Ein Cookie-Banner ist keine Dekoration für den Website-Footer. Es entscheidet mit darüber, ob Analyse, eingebettete Karten, Videos oder Marketing-Tags überhaupt starten dürfen. Gerade österreichische KMU arbeiten oft mit einem Baukastensystem, einer Agentur und mehreren einzelnen Tools. Dann bleibt leicht unklar, was beim ersten Seitenaufruf tatsächlich geladen wird. Dieser Leitfaden hilft dabei, die eigene Website strukturiert zu prüfen und die nächsten Schritte mit Technik, Agentur oder Datenschutzberatung sauber zu priorisieren.
Warum Cookie-Banner für kleine Unternehmen ein Praxisthema sind
Wer eine Firmenwebsite betreibt, will Anfragen nachvollziehen, Kampagnen messen oder einen Standort auf einer Karte zeigen. Dafür werden häufig Analyse- und Marketingdienste, eingebettete Videos, Schriftarten, Terminbuchungen oder Captcha-Dienste eingebunden. Manche dieser Dienste speichern Informationen am Endgerät oder greifen darauf zu; oft kommen zusätzlich IP-Adressen und weitere personenbezogene Daten ins Spiel. Entscheidend ist deshalb nicht, ob das eingeblendete Fenster hübsch aussieht. Entscheidend ist, welche Technik vor und nach einer Auswahl aktiv wird.
In Österreich regelt § 165 Abs. 3 TKG 2021 die technische Speicherung oder den Zugriff auf Informationen am Endgerät. Die Datenschutzbehörde fasst den Grundsatz verständlich zusammen: Nur technisch notwendige Cookies dürfen ohne Einwilligung eingesetzt werden; für technisch nicht notwendige Cookies ist vorab eine Einwilligung nötig. Werden danach personenbezogene Daten verarbeitet, kommen zusätzlich die Informations- und sonstigen Anforderungen der DSGVO ins Spiel. Das ist keine individuelle Rechtsberatung. Für konkrete Tools, Verträge und Geschäftsmodelle lohnt sich eine fachliche Prüfung.
Für KMU ist eine klare Trennung auch wirtschaftlich sinnvoll. Ein schlanker, nachvollziehbarer Aufbau senkt Fehlerquellen, macht Website-Änderungen planbarer und verhindert, dass nach einem Relaunch unbemerkt neue Skripte starten. Statt mit einer langen Toolliste zu beginnen, reicht eine einfache Leitfrage: Was muss funktionieren, wenn Besucherinnen und Besucher auf „Ablehnen“ klicken?
Schritt 1: Alle Datenflüsse vor der Einwilligung erfassen
Der beste Start ist ein technischer Inventurtermin. Öffnen Sie Ihre Startseite im privaten Browserfenster, löschen Sie vorhandene Website-Daten und laden Sie die Seite neu. Notieren Sie alle Funktionen, die sichtbar oder im Hintergrund aktiv werden: Webanalyse, Werbe-Pixel, Karten, Videos, Chat, Social-Media-Einbettungen, Consent-Tool, Newsletterformular, Buchungssoftware und Sicherheitsdienste. Wiederholen Sie den Test für Kontaktseite, Shop, Terminseite und Landingpages; gerade dort werden häufig zusätzliche Skripte nachgeladen.
Fragen Sie Ihre Agentur oder den technischen Dienstleister nicht nur nach dem Namen eines Plugins. Bitten Sie um eine Liste mit Anbieter, Zweck, auslösender Seite, Speicherdauer, Empfängern und der Antwort auf die Frage, ob der Dienst ohne aktive Einwilligung startet. Diese Liste wird zur Grundlage für Banner, Datenschutzerklärung und künftige Freigaben. Bei Drittanbieter-Komponenten empfiehlt auch die WKO, Datenströme zu klären und die Informationen in Datenschutzerklärung beziehungsweise Cookie-Banner nachvollziehbar zu beschreiben.
Praktisch ist eine Tabelle mit drei Spalten: „unbedingt erforderlich“, „erst nach Einwilligung“ und „noch zu klären“. In die letzte Spalte gehören auch Dienste, die der Website-Baukasten standardmäßig mitliefert. Das verhindert die verbreitete Annahme, dass ein Tool automatisch notwendig sei, nur weil es installiert ist.
Schritt 2: Notwendige und optionale Technik sauber unterscheiden
Technisch notwendig ist nicht gleichbedeutend mit nützlich. Nach der Orientierung der Datenschutzbehörde kann etwa eine Sitzungsverwaltung für einen Warenkorb oder einen Login erforderlich sein, wenn Besucher genau diesen Dienst nutzen. Eine Spracheinstellung kann ebenfalls in diesen Bereich fallen. Dagegen sind Reichweitenmessung, personalisierte Werbung oder viele Komfort- und Marketingfunktionen nicht automatisch erforderlich. Die konkrete Beurteilung hängt vom Zweck und von der Umsetzung ab.
