> Chrome behält Drittanbieter-Cookies, die Privacy Sandbox ist weitgehend eingestellt. Was das für § 25 TDDDG, DSGVO und Consent Mode v2 bedeutet. > > Canonical: https://www.flowconsent.com/de/blog/google-privacy-sandbox-einwilligung-drittanbieter-cookies [Marketing-Tools](https://www.flowconsent.com/de/blog?category=tools) # Google Privacy Sandbox: Auswirkungen auf Cookie-Consent und Drittanbieter-Cookies Von FlowConsent · Veröffentlicht am 21. Mai 2026 · Aktualisiert am 1. Oktober 2026 · 6 Min. Lesezeit Kurz gesagt Google hat den Plan aufgegeben, Drittanbieter-Cookies aus Chrome zu entfernen, und im Oktober 2025 die meisten Technologien der Privacy Sandbox eingestellt, darunter die Topics API und Protected Audience. Drittanbieter-Cookies funktionieren in Chrome also weiterhin standardmäßig, während Safari und Firefox sie einschränken. Rechtlich ändert sich nichts: Nach § 25 TDDDG und der DSGVO brauchen Sie weiterhin eine vorherige Einwilligung für alle nicht notwendigen Cookies und vergleichbaren Tracking-Technologien. Jahrelang galt das „Ende der Third-Party-Cookies“ als ausgemachte Sache. Viele Website-Betreiber haben Entscheidungen zu ihrem Consent-Setup vertagt, weil sie erwarteten, dass Chrome die Spielregeln grundlegend ändert. Inzwischen ist die Sache entschieden, nur anders als gedacht. Dieser Beitrag zeigt, was passiert ist, was von der Privacy Sandbox übrig bleibt und was Sie jetzt auf Ihrer Website prüfen sollten. ## Vom angekündigten Cookie-Aus zur Kehrtwende: die Chronologie Google startete die Privacy Sandbox 2019. Die Idee: Browser-Technologien sollten personalisierte Werbung ohne websiteübergreifendes Tracking ermöglichen, und danach sollte Chrome Drittanbieter-Cookies abschaffen, wie es Safari und Firefox auf ihre Weise bereits getan hatten. Der Termin wurde mehrfach verschoben. Die britische Wettbewerbsbehörde CMA überwachte das Projekt, nachdem sie im Februar 2022 verbindliche Zusagen von Google angenommen hatte. Die wichtigsten Etappen laut den offiziellen Ankündigungen von Google und der CMA: - **4. Januar 2024:** Chrome schränkt Drittanbieter-Cookies testweise für 1 % der Nutzer standardmäßig ein. - **22. Juli 2024:** Google verzichtet auf die vollständige Abschaffung und kündigt stattdessen eine neue Auswahlmöglichkeit in Chrome an, mit der Nutzer eine informierte Entscheidung treffen sollen. - **22. April 2025:** Auch diese eigenständige Abfrage wird gestrichen. Chrome behält den bisherigen Ansatz bei: Nutzer steuern Drittanbieter-Cookies in den Datenschutz- und Sicherheitseinstellungen. Im Inkognito-Modus bleiben sie standardmäßig blockiert. - **17. Oktober 2025:** Google [kündigt das Aus](https://privacysandbox.google.com/blog/update-on-plans-for-privacy-sandbox-technologies) für die meisten Privacy-Sandbox-Technologien an und begründet dies mit geringer Nutzung. Am selben Tag entlässt die CMA Google aus den Zusagen von 2022. Das Ergebnis ist der Status quo: Im normalen Chrome bleiben Drittanbieter-Cookies aktiv, solange der Nutzer sie nicht selbst abschaltet. ## Was 2026 von der Privacy Sandbox übrig ist Im Update vom Oktober 2025 nennt Google die Technologien, die in Chrome und Android auslaufen: Attribution Reporting, IP Protection, On-Device Personalization, Private Aggregation und Shared Storage, Protected Audience, Protected App Signals, Related Website Sets, SelectURL, SDK Runtime und Topics. Die Topics API ist seit Chrome 144 als veraltet markiert, die Entfernung ist für eine spätere Version vorgesehen. Nur drei Bausteine werden weiter unterstützt: - **CHIPS** (partitionierte Cookies): Ein eingebundener Drittdienst, etwa ein Chat-Widget, kann ein Cookie setzen, das an die einbettende Website gebunden ist und den Nutzer nicht über andere Websites verfolgen kann. - **FedCM**: eine Browser-API für Anmeldeabläufe wie „Anmelden mit ...