Auf dem Handy verdeckt das Cookiebanner den Anfrageknopf. Nach „Ablehnen“ verschwindet es zwar, doch ob die Werbemessung tatsächlich ausgeschaltet bleibt, ist damit noch nicht geprüft. Zwei unterschiedliche Probleme treffen hier zusammen: die Bedienung der Website und die technische Umsetzung der Auswahl.

Wenn Sie ein Cookiebanner einrichten oder überarbeiten lassen, sollten Sie deshalb mehr als sein Aussehen freigeben. Mit vier klar beschriebenen Zuständen können Sie einen überschaubaren Prüfauftrag vereinbaren: erster Besuch, Ablehnung, gezielte Zustimmung und späterer Widerruf.

Vor der Gestaltung festhalten, was die Website verwendet

Der Dienstleister braucht zunächst eine Liste der tatsächlich eingesetzten Funktionen. Welche Statistik läuft? Gibt es Werbemessung, eingebettete Medien oder einen externen Chat? Welche Speicherungen und Verbindungen entstehen dabei? Die Bezeichnung eines Plugins allein beantwortet diese Fragen nicht.

§ 25 TDDDG betrifft das Speichern von Informationen auf einem Endgerät und den Zugriff darauf. Er verlangt grundsätzlich eine informierte Einwilligung. Eine Ausnahme gilt unter anderem für Speicherungen oder Zugriffe, die unbedingt erforderlich sind, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Nicht jede Website braucht daher automatisch eine Einwilligungsabfrage. Die weitere Verarbeitung personenbezogener Daten ist zusätzlich gesondert zu beurteilen.

Die Zuordnung zu „notwendig“ oder „optional“ wird vor dem Einbau für die konkrete Einrichtung geklärt. Ein Dienst wird nicht dadurch erforderlich, dass sein Anbieter ihn so nennt oder dass er für Ihre Werbung nützlich ist. Erst mit dieser Grundlage lässt sich sagen, welches Verhalten nach einer Auswahl erwartet wird.

Beispiel: Eine Reparaturwerkstatt mit zwei optionalen Zwecken

Die folgende Werkstatt und alle Prüfsituationen sind erfundene Beispiele. Sie zeigen einen möglichen Auftrag, keine bereits geprüfte Kundenwebsite. Die Werkstatt möchte wissen, welche Inhalte gelesen werden, und die Wirkung ihrer Anzeigen auswerten. Für dieses Beispiel wurde vorab festgelegt: Beide Messungen werden nur mit der jeweils passenden Einwilligung eingeschaltet. Eine Reparaturanfrage bleibt davon unabhängig möglich.

Vereinbarter Funktionsumfang im Beispiel
Bereich	Festlegung für die Umsetzung
Reparaturanfrage	Formular, Rückmeldung und Zustellung funktionieren auch ohne Statistik- oder Werbeeinwilligung.
Besucherstatistik	Eigener optionaler Zweck; wird durch die Zustimmung zur Statistik erlaubt.
Werbemessung	Eigener optionaler Zweck; eine Zustimmung nur zur Statistik schaltet sie nicht mit ein.

Das Beispiel enthält bewusst nur zwei optionale Zwecke. Ihre tatsächliche Liste kann anders aussehen. Sie muss auch zu den Anbieterangaben und den Informationen über die Datenverarbeitung passen. Ein kurzes Banner darf diese Abstimmung nicht durch unklare Sammelbegriffe ersetzen.

Die Auswahl muss verständlich und gleichwertig erreichbar sein

Für die Werkstatt werden „Alle ablehnen“, „Alle akzeptieren“ und die individuellen Einstellungen deutlich erkennbar angeboten. Die optionalen Schalter beginnen ausgeschaltet. Ein unbeschriftetes Kreuz wird nicht als Zustimmung verwendet. Auch Weiterklicken oder Scrollen löst keine Einwilligung aus.