Ein gutes Beispiel ist ein Sicherheitsdienst: Er kann sinnvoll sein, ist aber nicht allein deshalb zwingend notwendig. Die WKO verweist auf eine österreichische Entscheidung, nach der ein bestimmtes reCAPTCHA-Tool nicht als technisch notwendig angesehen wurde, weil die Website auch ohne dieses Tool betrieben werden kann. Das heißt nicht, dass jede Schutzmaßnahme unzulässig wäre. Es zeigt aber, warum die eigene Begründung und die tatsächliche technische Alternative wichtig sind.
Ordnen Sie nicht nach Marketingbegriffen wie „funktional“ oder „Komfort“, sondern nach konkreter Funktion. Eine Karte auf der Kontaktseite ist für viele Besucher hilfreich; sie muss deshalb nicht zwingend beim ersten Laden aktiv sein. Eine datensparsame Alternative kann ein Platzhalter mit einem bewusst ausgelösten Laden der Karte sein. So bleiben Orientierung und Nutzerwahl miteinander vereinbar.
Schritt 3: Das Banner als faire Entscheidung gestalten
Ein Banner sollte die Auswahl nicht lenken. Die WKO nennt als wichtige Gestaltungspunkte einen Zustimmen- und einen Ablehnen-Button auf der ersten Ebene, keine vorab aktivierten Kästchen und keine täuschende Bevorzugung über Farbe, Größe oder Sprache. Auch „Einstellungen speichern“ ist kein guter Ersatz für eine klar erkennbare Ablehnung, wenn Besucher erst mehrere Ebenen öffnen müssen. Die Entscheidung muss verständlich sein, ohne dass man sich durch ein Labyrinth klickt.
Für die erste Ebene genügen kurze, konkrete Informationen: Welche optionalen Zwecke gibt es? Wo liegen Details? Welche Wahlmöglichkeiten bestehen? Die Detailansicht kann Kategorien und einzelne Dienste erklären. Dort sollten keine Kategorien bereits angehakt sein, wenn dafür eine Einwilligung erforderlich ist. Die Datenschutzerklärung muss außerdem ohne vorherige Zustimmung erreichbar bleiben; Gleiches gilt für das Impressum.
Planen Sie den Widerruf gleich mit ein. Wer zugestimmt hat, sollte seine Entscheidung später ebenso leicht ändern können, etwa über einen ständig erreichbaren Link in Footer oder Datenschutzbereich. Prüfen Sie dann technisch, ob ein Widerruf optionale Dienste wirklich stoppt und gespeicherte Consent-Signale aktualisiert. Ein sichtbarer Link ohne Wirkung ist keine tragfähige Lösung.
Schritt 4: Tracking, Einbettungen und Formulare getrennt testen
Der häufigste Fehler entsteht nicht im Text des Banners, sondern in der Reihenfolge der Skripte. Ein Analyse-Tag kann über einen Tag Manager geladen werden, eine Karte über einen Kontaktseiten-Block und ein Video über einen Blogartikel. Testen Sie daher jeweils drei Zustände: erster Aufruf ohne Auswahl, „Ablehnen“ und ausdrückliche Zustimmung. Im ersten und zweiten Zustand dürfen nur die Funktionen starten, die dafür tatsächlich zulässig und dokumentiert sind.
Für eingebettete Inhalte bietet sich eine Zwei-Klick-Lösung an. Anstelle eines sofort geladenen Videos oder einer Karte erscheint zunächst ein neutraler Platzhalter mit Erklärung. Erst der bewusste Klick lädt den Drittinhalt. Das ist zugleich ein guter Usability-Test: Versteht die Besucherin, was nach dem Klick passiert? Funktioniert die Seite weiterhin, wenn sie nicht klickt? Für ein lokales Unternehmen bleibt die Adresse natürlich auch als Text sichtbar.
Bei Formularen gilt ebenfalls: Fragen Sie nur Angaben ab, die für die Anfrage wirklich gebraucht werden. Dokumentieren Sie, wohin Nachrichten gehen, wie lange sie verfügbar sind und ob ein externer Termin- oder CRM-Dienst beteiligt ist. Ein Cookie-Banner ersetzt keine transparente Datenschutzerklärung und keine Prüfung der übrigen Datenverarbeitung.
Schritt 5: Eine wartbare Routine für Relaunches und neue Tools schaffen
Einmal eingerichtet bedeutet nicht dauerhaft richtig. Neue Kampagnen, Chat-Widgets, Buchungstools und Plugins können neue Datenflüsse hinzufügen. Legen Sie deshalb eine einfache Freigaberegel fest: Kein externes Website-Tool geht live, bevor Zweck, Anbieter, technische Auslösung, Consent-Kategorie und Datenschutzerklärung geprüft sind. Eine verantwortliche Person im Betrieb sollte die Liste besitzen; die Agentur ergänzt technische Details.
Nach größeren Website-Änderungen lohnt sich ein kurzer Abnahmetest im privaten Browserfenster. Prüfen Sie Banner, Ablehnung, Zustimmung, Widerruf, Kontaktformular und mindestens eine Seite mit eingebetteten Komponenten. Halten Sie Datum, getestete Seiten und Ergebnis in einem kurzen Änderungsprotokoll fest. So können Sie später nachvollziehen, warum ein Dienst eingesetzt wird und wann seine Konfiguration zuletzt überprüft wurde.
