Consent Management Platform

Hinweis: Dieser Glossareintrag erklärt den technischen und organisatorischen Rahmen und ersetzt keine Rechtsberatung. Für die verbindliche Beurteilung deines Einzelfalls ist eine Anwältin oder ein Anwalt zuständig.

Lädt dein Banner, bevor es fragt?

Wir prüfen, welche Skripte deine Website vor der Einwilligung startet, ob der Ablehnen-Weg zulässig gestaltet ist und was das Banner an Ladezeit kostet.

Eine Consent Management Platform (CMP) ist eine Software, die auf einer Website Einwilligungen der Besucher einholt, dokumentiert und technisch durchsetzt. Sie zeigt das Einwilligungsbanner an, speichert die Entscheidung nachweisbar und sorgt dafür, dass einwilligungspflichtige Skripte erst nach der Zustimmung geladen werden. Rechtlicher Anknüpfungspunkt ist in Deutschland vor allem § 25 TDDDG in Verbindung mit der DSGVO.

Kurz zusammengefasst:

• Eine CMP ist mehr als ein Banner — sie muss Skripte tatsächlich blockieren.
• Ablehnen muss genauso einfach sein wie Zustimmen.
• Die Einwilligung muss nachweisbar und jederzeit widerrufbar sein.
• Ein Banner, das Impressum und Datenschutzerklärung verdeckt, ist falsch konfiguriert.
• Die CMP selbst kostet Ladezeit — sie gehört zu den häufigsten Bremsen im Frontend.

Was eine CMP leisten muss

Der verbreitetste Irrtum ist, das Banner sei die Lösung. Tatsächlich ist es nur die sichtbare Hälfte. Eine CMP, die ihren Zweck erfüllt, leistet vier Dinge:

1. Einholen — das Banner mit einer echten Wahl.
2. Durchsetzen — einwilligungspflichtige Skripte werden zurückgehalten, bis zugestimmt wurde. Das ist der technisch anspruchsvolle Teil.
3. Dokumentieren — wer wann worin eingewilligt hat, in welcher Bannerversion.
4. Widerrufen — ein dauerhaft erreichbarer Weg, die Entscheidung zu ändern.

Fehlt Punkt 2, ist die ganze Konstruktion wertlos: Ein Banner vor einem Analysewerkzeug, das ohnehin schon geladen hat, dokumentiert lediglich den Verstoß.

Was einwilligungspflichtig ist

Die Einwilligungspflicht knüpft nicht am Wort „Cookie“ an, sondern am Speichern von Informationen auf dem Endgerät oder dem Zugriff darauf. Das umfasst auch Local Storage, Session Storage und vergleichbare Techniken.

„Unbedingt erforderlich“ ist dabei enger zu verstehen, als es viele Banner suggerieren. Erforderlich ist, was der vom Nutzer angeforderte Dienst braucht — nicht, was der Betreiber gern hätte.

Gestaltung: woran Banner scheitern

Aufsichtsbehörden und Gerichte haben die Anforderungen inzwischen deutlich konkretisiert. Die wiederkehrenden Fehler:

• Kein gleichwertiger Ablehnen-Knopf. „Alle akzeptieren“ grün und groß, „Ablehnen“ als grauer Textlink zwei Ebenen tiefer — das ist keine freiwillige Entscheidung.
• Vorausgewählte Schalter. Eine Einwilligung braucht eine aktive Handlung. Voreingestelltes Zustimmen ist keine.
• Weiterscrollen als Zustimmung. Genügt nicht.
• Nur „Akzeptieren“ und „Einstellungen“. Wer ablehnen will, muss sich durch Untermenüs arbeiten — unzulässige Erschwerung.
• Kein Widerruf. Es braucht einen dauerhaft erreichbaren Weg zurück, üblicherweise ein Link im Footer.
• Banner blockiert die Rechtstexte. Impressum und Datenschutzerklärung müssen ohne Einwilligung erreichbar bleiben.

Eine brauchbare Faustregel: Wenn Ablehnen mehr Klicks kostet als Zustimmen, stimmt etwas nicht.

Der technische Preis

Eine CMP läuft im Frontend, oft sehr früh und häufig blockierend. Sie ist damit einer der häufigsten Gründe für schlechte Werte bei Core Web Vitals — sowohl bei der Reaktionszeit, weil sie beim Laden Rechenzeit belegt, als auch bei der Layoutstabilität, wenn das Banner ohne reservierte Fläche einfährt.

Was in der Praxis hilft:

• Die CMP lokal ausliefern, statt sie von einem fremden Server nachzuladen.
• Für das Banner Platz reservieren, damit nichts springt.
• Die Zahl der verwalteten Dienste klein halten — jeder eingebundene Dienst ist Arbeit für die CMP und ein Eintrag mehr in der Datenschutzerklärung.
• Prüfen, ob ein Dienst überhaupt gebraucht wird. Der schnellste und rechtssicherste Dienst ist der, den man nicht einbindet.

Abgrenzung zum Cookie-Banner

Die Begriffe werden synonym benutzt, meinen aber Unterschiedliches. Das Cookie-Banner ist die Oberfläche — das, was der Besucher sieht. Die Consent Management Platform ist das System dahinter: Sie kennt die Dienste, blockiert Skripte, führt das Protokoll und liefert den Nachweis. Ein selbstgebautes Banner ohne Blockierlogik ist ein Cookie-Banner, aber keine CMP.

Häufige Fragen

Brauche ich überhaupt eine CMP?

Wenn deine Website ausschließlich technisch notwendige Cookies setzt und keine externen Dienste einbindet, brauchst du kein Einwilligungsbanner — dann genügt die Information in der Datenschutzerklärung. Sobald Analyse, Marketing, externe Videos oder Karten dazukommen, ist eine Einwilligung nötig und damit ein System, das sie einholt und durchsetzt.

Reicht ein Banner, das nur informiert?

Nein. Ein reiner Hinweis „Diese Seite verwendet Cookies“ holt keine Einwilligung ein. Nötig ist eine aktive, informierte Entscheidung — mit einer echten Möglichkeit abzulehnen.

Muss der Ablehnen-Knopf auf der ersten Ebene stehen?

Er muss genauso leicht erreichbar sein wie das Zustimmen. In der Praxis heißt das: gleiche Ebene, vergleichbare Gestaltung, gleiche Klickzahl. Ein versteckter oder optisch abgewerteter Ablehnen-Weg gilt als unzulässige Beeinflussung.

Wie lange gilt eine Einwilligung?

Die DSGVO nennt keine feste Frist. Aufsichtsbehörden halten eine erneute Abfrage nach etwa einem Jahr für angemessen. Wichtig ist vor allem, dass der Widerruf jederzeit möglich und ebenso einfach ist wie die Erteilung.

Warum wird meine Website mit Cookie-Banner langsamer?

Weil die CMP früh geladen wird, Rechenzeit im Hauptthread belegt und häufig zusätzlich von einem externen Server kommt. Lokale Auslieferung, reservierte Fläche für das Banner und weniger verwaltete Dienste sind die wirksamsten Gegenmittel.

Genügt die CMP, um datenschutzkonform zu sein?

Nein. Sie regelt den Zugriff auf das Endgerät und dokumentiert Einwilligungen. Ob die anschließende Verarbeitung zulässig ist, richtet sich nach der DSGVO — dazu gehören Rechtsgrundlage, Auftragsverarbeitungsverträge, Drittlandübermittlungen und die Information in der Datenschutzerklärung.