Consent Mode richtig einsetzen

Ein Einwilligungsbanner ist der sichtbare Teil einer Signalkette, die vom Endgerät des Nutzers über Ihren Tag Manager und Ihren Server bis zu jedem einzelnen Zielsystem reicht. Fast alle Probleme in der Praxis entstehen nicht im Banner, sondern in dieser Kette.

Der rechtliche Rahmen in zwei Absätzen

Zwei Regelwerke greifen ineinander. § 25 des Telekommunikation-Telemedien-Datenschutz-Gesetzes regelt den Zugriff auf Informationen im Endgerät: Speichern und Auslesen sind nur mit Einwilligung zulässig, es sei denn, sie sind für einen ausdrücklich gewünschten Dienst unbedingt erforderlich. Das gilt für Cookies ebenso wie für Local Storage, IndexedDB oder das Auslesen von Gerätemerkmalen.

Die Datenschutz-Grundverordnung regelt anschließend, was mit den so erlangten personenbezogenen Daten geschehen darf. Beide Prüfungen sind getrennt vorzunehmen. Eine Einwilligung nach TTDSG macht die anschließende Verarbeitung nicht automatisch rechtmäßig, und ein berechtigtes Interesse nach Art. 6 DSGVO ersetzt nicht die Einwilligung für den Zugriff auf das Endgerät. Wer nur eines von beidem betrachtet, hat eine Lücke.

Wie ein Consent Mode technisch funktioniert

Der Grundgedanke ist einfach: Statt Skripte erst nach der Zustimmung zu laden, laden sie sofort, verhalten sich aber je nach Einwilligungszustand unterschiedlich. Der Zustand wird als Satz von Kategorien geführt — typischerweise für Analyse, Werbung, Personalisierung und Nutzerdaten — und jedes Tag prüft die für es zuständige Kategorie, bevor es etwas tut.

Damit das trägt, müssen vier Bedingungen erfüllt sein:

• Voreinstellung ablehnend. Vor jeder Nutzerentscheidung stehen alle nicht notwendigen Kategorien auf „abgelehnt". Diese Voreinstellung muss gesetzt sein, bevor irgendein Messskript ausgeführt wird — sonst gibt es ein Zeitfenster, in dem ohne Einwilligung gemessen wird.
• Aktualisierung statt Neuladen. Trifft der Nutzer seine Wahl, wird der Zustand aktualisiert und die zurückgehaltenen Ereignisse werden nachgeholt. Ein erzwungenes Neuladen der Seite ist unnötig und kostet Abschlüsse.
• Persistenz über Seitenaufrufe. Die Entscheidung überdauert die Sitzung, und zwar in einem Speicher, der selbst als unbedingt erforderlich eingestuft werden kann.
• Widerruf mit sofortiger Wirkung. Ein dauerhaft erreichbarer Link öffnet die Einstellungen erneut; ein Widerruf setzt den Zustand sofort zurück und stoppt weitere Übertragungen.

Der Server-Container ist kein Umgehungswerkzeug

Wird die Erhebung serverseitig ausgeführt, sendet die Seite ihre Ereignisse an einen Container unter Ihrer eigenen Subdomain, der dann entscheidet, welches Zielsystem welche Felder erhält. Das ist aus drei Gründen sinnvoll: weniger fremder Code im Browser, klare Kontrolle über die Weitergabe und eine zentrale Stelle, an der Einwilligung durchgesetzt werden kann.

Es ist ausdrücklich kein Weg, Einwilligung zu umgehen. Wenn das Ereignis selbst auf Informationen aus dem Endgerät beruht — einer gesetzten Kennung etwa —, bleibt es einwilligungspflichtig, gleich wohin es geschickt wird. Wir prüfen diesen Punkt bei jeder Abnahme ausdrücklich: Bei abgelehnter Einwilligung darf kein Ereignis den Container in Richtung eines Statistik- oder Werbesystems verlassen.

Die fünf häufigsten Fehler

Aus Prüfungen bestehender Einrichtungen kennen wir immer wieder dieselben Ursachen.

