Was macht ein Banner, wenn er Cookie-Kategorien freigibt, die in der Datenschutzerklärung mit keiner Silbe auftauchen? Wer im Bereich Webdesign Köln unterwegs ist, bekommt diese Frage öfter gestellt, als einem lieb ist – und eine ehrliche Antwort gibt es nur, wenn man beide Seiten kennt. Bei der DSGVO 2026 gilt vor allem eines: Cookie Consent und Datenschutzerklärung müssen dieselbe Geschichte erzählen, sonst wird aus zwei Bausteinen eine offene Baustelle.
Ein Muster, das mir ziemlich hartnäckig immer wieder unterkommt: Ein Kunde hat kostenlose Muster-Datenschutztexte aus einem Webdesigner-Forum kopiert, weil es schnell gehen musste. Das funktioniert so lange gut, bis sich am Banner etwas ändert und der Text stehen bleibt. Übrig bleibt eine Datenschutzerklärung, die von Cookies spricht, die es längst nicht mehr gibt – oder die zu denen schweigt, die neu dazugekommen sind.
Cookie Consent und Datenschutzerklärung: Zwei Baustellen, ein Bauplan
Cookie-Consent-Integration bedeutet im Kern, dass Banner und Datenschutzerklärung dieselbe Datenquelle nutzen, statt zwei getrennte Baustellen zu sein. Praktisch heißt das: Das Consent-Tool scannt die Website regelmäßig nach eingesetzten Skripten, ordnet jedes davon einer Kategorie zu – technisch notwendig, Statistik, Marketing – und stellt diese Liste über eine Schnittstelle zur Verfügung. Die Datenschutzerklärung zieht sich die aktuelle Cookie-Tabelle direkt aus dieser Schnittstelle, statt dass jemand die Einträge von Hand abtippt. Ändert sich im Banner etwas – ein neues Marketing-Pixel taucht auf, ein altes Analyse-Skript verschwindet –, zieht der Text in der Erklärung automatisch nach.
Der rechtliche Rahmen dahinter ist klar umrissen: Nicht technisch notwendige Cookies – also Analyse-, Tracking- und Marketing-Cookies – brauchen eine aktive, vorab erteilte Einwilligung nach § 25 TDDDG, in Kraft seit dem 14. Mai 2024 und vormals als TTDSG bekannt. Nur technisch zwingend erforderliche Cookies sind davon ausgenommen. Ich bin dabei kein Anwalt, sondern jemand, der solche Systeme technisch zum Laufen bringt – bei komplexen Shops oder rechtlichen Grenzfällen sollte am Ende immer ein Fachanwalt für IT-Recht draufschauen.
Wann reicht der manuelle Abgleich – und wann wird er zum Risiko?
Rosalie Kirchner, die seit Jahren ein Nagelstudio in Köln-Nippes betreibt und deren Website ich auf Monatspauschale pflege, braucht keine hochkomplexe API-Lösung. Ihre Seite hat ein Kontaktformular, eine eingebettete Anfahrtskarte und ein Buchungs-Widget – mehr nicht. Bei so einem überschaubaren Setup reicht ein solider Generator und ein manueller Abgleich zwei- bis dreimal im Jahr völlig aus, das dauert erfahrungsgemäß eine knappe halbe Stunde.
Für ein derart schlankes Setup wie das von Rosalie tut es oft schon ein einfacher DSGVO Generator für kleine Unternehmen in Kombination mit diesem Abgleich. Ganz andere Regeln gelten dagegen, sobald ein Kunde mit Retargeting-Pixeln oder mehreren Marktplätzen arbeitet: Dort ändert sich die Skript-Liste teils wöchentlich, und ein manueller Abgleich zweimal im Jahr wäre grob fahrlässig.
Coaches und Berater haben bei den Rechtstexten übrigens nochmal eigene Pflichten, die sich vom reinen Cookie-Thema unterscheiden und ein eigenes Kapitel füllen. Ein Online-Shop braucht obendrein noch AGB und ein sauberes Widerrufsrecht – ein eigenes Baustellen-Feld, das ich hier nicht aufmache.
