Dieser Leitfaden ist der Einstieg in unsere Reihe zu Einwilligung und Datenschutzrecht: Jeder Abschnitt fasst ein Thema zusammen und verweist auf den ausführlichen Beitrag.
Was ist eine DSGVO-Einwilligung und wann brauchen Sie sie?
Art. 6 Abs. 1 der DSGVO nennt sechs Rechtsgrundlagen: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Die Einwilligung ist nicht die „beste“ Grundlage. Der EDSA erinnert daran, dass sie nur passt, wenn die betroffene Person wirklich die Wahl hat. Brauchen Sie die Daten, um eine Bestellung auszuliefern, ist der Vertrag die Grundlage; verpflichtet Sie ein Gesetz zur Aufbewahrung von Rechnungen, ist es die rechtliche Verpflichtung. Dort um Einwilligung zu bitten, wäre irreführend, weil die Person gar nicht ablehnen kann.
Cookies sind die große Ausnahme, bei der Sie nicht wählen können. Art. 5 Abs. 3 der ePrivacy-Richtlinie, in Deutschland umgesetzt durch § 25 TDDDG, verlangt eine Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder ausgelesen werden, es sei denn, dies ist für einen ausdrücklich gewünschten Dienst oder für die Übertragung einer Nachricht unbedingt erforderlich. Ein berechtigtes Interesse kann die Einwilligung bei einem Werbe-Cookie, einem nicht ausgenommenen Analyse-Tool oder einem Social-Media-Pixel nicht ersetzen. Wo das berechtigte Interesse trotzdem passt und warum manche Banner einen Schalter „berechtigtes Interesse“ zeigen, erklärt unser Artikel berechtigtes Interesse oder Einwilligung. In seinen Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 hat der EDSA bestätigt, dass die Regel auch Tracking-Pixel, Local Storage und ähnliche Techniken erfasst, nicht nur Cookies.
Ausdrückliche Einwilligung und besondere Datenkategorien
Die DSGVO verlangt in drei Fällen einen strengeren Maßstab, die „ausdrückliche Einwilligung“: bei besonderen Kategorien personenbezogener Daten wie Gesundheit, Religion oder sexueller Orientierung (Art. 9 Abs. 2 lit. a), bei automatisierten Entscheidungen mit rechtlicher oder ähnlich erheblicher Wirkung (Art. 22 Abs. 2 lit. c) und bei bestimmten Übermittlungen außerhalb des EWR (Art. 49 Abs. 1 lit. a). Ausdrücklich bedeutet eine klare Erklärung: ein geschriebener Satz, ein unterschriebenes Formular oder ein eigenes Kästchen, das für genau diesen Zweck angekreuzt wird. Eine Website, die aus dem Surfverhalten Gesundheitsinteressen für Werbung ableitet, bewegt sich in diesem Bereich. Wie sich die ausdrückliche von der normalen und der konkludenten Einwilligung unterscheidet, erklärt unser Artikel zu den Arten der Einwilligung.
Einwilligung von Kindern
Richtet sich ein Online-Dienst direkt an ein Kind und stützt er sich auf eine Einwilligung, legt Art. 8 das Alter der digitalen Einwilligung auf 16 Jahre fest. Jeder Mitgliedstaat darf es senken, aber nicht unter 13 Jahre. Darunter muss ein Elternteil zustimmen oder die Einwilligung genehmigen, und der Verantwortliche muss sich in angemessener Weise vergewissern. Die Altersgrenzen unterscheiden sich: Frankreich hat 15 Jahre gewählt (Art. 45 Loi Informatique et Libertés), Spanien 14 Jahre (Art. 7 LOPDGDD), Deutschland ist bei 16 Jahren geblieben.