“. - **Private State Tokens**: Vertrauenssignale zur Betrugsabwehr ohne websiteübergreifende Kennung. Falls Sie bereits mit Topics oder Protected Audience (früher FLEDGE) experimentiert haben, lohnt sich weiterer Aufwand nicht. Und wenn Ihnen ein Anbieter eine „Privacy-Sandbox-fähige“ Lösung als Grund verkauft, auf die Einwilligung zu verzichten, sollten Sie skeptisch werden. ## Warum sich die Rechtslage nicht geändert hat Oft hieß es, mit dem Ende der Drittanbieter-Cookies würden Cookie-Banner überflüssig. Das war von Anfang an ein Missverständnis. Das europäische und das deutsche Recht regeln keine bestimmte Technik, sondern den Zugriff auf das Endgerät. ### § 25 TDDDG: geschützt ist das Endgerät Nach [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html), dem früheren TTDSG, ist das Speichern von Informationen auf dem Endgerät oder der Zugriff darauf nur mit Einwilligung auf Grundlage klarer und umfassender Informationen zulässig. Ausnahmen gelten nur, wenn der Zugriff unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Ob personenbezogene Daten betroffen sind, spielt dafür keine Rolle. Die Vorschrift setzt Art. 5 Abs. 3 der ePrivacy-Richtlinie um. ### Die Sicht der Aufsichtsbehörden Der Europäische Datenschutzausschuss (EDSA) hat in seinen Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3, final angenommen am 7. Oktober 2024, ausdrücklich neue Tracking-Methoden behandelt, die Drittanbieter-Cookies ersetzen sollen. Analysiert werden unter anderem Tracking-Pixel, URL-Tracking, lokale Verarbeitung auf dem Gerät, IP-basiertes Tracking und eindeutige Kennungen. Da § 25 TDDDG technikneutral formuliert ist, gilt diese Auslegung auch in Deutschland. Für die Privacy-Sandbox-APIs hieß das: Wer sie für Werbezwecke nutzte, brauchte eine Einwilligung. ### Die DSGVO kommt hinzu Sobald Informationen einer identifizierbaren Person zugeordnet werden können, greift zusätzlich die DSGVO. Die Einwilligung muss freiwillig, informiert, spezifisch und unmissverständlich sein, sich so einfach widerrufen lassen, wie sie erteilt wurde, und nachweisbar sein. Deshalb ist der [Nachweis der Cookie-Einwilligung](https://www.flowconsent.com/de/blog/nachweis-cookie-einwilligung-speichern) genauso wichtig wie das Banner selbst. Jede dieser Bedingungen erläutert unser Leitfaden zu den [7 Voraussetzungen für eine gültige DSGVO-Einwilligung](https://www.flowconsent.com/de/blog/dsgvo-einwilligung-voraussetzungen-leitfaden). Kurz gesagt: Die Entscheidung von Chrome verändert, was technisch möglich ist, nicht, was rechtlich erlaubt ist. Ein Werbe-Cookie eines Drittanbieters braucht in Deutschland weiterhin eine vorherige Einwilligung, egal ob der Browser es zulässt. ## Was das konkret für Ihre Website bedeutet ### Vorab-Blockierung bleibt Pflicht Weil Chrome Drittanbieter-Cookies weiterhin akzeptiert, setzt ein Werbe- oder Social-Media-Skript, das vor der Entscheidung des Besuchers lädt, seine Cookies sofort, und zwar beim größten Teil Ihres Traffics. Genau das prüfen Aufsichtsbehörden als Erstes. Nicht notwendige Skripte dürfen erst nach einem aktiven „Akzeptieren“ geladen werden. Unser [Leitfaden zu Meta Pixel und