Kurz gesagt: Ja, sobald Ihre WordPress‑Seite auf dem Endgerät der Besucher schreibt oder liest, oder externe Dienste wie Google Fonts, YouTube oder Analytics lädt, brauchen Sie ein Opt‑In‑Banner mit gleichwertiger Ablehnungsoption. Die Kernanforderungen sind schnell benannt: Zustimmung vor dem Laden nicht notwendiger Cookies, ein Ablehnen‑Button auf der ersten Ebene ohne Mehraufwand und ein lückenloses Consent‑Log. Der erste Schritt ist ein technisches Schnellscreening Ihrer Seite im Inkognito‑Modus mit geöffnetem Network‑Tab.
Kurz gesagt:
- Für jede WordPress-Seite, die externe Ressourcen wie Google Fonts, YouTube oder Analytics lädt, ist ein Opt‑In‑Banner mit gleichwertiger Ablehnungsoption erforderlich.
- Das Banner muss auf der ersten Ebene klare, einfach zugängliche Zustimmungs- und Ablehnungsoptionen bieten, ohne versteckte oder schwer erreichbare Schaltflächen.
- Ein vollständiges Audit sollte vor der Implementierung alle Drittanbieter‑Requests, Cookies und LocalStorage‑Einträge im Incognito‑Modus dokumentieren, insbesondere bei Page‑Builder-Plugins.
- Technisch sind Blockierungsmechanismen wie Script-Wrapper oder Consent Mode v2 notwendig, um das Laden von nicht notwendigen Skripten nur nach aktiver Zustimmung zu gewährleisten.
- Laufende Kontrolle durch manuelle Tests und automatisierte Scans mit dauerhaftem Belegarchiv schützen vor Compliance‑Verlust durch Plugin-Updates oder neue Drittanbieter-Requests.
Inhaltsverzeichnis
- Rechtliche Grundlagen in Deutschland: §25 TDDDG, DSGVO und DSK‑Leitlinien
- Praxis‑Checkliste für WordPress: So prüfen Sie Ihre Seite
- Technische Umsetzung: Blocker, Consent Mode v2 und Consent‑Log
- Setup‑Beispiel: So bauen Sie das Banner Schritt für Schritt ein
- Testen und laufende Kontrolle: So bleibt Ihr Banner rechtssicher
- Werbeeinfach: Umsetzung und Betreuung für Ihr Cookie‑Banner
- Quellen
- FAQ
Rechtliche Grundlagen in Deutschland: §25 TDDDG, DSGVO und DSK‑Leitlinien
Zwei Gesetze greifen ineinander, und genau das verwechseln viele Websitebetreiber. §25 TDDDG regelt ausschließlich den technischen Vorgang: das Speichern und Auslesen von Informationen auf dem Endgerät Ihrer Besucher. Für Tracking- oder Marketing‑Cookies ist dafür eine aktive Einwilligung nötig, Ausnahmen bestehen nur für Cookies, die für den reinen Betrieb der Seite unbedingt erforderlich sind, etwa ein Warenkorb‑Cookie im Shop.
Direkt danach setzt die DSGVO an. Sobald personenbezogene Daten verarbeitet werden, etwa durch Google Analytics oder ein Werbenetzwerk, müssen Sie die Kriterien für eine wirksame Einwilligung nach Art. 4 Nr. 11 und Art. 7 DSGVO erfüllen. Die Orientierungshilfe der Datenschutzkonferenz trennt diese beiden Stufen bewusst: Erst die Frage, ob überhaupt auf dem Gerät zugegriffen wird, dann die Frage, ob die anschließende Verarbeitung gerechtfertigt ist. Für Ihr Banner heißt das konkret, dass die erste Ebene bereits konkrete Zwecke benennen muss, nicht nur einen pauschalen „Wir nutzen Cookies“-Hinweis.
Die DSK-Leitlinien geben drei Grundsätze vor, die praktisch jedes Prüfverfahren abklopft:
- Ablehnen muss auf der ersten Ebene genauso einfach sein wie Zustimmen, ohne Untermenüs oder zweiten Klick.
