Cookies, Integrationen und Einwilligung

Modul 7: Datenschutz und Regeln · Lesezeit: 11 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, wann Sie für Cookies und Messcode eine Einwilligung benötigen, den Cookie-Banner Ihrer AI Builder-Website einstellen, Messdienste so verknüpfen, dass sie erst nach einer Einwilligung geladen werden, und mit Ihrem Browser prüfen, dass vor der Entscheidung eines Besuchers nichts gemessen wird.

Kernbegriffe: Cookie, Endgerät, Einwilligung, notwendige Cookies, eingeschränkt analytische Cookies, Tracking-Cookies, Cookie-Banner, Integration, Mess-ID, eigener Code, Cookie-Einstellungen

Diese Lektion erklärt die Regeln mit Stand vom 10. November 2026. Sie ist keine Rechtsberatung. Wenn Sie sich bei Ihrer Situation unsicher sind, fragen Sie einen Rechtsanwalt oder Ihren Branchenverband.

Was die Regel besagt

Ein Cookie ist eine kleine Datei, die eine Website im Browser des Besuchers ablegt. Die Regel gilt auch für andere Speicherung im Browser sowie für Pixel und Skripte, die ein Gerät wiedererkennen.

In der EU steht die Grundlage in der ePrivacy-Richtlinie (2002/58/EG), Artikel 5 Absatz 3: Informationen auf dem Gerät eines Nutzers speichern oder dort auslesen ist nur erlaubt, wenn dieser Nutzer klare und umfassende Informationen erhalten und seine Einwilligung gegeben hat. Eine Ausnahme gilt für das, was technisch nötig ist, um die Kommunikation durchzuführen, oder was unbedingt erforderlich ist für den Dienst, den der Besucher selbst anfordert.

Jedes EU-Land hat diese Regel in ein eigenes Gesetz übernommen. In Deutschland ist das § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Die Niederlande (Artikel 11.7a Telecommunicatiewet) kennen eine zusätzliche Ausnahme: Auch für Cookies, die Informationen über die Qualität oder Wirksamkeit einer Website sammeln, ist dort keine Einwilligung nötig, sofern sie keine oder nur geringe Folgen für die Privatsphäre haben. Die niederländische Aufsichtsbehörde Autoriteit Persoonsgegevens (AP) nennt das eingeschränkt analytische Cookies: Besucher und beliebte Seiten zählen, ohne Besucher über Websites hinweg zu verfolgen oder Profile zu erstellen. Deutschland kennt keine eigene Ausnahme für Analyse-Cookies: § 25 Abs. 2 TDDDG befreit nur unbedingt erforderliche Zugriffe. Für Reichweitenmessung mit Cookies verlangen die Datenschutzaufsichtsbehörden (Datenschutzkonferenz, DSK) in der Regel eine Einwilligung. Achten Sie auf zwei Dinge:

• Auch ohne Einwilligungspflicht verarbeiten Sie oft personenbezogene Daten (eine IP-Adresse). Dann gilt die DSGVO: Sie brauchen eine Rechtsgrundlage und nennen die Verarbeitung in Ihrer Datenschutzerklärung (Lektion 7.1).
• Andere Länder sind teilweise strenger; haben Sie viele Besucher aus dem Ausland, prüfen Sie, was die Aufsichtsbehörde dort sagt.

Tracking-Cookies und alles, was Besucher verfolgt, Profile erstellt oder für Werbung genutzt wird, erfordern immer vorab eine Einwilligung. Diese Einwilligung muss freiwillig und konkret sein: Nichtstun oder Weiterklicken ist keine Einwilligung. Die niederländische AP nennt als Beispiel vier Faustregeln für einen verständlichen Banner: Sagen Sie, wofür Sie Cookies verwenden, machen Sie Ablehnen genauso einfach wie Akzeptieren, machen Sie es genauso einfach, eine Entscheidung später zu ändern, und halten Sie Einwilligung und Widerspruch getrennt.

