Was vor der Einwilligung nicht passieren darf

So funktioniert es

Nach § 25 TDDDG (bis Mai 2024 TTDSG) brauchst du eine Einwilligung, bevor du Informationen auf dem Gerät des Besuchers speicherst oder von dort ausliest. Das gilt für Cookies ebenso wie für Local Storage, Session Storage und IndexedDB. Ausgenommen ist nur, was unbedingt nötig ist, damit die Seite liefert, was der Besucher ausdrücklich will: Warenkorb, Login, Sprachwahl oder die gespeicherte Consent-Entscheidung selbst. Für die Verarbeitung der Daten gilt zusätzlich die DSGVO; für Statistik und Marketing ist die Grundlage in der Praxis die Einwilligung (Art. 6 Abs. 1 lit. a DSGVO).

Dabei zählt nicht nur das Cookie. Schon der Aufruf eines Statistik- oder Werbeskripts schickt IP-Adresse und Gerätedaten an den Anbieter.

bytereport lädt jede Seite zuerst in einem Browser, ohne den Banner anzufassen, und hält fest, welche Cookies, Storage-Einträge und Requests entstehen. Ein Katalog ordnet sie Diensten und Zwecken zu.

Worauf es ankommt

• Keine Tracking-Cookies. Cookies und Storage-Einträge von Statistik- und Werbediensten wie Google Analytics, Meta Pixel oder Hotjar entstehen erst nach „Akzeptieren“.
• Keine Tracking-Requests. Auch die Skripte selbst laden erst danach. Ein Consent Mode mit dem Standard denied allein reicht nicht, denn im erweiterten Modus senden die Google-Tags trotzdem Daten, nur ohne Cookies (mehr in Consent-Signale).
• Unbekannte Cookies klären. Cookies, die wir keinem Dienst zuordnen können, sind nicht automatisch Tracker. Ob eines technisch nötig ist, weißt nur du; wenn nicht, gehört es hinter die Einwilligung.
• Getarnte Tracker. Zeigt eine Subdomain wie stats.deine-domain.de per CNAME, einem Alias im DNS, auf einen Tracking-Dienst, wirkt der Tracker wie ein Teil deiner Website. Er umgeht Blocker und setzt Cookies als Erstanbieter, braucht aber genauso eine Einwilligung.
• Laufzeit bis 13 Monate. Aufsichtsbehörden halten mehr als 13 Monate für Tracking-Cookies meist für zu lang. bytereport weist auf jedes Cookie hin, das länger läuft.
• Cookielose Statistik. Dienste wie Plausible oder Simple Analytics, die ohne Cookies arbeiten, zählt bytereport nicht als Tracking. Speichern sie nichts auf dem Gerät und lesen nichts aus, greift § 25 TDDDG nicht; die DSGVO gilt trotzdem.

So richtest du es ein

Alle Skripte für Statistik und Marketing laufen über dein Consent-Tool oder über den Tag Manager mit einem Einwilligungs-Trigger. Häufig rutschen Snippets durch, die fest im Theme, in einem Plugin oder im Template stehen: Entferne sie dort und binde sie über das Consent-Tool ein. Das erledigt, wer die Website betreut, meist im CMS oder im Tag Manager. Einen getarnten Tracker legst du über einen DNS-Eintrag an und entfernst ihn dort auch wieder; die Laufzeit der Cookies stellst du im jeweiligen Dienst ein.

Prüfe jede Änderung in einem privaten Browserfenster: Vor dem ersten Klick im Banner dürfen in den Entwicklertools keine Tracking-Cookies und keine Requests zu Tracking-Diensten auftauchen.

Das ist keine Rechtsberatung; den Einzelfall beurteilen dein Datenschutzbeauftragter oder eine Anwältin.