Ein Cookie-Banner, das wirklich blockiert: Consent Mode v2 und Nachweis der Einwilligung

Fast jeder Shop hat ein Cookie-Banner. Deutlich weniger haben ein Banner, das funktioniert. Häufig öffnet man einen Shop im privaten Fenster, klickt nichts an und findet im Browser bereits die Cookies der Webanalyse, des Werbepixels und des Chats. Das Banner ist da, mit seinen Schaltflächen, aber es verhindert nichts: Es ist Dekoration.

Dieser Artikel ist kein allgemeiner Überblick über die DSGVO. Es geht um drei konkrete Dinge: wie Sie erkennen, ob Ihr Banner wirklich blockiert, welche Rolle Google Consent Mode v2 dabei spielt und welchen Nachweis Sie für jede Entscheidung des Besuchers aufbewahren müssen.

Was die Vorschriften verlangen, kurz gefasst

Artikel 22.2 der LSSI (das spanische Gesetz über Dienste der Informationsgesellschaft) besagt, dass nicht unbedingt erforderliche Cookies nur mit der informierten Einwilligung des Nutzers gesetzt werden dürfen. Die Einwilligung muss die Anforderungen der DSGVO erfüllen: freiwillig, für den bestimmten Fall, informiert und unmissverständlich. Und Artikel 7 Absatz 1 DSGVO fügt etwas hinzu, das oft vergessen wird: Der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat.

Der Cookie-Leitfaden der AEPD (der spanischen Datenschutzbehörde) konkretisiert, wie das in der Praxis aussieht. Zwei Punkte, gegen die am häufigsten verstoßen wird:

• Ablehnen muss so einfach sein wie Akzeptieren. Wenn „Akzeptieren“ eine große grüne Schaltfläche ist und „Ablehnen“ ein grauer Link, versteckt in einer zweiten Ebene, ist die Einwilligung nicht freiwillig.
• Vor der Entscheidung wird nichts gesetzt, was nicht erforderlich ist. Keine Analyse, keine Werbung, keine eingebetteten Videos, die eigene Cookies setzen.

Warum so viele Banner nichts blockieren

In PrestaShop platziert jedes Modul seine Skripte, wo es will: im <head>, am Seitenende oder später per JavaScript nachgeladen. Ein Banner, das nur das Fenster „malt“ und die Antwort in einem Cookie speichert, hat keine Möglichkeit, das aufzuhalten, was andere Module bereits eingefügt haben. Die typischen Fehler:

1. Das Banner lädt nach den Tags. Wenn der Besucher das Fenster sieht, haben Google Analytics oder das Pixel bereits ausgelöst.
2. Blockieren ganzer Module. Manche Cookie-Module deaktivieren komplette Module, bis eine Einwilligung vorliegt. Bei einem Pixel klappt das, aber wenn das blockierte Modul ein Zahlungsanbieter oder ein Finanzierungsdienst ist, bricht der Checkout für alle ab, die ablehnen.
3. Per JavaScript Hinzugefügtes entwischt. Ein Chat oder Widget, das seine Skripte und iframes im Browser erzeugt, nachdem die Seite geladen ist, durchläuft keinen serverseitigen Filter.
4. Iframes bleiben unangetastet. Ein YouTube-Video oder eine eingebettete Karte setzt Drittanbieter-Cookies, sobald sie geladen wird.
5. Die Cookie-Liste ist veraltet. Die Cookie-Richtlinie führt auf, was es am Tag ihrer Erstellung gab, und seitdem wurden drei neue Module installiert.

So prüfen Sie Ihres in fünf Minuten

1. Öffnen Sie den Shop in einem privaten Fenster, ohne sich anzumelden.
2. Öffnen Sie die Entwicklertools des Browsers, den Speicher-Tab (Cookies und localStorage) und den Netzwerk-Tab.
3. Berühren Sie das Banner nicht. Rufen Sie Startseite, eine Kategorie und eine Produktseite auf.
4. Sehen Sie nach, welche Cookies vorhanden sind und welche Domains aufgerufen wurden. Alles, was nicht technisch notwendig ist (Sitzung, Warenkorb, Sprache, das Einwilligungs-Cookie selbst), sollte fehlen.
5. Klicken Sie auf „Alle ablehnen“, löschen Sie die Cookies, laden Sie neu und wiederholen Sie den Test. Es muss genauso sauber bleiben.
6. Machen Sie nach dem Ablehnen einen Testkauf: Die Zahlung muss funktionieren.

Sehen Sie in Schritt 4 Analyse- oder Werbe-Cookies, erfüllt Ihr Banner die Vorgaben nicht, so schön es auch sein mag.

