01
Das Banner
Viele Websites zeigen ein Cookie-Banner mit den Schaltflächen „Akzeptieren“ und „Ablehnen“.
COOKIE-COMPLIANCE
Einwilligung muss funktionieren, nicht nur erscheinen.
Vor der Auswahl, beim Akzeptieren, beim Ablehnen und beim Widerrufen.
01 / 08Das Banner
Eine Website bittet um Erlaubnis für Cookies
Das Banner bietet an, Cookies zu akzeptieren oder abzulehnen. Die Frage ist, ob die Website respektiert, was der Besucher wählt.
02 / 08Vor der Auswahl
Das Tracking beginnt vor der Antwort
Der Besucher hat noch nichts angeklickt, und schon sind Tracking-Cookies in seinem Browser gespeichert.
03 / 08Die Ablehnung
Ablehnen ändert nichts
Der Besucher klickt auf „Ablehnen“, das Banner schließt sich, und die Tracking-Cookies sind immer noch da. Das Banner wird angezeigt, aber es funktioniert nicht.
04 / 08Die Regel
Die Einwilligung kommt vor den Cookies
§ 25 TDDDG verlangt eine informierte Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden, außer wenn dies unbedingt erforderlich ist. Die Datenschutzkonferenz (DSK) erwartet, dass Ablehnen nicht mehr Klicks erfordert als Einwilligen.
05 / 08Der Test
Drei frische Sitzungen auf derselben Website
Wir öffnen die Website in drei voneinander unabhängigen Sitzungen, ohne Spuren früherer Besuche: In der ersten akzeptieren wir und widerrufen die Einwilligung danach, in der zweiten lehnen wir ab, in der dritten passen wir die Auswahl an.
06 / 08Die Bestandsaufnahme
Wir beobachten, was bei jedem Schritt erscheint
Vor der Auswahl, nach jeder Aktion und nach dem Neuladen der Seite erfassen wir Cookies, lokalen Speicher und Netzwerkanfragen. Dabei trennen wir die notwendigen Cookies von den Tracking-Cookies und von denen, deren Zweck noch ungeklärt ist.
07 / 08Die Belege
Jeder Besuch wird dokumentiert
Wir sichern Screenshots, Video, Netzwerkprotokoll und Chronologie jeder Sitzung in signierten Dateien, die Dritte überprüfen können.
08 / 08Das Ergebnis
Reproduzierbare Befunde
Der Bericht hält fest, was bei jedem Schritt beobachtet wurde, damit Ihr Team das Banner korrigieren oder einen Dienstleister bewerten kann. Es sind technische Belege eines bestimmten Besuchs. Dritte können sie überprüfen und den Test wiederholen; ihre rechtliche Bewertung ist Sache der zuständigen Behörde, eines Gerichts oder von Fachleuten.
Einwilligung muss funktionieren, nicht nur erscheinen.
Beschreibung der einzelnen Szenen
- Eine Website bittet um Erlaubnis für Cookies. Die Seite einer beliebigen Website öffnet sich, und am unteren Rand erscheint das Banner „Diese Website nutzt Cookies“ mit zwei gleich großen Schaltflächen, „Akzeptieren“ und „Ablehnen“, verbunden durch ein Gleichheitszeichen. Rechts ein angebissener Keks mit einem Fragezeichen und der Frage „Wird die Wahl respektiert?“.
- Das Tracking beginnt vor der Antwort. Das Banner ist weiterhin geöffnet, und der Mauszeiger hat keine Schaltfläche angeklickt. Rechts öffnet sich der Bereich „Cookies im Browser“, und nacheinander erscheinen drei Cookies: „ads_uid“, „track_id“ und „stats_id“, jedes mit dem roten Etikett „Tracking“. In der Browserleiste leuchten drei rote Punkte auf. Ein roter Zähler zeigt „Vor der Auswahl“ und „3 Tracking-Cookies“, und eine Zeitleiste setzt „Tracking läuft“ vor „Noch keine Auswahl“.