Einen bekannten, kostenlosen Text-Generator habe ich früher öfter empfohlen, weil er den Kunden zunächst Geld sparte. Heute tue ich das nicht mehr: Der Aufwand, die statischen Texte manuell aktuell zu halten, frisst die vermeintliche Ersparnis in wenigen Monaten wieder auf, und bei jedem neuen Plugin beginnt das Nachpflegen von vorne. Ein Impressum Generator für Handwerker oder lokale Betriebe deckt die Basis meist zuverlässiger ab, den Rest erledigt der regelmäßige Blick auf die Skript-Liste.
Die Schnittstelle testen, bevor man sie empfiehlt
Bei einem Spaziergang am Rheinauhafen erzählte mir Wendelin Graef, ein befreundeter Freelance-Entwickler, von einem ganz ähnlichen Fall bei einem seiner Kunden – ein Marketing-Pixel, das der Banner blockierte, während das Skript trotzdem im Hintergrund feuerte. Wendelin bringt bei seinen Bürobesuchen grundsätzlich eine Tüte Kekse mit, ein stilles Ritual, das sich irgendwann von selbst eingebürgert hat – bei einem Thema wie Cookie Consent fast schon passend. Solche Lücken in der Schnittstelle findet man aber nur, wenn man wirklich testet, statt ihr blind zu vertrauen.
Ob ein Tool dabei auf statische oder dynamische Rechtstexte setzt, macht für die Wartung einen großen Unterschied, den ich an anderer Stelle ausführlicher durchgerechnet habe – hier zählt vor allem, ob die Kopplung im Alltag hält. Wer haftet, wenn genau so ein Tool im entscheidenden Moment versagt, ist ohnehin eine eigene Diskussion, die den Rahmen hier sprengen würde.
Ganz anders lief es bei einem anderen Kunden: Eines Morgens lag im Postfach eine unscheinbare Systembenachrichtigung, die meldete, dass die Cookie-Tabelle in der Datenschutzerklärung über Nacht ganz von selbst aktualisiert worden war, weil ein neues Skript aufgetaucht war – kein Anruf, keine Nachbesserung, einfach erledigt.
Was ändert sich für Agenturen mit vielen Kundenseiten?
Für Agenturen, die nicht nur eine, sondern zwei Dutzend Kundenseiten gleichzeitig betreuen, verschiebt sich die Rechnung noch einmal. Agentur-Lizenzen für Consent- und Text-Tools bringen eigene Fragen mit sich, die über den Einzelkunden-Fall weit hinausgehen und ein eigenes Thema für sich sind.
Was ein wirklich rundum durchdachter Auftritt am Ende kostet, wenn man Tool- und Anwaltskosten zusammenzählt, ist ebenfalls eine andere Rechnung als die, die hier im Mittelpunkt steht. Bei einem Kunden mit Sitz in der Schweiz kommt außerdem noch das NDSG ins Spiel, das nochmal andere Regeln setzt als unser TDDDG – ein Detail, das man bei DACH-weiten Projekten nicht übersehen darf.
Der Zeitaufwand macht den Unterschied greifbar. Ein sorgfältiger manueller Abgleich pro Quartal – inklusive Kontrolle aller IDs und Anbieter-Adressen – braucht realistisch 45 bis 60 Minuten. Läuft die Kopplung dagegen über eine Schnittstelle, schrumpft das auf eine kurze Sichtkontrolle von rund 5 Minuten. Wie sich so eine Datenschutz-Wartung für Kunden-Websites automatisieren lässt, hatte ich an anderer Stelle schon einmal Schritt für Schritt aufgeschrieben – hier zählt vor allem die Kopplung selbst.
Fazit: Welches Setup zu welchem Kunden passt
Am Ende läuft die Entscheidung auf eine einfache Faustregel hinaus. Bei einer schlanken Website mit Kontaktformular und ein, zwei eingebetteten Diensten reicht ein solider Generator plus ein regelmäßiger manueller Abgleich – die Zeit dafür lässt sich fest im Kalender einplanen. Sobald Retargeting, mehrere Marktplätze oder wechselnde Drittanbieter-Skripte im Spiel sind, gehört eine Schnittstelle zwischen Banner und Datenschutzerklärung dazu, sonst reißt die Synchronisation genau dann, wenn es niemand bemerkt.
Wer beides vermischt – Automatisierung bei der einfachen Visitenkarten-Seite, Handarbeit beim datenhungrigen Shop –, dreht die Prioritäten um und verschenkt entweder Zeit oder Sicherheit. Ein gutes System kennt seine Werkzeuge und weiß, wann eine Kopplung reicht und wann eine Schnittstelle Pflicht wird.