Recht & Datenschutz · · 7 Min. Lesezeit · Von Alexander
Consent Management prüfen: Tracking und versteckte Drittanbieter finden
Consent Management bedeutet mehr als einen Cookie-Banner einzubauen. Entscheidend ist, ob einwilligungspflichtiges Tracking vor der Auswahl wirklich blockiert bleibt, Ablehnen funktioniert und die Angaben im Banner zur tatsächlichen Website passen.
Was gehört zu einem funktionierenden Consent Management?
Ein Consent Management erfasst alle Dienste, die Informationen auf dem Gerät eines Besuchers speichern oder daraus auslesen, ordnet sie einem Zweck zu und steuert sie nach der Entscheidung des Nutzers. Dazu können Cookies, Local Storage, Analyse-Skripte, Werbepixel, eingebettete Videos, Karten, Chat-Funktionen oder externe Schrift- und Medienserver gehören. Ein sichtbarer Banner allein beweist deshalb noch keine wirksame technische Steuerung.
§ 25 TDDDG verlangt für das Speichern oder Auslesen von Informationen auf Endeinrichtungen grundsätzlich eine Einwilligung. Ausnahmen gelten insbesondere für die reine Nachrichtenübertragung und für Zugriffe, die unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Die Information und Einwilligung müssen nach den Regeln der DSGVO erfolgen. Quelle: Gesetze im Internet, § 25 TDDDG, abgerufen am 08.11.2026.
Für KMU folgt daraus ein praktischer Grundsatz: Erst das technische Inventar erstellen, dann die Rechtsgrundlage und Banner-Kategorie prüfen. Wer nur die Texte des Banners kontrolliert, übersieht möglicherweise Skripte, die bereits beim ersten Seitenaufruf Daten übertragen.
- Dienste und Anbieter vollständig inventarisieren
- Zweck, Datenzugriff und Empfänger zuordnen
- Nicht erforderliche Dienste bis zur Einwilligung blockieren
- Ablehnen und Widerruf technisch testen
- Banner, Datenschutzerklärung und tatsächliche Verbindungen abgleichen
Wie finden Sie Cookies, Tracker und Drittanbieter auf der Website?
Starten Sie den Test in einem privaten Browserfenster mit geleertem Website-Speicher. Öffnen Sie nicht nur die Startseite, sondern auch Kontaktseite, Buchung, Shop, Blog, Videos, Karten und eingebettete Formulare. Viele Drittanbieter werden erst auf bestimmten Unterseiten oder nach einer Interaktion geladen.
In den Entwicklerwerkzeugen des Browsers zeigen die Bereiche „Network“ und „Application“ beziehungsweise „Storage“, welche Domains kontaktiert und welche Cookies oder Speicherwerte gesetzt werden. Filtern Sie im Netzwerkprotokoll nach fremden Domains und notieren Sie Anbieter, Zeitpunkt und ausgelöste Seite. Ein automatischer Scanner kann helfen, ersetzt aber keinen manuellen Test verschiedener Seitentypen und Entscheidungen.
Vergleichen Sie das Ergebnis anschließend mit dem Tag Manager, den Website-Plugins, dem Hosting, eingebetteten Medien und der Liste in Ihrer Consent-Management-Plattform. Das BayLDA nennt in seinem Praxis-Check für Kleinstunternehmen ausdrücklich Cookies, Zählpixel und andere Methoden zur Reichweitenmessung und verlangt vollständige Informationen unter anderem zu Zwecken, Empfängern und möglichen Drittlandtransfers. Quelle: BayLDA, „Praxis-Check Handel – Soloselbstständige und Kleinstunternehmen“, abgerufen am 08.11.2026.
Consent Management testen: Was darf vor der Auswahl laden?