Cookie-Banner oder Formular: derselbe Maßstab
Die sieben Voraussetzungen unten gelten unabhängig davon, ob Sie die Einwilligung über ein Cookie-Banner, eine Newsletter-Anmeldung oder ein Kontaktformular einholen. Typische Fehler bei Formularen sind ein einziges Kästchen, das AGB und Werbung bündelt, ein vorangekreuztes Newsletter-Kästchen und keine einfache Abmeldemöglichkeit. Dieser Leitfaden nutzt vor allem Cookie-Banner als Beispiel, weil dort die meisten Sanktionen anfallen, die Prüfung ist aber dieselbe.
Rechtliche Grundlagen der 7 Voraussetzungen
Art. 4 Nr. 11 DSGVO definiert die Einwilligung als freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutig bestätigenden Handlung. Art. 7 DSGVO ergänzt die praktischen Bedingungen: Der Verantwortliche muss die Einwilligung nachweisen können (Abs. 1), ein schriftliches Ersuchen muss von anderen Sachverhalten klar zu unterscheiden und in klarer, einfacher Sprache formuliert sein (Abs. 2), die betroffene Person kann jederzeit widerrufen, und zwar so einfach, wie sie eingewilligt hat (Abs. 3), und bei der Beurteilung der Freiwilligkeit ist zu prüfen, ob eine Leistung von einer nicht erforderlichen Einwilligung abhängig gemacht wird (Abs. 4).
Die Erwägungsgründe konkretisieren das. Nach Erwägungsgrund 32 sind Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit keine Einwilligung. Erwägungsgrund 42 verlangt, dass die Person mindestens den Verantwortlichen und die Zwecke kennt, und verneint die Freiwilligkeit, wenn sie nicht ohne Nachteile ablehnen oder widerrufen kann. Erwägungsgrund 43 fordert, dass für unterschiedliche Verarbeitungsvorgänge gesonderte Einwilligungen möglich sind.
Für Cookies ergibt sich die Einwilligungspflicht in Deutschland aus § 25 TDDDG (vormals TTDSG), der Art. 5 Abs. 3 der ePrivacy-Richtlinie umsetzt. Die Anforderungen an die Einwilligung selbst richten sich jedoch nach der DSGVO. Der EuGH hat das im Verfahren Planet49 (C-673/17, Urteil vom 1. Oktober 2019) klargestellt: Ein voreingestelltes Ankreuzkästchen ist keine wirksame Einwilligung, die Regel gilt unabhängig davon, ob personenbezogene Daten betroffen sind, und Nutzer müssen über die Funktionsdauer der Cookies und den Zugriff Dritter informiert werden. Der BGH hat das im Anschlussurteil „Cookie-Einwilligung II“ vom 28. Mai 2020 (I ZR 7/16) für das deutsche Recht übernommen. Maßgeblich für die Praxis sind die Leitlinien 05/2020 des EDSA und die Orientierungshilfe Digitale Dienste der DSK (Version 1.2, Stand November 2024).
Unbedingt erforderliche Cookies (Session, Sicherheit, Warenkorb, Speicherung der Einwilligungsentscheidung selbst) sind von der Einwilligungspflicht ausgenommen. Alles andere, etwa Werbung, Social-Media-Plugins, A/B-Tests und in aller Regel auch Webanalyse, braucht eine Einwilligung, die alle sieben Voraussetzungen erfüllt. Welche Kategorie für welches Cookie gilt, erklärt unser Leitfaden zu den DSGVO-Cookie-Kategorien.
Die 7 Voraussetzungen im Überblick
- Freiwillig: echte Wahl, eine Ablehnung hat keine Nachteile.
- Bestimmt: eine Entscheidung pro Zweck, keine Pauschaleinwilligung.
- Informiert: die Person weiß, wer was zu welchem Zweck wie lange verarbeitet und wie sie widerrufen kann.
- Eindeutig: eine aktive, bestätigende Handlung, niemals Schweigen, Scrollen oder ein vorangekreuztes Kästchen.
- Vorherig: eingeholt, bevor ein Cookie gesetzt oder ausgelesen wird.
