort oder eingebetteter Inhalt?
- Wann wird er geladen: sofort, nach Klick oder erst nach einer Auswahl?
- Wer im Betrieb prüft Änderungen?
Beispiele sind ein Spam-Schutz im Kontaktformular, die Speicherung einer Warenkorbauswahl, eine Kartenansicht, ein Video, Website-Statistik, Werbung oder ein externer Terminservice. Diese Übersicht ist nicht nur für den Banner hilfreich. Sie erleichtert auch Gespräche mit Webagentur, Marketing und Datenschutzberatung. Zudem zeigt sie, ob eine Funktion überhaupt nötig ist. Vielleicht reicht bei einer Karte zunächst ein Link zur Anfahrt. Vielleicht kann ein Video erst nach einem Klick geladen werden. Und vielleicht ist eine Statistik-Konfiguration schlanker möglich als bisher.
Technisch notwendig oder optional: nicht pauschal entscheiden
Die Unterscheidung darf nicht nach Bauchgefühl erfolgen. Laut österreichischer Datenschutzbehörde dürfen Cookies ohne Einwilligung grundsätzlich nur dann gesetzt oder ausgelesen werden, wenn sie für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind. Das kann etwa bei bestimmten Sitzungs-, Eingabe- oder Authentifizierungsfunktionen eine Rolle spielen. Tracking für Analyse, personalisierte Werbung oder Marktforschung ist dagegen ein typischer Bereich, der vorab eine Einwilligung erfordern kann.
Wichtig ist der konkrete Zweck. Ein Cookie, das eine im Warenkorb abgelegte Auswahl während eines ausdrücklich gewünschten Bestellvorgangs erhält, ist etwas anderes als ein Dienst, der Verhalten über mehrere Seiten oder Websites auswertet. Gleiches gilt für externe Inhalte: Eine Karte oder ein Video kann für Besucher angenehm sein, ist aber nicht automatisch notwendig, um die Website selbst auszuliefern. Eine sichere Checkliste fragt daher immer: Würde die von der Person ausdrücklich gewünschte Kernfunktion ohne diesen Dienst nicht funktionieren? Oder ist der Dienst vor allem Komfort, Analyse oder Marketing?
Der Praxis-Check: Was vor der Auswahl warten muss
1. Testen Sie mit einem frischen Browserprofil
Öffnen Sie die Website in einem privaten Fenster oder einem neuen Browserprofil. Bereits gespeicherte Entscheidungen können Tests verfälschen. Notieren Sie dann, was beim ersten Laden sichtbar wird und welche Inhalte automatisch erscheinen.
2. Prüfen Sie eingebettete Inhalte
Karten, Videos, Social Feeds, Bewertungsboxen und externe Formulare sind häufige Kandidaten. Testen Sie, ob sie bereits vor einer optionalen Auswahl vollständig laden oder ob zunächst ein Platzhalter mit einer verständlichen Wahl erscheint. Ein Platzhalter kann für Besucherinnen und Besucher sogar hilfreicher sein, wenn er erklärt, was beim Laden des externen Inhalts passiert und welche Alternative es gibt.
3. Prüfen Sie Tag-Manager und Marketing-Skripte
Ein Tag-Manager kann Ordnung schaffen, ersetzt aber keine Konfiguration. Prüfen Sie, ob Analyse- oder Werbe-Tags wirklich erst nach der vorgesehenen Auswahl auslösen. Achten Sie dabei auf globale Snippets, zusätzliche Plugins und Skripte, die von Landingpages oder Kampagnen eingebunden wurden. Gerade dort entstehen oft doppelte oder unerwartete Aufrufe.
4. Prüfen Sie die Ablehnung genauso sorgfältig
Die Datenschutzbehörde betont, dass die Nichtabgabe einer Einwilligung nicht mehr Interaktionen erfordern darf als die Abgabe. Der Weg „nur notwendige Dienste verwenden“ oder „ablehnen“ muss daher sichtbar und einfach sein. Ein Design, das eine Zustimmung stark hervorhebt und die Alternative kaum erkennbar macht, ist nicht nur unfreundlich. Es erschwert auch eine klare Entscheidung.
