How to Consent - Management – Abmahnungen wirksam vermeiden

„Wir nutzen Cookies, um dir das beste Einkaufserlebnis zu bieten.“ – Mehr steht auf vielen Bannern im E-Commerce noch immer nicht. Dazu ein riesiger, auffälliger „Alle akzeptieren“-Button, während die Ablehnung im Kleingedruckten versteckt wird. Doch Vorsicht: Für Online-Händler*innen ist ein rechtssicheres Consent-Management längst keine lästige Formalie mehr, sondern ein existenzieller Compliance-Baustein. Wir erklären dir praxisnah, worauf es ankommt und wie du Abmahnungen sowie Bußgelder vermeidest.

1. Warum du einen Consent-Manager brauchst–Rechtslage & Abmahnfallen

Viele Shopbetreiber*innen sprechen umgangssprachlich vom „Cookie-Banner“. Doch dieser Begriff greift juristisch viel zu kurz. Es geht längst nicht mehr nur um klassische HTTP-Cookies, sondern um jeden technisch denkbaren Zugriff auf die Endeinrichtung der Nutzer*innen – egal ob Local Storage, Session Storage, Pixel-Tags, Web Beacons, Werbe-IDs oder geräteübergreifendes Browser-Fingerprinting.

Die rechtliche Weichenstellung ist im deutschen Recht in § 25 Abs. 1 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz) verankert. Die Grundregel lautet: Das Speichern von Informationen auf dem Endgerät oder der Zugriff auf dort bereits gespeicherte Informationen ist grundsätzlich nur nach einer vorherigen, aktiven und informierten Einwilligung zulässig.

Besonders wichtig für die Praxis: Der Schutz nach § 25 TDDDG greift völlig unabhängig davon, ob bei dem Speicher- oder Auslesevorgang überhaupt personenbezogene Daten verarbeitet werden. Das hat die Datenschutzkonferenz (DSK) in ihrer aktuellen Orientierungshilfe für Anbieter*innen digitaler Dienste (OH Digitale Dienste) unmissverständlich klargestellt. Werden im Nachgang personenbezogene Daten verarbeitet (bspw. IP-Adressen verknüpft, Nutzerprofile gebildet), greift kumulativ die DSGVO (insbesondere Art. 6 Abs. 1 lit. a DSGVO).

Bereits in den Grundsatzurteilen EuGH „Planet49“ (C-673/17) und dem nachfolgenden BGH-Urteil wurde festgeschrieben: Eine Einwilligung erfordert eine unmissverständliche, aktive Handlung. Voreingestellte Häkchen oder ein Weitersurfen als vermeintliche Zustimmung sind absolut unwirksam.

Vorstöße der Bundesregierung, Consent-Management-Plattformen durch anderweitige Dienste zur Einwilligungsverwaltung (vgl. § 26 TDDDG) zu ersetzen, finden in der Praxis noch wenig Anklang. Auch wenn mit dem Tool „Consenter“ der Berliner Legal-Tech-Firma Law & Innovation Technology ein erster solcher Dienst anerkannt wurde, ist die Verwendung dieses Dienstes sowohl bei Betroffenen, also den Webseiten-Besucher*innen, wie auch den Webseiten-Anbieter*innen noch vernachlässigbar.

2. Kategorien in der CMP: Die alles entscheidende Weichenstellung

In fast allen gängigen Consent-Management-Plattformen finden sich Standard-Kategorien wie „Essenziell“, „Analyse / Statistik“ und „Marketing / Personalisierung“. Diese Dreiteilung ist für die Nutzerführung und Übersichtlichkeit nützlich, führt Händler*innen jedoch häufig auf rechtliches Glatteis.

Denn gemessen an dem Risikopotential gibt es primär nur eine einzige, strenge Trennlinie: „Einwilligungspflichtig“ vs. „Nicht einwilligungspflichtig (unbedingt erforderlich / essenziell)“.

Die enge Ausnahme: Wann ist etwas wirklich „essenziell“?