- Voreingestellte Häkchen bei optionalen Kategorien sind unzulässig.
- Das Banner darf keine Dark Patterns nutzen, etwa einen grau hinterlegten Ablehnen‑Button neben einem grün leuchtenden Zustimmen‑Button.
Der BfDI hält fest, dass Nutzer eine gleichwertige Wahl zwischen Zustimmen und Ablehnen auf der ersten Ebene erhalten müssen, und dass diese Einwilligung dokumentiert werden muss. Genau dieser Punkt taucht in Prüfverfahren bayerischer Behörden immer wieder auf, wenn Banner zwar einen Zustimmen‑Button, aber keinen gleichwertigen Ablehnen‑Button zeigen.
Praxis‑Checkliste für WordPress: So prüfen Sie Ihre Seite
Bevor Sie ein Plugin konfigurieren, müssen Sie wissen, was Ihre Seite tatsächlich lädt. Viele WordPress‑Installationen ziehen unbemerkt externe Ressourcen nach, weil Themes und Page‑Builder das im Hintergrund erledigen. TrustYourWebsite zeigt, dass CDN‑Fonts, eingebettete YouTube‑Videos und Analytics‑Snippets zu den häufigsten Auslösern der Bannerpflicht gehören, oft ohne dass der Betreiber es bemerkt.
So gehen Sie den Audit systematisch an:
- Öffnen Sie Ihre Seite im Inkognito‑Fenster, bevor irgendein Cookie‑Consent gesetzt wurde.
- Öffnen Sie die Entwicklertools und filtern Sie den Network‑Tab nach Requests, die vor jedem Klick abgeschickt werden.
- Notieren Sie jeden Drittanbieter‑Request: Google Fonts, Google Maps, YouTube‑Embeds, Werbeskripte, Social‑Media‑Widgets.
- Prüfen Sie unter „Application“ beziehungsweise „Storage“, welche Cookies und LocalStorage‑Einträge bereits gesetzt wurden.
- Machen Sie einen Screenshot Ihrer aktuellen Ebene‑1‑Anzeige, das dient später als Beleg.
Besonders tückisch sind Page‑Builder‑Module wie Slider, Karten oder Video‑Widgets, die serverseitig gar nicht als „externer Dienst“ auffallen, aber im Frontend munter Drittanbieter‑Requests auslösen. Messen Sie die Anzahl der Requests vor dem ersten Klick, das ist Ihr wichtigster Kennwert.
Profi-Tipp: Suchen Sie im Network‑Tab gezielt nach Domains, die nicht Ihre eigene sind. Alles, was von fonts.googleapis.com, maps.google.com oder ähnlichen Drittanbietern kommt, bevor der Nutzer geklickt hat, ist ein Compliance‑Risiko.
Technische Umsetzung: Blocker, Consent Mode v2 und Consent‑Log
Ein Banner allein löst nichts, wenn die dahinterliegende Technik weiterhin Skripte lädt. Die eigentliche Arbeit passiert im Blockierungsmechanismus. Ein Content‑Blocker unterbindet das Ausführen von Skripten, bis der Nutzer zugestimmt hat, meist über Script‑Wrapper, die den Original‑Code in ein type="text/plain"-Attribut verpacken und erst nach Einwilligung aktivieren. Bei Nutzung eines Tag‑Managers muss diese Blockierung dort ebenfalls verankert sein, sonst feuert der Manager unabhängig vom Banner.
Für Websites mit Google Analytics oder Google Ads ist der Google Consent Mode v2 relevant. Er übermittelt den Zustimmungsstatus an Google‑Dienste, auch wenn keine volle Einwilligung vorliegt, und ermöglicht so eine modellierte, datensparsame Messung statt eines kompletten Blackouts. Ohne diese Integration drohen bei aktivierten Google‑Diensten Messlücken oder Warnungen in der Google-Ads-Konsole.