- Nachweisbar: Sie können belegen, wann, wie und wozu eingewilligt wurde.
- Widerrufbar: jederzeit, über dieselbe Oberfläche, genauso einfach wie die Erteilung.
Voraussetzungen 1 und 2: freiwillig und bestimmt
1. Freiwillig
Freiwillig ist eine Einwilligung nur, wenn Nutzer eine echte Wahl haben und eine Ablehnung keine Nachteile bringt. Der EDSA stellt klar, dass der Zugang zu einem Dienst nicht von der Annahme von Cookies abhängig gemacht werden darf: In seinem Beispiel 6a blendet eine Website ihre Inhalte aus, bis „Cookies akzeptieren“ geklickt wird, und die Einwilligung gilt als nicht freiwillig. Auch die Gestaltung zählt. Die DSK sieht einen messbaren Mehraufwand, wenn die Ablehnung erst auf einer zweiten Banner-Ebene möglich ist, und wertet es als treuwidrige Einflussnahme, wenn ohne sachlichen Grund keine gleich einfache Ablehnungsmöglichkeit auf erster Ebene angeboten wird. Typische Fallen beschreibt unser Beitrag zu Cookie Dark Patterns.
- Zulässig: „Alle akzeptieren“ und „Alle ablehnen“ nebeneinander auf der ersten Ebene, gleiche Größe, gleiche Schrift, gleiche Hervorhebung.
- Unzulässig: ein großer grüner „Akzeptieren“-Button und ein grauer Link „Einstellungen“, über den die Ablehnung erst nach drei Klicks gelingt.
- Unzulässig: ein Button „Einstellungen oder Ablehnen“, der nur auf eine weitere Ebene führt. Die DSK hält eine solche Beschriftung ausdrücklich für nicht ausreichend.
2. Bestimmt
Die Einwilligung bezieht sich auf einen oder mehrere festgelegte Zwecke, und Nutzer müssen einzelne Zwecke annehmen und andere ablehnen können. Art. 7 Abs. 2 DSGVO verbietet außerdem, die Abfrage in Nutzungsbedingungen zu verstecken. Ein „Alle akzeptieren“-Button ist erlaubt, wenn eine zweite Ebene die Auswahl Zweck für Zweck ermöglicht.
- Zulässig: ein Einstellungsbereich mit getrennten Schaltern für „Reichweitenmessung“, „Personalisierte Werbung“ und „Externe Medien“, alle standardmäßig deaktiviert.
- Unzulässig: ein einziges Kästchen „Ich akzeptiere die AGB und Cookies“.
- Unzulässig: eine Sammelkategorie „Marketing“, die stillschweigend Analyse, Retargeting und Session-Recording umfasst.
Voraussetzungen 3 und 4: informiert und eindeutig
3. Informiert
Der EDSA nennt als Mindestinhalt: die Identität des Verantwortlichen, den Zweck jedes Verarbeitungsvorgangs, die Art der erhobenen Daten, das Widerrufsrecht sowie gegebenenfalls automatisierte Entscheidungen und Risiken von Drittlandübermittlungen. Planet49 ergänzt die Funktionsdauer der Cookies und den Zugriff Dritter. Bewährt hat sich ein kurzer, verständlicher erster Layer und ein zweiter Layer oder eine Cookie-Richtlinie, die jedes Cookie mit Anbieter, Zweck und Speicherdauer auflistet.
Wie ein konformes Banner diese Informationen darstellt, zeigt unser Leitfaden für ein DSGVO-konformes Cookie-Banner.
- Zulässig: „Wir und unsere Partner (Google, Meta) möchten Cookies nutzen, um die Reichweite zu messen und Ihnen passende Werbung anzuzeigen. Sie können Ihre Auswahl jederzeit über ‚Cookie-Einstellungen‘ im Footer ändern.“ mit Link zur vollständigen Liste.