Google Consent Mode v2: was er ist und was nicht

Consent Mode ist der Weg, über den die Google-Tags (gtag, Google Tag Manager, Google Ads, GA4) die Entscheidung des Besuchers empfangen. Er ist kein Banner und ersetzt die Einwilligung nicht: Er ist der Kanal, über den Ihr Banner Google mitteilt, was erlaubt ist.

Version 2 verwendet vier Hauptsignale:

Google verlangt diese Signale, um Werbe- und Zielgruppenfunktionen bei Besuchern aus dem Europäischen Wirtschaftsraum weiter nutzen zu können. Kommen sie nicht an, leiden die Conversion-Messung und die Remarketing-Listen.

Einfach oder erweitert

• Einfacher Modus: Die Google-Tags werden erst geladen, wenn der Besucher zustimmt. Das ist die vorsichtigste Variante.
• Erweiterter Modus: Die Tags laden von Anfang an mit allem verweigert, senden cookielose Pings und werden aktualisiert, wenn der Besucher entscheidet. Google kann so Conversions modellieren, aber Sie sollten das mit Ihrer Datenschutzberatung abwägen.

Das technische Detail, das am häufigsten schiefgeht: Der Standardwert der Einwilligung muss vor jedem Google-Tag deklariert werden, als Erstes im <head>. Lädt GTM vorher, starten seine Tags, ohne etwas von der Einwilligung zu wissen.

Der Nachweis der Einwilligung

Wenn man Sie eines Tages auffordert nachzuweisen, dass ein Besucher der Werbung zugestimmt hat, ist „wir haben ein Banner“ keine Antwort. Sinnvoll ist es, zu jeder Entscheidung zu speichern:

• Eine Kennung der Einwilligung, dieselbe, die im Cookie des Besuchers steht.
• Datum und Uhrzeit.
• Welche Kategorien akzeptiert und welche abgelehnt wurden, und die an Consent Mode gesendeten Signale.
• Die Version der gültigen Richtlinie und was angezeigt wurde: Texte, Kategorien, Anbieter.
• Die gekürzte oder gehashte IP, nicht die vollständige, um nicht mehr Daten als nötig zu speichern.

Und eine Pflegeregel: Wenn Sie die Kategorien ändern oder ein neuer Anbieter hinzukommt, fragen Sie erneut. Was der Besucher vor sechs Monaten akzeptiert hat, deckt kein Pixel ab, das Sie gestern installiert haben.

Auch das gehört zu einem aktuellen Shop

Viele Cookie-Module von Shops, die jahrelang auf 1.6 oder 1.7 liefen, sind bei der ersten Version von Consent Mode stehen geblieben oder haben gar keine. Wenn Sie PrestaShop aktualisieren oder auf eine neue Version migrieren, prüfen Sie das Banner mit demselben Test im privaten Fenster: Es gehört zu den Dingen, die als Erstes unbemerkt ausfallen, weil nach einer Migration niemand auf die Cookies schaut.

Checkliste

• „Alle ablehnen“ gleichrangig mit „Alle akzeptieren“, auf der ersten Ebene.
• Privates Fenster ohne Entscheidung: nur technische Cookies.
• Testkauf nach dem Ablehnen: Die Zahlung funktioniert.
• Consent Mode v2 vor GTM oder gtag deklariert, mit allen vier Signalen.
• Eingebettete Videos und Karten bis zur Zustimmung zurückgehalten.
• Protokoll jeder Entscheidung, exportierbar.
• Cookie-Richtlinie mit der tatsächlichen Liste und neuer Version bei Änderungen.
• Ein dauerhaft sichtbarer Link oder Button, damit der Besucher seine Meinung ändern kann.

So lösen Sie es in PrestaShop

RKR Cookies zeigt „Alle ablehnen“ und „Alle akzeptieren“ als gleiche Schaltfläche, ohne dass sie sich im Backoffice unterschiedlich gestalten lassen, und deklariert Consent Mode v2 als Erstes im <head>, im einfachen oder erweiterten Modus. Die Blockierung ist echt: Das Modul schreibt das HTML um, damit Skripte nicht akzeptierter Kategorien wirkungslos bleiben, ersetzt iframes durch einen Hinweis mit „Diesen Inhalt laden“ und stoppt im Browser, was per JavaScript hinzugefügt wird, ohne jemals Zahlungsmodule zu blockieren. Es speichert jede Entscheidung mit ihrem Schnappschuss und exportiert sie als CSV, führt eine Cookie-Liste, die sich selbst füllt, und eine Tabelle für Ihre Richtlinie. Es importiert die Konfiguration von hicookielaw, Cookies Plus und EU Cookie Law und hat einen Testmodus, damit Sie es vor Ihren Kunden sehen.

Dieser Artikel dient der Information und ersetzt keine Rechtsberatung. Für einen konkreten Fall wenden Sie sich an Ihre Datenschutzberatung.