Wie der AI Builder das regelt

Der Builder teilt alles, was auf Ihrer Website von Drittanbietern läuft, in vier Kategorien ein, mit der Erklärung, die auch Ihre Besucher sehen:

Läuft etwas, das nicht Notwendig ist, schaltet der Builder den Cookie-Banner automatisch ein. In den Einstellungen sehen Sie dann Cookie-Banner ist automatisch eingeschaltet mit den Diensten, die ihn erfordern, und der Schalter lässt sich nicht ausschalten, solange diese Dienste laufen. Alles außerhalb von Notwendig wird erst geladen, wenn der Besucher für diese Kategorie eingewilligt hat:

• Eine Integration (etwa Google Analytics) steht als Skript in der Seite, das nicht ausgeführt wird. Erst nach der Einwilligung für Statistik schaltet die Website es ein.
• Ein Widget (Karte, Terminplaner, Video) zeigt zuerst ein Feld mit "Dieser Block stammt von Google Maps und wird erst geladen, wenn Sie Funktional zulassen." und einen Button Erlauben und anzeigen. Ein YouTube-Video nutzt bis zum Abspielen die Variante ohne Cookies; auch diese wartet auf die Einwilligung.
• Widerruft ein Besucher seine Einwilligung, löscht die Website die bekannten Cookies dieser Kategorie. Kommt später ein Dienst hinzu, fragt der Banner erneut.

Unten auf jeder Seite steht dann der Button Cookie-Einstellungen, mit dem ein Besucher seine Entscheidung jederzeit ändern kann.

Einstellungen > Cookies und Einwilligung

Ganz oben sehen Sie den aktuellen Stand: welche Dienste laufen und in welcher Kategorie. Darunter stellen Sie ein:

• Cookie-Banner anzeigen: ein oder aus. Läuft nichts von Drittanbietern, meldet der Builder "Keine Cookies von Drittanbietern" und ein Banner ist nicht erforderlich.
• Darstellung: Leiste unten oder Karte unten rechts. Sie sehen den Banner sofort in der Vorschau.
• Besucher dürfen pro Kategorie wählen: Eingeschaltet erhält der Besucher neben Alle akzeptieren und Nur notwendige auch Auswahl anpassen. Ausgeschaltet erscheinen nur die zwei Buttons. Nutzen Sie Dienste aus mehreren Kategorien (eine Karte und Google Analytics), schalten Sie dies ein: Die niederländische AP verlangt eine Wahl pro Zweck.
• Banner-Text: Leer bedeutet Standardtext. Schreiben Sie einen eigenen Text, nennen Sie wirklich, wofür Sie Cookies verwenden.
• Button zum Akzeptieren und Button zum Ablehnen: die Texte auf den Buttons. Halten Sie den Ablehnen-Button eindeutig. "Nur notwendige" oder "Ablehnen" ist gut; "Später" oder "Vielleicht" nicht, denn dann weiß der Besucher nicht, was er wählt.
• Datenschutzseite: die Seite, auf die Mehr zum Datenschutz verlinkt (Lektion 7.1).

Eine Falle bei der Gestaltung: Im Banner hat der Akzeptieren-Button den Stil eines Hauptbuttons und der Ablehnen-Button einen ruhigeren Stil. Prüfen Sie auf Ihrem Smartphone und Ihrem Computer, ob der Ablehnen-Button genauso gut zu sehen und zu treffen ist. Wenn nicht, setzen Sie einen eindeutigen Text auf den Button.

Einstellungen > Integrationen

Unter Integrationen geben Sie nur die Nummer oder den Code ein, den Sie vom Dienst erhalten; den Rest ergänzt der Builder. Die Liste ist in drei Gruppen unterteilt: Statistik, Ohne Cookies und Marketing und Werbung.

Außerdem können Sie LinkedIn Insight Tag, Hotjar und Microsoft Clarity verknüpfen. Nach Verknüpfen zeigt der Builder "Dieser Dienst setzt Cookies, daher ist der Cookie-Banner jetzt eingeschaltet." Auf der kostenlosen Adresse funktionieren Google Analytics 4, Google Ads, das Meta-Pixel, LinkedIn, Clarity und Plausible; Google Tag Manager, Hotjar und eigener Code sind erst auf einer Website mit Paket verfügbar.

Warum steht Plausible unter Notwendig? Plausible misst ohne Cookies und ohne etwas auf dem Gerät zu speichern, daher gilt die Cookie-Regel (in Deutschland § 25 TDDDG) nicht und der Builder lädt es ohne Banner. Die DSGVO gilt trotzdem: Nennen Sie es in Ihrer Datenschutzerklärung. Google Analytics 4 behandelt der Builder immer als Statistik mit Einwilligung, auch wenn er die IP-Adresse kürzt. Das ist die sichere Wahl: Ob Analytics ohne Einwilligung möglich ist, hängt von vielen Einstellungen ab.

