Dienste, Einwilligungskategorien und Rechtsgrundlagen

Ein Dienst ist jeder Dritte, den Ihre Website lädt — Google Analytics, Meta Pixel, Intercom, YouTube. Der Tab Services des Builders entscheidet, was das Banner blockiert, was es deklariert und auf welcher Rechtsgrundlage. Jeder Dienst stammt aus einem gepflegten Katalog: Seine Cookies, Erkennungsmuster und Google-Consent-Mode-Signale ziehen automatisch mit.

Die Einwilligungskategorien

Jeder Dienst gehört zu einer von vier Kategorien — genau das, was der Besucher granular akzeptiert oder ablehnt:

Essenziell — für den Betrieb der Website nötig; keine Einwilligung erforderlich.
Analytics — Reichweitenmessung.
Marketing — Werbung und Retargeting.
Präferenzen — das Merken von Besucherentscheidungen.

Dienste hinzufügen

Drei Wege, die alle in derselben Konfiguration enden:

Der Katalog — die Modale Dienste hinzufügen listet alle verfügbaren Dienste mit Suche und Kategoriefiltern; beliebte Dienste sind markiert. Eine Karte anklicken aktiviert sie.
Automatische Erkennung — scannen Sie eine URL oder fügen Sie das HTML Ihrer Seite ein, und FlowConsent ordnet die Funde den Katalogdiensten zu.
Der initiale Scan — wird ein Banner aus Ihrer Website-URL erstellt, sind die erkannten Dienste vorausgefüllt.

Einmal aktiv, zeigt ein Dienst seine Konfiguration: Fügen Sie das vollständige Skript für Dienste ein, die Sie selbst injizieren, oder — bei iframes wie YouTube — ergänzen Sie das Attribut data-service="…" am Embed, damit das Banner es kontrollieren kann. Dienste, die über einen externen Kanal ankommen (etwa einen Tag-Manager), haben einen Schalter für automatische Erkennung mit den URL-Mustern, auf die das Banner achtet.

Kanonische IDs: Aliase werden zusammengeführt

Der Katalog hatte historisch Duplikate angesammelt — google-analytics-4 neben google-analytics, linkedin-insight-tag neben linkedin-insight. Diese Duplikate waren gefährlich, weil sie still waren: Der Alias-Eintrag trug keine Cookies, ein Banner mit ihm zeigte also für GA eine leere Cookie-Liste, obwohl deren Auflistung Pflicht ist.

Aliase tragen jetzt eine kanonische ID, und jeder Schreibpfad löst sie auf: Wer google-analytics-4 aktiviert, registriert google-analytics — mit seinen echten Cookies und Consent-Mode-Signalen. Bestehende Banner mit einem Alias funktionieren weiter — die Auflösung leitet sie um.

Die Rechtsgrundlagen

Einwilligung ist der Standard, aber nicht alles beruht auf Einwilligung. Jeder Katalogdienst trägt eine Rechtsgrundlage, und der Builder zeigt ein Badge nur, wenn sie von der Einwilligung abweicht — die Ausnahme verdient Aufmerksamkeit, nicht die Regel:

Einwilligung — der Regelfall; kein Badge.
Berechtigtes Interesse — z. B. Sentry: Fehlerverfolgung dient der Sicherheit und Stabilität des Dienstes. Keine Einwilligung erforderlich, aber der Dienst muss in Ihrer Datenschutzerklärung stehen — mit Widerspruchsrecht — und das Interesse gehört in Ihr Verzeichnis von Verarbeitungstätigkeiten.
Vertrag — Dienste, die nötig sind, um zu liefern, was der Besucher angefordert hat; typischerweise die essenzielle Kategorie.
CNIL-Ausnahme möglich — Reichweitenmessung, die unter strengen Bedingungen ohne Einwilligung laufen kann, siehe unten.

Die CNIL-Ausnahme-Checkliste

Die französische Aufsichtsbehörde CNIL befreit Reichweitenmessung von der Einwilligung (Beschluss 2020-091) nur, wenn alle Bedingungen erfüllt sind. Für Dienste mit der Kennzeichnung CNIL-Ausnahme möglich zeigt der Builder die Checkliste:

Zweck strikt auf Reichweitenmessung beschränkt, ausschließlich für Rechnung des Betreibers.
Kein Abgleich der Daten mit anderen Verarbeitungen und kein Cross-Site-Tracking.
Keine Weitergabe der Daten an Dritte.
IP-Adresse vor jeder Verarbeitung anonymisiert.
Lebensdauer des Trackers ≤ 13 Monate, Datenaufbewahrung ≤ 25 Monate.

Manche Verarbeitung wird von Ihrem Server ausgelöst — GA4 Measurement Protocol, CRM-Synchronisation, vom Backend gesetzte Attributions-Cookies. Ein Banner im Browser kann davon nichts blockieren; es kann nur die Entscheidung bereitstellen. Decken Sie diesen Pfad mit dem Server-SDK ab.