Das DSK-Kurzpapier zur Einwilligung, Stand 23. September 2026, erläutert insbesondere die aktive Entscheidung und die freie Wahl. Nicht einzuwilligen darf demnach nicht aufwendiger sein als einzuwilligen. Für die Abnahme bedeutet das: Lassen Sie beide Wege von einer Person finden, die das Banner noch nicht kennt, und zählen Sie die notwendigen Schritte.

Die Buttons müssen nicht aufgrund einer allgemeinen Vorschrift dieselbe Farbe besitzen. Der Bericht der EDSA-Taskforce zu Cookiebannern verlangt eine Betrachtung der konkreten Gestaltung und beschreibt irreführende Farben, Kontraste und versteckte Alternativen als Probleme. Für unser Beispiel wählen wir vergleichbare Größe, Lesbarkeit und visuelle Gewichtung. Das ist eine nachvollziehbare Gestaltungsentscheidung, kein pauschales Prüfsiegel.

Vier Zustände mit getrennten Nachweisen prüfen

Beginnen Sie den ersten Test mit einem Browserzustand ohne frühere Auswahl. Halten Sie Browser, Gerät, getestete Seitenadresse und Zeitpunkt fest. Der technische Prüfer dokumentiert außerdem Schutzfunktionen oder Erweiterungen, die Dienste unabhängig vom Banner blockieren könnten. Sonst kann eine fehlende Verbindung fälschlich als Beweis für eine funktionierende Einwilligungssperre erscheinen.

1. Neuer Besuch ohne Entscheidung

Öffnen Sie die Startseite und eine wichtige Leistungsseite, ohne im Banner etwas auszuwählen. Sind Zweck, Handlungsoptionen sowie Anbieter- und Datenschutzhinweise erreichbar? Im Werkstattbeispiel sollen die Seiten bereits benutzbar sein. Der technische Prüfer kontrolliert parallel, dass die beiden einwilligungsbedürftigen Messungen noch nicht beginnen. Ein bloßer Screenshot des Banners reicht dafür nicht.

2. Alle optionalen Zwecke ablehnen

Wählen Sie „Alle ablehnen“, wechseln Sie zur Reparaturseite und laden Sie sie erneut. Die Ablehnung soll erhalten bleiben; die beiden Messungen bleiben im vereinbarten Zeitraum ausgeschaltet. Senden Sie eine deutlich gekennzeichnete Testanfrage und kontrollieren Sie ihren Eingang bei der zuständigen Person. Das Banner darf eine normale Anfrage nicht stillschweigend von Werbeeinwilligung abhängig machen.

3. Nur einen Zweck erlauben

Starten Sie für diesen getrennten Test wieder ohne alte Auswahl. Erlauben Sie ausschließlich die Besucherstatistik. Anschließend wird geprüft, ob die Einstellung erhalten bleibt, die Statistik entsprechend der Vereinbarung arbeiten kann und die Werbemessung weiterhin gesperrt ist. Zusätzlich wird der Weg „Alle akzeptieren“ einmal kontrolliert. Eine gemeinsam beschriftete Schaltfläche darf keine anderen Zwecke auslösen, als vorher erklärt wurden.

4. Die Zustimmung später widerrufen

Bleiben Sie diesmal im Browser mit der gerade erteilten Zustimmung. Öffnen Sie die Datenschutzeinstellungen über den dafür vorgesehenen direkten Zugang und widerrufen Sie die optionalen Zwecke. Prüfen Sie danach die aktuelle Seite sowie einen weiteren Seitenaufruf: Die widerrufene Messung darf nicht weiter auf dieser Einwilligung beruhen. Der technische Bericht hält fest, wie weitere Übertragungen beendet und vorhandene Speicherungen behandelt werden.

Das DSK-Kurzpapier erklärt: Ein Widerruf muss ebenso einfach möglich sein wie die Erteilung und wirkt für die Zukunft. Er macht eine vorher rechtmäßige Verarbeitung nicht rückwirkend unzulässig. „Widerrufen“ ist deshalb nicht gleichbedeutend mit „alle früher übermittelten Daten automatisch gelöscht“. Ein bloßer Farbwechsel des Schalters belegt wiederum noch keinen technischen Stopp.