5. Prüfen Sie Widerruf und spätere Änderung
Besucherinnen und Besucher müssen ihre Entscheidung später wiederfinden können. Das kann ein dauerhaft erreichbarer Link in der Fußzeile oder ein klar benannter Bereich der Datenschutzerklärung sein. Testen Sie den Ablauf tatsächlich: Lässt sich die Auswahl ändern? Werden optionale Dienste danach gestoppt? Und ist die Oberfläche auch auf dem Smartphone bedienbar?
Eine faire Bannerstruktur in drei Ebenen
Ein praxistauglicher Banner muss nicht überladen sein. Die erste Ebene erklärt kurz, wer die Website betreibt, welche Zwecke zur Auswahl stehen und wo weiterführende Informationen zu finden sind. Sie bietet eine gleichwertig erreichbare Auswahl für notwendige und optionale Dienste. Auf einer zweiten Ebene können Besucher Kategorien und Dienste genauer ansehen. Die Datenschutzerklärung liefert schließlich den ausführlichen Kontext, soweit er für die konkrete Datenverarbeitung erforderlich ist.
Die Formulierungen sollten zum tatsächlichen Verhalten passen. Wer keine personalisierte Werbung einsetzt, muss nicht mit einer generischen Werbe-Kategorie arbeiten. Wer Statistik verwendet, sollte nicht nur „Komfort“ schreiben, wenn die Daten zur Analyse des Besuchsverhaltens genutzt werden. Klare Zwecke helfen beiden Seiten: Besucherinnen und Besucher können sinnvoll entscheiden, und das Team kann die Einbindung besser warten.
Typische Fehler nach einem Relaunch
- Der Banner wurde übernommen, die Dienste wurden geändert: Neue Plugins, Kampagnenseiten oder ein anderes Theme laden zusätzliche Inhalte, ohne dass die Übersicht angepasst wurde.
- Analyse wird doppelt eingebunden: Ein Skript kommt über das Theme, ein zweites über den Tag-Manager. Das verfälscht Messwerte und macht die technische Prüfung unnötig schwer.
- Externe Inhalte werden nur optisch blockiert: Der sichtbare Platzhalter ist da, aber der externe Aufruf erfolgt trotzdem im Hintergrund.
- Die Ablehnung ist versteckt: Besucher müssen mehrere Ebenen öffnen, während „alle akzeptieren“ sofort sichtbar ist.
- Die Datenschutzerklärung bleibt alt: Der Banner verweist auf Informationen, die den aktuellen Dienstestand nicht mehr beschreiben.
Ein schlanker Monatsablauf für kleine Teams
Ein Cookie-Banner muss nicht jede Woche neu konfiguriert werden. Sinnvoll ist jedoch ein kurzer Regeltermin: einmal im Monat und zusätzlich vor größeren Kampagnen oder Website-Änderungen. Prüfen Sie dabei drei Dinge. Erstens: Welche Dienste sind neu oder entfallen? Zweitens: Stimmen Banner, Kategorien und Datenschutzhinweise mit diesen Diensten überein? Drittens: Funktioniert die Auswahl auf Mobilgeräten und in einem frischen Browserprofil?
Dokumentieren Sie den Termin in wenigen Stichpunkten: Datum, geprüfte Seiten, Änderungen und verantwortliche Person. Das ist keine formelle Compliance-Bescheinigung. Es schafft aber Transparenz im Betrieb und verhindert, dass technische Änderungen ohne Zuständigkeit liegen bleiben. Besonders bei Agenturwechseln oder mehreren Beteiligten ist diese kleine Dokumentation wertvoll. Passend dazu hilft unsere Checkliste zu sicheren Website-Zugängen beim Agenturwechsel.
So priorisieren Sie die Korrekturen
Wenn ein Test mehrere Auffälligkeiten zeigt, muss ein kleines Unternehmen nicht alles gleichzeitig umbauen. Beginnen Sie mit den Diensten, die beim ersten Seitenaufruf externe Verbindungen auslösen und für den Besuch der Seite nicht erforderlich sind. Danach folgen eingebettete Medien und Funktionen, die zwar nützlich, aber nicht für die grundlegende Nutzung nötig sind. Erst im dritten Schritt sollten Sie Texte, Farben und die Reihenfolge im Auswahlfenster optimieren. Diese Reihenfolge verhindert, dass ein optisch schöner Banner von einer ungeprüften Technik überholt wird.