Ihr Consent‑Log sollte mindestens folgende Angaben enthalten:
- Zeitstempel der Einwilligung oder Ablehnung
- Die genauen Kategorien, denen zugestimmt wurde
- Die verwendete Banner‑Version, damit spätere Änderungen nachvollziehbar bleiben
- Eine eindeutige Nutzer‑ oder Sitzungskennung ohne Personenbezug
Ein einfacher Zeitstempel ohne rekonstruierbaren Banner‑Zustand reicht in der Praxis oft nicht aus. Behörden und Gerichte wollen sehen, welche Oberfläche der Nutzer tatsächlich vor Augen hatte, als er zugestimmt hat, nicht nur, dass irgendeine Zustimmung protokolliert wurde.
Ein brauchbares Plugin sollte deshalb einen automatischen Scanner mitbringen, der neue Skripte erkennt, individuell konfigurierbare Kategorien statt starrer Vorlagen bieten und einen CSV‑Export des Consent‑Logs ermöglichen. Wer hier auf eine individuelle Plugin‑Entwicklung setzt statt auf ein Standardprodukt, kann den Blocker exakt an die eigenen Skripte anpassen, statt Kompromisse bei Drittanbieter‑Vorlagen einzugehen.
Setup‑Beispiel: So bauen Sie das Banner Schritt für Schritt ein
Bevor Sie irgendetwas an der Live‑Seite ändern, sichern Sie zuerst alles. Ein fehlerhaft konfigurierter Blocker kann im schlimmsten Fall Ihr komplettes Layout zerschießen, wenn ein Skript blockiert wird, das eigentlich für die Darstellung nötig war.
- Erstellen Sie ein vollständiges Backup und richten Sie eine Staging‑Umgebung ein, in der Sie testen können, ohne Live‑Besucher zu gefährden.
- Identifizieren Sie anhand Ihres Audits alle externen Skripte und ordnen Sie sie Kategorien zu: notwendig, Statistik, Marketing, Sonstiges.
- Konfigurieren Sie das Blocking so, dass jede nicht notwendige Kategorie erst nach aktiver Zustimmung lädt.
- Aktivieren Sie den Consent Mode v2, falls Google‑Dienste im Einsatz sind, und verknüpfen Sie ihn mit Ihrem Tag‑Manager.
- Gleichen Sie Ihre Datenschutzerklärung mit den tatsächlich eingesetzten Diensten ab, jede Kategorie im Banner sollte dort auch namentlich auftauchen.
- Testen Sie auf Staging im Inkognito‑Modus erneut, bevor Sie live gehen.
- Exportieren Sie nach dem Go‑Live das erste Consent‑Log als Beleg für den Startzustand.
Typische Fallstricke tauchen fast immer an den gleichen Stellen auf: Theme‑eigene CDN‑Verbindungen zu Google Fonts, die im Theme‑Editor versteckt sind, Page‑Builder‑Skripte, die unabhängig vom Cookie‑Plugin laden, und Inline‑Skripte, die Entwickler direkt in Widgets eingebettet haben und die der Scanner deshalb übersieht. Wer hier unsicher ist, findet in unserem Praxis‑Leitfaden zum Datenschutz in WordPress weiterführende Hinweise zur Konfiguration von Themes und Caching‑Layern.
Testen und laufende Kontrolle: So bleibt Ihr Banner rechtssicher
Ein Banner, das im Januar korrekt konfiguriert war, kann im Juni schon wieder lückenhaft sein, weil ein Plugin‑Update ein neues Skript nachzieht. Deshalb gehört der manuelle Test im Inkognito‑Modus mit Network‑Tab in einen festen Rhythmus, ergänzt durch automatisierte Scans, die neue Drittanbieter‑Requests erkennen, sobald sie auftauchen.
Bewahren Sie diese drei Belegtypen dauerhaft auf:
- Einen Screenshot der aktuellen Ebene‑1‑Anzeige des Banners
- Das exportierte Consent‑Log über den relevanten Zeitraum
- Die jeweils aktive Banner‑Version zum Zeitpunkt jeder größeren Kampagne oder Prüfung
Automatisierte Kontrollen bei bayerischen Aufsichtsbehörden haben laut TrustYourWebsite wiederholt gezeigt, dass die fehlende gleichwertige Ablehnungsoption der häufigste Mangel bei geprüften Bannern war. Genau dieser eine Punkt lässt sich mit einem einzigen Blick auf die erste Ebene selbst kontrollieren.