Auf dem Handy auch die eigentliche Kundenaufgabe durchgehen

Ein Banner kann am großen Bildschirm unauffällig und auf einem kleinen Display kaum bedienbar sein. Öffnen Sie deshalb nicht nur ein verkleinertes Vorschaubild. Gehen Sie auf einem Smartphone den tatsächlichen Weg durch: Leistung ansehen, Entscheidung treffen, Anfragefeld öffnen, Text eingeben und absenden. Prüfen Sie dabei auch Querformat und vergrößerte Schrift.

Wenig Bildschirmhöhe: Informationen und Auswahl bleiben erreichbar, auch wenn die Browserleisten Platz beanspruchen.
Geöffnete Tastatur: Einstellungen oder Überlagerungen verdecken keinen erforderlichen Formularschritt.
Nach der Entscheidung: Abdunklung, unsichtbare Klicksperre und Scrollsperre verschwinden wie vorgesehen.
Nur mit Tastatur: Der aktuelle Fokus ist erkennbar; Auswahl, Einstellungen und Rückkehr zur Website sind bedienbar.

Vereinbaren Sie ausdrücklich, ob ein nichtmodaler Hinweis die Website weiter bedienbar lässt oder ein modaler Dialog zunächst eine Entscheidung verlangt. Bei einem modalen Dialog gehört der Tastaturfokus in den Dialog; beim Schließen wird er sinnvoll zurückgeführt. Das beschreibt das W3C-Dialogmuster als Umsetzungshilfe. Ein visuell nicht blockierendes Banner darf technisch nicht als modales Fenster ausgegeben werden. Wird ein Schließen angeboten, muss seine Bedeutung klar sein; es ist keine Zustimmung.

Bei beiden Varianten werden Ablehnung und Zustimmung fair angeboten. Impressum und Datenschutzhinweise dürfen nicht versperrt werden; darauf weist die DSK-Orientierungshilfe für digitale Dienste hin. Wie Sie die übrigen Kundenwege prüfen, zeigt der Beitrag zum responsiven Webdesign.

Ein Ergebnisprotokoll statt „Banner ist eingebaut“ verlangen

Für jeden Zustand gehören die sichtbare Bedienung, das technische Ergebnis und noch offene Fragen in denselben Bericht. Verlangen Sie einen nachvollziehbaren Nachweis für die vereinbarten Dienste: etwa die geprüften Speicherungen und Netzwerkverbindungen mit ihrer Zuordnung. Unbekannte Vorgänge bleiben als ungeklärt stehen. Eine Liste mit null gefundenen Cookies beweist nicht, dass keinerlei Daten übertragen werden.

Fiktive Beobachtung: „Ablehnen auf dem Smartphone funktioniert. Nach dem erneuten Laden startet trotzdem eine Verbindung zur Werbemessung.“ Die Bedienung ist in diesem Fall gelungen, die technische Prüfung nicht. Die betreffende Einbindung wird korrigiert und derselbe Zustand erneut geprüft. Ein grüner Haken nur beim Buttonklick würde das Problem überdecken.

Das Protokoll beschreibt den tatsächlich geprüften Stand und Umfang. Es bestätigt weder sämtliche Rechtsfragen noch jede mögliche Gerätekombination. Werden später ein neues Video, ein Kartenwidget oder ein Messdienst eingebaut, muss geprüft werden, welche Auswahl und Tests dadurch betroffen sind. Für die Zahlen aus Ihrer Website bleibt außerdem die Unterscheidung zwischen Kontakt-Klicks, zugestellten Nachrichten und passenden Anfragen wichtig.

Für einen konkreten Auftrag genügen zunächst Ihre Webadresse, die bekannten Dienste und der wichtigste Kontaktweg. Über Cookiebanner und Anfrageweg prüfen lassen können Sie beschreiben, was auf Ihrer Website funktionieren soll. Daraus lässt sich eine begrenzte Überarbeitung mit klaren Abnahmepunkten planen.

Cookiebanner prüfen: Auswahl, Widerruf und Anfrageweg