Gemäß § 25 Abs. 2 Nr. 2 TDDDG entfällt die Einwilligungspflicht nur dann, wenn das Speichern oder Auslesen unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.

Die Aufsichtsbehörden (u. a. die FAQ des LfDI Baden-Württemberg) legen diesen Ausnahmetatbestand extrem eng aus. Wirtschaftliches Interesse des Händlers, Standard-Voreinstellungen der Shop-Software oder das bloße „Messen wollen von Verkäufen“ machen ein Tool keinesfalls essenziell!

Sind eingebundene Dienste als einwilligungspflichtig anzusehen, ist es wichtig, dass Webseiten-Besucher*innen jeden Dienst einzeln an- und abwählen können. Ein in der Praxis häufig anzutreffender Fehler bei der Gestaltung von Consent-Managern ist es, dass Betroffene lediglich in eine der o.g. Kategorien einwilligen können, anstelle der Ausführung eines expliziten Dienstes. Damit lässt sich keine freiwillige und aktiv bestimmte Einwilligung einholen.

3. Wie der Consent-Manager aufgebaut sein muss – der Layered Approach

Niemand möchte beim Betreten eines Online-Shops von einer 20-seitigen Rechtsbelehrung erschlagen werden. Die Aufsichtsbehörden befürworten daher ausdrücklich den sogenannten „Layered Approach“ (Mehrstufiges Informationsmodell). Das bedeutet: Transparenz aufgeteilt in zwei oder mehr klar strukturierte Ebenen.

Ebene 1 (das eigentliche Banner): Die Pflichtangaben beim ersten Kontakt

Auf der ersten Ebene müssen alle wesentlichen Kerninformationen sofort ins Auge springen. Ein vages „Wir nutzen Cookies“ reicht nicht aus. Folgende Angaben sind zwingend erforderlich:

• Verantwortliche Stelle: Wer erhebt die Daten bzw. setzt die Technologien ein?
• Konkrete Zwecke: Wozu dienen die optionalen Tools? (z. B. Reichweitenmessung, Auswertung des Nutzerverhaltens, personalisierte Werbung).
• Empfänger & Dritte: Klarer Hinweis darauf, dass Daten an externe Partner und Dienstleister fließen.
• Widerrufs- und Freiwilligkeitshinweis: Deutlicher Hinweis, dass die Einwilligung freiwillig ist und jederzeit für die Zukunft widerrufen werden kann.
• Eindeutige Schaltflächen: Gleichwertige Aktionsmöglichkeiten (s.u.).
• Name des Dienstes & Anbieter: Genaue Firmenbezeichnung und Sitz des Anbieters inklusive Verlinkung zu dessen Datenschutzhinweisen.
• Genauer Zweck & Funktionsweise: Was macht das Tool konkret im Shop?
• Zugriffsart & Speicherdaten: Welche Informationen werden abgelegt oder ausgelesen (Cookies, Local Storage etc.)?
• Funktionsdauer / Speicherdauer: Wie lange bleiben Cookies bzw. eine Kennung auf dem Endgerät gespeichert (z. B. 24 Stunden, 13 Monate)?
• Drittstaatentransfer: Werden Daten in Länder außerhalb der EU/des EWR übertragen (z. B. USA)? Hinweis auf das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
• Kein Ablehnen-Button auf Ebene 1: Nutzer müssen erst in ein Untermenü klicken und Schalter deaktivieren -> Rechtswidrig!
• Optische Asymmetrie: Riesiger auffälliger Button für „Akzeptieren“, grauer Mini-Button für „Ablehnen“ -> Unzulässige Beeinflussung.
• Vorausgewählte Checkboxen: Vorgekreuzte Haken bei Analyse- oder Marketing-Kategorien im Detailmenü -> Unwirksame Einwilligung.
• Zustimmung durch Weitersurfen („Scroll-Consent“): Bloßes Weiterscrollen oder Klicken auf Shopseiten gilt niemals als freiwillige Einwilligung.
• Schließen-Kreuzchen mit unklarer Rechtsfolge: Ein „X“ oben rechts, das heimlich alle Tracking-Skripte im Hintergrund aktiviert.
  
