# Dienste, Einwilligungskategorien und Rechtsgrundlagen

So funktioniert der FlowConsent-Dienstekatalog: Kategorien, Erkennung, kanonische IDs, Rechtsgrundlagen und die CNIL-Checkliste zur Reichweitenmessung.

> Canonical: https://www.flowconsent.com/de/doc/services-and-legal-basis
> Last updated: 2026-07-30
Ein Dienst ist jeder Dritte, den Ihre Website lädt — Google Analytics, Meta Pixel, Intercom, YouTube. Der Tab **Services** des Builders entscheidet, was das Banner blockiert, was es deklariert und auf welcher Rechtsgrundlage. Jeder Dienst stammt aus einem gepflegten Katalog: Seine Cookies, Erkennungsmuster und Google-Consent-Mode-Signale ziehen automatisch mit.

## Die Einwilligungskategorien

Jeder Dienst gehört zu einer von vier Kategorien — genau das, was der Besucher granular akzeptiert oder ablehnt:

- **Essenziell** — für den Betrieb der Website nötig; keine Einwilligung erforderlich.
- **Analytics** — Reichweitenmessung.
- **Marketing** — Werbung und Retargeting.
- **Präferenzen** — das Merken von Besucherentscheidungen.

## Dienste hinzufügen

Drei Wege, die alle in derselben Konfiguration enden:

- **Der Katalog** — die Modale *Dienste hinzufügen* listet alle verfügbaren Dienste mit Suche und Kategoriefiltern; beliebte Dienste sind markiert. Eine Karte anklicken aktiviert sie.
- **Automatische Erkennung** — scannen Sie eine URL oder fügen Sie das HTML Ihrer Seite ein, und FlowConsent ordnet die Funde den Katalogdiensten zu.
- **Der initiale Scan** — wird ein Banner aus Ihrer Website-URL erstellt, sind die erkannten Dienste vorausgefüllt.

Einmal aktiv, zeigt ein Dienst seine Konfiguration: Fügen Sie das vollständige Skript für Dienste ein, die Sie selbst injizieren, oder — bei iframes wie YouTube — ergänzen Sie das Attribut `data-service="…"` am Embed, damit das Banner es kontrollieren kann. Dienste, die über einen externen Kanal ankommen (etwa einen Tag-Manager), haben einen Schalter für **automatische Erkennung** mit den URL-Mustern, auf die das Banner achtet.

## Kanonische IDs: Aliase werden zusammengeführt

Der Katalog hatte historisch Duplikate angesammelt — `google-analytics-4` neben `google-analytics`, `linkedin-insight-tag` neben `linkedin-insight`. Diese Duplikate waren gefährlich, weil sie **still** waren: Der Alias-Eintrag trug keine Cookies, ein Banner mit ihm zeigte also für GA eine leere Cookie-Liste, obwohl deren Auflistung Pflicht ist.

Aliase tragen jetzt eine **kanonische ID**, und jeder Schreibpfad löst sie auf: Wer `google-analytics-4` aktiviert, registriert `google-analytics` — mit seinen echten Cookies und Consent-Mode-Signalen. Bestehende Banner mit einem Alias funktionieren weiter — die Auflösung leitet sie um.

## Die Rechtsgrundlagen

Einwilligung ist der Standard, aber nicht alles beruht auf Einwilligung. Jeder Katalogdienst trägt eine **Rechtsgrundlage**, und der Builder zeigt ein Badge nur, wenn sie von der Einwilligung abweicht — die Ausnahme verdient Aufmerksamkeit, nicht die Regel:

- **Einwilligung** — der Regelfall; kein Badge.
- **Berechtigtes Interesse** — z. B. Sentry: Fehlerverfolgung dient der Sicherheit und Stabilität des Dienstes. Keine Einwilligung erforderlich, aber der Dienst muss in Ihrer Datenschutzerklärung stehen — **mit Widerspruchsrecht** — und das Interesse gehört in Ihr Verzeichnis von Verarbeitungstätigkeiten.
- **Vertrag** — Dienste, die nötig sind, um zu liefern, was der Besucher angefordert hat; typischerweise die essenzielle Kategorie.
- **CNIL-Ausnahme möglich** — Reichweitenmessung, die unter strengen Bedingungen ohne Einwilligung laufen kann, siehe unten.

> [!NOTE]
> Die Rechtsgrundlage stammt aus dem Katalog und beschreibt die *plausible* Grundlage für die Standardnutzung des Dienstes. Ob sie für **Ihre** Nutzung trägt, zu beurteilen bleibt Ihre Verantwortung als Website-Betreiber.

## Die CNIL-Ausnahme-Checkliste

Die französische Aufsichtsbehörde CNIL befreit Reichweitenmessung von der Einwilligung (Beschluss 2020-091) **nur, wenn alle Bedingungen erfüllt sind**. Für Dienste mit der Kennzeichnung *CNIL-Ausnahme möglich* zeigt der Builder die Checkliste:

1. Zweck strikt auf Reichweitenmessung beschränkt, ausschließlich für Rechnung des Betreibers.
2. Kein Abgleich der Daten mit anderen Verarbeitungen und kein Cross-Site-Tracking.
3. Keine Weitergabe der Daten an Dritte.
4. IP-Adresse vor jeder Verarbeitung anonymisiert.
5. Lebensdauer des Trackers ≤ 13 Monate, Datenaufbewahrung ≤ 25 Monate.

> [!IMPORTANT]
> Die Checkliste ist informativ: Das Banner kann Ihre Analytics-Konfiguration nicht für Sie prüfen (z. B. Matomo im Ausnahmemodus). Fehlt eine Bedingung, bleibt der Dienst einwilligungspflichtig — belassen Sie ihn in seiner aktuellen Kategorie.

## Dienste, die das Banner nicht blockieren kann

Manche Verarbeitung wird von Ihrem **Server** ausgelöst — GA4 Measurement Protocol, CRM-Synchronisation, vom Backend gesetzte Attributions-Cookies. Ein Banner im Browser kann davon nichts blockieren; es kann nur die Entscheidung bereitstellen. Decken Sie diesen Pfad mit dem [Server-SDK](/de/doc/server-sdk) ab.

## Nächste Schritte

- [Die resultierende Cookie-Deklaration prüfen](/de/doc/cookie-declaration)
- [Mit einem Ablehnungs-Scan beweisen, dass das Blockieren funktioniert](/de/doc/compliance-verification)