DSGVO](https://www.flowconsent.com/de/blog/meta-pixel-cookies-dsgvo-konformitaet) zeigt, was das für eines der verbreitetsten Werbe-Tags bedeutet. ### Messung je nach Browser unterschiedlich Safari blockiert Drittanbieter-Cookies seit 2020 standardmäßig, Firefox isoliert sie mit dem vollständigen Cookie-Schutz pro Website. Chrome lässt sie zu. Ihr Publikum verteilt sich also auf Umgebungen mit sehr unterschiedlichen Tracking-Möglichkeiten, Lücken in der Attribution sind normal. Versuchen Sie nicht, diese mit Fingerprinting zu schließen: Auch dafür gilt nach Auffassung des EDSA die Einwilligungspflicht. Was ohne Einwilligung wirklich funktioniert, lesen Sie in unserem Beitrag zu [Cookieless Tracking](https://www.flowconsent.com/de/blog/cookieless-analytics-leitfaden). ### Googles eigene Vorgaben geben den Takt vor Wer Google Ads, Google Analytics oder AdSense nutzt, unterliegt der Google-Richtlinie zur Einwilligung von Nutzern in der EU. Sie gilt für Besucher aus dem EWR, dem Vereinigten Königreich und der Schweiz und verlangt eine rechtlich wirksame Einwilligung, wo das Gesetz sie vorschreibt, Aufzeichnungen über erteilte Einwilligungen und eine klare Benennung der Datenempfänger. Technisch empfängt Google die Entscheidungen über [Google Consent Mode v2](https://www.flowconsent.com/de/blog/google-consent-mode-v2-implementierung-leitfaden) mit vier Signalen: `ad_storage`, `analytics_storage`, `ad_user_data` und `ad_personalization`. Seit März 2024 sind die beiden letzten unter anderem Voraussetzung für Customer-Match-Zielgruppen im EWR. Wenn Sie Google Analytics einsetzen, beantwortet unsere Analyse [Ist Google Analytics DSGVO-konform?](https://www.flowconsent.com/de/blog/ist-google-analytics-dsgvo-konform) die wichtigsten Fragen dazu. ### First-Party-Daten ersetzen keine Einwilligung Da Retargeting über Drittanbieter-Cookies in Safari und Firefox kaum noch funktioniert, setzen viele Werbetreibende auf eigene Daten und serverseitiges Tagging. Das kann die Datenqualität verbessern, ersetzt aber nicht die Einwilligung, wenn der Zweck Werbung ist. Lesen Sie dazu unseren Beitrag zu [Server-Side Tagging und Einwilligung](https://www.flowconsent.com/de/blog/server-side-tagging-cookies-einwilligung). ## Ihr Aktionsplan für 2026 Statt auf die nächste Browser-Ankündigung zu warten, kümmern Sie sich um das, was Sie selbst steuern: 1. **Erfassen Sie, was Ihre Website tatsächlich lädt:** Cookies, Pixel und Skripte, auch aus Plugins und eingebetteten Inhalten. Ein [Cookie-Audit](https://www.flowconsent.com/de/blog/cookie-audit-website-vollstaendige-methode) fördert oft vergessene Tracker zutage. 2. **Entfernen Sie überflüssigen Privacy-Sandbox-Code.** Ruft ein Tag `document.browsingTopics()` auf oder nutzt Protected-Audience-Interessengruppen, entfernen Sie den Code oder fragen Sie Ihren Anbieter nach dessen Plan. 3. **Prüfen Sie die Vorab-Blockierung** in Chrome, Safari und Firefox: Vor der Einwilligung darf kein Werbe- oder Analyse-Cookie gesetzt werden. 4. **Bieten Sie eine echte Wahl.** „Alle ablehnen“ muss auf der ersten Ebene des Banners genauso einfach erreichbar sein wie „Alle akzeptieren“. 5. **Übermitteln Sie die Einwilligung korrekt an Google:** Consent Mode v2 mit Standardwert „denied“ und Aktualisierung der vier Signale nach der Entscheidung. 6. **Dokumentieren Sie jede Entscheidung** mit Zeitstempel und der angezeigten Banner-Version. 