Drei Fallen:

1. Messcode in den Chat oder ein Widget einfügen. Der Builder verweist Sie dann auf Einstellungen, Integrationen: Nur dort weiß der Banner davon.
2. Eigenen Code auf notwendig setzen. Unter Integrationen steht ganz unten Eigener Code. Skripte bekannter Dienste hält der Banner dort zurück. Mit dem Schalter Dieser Code ist notwendig wird der Code sofort geladen, auch ohne Einwilligung. Wählen Sie das nur für Code, den Ihre Website braucht und der niemanden verfolgt. Meldet der Builder Adressen, die er nicht erkennt, setzen Sie den Code nicht auf notwendig.
3. Tag Manager als Blackbox. Der Builder lädt den Container erst nach der Einwilligung für Marketing, aber was darin steckt, sieht er nicht. Für jeden Tag darin sind Sie selbst verantwortlich.

Selbst testen

Prüfen Sie das nach jeder neuen Integration und aktualisieren Sie auch Ihre Datenschutzerklärung (Lektion 7.1):

1. Öffnen Sie Ihre echte Website (nicht die Vorschau im Builder) in einem privaten Fenster.
2. Öffnen Sie die Entwicklerwerkzeuge Ihres Browsers (oft F12) und wählen Sie den Tab Netzwerk. Laden Sie die Seite neu.
3. Suchen Sie nach Anfragen an Dienste wie google-analytics.com, googletagmanager.com oder facebook.net. Vor Ihrer Entscheidung darf dort nichts erscheinen.
4. Klicken Sie auf Alle akzeptieren und sehen Sie erneut nach: Jetzt erscheinen sie.
5. Klicken Sie unten auf Cookie-Einstellungen, wählen Sie Nur notwendige und prüfen Sie im Tab mit dem Speicher und den Cookies Ihrer Website (in Chrome Anwendung, in Firefox Web-Speicher), ob die Cookies _ga verschwunden sind.

Zusammenfassung

• Die ePrivacy-Richtlinie (in Deutschland § 25 TDDDG) verlangt eine Einwilligung für Cookies und vergleichbare Techniken, außer für das unbedingt Erforderliche; die Niederlande nehmen zusätzlich eingeschränkt analytische Cookies aus, Deutschland nicht.
• Ablehnen muss genauso einfach sein wie Akzeptieren, ebenso das spätere Ändern einer Entscheidung.
• Der AI Builder schaltet den Banner automatisch ein, sobald etwas eine Einwilligung erfordert, und lädt Integrationen, Widgets und Videos erst nach der Einwilligung für ihre Kategorie.
• Tragen Sie Messdienste unter Einstellungen > Integrationen ein, nicht im Chat oder in einem Widget; setzen Sie eigenen Code nur auf notwendig, wenn er niemanden verfolgt.
• Testen Sie nach jeder neuen Integration in einem privaten Fenster mit dem Tab Netzwerk.

Quiz

Aufgabe

Aufgabe A7.2: Kein Messcode ohne Einwilligung. Verknüpfen Sie, wenn Sie möchten, einen Messdienst über Einstellungen > Integrationen, stellen Sie Ihre Website erneut online und geben Sie die Webadresse Ihrer AI Builder-Website ein. Das Programm öffnet Ihre Seiten wie ein neuer Besucher, der noch nichts gewählt hat, ohne Cookies und ohne JavaScript auszuführen. Es prüft, ob ein Mess- oder Werbeskript (etwa Google Analytics, Tag Manager, Google Ads oder das Meta-Pixel) direkt geladen wird, statt auf die Einwilligung zu warten, ob Cookies solcher Dienste gesetzt werden und ob ein Cookie-Banner auf der Seite steht, wenn Ihre Website Dienste von Drittanbietern nutzt. Nutzen Sie keine Dienste von Drittanbietern oder nur Plausible, ist das ebenfalls in Ordnung.

Weiterführende Links

• Faustregeln für verständliche Cookie-Banner (Autoriteit Persoonsgegevens, niederländische Quelle): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/vuistregels-heldere-cookiebanners
• Cookies (Autoriteit Persoonsgegevens, niederländische Quelle): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Besucher messen ohne Cookie-Banner
• Telecommunicatiewet (niederländisches Telekommunikationsgesetz), Artikel 11.7a (wetten.overheid.nl, niederländische Quelle): https://wetten.overheid.nl/BWBR0009950/
• Kostenloser Kurs Online gefunden werden 8.1: Messen mit einer datenschutzfreundlichen Analyse