- Unzulässig: „Wir verwenden Cookies, um Ihr Erlebnis zu verbessern.“ ohne Zwecke, ohne Partner, ohne Hinweis auf den Widerruf.
- Unzulässig: der Hinweis auf „unsere Partner“, ohne zu sagen, wer diese sind.
4. Eindeutig
Art. 4 Nr. 11 DSGVO verlangt eine Erklärung oder eine eindeutig bestätigende Handlung. Die DSK stellt klar, dass Herunterscrollen, Weitersurfen oder das Anklicken von Inhalten keine wirksame Einwilligung sein können, auch wenn ein Banner über die Cookies informiert. Der EDSA sieht das in Beispiel 16 genauso. Wer das Banner nur über das „X“ schließt, hat ebenfalls nicht zugestimmt: Behandeln Sie das als „noch keine Entscheidung“ und lassen Sie nicht notwendige Skripte blockiert.
Unsere DSGVO-Cookie-Banner-Beispiele zeigen, wie eine eindeutig bestätigende Handlung auf einem echten Banner aussieht.
- Zulässig: Klick auf einen eindeutig beschrifteten Button „Alle akzeptieren“ oder Aktivieren eines bestimmten Zwecks mit anschließendem Speichern.
- Unzulässig: „Mit der weiteren Nutzung der Website stimmen Sie der Verwendung von Cookies zu.“
- Unzulässig: bereits aktivierte Schalter im Einstellungsbereich, also die digitale Variante des vorangekreuzten Kästchens aus Planet49.
Voraussetzungen 5, 6 und 7: vorherig, nachweisbar, widerrufbar
5. Vorherig
Die Einwilligung muss vor Beginn der Verarbeitung vorliegen, betont der EDSA. Genau hier scheitern viele Banner: Der Text ist einwandfrei, aber Google Analytics oder das Meta-Pixel feuern schon beim Seitenaufruf, weil das Tag fest im <head> steht oder im Tag Manager vor dem Consent-Tool ausgelöst wird. Eine saubere Umsetzung blockiert alle nicht notwendigen Skripte bis zum Klick. FlowConsent blockiert Skripte standardmäßig vorab und setzt die Signale von Google Consent Mode v2 auf „denied“, bis eine Entscheidung vorliegt. Details finden Sie in der Dokumentation zu Google Consent Mode. Prüfen Sie in wenigen Minuten mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website vor jedem Klick setzt.
6. Nachweisbar
Nach Art. 7 Abs. 1 DSGVO tragen Sie die Beweislast. Der EDSA empfiehlt, Informationen zur Sitzung, den damaligen Einwilligungsablauf und eine Kopie der angezeigten Informationen aufzubewahren; der bloße Verweis auf eine korrekte Website-Konfiguration genügt nicht. Die DSK ergänzt, dass auch überholte Banner-Texte und Konfigurationen gespeichert werden sollten, um später darauf zurückgreifen zu können, und dass dafür keine langlebigen UID-Cookies nötig sind. Ein brauchbares Protokoll enthält Zeitstempel, pseudonyme Kennung, Auswahl pro Zweck, Banner-Version und Version der Datenschutzhinweise. FlowConsent protokolliert jede Entscheidung mit pseudonymer Kennung und Banner-Version, und sein Nachweisbericht dokumentiert, was eine Ablehnung tatsächlich blockiert; was genau dazugehört, erläutert unser Beitrag zum Nachweis der Cookie-Einwilligung.
7. Widerrufbar
Art. 7 Abs. 3 DSGVO verlangt, dass der Widerruf so einfach ist wie die Einwilligung, und Nutzer müssen vorher darauf hingewiesen werden. Laut DSK reicht es nicht, nur einen Widerruf per E-Mail, Fax, Brief oder Kontaktformular anzubieten, und auch das Suchen in einer langen Datenschutzerklärung ist eine unzulässige Erschwerung. Üblich ist ein dauerhaft sichtbarer Link „Cookie-Einstellungen“ im Footer oder ein kleines Icon, das direkt zur Auswahl führt. Der Widerruf muss zudem wirken: Die Tags stoppen, und die bisherigen Cookies werden nicht mehr ausgelesen.