Der wichtigste Prüfschritt erfolgt vor jedem Klick. Rufen Sie die Website frisch auf und beobachten Sie Netzwerk, Cookies und Speicher. Erforderliche Funktionen dürfen arbeiten; Analyse, Werbung und andere nicht erforderliche Dienste sollten jedoch nicht bereits Daten senden, nur weil der Banner sichtbar ist. Achten Sie auch auf scheinbar harmlose Einbettungen: Ein Video-Vorschaubild, eine Karte oder ein Chat kann schon beim Laden eine Verbindung zu einem Drittanbieter herstellen.
Testen Sie danach mindestens vier Zustände getrennt: keine Auswahl, „Ablehnen“, gezielte Auswahl einzelner Kategorien und „Alle akzeptieren“. Nach jeder Variante beginnen Sie mit einem frischen privaten Fenster. So vermeiden Sie, dass eine frühere Einwilligung das Ergebnis verfälscht. Prüfen Sie außerdem, ob nach einem Widerruf neue Seitenaufrufe ohne die abgewählte Kategorie funktionieren.
Das BayLDA untersuchte 2024 mehr als 350 Websites mit einem automatisierten Banner-Test. Schwerpunkt war, ob neben „Alle akzeptieren“ eine gleichwertige Möglichkeit zum Ablehnen auf der ersten Ebene vorhanden ist. Die Behörde begründet dies damit, dass Zustimmung und Ablehnung gleich einfach möglich sein sollen. Quelle: BayLDA-Pressemitteilung „Apps und Cookie-Banner auf dem Prüfstand“, 09.02.2024, abgerufen am 08.11.2026.
- Frischer Aufruf ohne Auswahl: nur notwendige Technik
- Ablehnen: keine Analyse- oder Marketing-Tags starten
- Auswahl: nur aktiv gewählte Kategorien laden
- Akzeptieren: freigegebene Dienste funktionieren
- Widerruf: zukünftige Zugriffe werden erneut blockiert
Welche Fehler sind bei einer Consent-Management-Plattform typisch?
Häufig stimmt die Oberfläche, aber nicht die Technik. Ein Plugin-Update, ein neuer Marketing-Pixel oder ein direkt im Theme eingebautes Skript kann die Blockierung umgehen. Ebenfalls typisch sind falsch zugeordnete Dienste: Ein Statistik-Tool steht als „notwendig“ im Banner, obwohl seine konkrete Konfiguration für den ausdrücklich gewünschten Website-Dienst nicht unbedingt erforderlich ist.
Weitere Warnzeichen sind voraktivierte Schalter, ein auffälliger Akzeptieren-Button neben einem versteckten Ablehnen-Link, unklare Sammelzwecke oder eine Anbieter-Liste, die nicht zu den Netzwerkverbindungen passt. Das BayLDA weist darauf hin, dass bei ausschließlich technisch notwendigen Cookies kein Banner erforderlich ist. Ein Banner sollte also eine echte Wahl steuern und nicht nur pauschal Sicherheit suggerieren. Quelle: BayLDA FAQ, abgerufen am 08.11.2026.
Prüfen Sie auch externe Inhalte nach der Ablehnung. Eine saubere Zwei-Klick-Lösung lädt zunächst nur einen lokalen Platzhalter und stellt die Verbindung zu Video-, Karten- oder Social-Media-Anbietern erst nach einer bewussten Freigabe her. Bei Unsicherheit über Erforderlichkeit, gemeinsame Verantwortlichkeit oder Drittlandtransfer gehört die rechtliche Bewertung zu einer qualifizierten Datenschutzberatung.
Wie müssen Banner, Datenschutzerklärung und Technik zusammenpassen?
Erstellen Sie eine einfache Prüfliste mit Dienst, Anbieter, Zweck, Kategorie, ausgelösten Datenzugriffen, Rechtsgrundlage, Speicherdauer und Empfängern. Diese Liste ist die Verbindung zwischen Technik, Banner und Datenschutzerklärung. Wenn ein Dienst technisch entfernt wurde, sollte er auch aus den Texten verschwinden; wenn ein neuer Dienst hinzukommt, muss er vor dem Livegang bewertet und korrekt gesteuert werden.