Wenn Sie unsicher sind, priorisieren Sie nach Risiko: Zuerst Dienste, die vor einer Entscheidung laden; danach Werbe- und Analyse-Tags; anschließend eingebettete Drittanbieterinhalte. Lassen Sie rechtliche Einzelfragen von qualifizierten Fachleuten klären. Die technische Inventur und die nachvollziehbare Dokumentation bereiten diese Beratung deutlich besser vor.
Wer im Betrieb, bei der Agentur und beim Toolanbieter zuständig ist
Datenschutzfreundliche Website-Pflege gelingt am besten, wenn Zuständigkeiten nicht zwischen Betrieb und Dienstleistern verschwimmen. Der Betrieb entscheidet grundsätzlich, welche Ziele die Website verfolgt: etwa Anfragen gewinnen, Termine ermöglichen oder Kampagnen messen. Die Agentur beziehungsweise das Entwicklungsteam kann erklären, welche Skripte und Schnittstellen dafür eingesetzt werden und wie sich deren Start technisch steuern lässt. Anbieter von Consent-Tools, Analyse- oder Buchungssystemen liefern wiederum Produktinformationen und Vertragsunterlagen. Keine dieser Rollen ersetzt automatisch die Verantwortung des Websitebetreibers für die eigene Auswahl und Dokumentation.
Für den Alltag reicht ein kleiner Freigabeprozess. Bevor ein neues Tool eingebaut wird, sollte eine Person aus dem Betrieb fünf Fragen beantworten können: Welchen konkreten Nutzen hat es? Welche Seiten sind betroffen? Was passiert beim ersten Aufruf? Welche Daten oder Endgeräteinformationen sind beteiligt? Wer prüft nach dem Einbau die tatsächliche Wirkung? Die Agentur kann diese Angaben mit technischen Details ergänzen. Bei unklaren Rechtsfragen sollte die Entscheidung nicht durch eine allgemeine Plugin-Beschreibung ersetzt werden, sondern gezielt fachlich eingeordnet werden.
Besonders hilfreich ist eine Liste der Änderungen: Datum, Anlass, verantwortliche Person, betroffene URL, Tool, Consent-Kategorie und Testergebnis. Das klingt aufwendig, ist bei einer überschaubaren KMU-Website aber oft nur ein kurzer Eintrag pro Änderung. Im Gegenzug muss bei einem späteren Relaunch nicht rekonstruiert werden, warum ein bestimmtes Script vorhanden ist. Auch Vertretungen können die Website sicherer betreuen.
Ein Beispiel: Eine Kampagne braucht eine neue Landingpage mit einem eingebetteten Video. Vor dem Livegang wird festgelegt, ob das Video sofort geladen oder erst nach Auswahl aktiviert wird, welche Informationen die Besuchenden sehen und wie die Seite ohne Video funktioniert. Anschließend wird der Test in einem frischen Browserprofil dokumentiert. So wird Consent nicht nachträglich „repariert“, sondern als Teil der normalen Qualitätskontrolle behandelt.
Für die monatliche Routine genügt meist ein kurzer Blick auf Änderungen im Website-Baukasten, im Tag Manager und in den Marketingkonten. Prüfen Sie dabei, ob neue Tags hinzugekommen sind, ob Kategorien noch stimmen und ob die verlinkten Hinweise verständlich bleiben. Wer für jede Änderung einen kleinen Verantwortungs- und Testschritt einplant, verhindert, dass ein Banner zum blinden Vertrauenssymbol wird. Das schafft auch intern Klarheit: Marketing kann messen, Technik kann sauber implementieren und die Geschäftsführung behält den Überblick über den eingesetzten Werkzeugkasten.
Bewahren Sie die Inventur nicht nur im E-Mail-Verlauf auf. Ein zentraler, zugriffsgeschützter Ordner oder ein kleines internes Handbuch genügt. Wichtig ist, dass die aktuelle Version für die zuständige Person auffindbar bleibt.
Cookie-Banner-Checkliste für den nächsten Website-Termin
- Alle Seiten und externen Dienste in einer Inventur erfassen.
- Technisch notwendige und optionale Funktionen mit konkretem Zweck trennen.
- Optionales Tracking, Werbung und Drittinhalte vor Einwilligung blockieren.
- „Zustimmen“ und „Ablehnen“ auf der ersten Ebene fair und klar anbieten.
- Keine vorab ausgewählten optionalen Kategorien verwenden.
- Datenschutzerklärung und Impressum jederzeit erreichbar halten.
- Widerruf sichtbar machen und seine technische Wirkung testen.
- Nach Relaunches, Kampagnen und Plugin-Updates erneut prüfen.
Ein gutes Cookie-Banner ist damit kein isoliertes Rechtsthema, sondern Teil einer gepflegten Firmenwebsite. Wer Datenflüsse kennt, Entscheidungen klar gestaltet und Änderungen dokumentiert, schafft eine verlässlichere Grundlage für Messung, Marketing und Vertrauen. Beginnen Sie mit der Inventur – sie zeigt meist schon, welche Aufgabe als Nächstes wirklich wichtig ist.