Eine feste Gültigkeitsdauer kennt die DSGVO nicht. Der EDSA empfiehlt, Einwilligungen in angemessenen Abständen zu erneuern. Legen Sie einen Zeitraum fest, dokumentieren Sie ihn und fragen Sie erneut, sobald sich Zwecke oder Partner ändern.
Diese Fristen vertieft unser Leitfaden zur Cookie-Speicherdauer und der 13-Monats-Regel.
Banner-Design, Dark Patterns und Sanktionen
Die meisten unwirksamen Einwilligungen entstehen nicht aus einem Missverständnis des Rechts, sondern aus Designentscheidungen. Die Aufsichtsbehörden prüfen den gesamten Ablauf: die erste Ebene, die Zahl der Klicks zum Ablehnen, die Formulierungen, die Farben und was nach dem Klick tatsächlich passiert.
- Dark Patterns: ein hervorgehobener Akzeptieren-Button, ein Ablehnen-Link in blassem Grau, Formulierungen, die ein schlechtes Gewissen machen, oder ein zweiter Bildschirm nur für das Nein. Unsere Analyse der Cookie-Dark-Patterns, die die CNIL verbietet, geht sie einzeln durch.
- Cookie Walls und „Pay or Consent“: Wer den Zugang sperrt, bis der Besucher zustimmt, stellt die Freiwilligkeit direkt in Frage. Lesen Sie, ob eine Cookie Wall zulässig ist und welche Alternativen es gibt.
- Gute Beispiele: Unsere Sammlung von DSGVO-Cookie-Banner-Beispielen zeigt Layouts, die alle sieben Voraussetzungen erfüllen.
- Consent Fatigue: Wer irgendwo klickt, nur damit das Banner verschwindet, ist nicht wirklich informiert. Warum Besucher Ihr Cookie-Banner ignorieren erklärt, wie Sie es kurz und ehrlich halten.
Ein konformes Banner erzielt meist eine niedrigere Zustimmungsrate als ein manipulatives. Das ist normal, und unser Leitfaden zum Messen und Verbessern der Cookie-Einwilligungsrate zeigt die Hebel, die rechtlich zulässig bleiben.
Es geht um konkrete Risiken. Nach Art. 83 Abs. 5 lit. a DSGVO können Verstöße gegen die Bedingungen für die Einwilligung mit Geldbußen von bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Bei Cookies ist die französische CNIL die aktivste Behörde in Europa und veröffentlicht ihre Entscheidungen. Unsere Übersicht der realen Cookie-Bußgelder der CNIL fasst die wichtigsten Fälle und die zugrunde liegenden Verstöße zusammen: Cookies vor der Einwilligung, eine Ablehnung, die schwerer ist als die Zustimmung, unvollständige Informationen.
Einwilligungssignale für Werbung: Consent Mode, TCF und DMA
Sobald der Besucher entschieden hat, muss die Entscheidung jedes Tool erreichen, das von ihr abhängt. Für die meisten Websites sind drei Rahmenwerke wichtig.
- Google Consent Mode v2 übermittelt die Auswahl über vier Parameter an Google-Tags (
ad_storage,analytics_storage,ad_user_data,ad_personalization). Google verlangt ihn von Werbetreibenden, die seine Werbedienste bei Nutzern im EWR einsetzen. Er ersetzt das Banner nicht, er transportiert nur dessen Ergebnis. Unser Leitfaden zur Implementierung von Google Consent Mode v2 erklärt die Einrichtung. - IAB TCF 2.2 ist das Branchen-Framework für Publisher, die programmatische Werbung verkaufen: Das Banner erzeugt einen Consent-String, den Werbepartner auslesen. Lesen Sie, was TCF 2.2 ist und wer es braucht.
