Deine Website setzt Cookies. Deine Besucher haben aber nie zugestimmt.
Google Analytics eingebunden. Meta Pixel aktiviert. Cookie-Banner installiert. Alles erledigt?
Leider nicht unbedingt. Viele Websites zeigen einen Cookie-Banner an. Das vermittelt den Eindruck, dass beim Datenschutz alles richtig eingerichtet ist. Doch was passiert eigentlich im Hintergrund, während der Besucher noch überlegt, ob er auf „Akzeptieren“ oder „Ablehnen“ klicken soll?
Manchmal werden bereits Cookies gesetzt oder Daten an externe Dienste übertragen. Und genau hier beginnt das Problem.
Ein Cookie-Banner allein reicht nicht.
Vielleicht kennst du das: Du installierst ein Cookie-Plugin, konfigurierst die wichtigsten Einstellungen und der Banner erscheint wie gewünscht. Damit sollte das Thema eigentlich erledigt sein.
Ist es aber nicht automatisch.
Denn ein Cookie-Banner ist zunächst nur die sichtbare Oberfläche einer Einwilligungsverwaltung. Entscheidend ist, was technisch dahinter passiert. Werden Google Analytics oder der Meta Pixel bereits geladen, obwohl noch keine Zustimmung vorliegt? Werden Tracking-Cookies gesetzt, obwohl jemand auf „Ablehnen“ geklickt hat? Oder werden einzelne Dienste gar nicht von der Einwilligungsverwaltung erfasst? Das alles kann vorkommen, obwohl der Cookie-Banner auf den ersten Blick völlig korrekt aussieht.
Google Analytics, Meta Pixel und Co. – was ist erlaubt?
Dienste wie Google Analytics, Google Ads oder der Meta Pixel können für Unternehmen durchaus sinnvoll sein. Sie helfen dabei, Websitebesuche auszuwerten, Kampagnen zu messen und Marketingmaßnahmen besser zu verstehen. Allerdings müssen bei der Einbindung die geltenden Datenschutzvorschriften berücksichtigt werden.
In Österreich ist dabei insbesondere § 165 Abs. 3 TKG 2021 relevant. Für die Verarbeitung personenbezogener Daten gelten zusätzlich die Bestimmungen der DSGVO.
Vereinfacht gesagt:
Technisch nicht notwendige Cookies und vergleichbare Zugriffe auf Endgeräte benötigen grundsätzlich eine vorherige Einwilligung.
Das betrifft typischerweise Analyse- und Marketing-Tracking.
Technisch unbedingt notwendige Cookies können dagegen unter die gesetzlichen Ausnahmen fallen.
Wichtig ist außerdem: Nicht jede Datenübertragung benötigt ein klassisches Cookie. Auch Tracking-Pixel und andere Technologien müssen bei der datenschutzrechtlichen Prüfung berücksichtigt werden.
Der Google Tag Manager löst das Problem nicht automatisch.
Viele Websites verwenden den Google Tag Manager, um unterschiedliche Tracking-Dienste zentral zu verwalten. Das ist praktisch. Allerdings ist der Tag Manager zunächst nur ein technisches Werkzeug. Er sorgt nicht automatisch dafür, dass alle eingebundenen Dienste datenschutzkonform arbeiten.
Wenn beispielsweise ein Meta Pixel oder ein Google-Analytics-Tag ohne passende Einwilligungssteuerung ausgelöst wird, können Daten übertragen werden, bevor der Besucher zugestimmt hat. Auch der Google Consent Mode muss richtig konfiguriert werden. Je nach verwendeter Variante können selbst bei verweigerter Einwilligung bestimmte Signale an Google übertragen werden.
Deshalb reicht es nicht, einfach nur den Consent Mode zu aktivieren.
Es muss überprüft werden, welche Tags tatsächlich ausgelöst und welche Informationen übertragen werden.
Warum solche Fehler oft unbemerkt bleiben.
Eine Website wird erstellt. Google Analytics wird eingebunden. Einige Monate später kommt der Meta Pixel dazu. Vielleicht wird irgendwann der Google Tag Manager eingerichtet. Und anschließend installiert jemand ein Cookie-Plugin.
Jede einzelne Maßnahme erscheint sinnvoll. Aber arbeiten am Ende auch alle Komponenten richtig zusammen?
Genau das wird häufig nicht ausreichend kontrolliert. Dazu kommen Updates, neue Plugins und Änderungen an bestehenden Funktionen. So kann eine Website technisch ganz normal funktionieren und trotzdem eine fehlerhafte Einwilligungssteuerung haben.
Der Besucher bemerkt davon meistens nichts.
Und der Websitebetreiber oft ebenfalls nicht.
Warum du das Thema ernst nehmen solltest.