7. **Aktualisieren Sie Ihre Datenschutzerklärung** und beschreiben Sie die Tracker, die Sie tatsächlich einsetzen. ## Wo eine Consent-Management-Plattform hilft Alle diese Schritte lassen sich manuell umsetzen, sind aber aufwendig zu pflegen, sobald sich Ihre Website und Ihre Tags weiterentwickeln. Eine Consent-Management-Plattform (CMP) automatisiert die wiederkehrenden Aufgaben. FlowConsent zum Beispiel scannt Ihre Website automatisch nach Cookies, blockiert Skripte bis zur Einwilligung, bewahrt Einwilligungsnachweise 13 Monate auf und sendet Consent-Mode-v2-Signale an Google (sowie Microsoft UET Consent Mode an Microsoft Ads) mit einem einzigen Skript, ohne Google Tag Manager. Die Daten werden in der EU gehostet, und der kostenlose Tarif deckt bis zu 25.000 Sitzungen pro Monat auf einer Domain ab. Unser Leitfaden zur [Auswahl einer Consent-Management-Plattform](https://www.flowconsent.com/de/blog/consent-management-plattform-cmp-auswaehlen) stellt die Vergleichskriterien vor. Unabhängig vom Werkzeug sollten Sie auf das Wesentliche achten: Blockiert es wirklich vor der Einwilligung, ist die Ablehnung so einfach wie die Zustimmung, und kann es einen Nachweis liefern? Für den Nachweis wandelt der [FlowConsent-Nachweisbericht](https://www.flowconsent.com/de/doc/proof-report) einen Scan mit verweigerter Einwilligung in ein datiertes, druckbares Dokument für Ihren Datenschutzbeauftragten um. ## Fazit: nicht länger warten, sondern prüfen Die Geschichte der Privacy Sandbox ist zu Ende erzählt. Chrome behält Drittanbieter-Cookies, Topics und Protected Audience verschwinden, und die CMA hat ihre Aufsicht beendet. Für Website-Betreiber ist das kein Grund zur Entwarnung, sondern das Ende einer Ausrede: § 25 TDDDG, die DSGVO und Googles eigene Richtlinien verlangen weiterhin eine vorherige Einwilligung für Werbe- und Analyse-Tracker. Der sinnvollste nächste Schritt: Prüfen Sie, was Ihre Website vor dem ersten Klick auf das Banner tatsächlich lädt. [Scannen Sie Ihre Website kostenlos](https://www.flowconsent.com/de/scan) und sehen Sie, welche Cookies und Tracker aktiv sind und ob sie auf die Einwilligung warten. Wenn Sie anschließend ein Banner benötigen, lässt sich FlowConsent mit einem einzigen Skript einbinden. [Zurück zum Blog](https://www.flowconsent.com/de/blog) Artikel teilen · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fgoogle-privacy-sandbox-einwilligung-drittanbieter-cookies) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Fde%2Fblog%2Fgoogle-privacy-sandbox-einwilligung-drittanbieter-cookies) Fragen ## Häufige Fragen zu diesem Thema. Ihre Frage ist nicht dabei? Schreiben Sie uns, wir antworten schnell. [Schreiben Sie uns](https://www.flowconsent.com/de/demo) ### Hat Google Drittanbieter-Cookies aus Chrome entfernt? Nein. Im Juli 2024 hat Google den Plan zur Abschaffung aufgegeben, und im April 2025 wurde auch die angekündigte eigenständige Auswahlabfrage gestrichen. Drittanbieter-Cookies bleiben in Chrome standardmäßig aktiv, Nutzer können sie in den Datenschutz- und Sicherheitseinstellungen blockieren. Safari blockiert sie standardmäßig, Firefox isoliert sie pro Website. ### Gibt es die Privacy Sandbox noch? Größtenteils nicht. Am 17. Oktober 2025 kündigte Google wegen geringer Nutzung das Aus für die meisten Privacy-Sandbox-Technologien an, darunter Topics, Protected Audience und Attribution Reporting. Nur CHIPS (partitionierte Cookies), FedCM und Private State Tokens werden weiter unterstützt. ### Brauche ich noch ein Cookie-Banner, wenn Chrome Drittanbieter-Cookies behält? Ja. Die Einwilligungspflicht ergibt sich aus dem Gesetz, nicht aus den