- Ablehnen ändert nichts. Der Mauszeiger klickt auf „Ablehnen“, und das Banner schließt sich. Im Bereich „Cookies im Browser“ bleiben die drei Tracking-Cookies erhalten, rot umrahmt, und ein Pfeil mit der Beschriftung „Anfragen an Dritte“ führt nach außen. Darunter stehen sich zwei Karten gegenüber, getrennt durch ein Ungleichheitszeichen: „Was gewählt wurde“ mit der Schaltfläche „Ablehnen“ und „Was geschieht“ mit drei Cookies in Rot.
- Die Einwilligung kommt vor den Cookies. Zwei Karten: „Vorherige Einwilligung“ mit dem Verweis „§ 25 TDDDG“ und „Ablehnen so einfach wie Einwilligen“ mit dem Verweis „Orientierungshilfe der DSK“. Darunter zwei Beispielbanner: eines mit den gleich großen Schaltflächen „Akzeptieren“ und „Ablehnen“, mit dem Vermerk „Gleichwertige Optionen“ und einem Häkchen; und eines mit einer großen Schaltfläche „Akzeptieren“ und einem kleinen, kaum sichtbaren „Ablehnen“, mit dem Vermerk „Ablehnen versteckt“ und einem Kreuz.
- Drei frische Sitzungen auf derselben Website. Die Seite wird mit ihrem Banner neu geladen, und der Leuchtturm von VigiaLabs wirft einen Lichtkegel darauf. Rechts drei Bahnen, eine je Sitzung: „Akzeptieren und widerrufen“, „Ablehnen“ und „Anpassen“. In jeder Bahn leuchten die Kontrollpunkte nacheinander auf.
- Wir beobachten, was bei jedem Schritt erscheint. Im Licht des Leuchtturms läuft eine Scanlinie über die Seite. Rechts füllt sich eine Tabelle mit den Spalten „Notwendig“, „Tracking“ und „Ungeklärt“ und den Zeilen „Vor der Auswahl“, „Nach Zustimmung“, „Nach Ablehnung“ und „Nach Widerruf“. Jede Zeile zeigt ein notwendiges und ein ungeklärtes Cookie; in den ersten drei Zeilen stehen drei Tracking-Cookies, nach dem Widerruf keines. Die Tracking-Cookies in den Zeilen „Vor der Auswahl“ und „Nach Ablehnung“ sind rot hervorgehoben.
- Jeder Besuch wird dokumentiert. Eckmarkierungen rahmen die Seite ein, und ein Aufblitzen zeigt die Aufnahme an. Rechts öffnet sich eine Mappe mit dem Titel „Fallakte“ und vier Belegen: „Screenshot“, „Video“, „Netzwerkprotokoll“ und „Chronologie“. Darunter erscheint, neben dem Leuchtturm, das Siegel „Signiertes Manifest“.
- Reproduzierbare Befunde. Ein Dokument mit dem Titel „Bericht“ zeigt vier Zeilen: „Vor der Auswahl“ mit einem Kreuz, „Nach Zustimmung“ mit einem Häkchen, „Nach Ablehnung“ mit einem Kreuz und „Nach Widerruf“ mit einem Häkchen. Danach ist die korrigierte Seite zu sehen: Der Mauszeiger klickt auf „Ablehnen“, das Banner schließt sich, die roten Punkte in der Browserleiste erlöschen, und im Bereich „Cookies im Browser“ bleibt nur „consent_choice“ mit dem Etikett „Notwendig“. Der Zähler ist nicht mehr rot und zeigt „Nach Ablehnung“ und „0 Tracking-Cookies“.
KURZ GESAGT
Cookie-Banner, die erscheinen, aber die Wahl nicht respektieren.
Ein Banner bietet die Ablehnung von Cookies an, doch die Website respektiert diese Wahl möglicherweise nicht. Wir prüfen Informationen und Verhalten vor der Wahl, nach Zustimmung und nach Ablehnung im Rahmen des § 25 TDDDG und gegebenenfalls der DSGVO.
02
Vor der Auswahl
Auf manchen werden Tracking-Cookies gespeichert, bevor der Besucher gewählt hat.
03
Die Ablehnung
Auf anderen bleiben sie bestehen, auch wenn der Besucher auf „Ablehnen“ klickt.
04
Die Regel
Das Gesetz verlangt die Einwilligung, bevor Cookies eingesetzt werden, die nicht unbedingt erforderlich sind.