Halten Sie pro Fund vier Informationen fest: den Dienst, die betroffene URL, den Zweck und die geplante Entscheidung. Ein Beispiel: Eine Kontaktseite bindet eine Karte eines externen Anbieters ein. Das Team kann entscheiden, die Karte erst nach einer Auswahl zu laden, einen statischen Anfahrtslink anzubieten oder die Karte ganz zu entfernen. So wird aus dem abstrakten Thema Cookie-Banner eine konkrete Aufgabenliste. Für eine Kampagnen-Landingpage kann die Entscheidung anders ausfallen als für die Startseite, solange sie nachvollziehbar umgesetzt und beschrieben wird.
Ein Testprotokoll, das auch nach Personalwechseln funktioniert
Ein einfaches Tabellenblatt reicht aus. Legen Sie Spalten für Seite, eingebundenen Dienst, Kategorie, Testdatum, Testbrowser, Ergebnis und nächste Aktion an. Ergänzen Sie einen Verweis auf den Ort, an dem das Skript eingebunden ist, etwa Theme, Plugin, Tag-Manager oder Formularanbieter. Dadurch kann ein neues Teammitglied später erkennen, warum ein Dienst vorhanden ist und wer eine Änderung prüfen sollte. Screenshots des ersten Seitenaufrufs und der Detailansicht helfen, wenn sich der Banner nach einem Update verändert.
Wichtig ist auch ein Gegencheck nach der Änderung: Browserdaten löschen, Seite neu laden, optionalen Dienst ablehnen und beobachten, ob die Seite weiterhin sinnvoll nutzbar ist. Danach dieselbe Seite mit der gewünschten Kategorie testen. Erst dieser Vergleich zeigt, ob die Auswahl technisch wirklich wirkt. Für mobile Besucher lohnt sich ein zusätzlicher Test auf einem echten Smartphone, weil Banner dort schneller übersehen werden und Bedienelemente ausreichend groß sein müssen.
Wann externe Hilfe sinnvoll ist
Externe Unterstützung kann sinnvoll sein, wenn eine Website mehrere Systeme verbindet, etwa Shop, Terminbuchung, Video, Werbung und Analyse. Auch nach einem Relaunch oder Agenturwechsel spart eine einmalige technische Bestandsaufnahme Zeit. Geben Sie dabei nicht nur den Auftrag „Banner prüfen“, sondern stellen Sie die Diensteliste, Zugänge und die wichtigsten Seiten bereit. Die fachliche Einordnung von konkreten Rechtsfragen gehört gegebenenfalls zu qualifizierter rechtlicher Beratung. Die technische Dokumentation und ein sauberer Browser-Test bleiben jedoch eine nützliche Grundlage für jede weitere Entscheidung.
Tools unterstützen die Umsetzung, ersetzen aber nicht die Prüfung
Ein Consent-Management-Tool kann Kategorien, Auswahloberfläche und die technische Steuerung von Diensten unterstützen. Für WordPress-Websites ist der AdSimple Cookie Manager eine passende eigene Produktoption. Er kann die Einbindung und Verwaltung erleichtern. Ob die ausgewählten Kategorien, eingebundenen Dienste und Texte zum konkreten Projekt passen, muss der Website-Betreiber dennoch prüfen. Ein Tool kann keine pauschale Rechtskonformität garantieren.
Das gilt auch für weitere Funktionen der Website. Wenn Analyse oder Marketing nur nach Einwilligung starten, sollten die daraus gewonnenen Zahlen entsprechend eingeordnet werden. Weniger Tracking bedeutet nicht automatisch weniger Erkenntnis. Vieles lässt sich auch über sauber aufgebaute Kontaktwege, nachvollziehbare Formularanfragen und qualitative Rückmeldungen lernen. Wer seine Website-Anfragen misst, sollte deshalb nicht nur auf eine einzelne Statistik-Kurve schauen.
Fazit: Erst die Technik, dann der Bannertext
Der beste Cookie-Banner-Check beginnt hinter dem sichtbaren Fenster: bei den eingebundenen Diensten, ihren Zwecken und ihrer Lade-Reihenfolge. Wenn optionale Dienste warten, Auswahl und Ablehnung klar erreichbar sind und der Widerruf funktioniert, wird der Banner für Besucherinnen und Besucher verständlicher und für das Team wartbar. Planen Sie dafür einen frischen Browser-Test, eine kurze Diensteliste und eine verantwortliche Person ein. Das schafft eine solide Grundlage, ohne mit pauschalen Versprechen zu arbeiten.