Browser-Einstellungen. Nach § 25 TDDDG und der DSGVO benötigen Sie eine vorherige Einwilligung für nicht notwendige Cookies und vergleichbare Tracking-Technologien. Da Chrome Drittanbieter-Cookies weiterhin akzeptiert, ist es umso wichtiger, Skripte bis zur Einwilligung zu blockieren. ### Brauchte die Topics API eine Einwilligung? Ja. Die französische Aufsichtsbehörde CNIL stellte im Juli 2023 klar, dass Website-Betreiber für Privacy-Sandbox-APIs dieselbe Einwilligung einholen müssen wie für Cookies, und die EDSA-Leitlinien von 2024 bestätigen, dass Cookie-Ersatztechniken unter Art. 5 Abs. 3 der ePrivacy-Richtlinie fallen. Da Topics seit Chrome 144 als veraltet gilt, sollten Sie verbliebenen Topics-Code aus Ihren Tags entfernen. ### Brauche ich Google Consent Mode v2, wenn ich Google Ads nutze? Wenn Sie Besucher aus dem EWR, dem Vereinigten Königreich oder der Schweiz haben, verlangt Googles Richtlinie zur Einwilligung von Nutzern in der EU eine wirksame Einwilligung, wo das Gesetz sie vorschreibt, sowie Aufzeichnungen darüber. Consent Mode v2 übermittelt die Entscheidungen Ihrer Besucher über vier Signale (ad\_storage, analytics\_storage, ad\_user\_data, ad\_personalization) an Google, und seit März 2024 sind die beiden letzten unter anderem für Customer Match im EWR erforderlich. FlowConsent hat Consent Mode v2 integriert. Weiterlesen ## Mehr zum Thema. [Alle Artikel](https://www.flowconsent.com/de/blog) [Vergleiche · 22. Oktober 2026](https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied) ### [Drittanbieter-Cookies vs. Erstanbieter-Cookies: Unterschied, Beispiele, DSGVO](https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied) [Was Drittanbieter-Cookies von Erstanbieter-Cookies unterscheidet, konkrete Beispiele, wie Safari, Firefox und Chrome sie 2026 behandeln und warum die Einwilligung vom Zweck abhängt.](https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied) [Artikel lesen ](https://www.flowconsent.com/de/blog/drittanbieter-cookies-erstanbieter-cookies-unterschied)· [Marketing-Tools · 27. März 2026](https://www.flowconsent.com/de/blog/consent-mode-v2-google-ads-auswirkungen-kampagnen) ### [Consent Mode v2 und Google Ads: Auswirkungen auf Ihre Kampagnen](https://www.flowconsent.com/de/blog/consent-mode-v2-google-ads-auswirkungen-kampagnen) [Consent Mode v2 verändert die Conversion-Messung von Google Ads in Europa. Einfacher oder erweiterter Modus, modellierte Conversions, ROAS: der vollständige Leitfaden für Ihre Kampagnen.](https://www.flowconsent.com/de/blog/consent-mode-v2-google-ads-auswirkungen-kampagnen) [Artikel lesen ](https://www.flowconsent.com/de/blog/consent-mode-v2-google-ads-auswirkungen-kampagnen)· [Marketing-Tools · 1. Juli 2026](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo) ### [Die Cookies \_ga, \_gid und \_gat erklärt: Zweck, Laufzeit und Einwilligung nach DSGVO](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo) [Was die Google-Analytics-Cookies \_ga, \_ga\_\, \_gid und \_gat tun, wie lange sie gespeichert bleiben, warum § 25 TDDDG eine Einwilligung verlangt und was Consent Mode v2 ändert.](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo) [Artikel lesen](https://www.flowconsent.com/de/blog/ga-cookie-gid-gat-erklaert-dsgvo) ## Machen Sie Ihre Website noch heute konform. Kostenlos bis 25.000 Sitzungen pro Monat. Keine Kreditkarte, keine Bindung. [Mein Banner erstellen](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Meine Website scannen](https://www.flowconsent.com/de/scan)