05
Der Test
VigiaLabs besucht die Website, probiert jede Schaltfläche aus und hält fest, welche Cookies bei jedem Schritt erscheinen.
06
Die Belege
VigiaLabs sichert die Belege in signierten Dateien und übergibt einen Bericht. Der Bericht ist kein rechtliches Zertifikat.
SO WIRD GEPRÜFT
Vier Schritte, vom Besuch bis zum Bericht.
Reproduzierbare Befunde für technische und Datenschutzteams zur Priorisierung von Anpassungen.
Erfasste Zeitpunkte
- Vor der Auswahl
- Nach Zustimmung
- Nach Ablehnung
- Nach Widerruf
Technische Belege, kein Zertifikat
Es sind technische Belege eines bestimmten Besuchs. Dritte können sie überprüfen und den Test wiederholen; ihre rechtliche Bewertung ist Sache der zuständigen Behörde, eines Gerichts oder von Fachleuten.
- 01
Drei frische Sitzungen auf derselben Website
Wir öffnen die Website in drei voneinander unabhängigen Sitzungen, ohne Spuren früherer Besuche: In der ersten akzeptieren wir und widerrufen die Einwilligung danach, in der zweiten lehnen wir ab, in der dritten passen wir die Auswahl an.
- 02
Wir beobachten, was bei jedem Schritt erscheint
Vor der Auswahl, nach jeder Aktion und nach dem Neuladen der Seite erfassen wir Cookies, lokalen Speicher und Netzwerkanfragen. Dabei trennen wir die notwendigen Cookies von den Tracking-Cookies und von denen, deren Zweck noch ungeklärt ist.
- 03
Jeder Besuch wird dokumentiert
Wir sichern Screenshots, Video, Netzwerkprotokoll und Chronologie jeder Sitzung in signierten Dateien, die Dritte überprüfen können.
- 04
Reproduzierbare Befunde
Der Bericht hält fest, was bei jedem Schritt beobachtet wurde, damit Ihr Team das Banner korrigieren oder einen Dienstleister bewerten kann.
BeispielfallVL / CMP
Was gewählt wurdeDiese Website nutzt Cookies
Was geschiehtads_uidTrackingtrack_idTrackingstats_idTracking
Cookies und DSGVO
Ein Consent-Tool (CMP) garantiert keine rechtskonforme Cookie-Einwilligung
Eine Consent-Management-Plattform (CMP) zeigt das Cookie-Banner an und speichert die Auswahl des Besuchers. Ob diese Auswahl respektiert wird, hängt davon ab, wie die CMP mit jedem Tag, Pixel und Skript der Website verknüpft ist.
Deshalb kann eine Website mit CMP weiterhin Tracking-Cookies setzen, bevor der Besucher zustimmt oder nachdem er abgelehnt hat:
- 01Tags, die außerhalb der CMP geladen werden
- 02eine Voreinstellung, die die Einwilligung als erteilt behandelt
- 03Skripte von Drittanbietern, die nach der Einrichtung hinzugefügt wurden
- 04Cookies, die beim Widerruf der Einwilligung nicht gelöscht werden
Ihr NutzenVigiaLabs ersetzt keine CMP: In getrennten Besuchen wird geprüft, ob die Website respektiert, was der Besucher wählt. Der Bericht beschreibt, was beobachtet wurde; auch er ist kein Zertifikat für die Einhaltung der Vorschriften.
GLOSSAR
Begriffe und Quellen auf einen Blick.
Jeder Fall wird mit Quellen und Kontext dokumentiert. Der Umfang wird je Markt vereinbart; die Verweise auf dieser Seite beziehen sich auf das Recht Deutschlands.
- Cookie
- Kleine Datei, die eine Website im Browser des Besuchers speichert.
- Tracking-Cookie
- Cookie, mit dem das Surfverhalten gemessen oder verfolgt wird, zum Beispiel zu Werbezwecken.
- Notwendiges Cookie
- Cookie, das unbedingt erforderlich ist, um den vom Besucher gewünschten Dienst bereitzustellen, etwa um seine Auswahl im Banner zu speichern.
- Cookie-Banner
- Hinweis, der über Cookies informiert und um die Erlaubnis bittet, sie zu verwenden.