1. Ein Skript startet vor der Voreinstellung. Meist ein direkt im Quelltext eingebundenes Tag, das am Tag Manager vorbei geladen wird. Erkennbar an Netzwerkanfragen, die vor der ersten Nutzerinteraktion abgehen.
2. Der Widerruf löscht nichts. Die Einwilligung wird zurückgenommen, aber die gesetzten Kennungen bleiben im Speicher liegen und werden beim nächsten Besuch wiederverwendet.
3. Die Einbettung Dritter ignoriert den Zustand. Ein Videoeinbett oder eine Kartenansicht lädt unabhängig vom Banner und setzt eigene Kennungen. Wir ersetzen solche Einbettungen durch eine Vorschau, die erst auf Klick lädt.
4. Kategorien passen nicht zur Wirklichkeit. Das Banner nennt vier Kategorien, die Tags prüfen aber nur eine. Damit erhält der Nutzer eine Wahl, die technisch keine ist.
5. Kein Protokoll. Es lässt sich nicht nachweisen, wer wann welcher Version des Hinweistextes zugestimmt hat. Damit ist die Einwilligung im Streitfall wertlos.

Prüfen statt vertrauen

Wir testen jede Einrichtung in drei Durchläufen und halten die Ergebnisse schriftlich fest. Im ersten Durchlauf wird das Banner geschlossen, ohne zu wählen: Es darf keine Anfrage an ein Statistik- oder Werbeziel abgehen. Im zweiten wird abgelehnt und die gesamte Buchungsstrecke bis zur Bestätigung durchlaufen: Die Strecke muss vollständig funktionieren, Zahlungen eingeschlossen. Im dritten wird zugestimmt, dann mitten in der Strecke widerrufen: Ab diesem Moment darf nichts mehr übertragen werden, der laufende Vorgang muss aber abschließbar bleiben.

Die Prüfung läuft über die Netzwerkansicht des Browsers und zusätzlich gegen das Protokoll des Server-Containers, weil sich manche Übertragungen im Browser nicht mehr sehen lassen.

Einbettungen Dritter — der übersehene Fall

Die sauberste Tag-Konfiguration nützt wenig, wenn auf derselben Seite ein Video, eine Kartenansicht, ein Bewertungswidget oder eine Schriftart nachlädt und dabei eigene Kennungen setzt. Solche Einbettungen sind aus Sicht des § 25 TTDSG derselbe Vorgang wie ein Analyse-Cookie: ein Zugriff auf das Endgerät, der ohne Einwilligung nur zulässig ist, wenn er für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Ein eingebettetes Werbevideo ist das nicht.

Der praktikable Weg ist eine Zwei-Klick-Lösung: An der Stelle der Einbettung steht eine gestaltete Vorschau mit einer klaren Erklärung, welcher Anbieter geladen würde und was dabei übertragen wird. Erst der Klick lädt den Inhalt und speichert auf Wunsch die Entscheidung für diesen Anbieter. Das ist keine gestalterische Notlösung, sondern verbessert nebenbei die Ladezeit erheblich, weil schwere Fremdinhalte nicht mehr bei jedem Seitenaufruf mitgeladen werden.

Schriftarten und Karten

Für Schriften ist der einfachste Weg, sie selbst auszuliefern: Die Dateien liegen auf Ihrem eigenen Server, es entsteht keine Verbindung zu einem Dritten, und die Darstellung wird schneller. Für Karten empfiehlt sich statt einer eingebetteten interaktiven Karte ein statisches Bild oder eine schematische Darstellung mit Anfahrtsbeschreibung — für die meisten Kontaktseiten genügt das vollständig und erspart eine Einwilligungsabfrage an einer Stelle, an der sie nur stört.

Zusammengefasst

Consent Mode ist kein Produkt, das man einschaltet, sondern eine Kette, die man durchgängig prüft: ablehnende Voreinstellung vor dem ersten Skript, saubere Aktualisierung ohne Neuladen, ein Widerruf, der tatsächlich löscht, und ein Protokoll, das die Zustimmung nachweisbar macht.

Der lohnendste Nebeneffekt ist praktischer Natur: Eine Seite, die ohne Einwilligung vollständig funktioniert, ist meist auch die schnellere und stabilere Seite. Wer das Fundament sauber legt, gewinnt beides.