- Digital Markets Act: Art. 5 Abs. 2 DMA verbietet Gatekeepern, personenbezogene Daten über ihre Dienste hinweg ohne Einwilligung im Sinne der DSGVO zusammenzuführen. Das ist ein Grund, warum Google und andere große Plattformen von Websites verlässliche Einwilligungssignale verlangen. Unser Beitrag zu DMA und Cookie-Einwilligung erläutert die Folgen.
Andere Werbeplattformen haben eigene Mechanismen, etwa das Amazon Consent Signal für Amazon Ads und den Microsoft UET Consent Mode. Die Regel ist immer dieselbe: Das Signal muss die echte Entscheidung des Besuchers widerspiegeln, und kein Tag darf feuern, bevor es vorliegt.
Einwilligung außerhalb der Europäischen Union
Die DSGVO gilt auch für Unternehmen außerhalb der EU, wenn sie Personen in der EU Waren oder Dienstleistungen anbieten oder deren Verhalten beobachten (Art. 3 Abs. 2). Ein US-Onlineshop, der an Kunden in Deutschland verkauft, muss also die sieben Voraussetzungen erfüllen. Andere Regionen gehen anders vor:
- Vereinigtes Königreich: UK GDPR und PECR behalten für Cookies denselben Einwilligungsmaßstab bei, wie das ICO erklärt.
- Kalifornien: Der CCPA in der durch den CPRA geänderten Fassung folgt vor allem einem Opt-out-Modell: Die meisten Cookies dürfen standardmäßig gesetzt werden, aber Personen müssen dem Verkauf oder der Weitergabe ihrer Daten widersprechen können. CCPA vs. DSGVO: die echten Unterschiede bei Cookies vergleicht beide Systeme Punkt für Punkt. Wie dieser Widerspruch praktisch funktioniert, vom Footer-Link bis zur Frist von 15 Werktagen, erklärt unser Leitfaden zum Do Not Sell Link nach CCPA.
- Brasilien, Südafrika, Thailand, Indien: LGPD, POPIA, PDPA und DPDPA orientieren sich stark an der DSGVO, mit lokalen Unterschieden bei Rechtsgrundlagen und Formalitäten. Siehe unseren Leitfaden zu Cookies außerhalb Europas.
Für eine Website mit internationalem Publikum ist es oft am einfachsten zu vertreten, den DSGVO-Standard überall anzuwenden oder Besucher zu geolokalisieren und allen aus Opt-in-Rechtsordnungen das Opt-in-Banner zu zeigen. Beide Modelle vergleicht unser Artikel Opt-in vs. Opt-out, mit Beispielen für Cookies und E-Mail-Werbung.
Was sich 2026 ändert
Die Texte selbst sind seit Jahren stabil: Die DSGVO gilt seit Mai 2018, und die Einwilligungsregel für Cookies stammt aus der Überarbeitung der ePrivacy-Richtlinie von 2009. In Bewegung sind ihre Anwendung und das, was sie ersetzen könnte. Die 2017 vorgeschlagene ePrivacy-Verordnung wurde nie verabschiedet, die Richtlinie und ihre nationalen Umsetzungen bleiben also maßgeblich; unser Beitrag zur ePrivacy-Verordnung und Cookies verfolgt das Dossier. Die Digital-Omnibus-Vorschläge der Europäischen Kommission würden einen Teil der Cookie-Regeln in die DSGVO verlagern und Einwilligungssignale fördern, die einmal im Browser eingestellt werden. Sie werden aber noch verhandelt, und die heutigen Regeln gelten vollständig.
Unser Überblick zu DSGVO und Cookies 2026 zeigt, was sich geändert hat und was kommt, und den wechselnden Kurs von Chrome bei Drittanbieter-Cookies behandelt unsere Analyse der Google Privacy Sandbox. Keine dieser Entwicklungen macht eine wirksame Einwilligung heute überflüssig.