- CMP
- Consent-Management-Plattform, auch Consent-Tool genannt: Werkzeug, das das Cookie-Banner anzeigt und die Auswahl des Besuchers speichert.
- Frische Sitzung
- Besuch mit einem Browser ohne Cookies und ohne Daten aus früheren Besuchen.
- § 25 TDDDG
- Vorschrift des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes. Sie verlangt eine informierte Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden, außer wenn dies unbedingt erforderlich ist.
- DSK
- Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder, kurz Datenschutzkonferenz. Sie veröffentlicht die gemeinsame Auffassung der Aufsichtsbehörden.
- Signiertes Manifest
- Liste der Dateien einer Prüfung mit ihrem digitalen Fingerabdruck und einer Signatur. Damit lässt sich prüfen, dass die Dateien nicht verändert wurden.
HÄUFIGE FRAGEN
Wer die Einwilligung übergeht, verschafft sich einen Vorteil.
Eine Website, die nach einer Ablehnung weiter trackt, misst und wirbt mit Daten, die regelkonforme Anbieter nicht haben. Das zu prüfen und zu dokumentieren, ist der erste Schritt zu einem Wettbewerb auf Augenhöhe.
Ein Mitbewerber setzt Tracking-Cookies ohne Einwilligung. Wie lässt sich das nachweisen?
Mit einem technischen Test, der sich wiederholen lässt. VigiaLabs öffnet die Website in drei frischen Sitzungen – akzeptieren und widerrufen, ablehnen, anpassen – und erfasst Cookies, lokalen Speicher und Netzwerkanfragen vor der Auswahl und nach jeder Aktion. Der Bericht hält fest, was bei jedem Schritt beobachtet wurde, mit Screenshots, Video und Netzwerkprotokoll in signierten Dateien.
Was verlangt das Gesetz in Deutschland für Cookies und Cookie-Banner?
In Deutschland verlangt § 25 TDDDG eine informierte Einwilligung, bevor Informationen auf dem Endgerät gespeichert oder von dort ausgelesen werden, außer wenn dies unbedingt erforderlich ist. Die Datenschutzkonferenz (DSK), die die gemeinsame Auffassung der Datenschutzaufsichtsbehörden des Bundes und der Länder veröffentlicht, erwartet, dass Ablehnen nicht mehr Klicks erfordert als Einwilligen.
Meine Website nutzt schon ein Consent-Tool (CMP). Ist eine Prüfung trotzdem sinnvoll?
Ja, denn ein Consent-Tool (CMP) garantiert keine rechtskonforme Cookie-Einwilligung. Die CMP zeigt das Cookie-Banner an und speichert die Auswahl des Besuchers; ob diese Auswahl respektiert wird, hängt davon ab, wie sie mit jedem Tag, Pixel und Skript der Website verknüpft ist. Eine Website mit CMP kann weiterhin Tracking-Cookies setzen, bevor der Besucher zustimmt oder nachdem er abgelehnt hat.
Können auch Verbraucherverbände, Datenschutzbeauftragte oder Datenschutzteams die Cookie-Prüfung nutzen?
Ja. Ein Verbraucherverband kann die Websites prüfen lassen, die seine Mitglieder nutzen, etwa von Banken, Shops oder Dienstleistern; Datenschutzbeauftragte und Datenschutzteams die Websites der eigenen Organisation und die ihrer Dienstleister. Die Methode ist dieselbe, und der Bericht beschreibt, was beobachtet wurde, damit die Zuständigen es bewerten können.
Dient der Bericht als Beleg gegenüber der Datenschutzaufsichtsbehörde?
Der Bericht von VigiaLabs enthält technische Belege eines bestimmten Besuchs; Dritte können sie überprüfen und den Test wiederholen. Ihre rechtliche Bewertung ist Sache der zuständigen Behörde, eines Gerichts oder von Fachleuten: Der Bericht ist weder ein Zertifikat für die Einhaltung der Vorschriften noch eine Entscheidung.
LASSEN SIE UNS WEITER SEHEN
Ein klarerer Blick beginnt
mit einem Gespräch.
Erzählen Sie uns, was Sie beobachten möchten. Gemeinsam definieren wir einen passenden Umfang für Ihr Unternehmen.