Fehlerhafte Tracking-Einbindungen können datenschutzrechtliche Konsequenzen haben. Je nach Sachverhalt kommen beispielsweise Beschwerden bei der Datenschutzbehörde, behördliche Maßnahmen oder zivilrechtliche Ansprüche in Betracht. Auch automatisierte technische Prüfungen können Auffälligkeiten auf Websites sichtbar machen. Das bedeutet allerdings nicht, dass jede festgestellte Unregelmäßigkeit automatisch einen Schadenersatzanspruch begründet.
Ob tatsächlich ein Rechtsverstoß vorliegt und welche Folgen daraus entstehen, muss im Einzelfall beurteilt werden. Trotzdem würde ich das Thema nicht auf die leichte Schulter nehmen.
Denn viele Fehler lassen sich durch eine saubere technische Einrichtung und regelmäßige Überprüfung vermeiden.
Wie kannst du deine Website überprüfen?
Ich würde nicht ausschließlich darauf vertrauen, was im Cookie-Plugin eingestellt ist. Viel wichtiger ist, was die Website tatsächlich macht.
1. Öffne deine Website ohne gespeicherte Einwilligung.
Verwende dafür ein frisches Browserprofil oder ein privates Fenster ohne vorherige Zustimmung.
2. Klicke zunächst auf nichts.
Prüfe, welche Cookies gespeichert und welche Verbindungen zu externen Diensten aufgebaut werden.
3. Lehne alle nicht notwendigen Cookies ab.
Kontrolliere anschließend, ob Analyse- und Marketingdienste tatsächlich deaktiviert bleiben.
4. Akzeptiere einzelne Kategorien.
Funktioniert die Trennung zwischen Statistik und Marketing korrekt?
5. Widerrufe deine Einwilligung.
Auch danach sollte die Website entsprechend reagieren und einwilligungspflichtiges Tracking für die Zukunft unterlassen. Für eine technische Prüfung eignen sich insbesondere die Entwicklertools des Browsers. Dort lassen sich unter anderem gespeicherte Cookies und Netzwerkverbindungen untersuchen. Allerdings muss man die Ergebnisse richtig interpretieren: Nicht jede Verbindung zu einem externen Server ist automatisch unzulässig.
Brauchst du überhaupt alle diese Tracking-Dienste?
Das ist für mich eine der wichtigsten Fragen.
Viele Unternehmen haben Google Analytics oder andere Marketingdienste eingebunden, ohne die gesammelten Daten regelmäßig auszuwerten.
Vielleicht wurden die Dienste vor Jahren eingerichtet und laufen seitdem einfach mit.
- Aber welchen konkreten Nutzen bringen sie?
- Werden daraus Entscheidungen abgeleitet?
- Werden Werbekampagnen damit optimiert?
- Oder sammelt man Daten, die sich letztlich niemand ansieht?
Wenn du einen Dienst nicht brauchst, musst du ihn möglicherweise auch gar nicht einbinden.
Das reduziert nicht nur mögliche Datenschutzrisiken, sondern oft auch den technischen Aufwand.
Einmal richtig eingerichtet. Für immer erledigt?
Leider nein. Websites verändern sich laufend. Plugins werden aktualisiert, neue Funktionen ergänzt und zusätzliche Dienste eingebunden.‘
Auch bestehende Tracking-Konfigurationen können sich dadurch verändern.
Deshalb sollte die Einwilligungssteuerung regelmäßig überprüft werden. Besonders nach größeren technischen Änderungen oder wenn neue Marketingdienste hinzukommen. Denn nur weil gestern alles funktioniert hat, muss das morgen nicht automatisch genauso sein.
Entscheidend ist, was im Hintergrund passiert.
Ein Cookie-Banner ist schnell installiert.
Aber eine korrekte Einwilligungssteuerung besteht aus mehr als einem sichtbaren Hinweis und zwei Schaltflächen. Die eingebundenen Dienste müssen richtig konfiguriert sein. Die Einwilligung muss technisch berücksichtigt werden. Und die tatsächliche Funktionsweise sollte überprüft werden.
Denn nicht entscheidend ist, ob deine Website einen Cookie-Banner anzeigt.
Sondern ob sie die Entscheidung deiner Besucher auch wirklich respektiert.
Ich schau mir das mal an.
Du bist dir nicht sicher, ob Google Analytics, Meta Pixel oder andere Tracking-Dienste auf deiner Website richtig eingebunden sind?
Dann schauen wir uns an, welche Dienste tatsächlich geladen werden, wie deine Einwilligungssteuerung funktioniert und wo technische Verbesserungen notwendig sind.
→ Tracking-Einbindung überprüfen lassen
Hinweis: Dieser Artikel dient der allgemeinen Information und technischen Orientierung. Er ersetzt keine individuelle Rechtsberatung.