Die Datenschutzerklärung sollte die tatsächlichen Verarbeitungen beschreiben. Der BayLDA-Praxis-Check nennt unter anderem Zwecke, Rechtsgrundlagen, Datenarten, Empfänger, Drittlandübermittlungen und Betroffenenrechte. Der Banner braucht zugleich klare Informationen über den Zugriff auf das Endgerät, Zwecke, Empfängerkategorien und das Widerrufsrecht. Quelle: BayLDA, „Praxis-Check Handel – Soloselbstständige und Kleinstunternehmen“, abgerufen am 08.11.2026.
Speichern Sie für jede Prüfung Datum, getestete URLs, Browserzustände, Screenshots und eine Liste auffälliger Verbindungen. Diese Dokumentation ersetzt keine Rechtsberatung, zeigt aber, dass das Unternehmen nicht nur einen Banner gekauft, sondern seine konkrete Implementierung kontrolliert hat.
Wie oft sollten KMU Tracking und Consent erneut prüfen?
Es gibt keine allgemeine gesetzliche Prüffrist von beispielsweise drei oder sechs Monaten. Unsere organisatorische Empfehlung ist: nach jedem Website-, Plugin-, Tag-Manager- oder Kampagnen-Update sofort testen und zusätzlich einen festen wiederkehrenden Termin festlegen. Für eine häufig geänderte Marketing-Website kann monatlich sinnvoll sein; für eine stabile kleine Firmenwebsite eher quartalsweise. Das sind praktische Intervalle, keine gesetzlichen Vorgaben.
Legen Sie eine verantwortliche Person fest und behandeln Sie neue Tools wie eine kleine Freigabe: Zweck klären, Anbieter prüfen, technisch blockieren, Texte aktualisieren, vier Zustände testen und Ergebnis dokumentieren. Ein betreutes Website-Abo kann Updates, technische Kontrolle und wiederkehrende Checks bündeln. Die Entscheidung über Rechtsgrundlagen und eine notwendige juristische Prüfung bleibt beim verantwortlichen Unternehmen.
Priorisieren Sie Fehler nach Wirkung. Tracking vor der Einwilligung, fehlendes Ablehnen oder ein wirkungsloser Widerruf sind dringender als eine ungeschickte Formulierung. Danach folgen unvollständige Anbieterlisten und veraltete Datenschutzhinweise. So wird Consent Management zu einem kontrollierbaren Prozess statt zu einem einmal installierten Banner.
Häufige Fragen zum Consent Management
Reicht ein Cookie-Banner für Consent Management aus?
Nein. Der Banner muss die tatsächlichen Dienste technisch steuern. Nicht erforderliche Tracker dürfen nicht schon vor der Entscheidung laden.
Wie kann ich versteckte Tracker finden?
Testen Sie mehrere Seitentypen in einem privaten Browserfenster und kontrollieren Sie in den Entwicklerwerkzeugen Netzwerkverbindungen, Cookies und weitere Website-Speicher.
Muss ein Ablehnen-Button auf der ersten Ebene stehen?
Aufsichtsbehörden verlangen eine gleichwertige, leicht erreichbare Ablehnung. Das BayLDA prüfte 2024 ausdrücklich die Ablehnmöglichkeit auf der ersten Banner-Ebene.
Braucht jede Website ein Cookie-Banner?
Nein. Wenn ausschließlich technisch notwendige Zugriffe eingesetzt werden, kann ein Banner entbehrlich sein. Die tatsächliche Technik und Informationspflichten müssen trotzdem geprüft werden.
Wie oft sollte das Consent Management geprüft werden?
Nach jeder relevanten technischen oder inhaltlichen Änderung und zusätzlich in einem festen, zum Änderungsrisiko passenden Turnus. Eine allgemeine gesetzliche Monatsfrist gibt es nicht.