So prüfen Sie Ihr Cookie-Banner in 7 Schritten
- Öffnen Sie Ihre Website in einem privaten Fenster und prüfen Sie vor jedem Klick Cookies und Netzwerkanfragen in den Entwicklertools des Browsers. Es dürfen nur unbedingt erforderliche Cookies vorhanden sein.
- Prüfen Sie die erste Ebene: Ist Ablehnen genauso einfach und sichtbar wie Akzeptieren?
- Klicken Sie auf „Alle ablehnen“, rufen Sie drei Unterseiten auf und kontrollieren Sie, dass keine Analyse- oder Werbeanfragen gesendet werden.
- Öffnen Sie die Einstellungen: Jeder Zweck muss standardmäßig deaktiviert und verständlich beschrieben sein, mit Cookies, Anbietern und Speicherdauer.
- Akzeptieren Sie, finden Sie den Weg zurück zu den Einstellungen von jeder Seite aus, widerrufen Sie und prüfen Sie, dass die Tags stoppen.
- Exportieren Sie einen Einwilligungsnachweis und prüfen Sie Datum, Auswahl und Banner-Version.
- Wiederholen Sie den Test nach jedem neuen Tool, Plugin oder Kampagnen-Tag, am besten mit einem automatischen Cookie-Scan.
Die sieben Voraussetzungen bilden eine Kette: freiwillig, bestimmt, informiert, eindeutig, vorherig, nachweisbar und widerrufbar. Ein einziges schwaches Glied, etwa ein fehlender Ablehnen-Button oder ein Tag, das vor dem Klick feuert, macht die Einwilligung aller Besucher unwirksam. Egal welches Tool Sie einsetzen: Prüfen Sie das tatsächliche Verhalten Ihrer Website, nicht nur den Banner-Text. Was Ihre Seiten vor und nach der Einwilligung wirklich laden, zeigt Ihnen ein kostenloser Website-Scan.
Einwilligungsregeln Gesetz für Gesetz
Die oben genannten Anforderungen stammen aus der DSGVO und den ePrivacy-Regeln, doch jede Rechtsordnung ergänzt eigene Vorgaben zu Cookies, Opt-in oder Opt-out und Sanktionen. Unsere Gesetzesseiten erklären jedes Gesetz im Detail:
- DSGVO
- ePrivacy-Richtlinie
- CCPA/CPRA
- UK GDPR und PECR
- TDDDG: das frühere TTDSG, siehe was sich mit dem Wechsel vom TTDSG zum TDDDG geändert hat
- revDSG (Schweiz)
- LGPD (Brasilien)
- LOPDGDD (Spanien)
Einen Überblick bietet die Seite alle Cookie- und Datenschutzgesetze.
Wie FlowConsent die DSGVO-Einwilligung umsetzt
FlowConsent setzt die sieben Voraussetzungen standardmäßig um. Das Banner zeigt gleich große Buttons „Alle akzeptieren“ und „Alle ablehnen“ auf der ersten Ebene, die Kategorien sind granular und bleiben deaktiviert, bis der Besucher entscheidet, und nicht notwendige Skripte werden vor der Einwilligung blockiert. Die Signale von Google Consent Mode v2 starten mit „denied“. Jede Entscheidung wird mit pseudonymer Kennung und Banner-Version protokolliert, der Einwilligungsnachweis lässt sich exportieren, und über einen schwebenden Button können Besucher das Banner jederzeit wieder öffnen und ihre Wahl ändern. Um zu belegen, dass die Ablehnung wirklich respektiert wird, lädt die Konformitätsprüfung Ihre Seiten mit verweigerter Einwilligung, listet alles auf, was trotzdem feuert, und archiviert das Ergebnis als datierten Nachweis. FlowConsent wird in Europa gehostet, ist bis 25.000 Sitzungen pro Monat kostenlos und in etwa zehn Minuten installiert.