Bei komplexen Drittanbieter‑Integrationen, mehreren Marken auf einer Domain oder regelmäßigen Plugin‑Updates lohnt sich ein externer Support mit festem Prüfintervall, weil interne Teams solche Änderungen im Alltag leicht übersehen.
Werbeeinfach: Umsetzung und Betreuung für Ihr Cookie‑Banner
Werbeeinfach ist die Alternative zum eigenständigen Plugin‑Basteln, wenn Ihnen intern schlicht die Zeit oder das technische Detailwissen fehlt, um jeden Drittanbieter‑Request selbst zu jagen. Statt sich durch Network‑Tabs zu wühlen, übernehmen wir die Plugin‑Anpassung, die Integration von Consent Mode v2 und ein laufendes Monitoring, das neue Skripte erkennt, bevor sie zum Problem werden.
Es gibt Betreuung für WordPress‑Sites und WooCommerce‑Shops für Unternehmen aus ganz unterschiedlichen Branchen, deutschlandweit und nicht nur für Handwerksbetriebe. Wenn interne Ressourcen fehlen oder Sie eine rechtssicher dokumentierte Lösung mit klarer Nachweisführung brauchen, ist eine feste Betreuung sinnvoller als eine einmalige Plugin‑Installation, die beim nächsten Update wieder aus dem Ruder läuft. Es wird auch ein kompletter DSGVO‑Check für Websites angeboten, inklusive Datenschutzerklärung, Consent‑Log‑Struktur und technischer Absicherung.
Eine individuelle Blocker‑Lösung, die exakt zu eingesetzten Skripten passt, statt starrer Standardvorlagen, kann über eine Plugin‑Entwicklung realisiert werden. Ein unverbindlicher Beratungstermin kann über eine Leistungsseite vereinbart werden, um eine aktuelle Konfiguration gemeinsam durchzugehen.
Quellen
Für den rechtlichen Rahmen und die technische Umsetzung lohnt sich der direkte Blick in die Primärquellen:
- DSK — Orientierungshilfe OH Digitale Dienste
- TrustYourWebsite — Brauche ich ein Cookie‑Banner in Deutschland?
Für Formulierungshilfen bei der Datenschutzerklärung selbst bietet auch das Muster für eine WordPress‑Datenschutzerklärung einen brauchbaren Ausgangspunkt.
FAQ
Brauche ich für jede WordPress‑Seite ein Cookie‑Banner?
Nur wenn Ihre Seite nicht notwendige Cookies setzt oder externe Dienste wie Google Fonts, YouTube oder Analytics einbindet, ansonsten genügt oft ein reiner Datenschutzhinweis ohne Einwilligungsbanner.
Was macht einen Cookie‑Banner in Deutschland rechtssicher?
Er muss auf der ersten Ebene eine gleichwertige Wahl zwischen Zustimmen und Ablehnen bieten, konkrete Zwecke nennen und die Einwilligung in einem Consent‑Log dokumentieren.
Reicht ein Standard‑Plugin ohne weitere Konfiguration aus?
Selten, denn Themes und Page‑Builder laden häufig eigene externe Skripte, die ein Standard‑Plugin ohne individuellen Audit gar nicht erkennt und daher auch nicht blockiert.
Wofür brauche ich Google Consent Mode v2?
Er übermittelt den Einwilligungsstatus an Google‑Dienste wie Analytics und Ads, sodass Sie auch bei fehlender Zustimmung eine modellierte Messung erhalten statt komplett leerer Daten.
Kann Werbeeinfach die Cookie‑Banner‑Einrichtung komplett übernehmen?
Ja, Werbeeinfach übernimmt Plugin‑Anpassung, Consent‑Mode‑Integration und laufendes Monitoring, wenn Sie interne Ressourcen oder technisches Detailwissen dafür nicht selbst aufbauen möchten.