  

Ebene 2 (die Detail-Einstellungen): Lückenlose Dienstleister-Transparenz

Klicken Kund*innen auf „Einstellungen“ oder „Mehr erfahren“, muss die CMP volle Transparenz bieten. Hier dürfen Dienste nicht einfach anonym in Kategorien versteckt werden. Für jeden einzelnen eingebundenen Drittdienst (bspw. Google Analytics, Meta Pixel, Klaviyo) müssen folgende Informationen hinterlegt sein:

Weitere Möglichkeit: Die Datenschutzhinweise

Lassen sich bestimmte Dienste-Informationen nicht auf der zweiten Ebene des Consent-Managers hinterlegen, so bieten auch die Datenschutzhinweise eine gute Verortung, etwaige Informationspflichten zu erfüllen.

4. Button-Gestaltung: Ablehnen muss genauso einfach sein wie Akzeptieren!

Hier lauert das mit Abstand größte Abmahnrisiko im E-Commerce: Unzulässiges Nudging und Dark Patterns. Viele Händler gestalten den „Alle akzeptieren“-Button in leuchtender Signalfarbe, während die Ablehnung hinter einem winzigen, kontrastarmen Link namens „Einstellungen verwalten“ versteckt wird.

An der Freiwilligkeit der Einwilligung fehlt es nicht nur beim Nudging, sondern erst recht, wenn der „Ablehnen“-Button bzw. eine gleichwertige alternative „Ablehnen“-Möglichkeit gar nicht erst vorhanden ist. Die „Ablehnen“-Möglichkeit muss dabei ebenso auf der ersten Ebene integriert sein, sodass die Ablehnung nicht komplizierter als die Einwilligung ist. Nach deutscher Rechtsprechung (LG München I, Urteil v. 29.11.2022- 33 O 14776/19; OLG Köln, Urteil v. 19.1.2024 – 6 U 80/23 oder auch VG Hannover, Urteil v. 19.3.2025 – 10 A 5385/22), aber auch der Auffassung der Behörden (vgl. DSK Orientierungshilfe Digitale Dienste), ist eine freiwillige Einwilligung ohne eine gleichwertige „Alles ablehnen"-Lösung auf erster Ebene nicht möglich. Um Risiken in der Freiwilligkeit der Abgabe einer Einwilligung zu vermeiden, sollte auf der Ebene des „Akzeptieren“-Buttons auch ein gleichwertig gestalteter „Ablehnen“-Button vorhanden sein.

Typische Dark-Pattern-Fallen, die du sofort abstellen solltest:

5. Technische Vorab-Blockierung, Widerruf & Dokumentation

Ein Consent-Manager ist nur so gut wie seine technische Integration in das Shopsystem. Rechtlich und technisch müssen drei zentrale Aspekte zwingend gewährleistet sein:

Das Vorab-Blockierungs-Prinzip (Prior Consent)

Einwilligungspflichtige Skripte und Tags dürfen erst dann gefeuert werden, nachdem die Person aktiv auf „Alle akzeptieren“ oder „Auswahl speichern“ geklickt hat! Viele Shops begehen den gravierenden Fehler, dass Tracking-Pixel über den Google Tag Manager oder Shop-Plugins bereits beim initialen Laden der Seite starten, noch während das Banner angezeigt wird. Das stellt einen Datenschutzverstoß dar, der zwar häufig von den Webseiten-Betreibenden nicht bewusst verursacht wird, sich aber durch unzureichende technische Blockierung der eingebundenen Dienste oft einschleicht. Eine Kontrollmöglichkeit kann es sein, die Webseite zu besuchen und innerhalb des Browsers über einen Klick auf die rechte Maustaste „Untersuchen“ aufzurufen und dort die ausgeführten Dienste vor und nach Consent-Erteilung zu überprüfen (bspw. „Debugger“ und „Web-Speicher“ bei Firefox oder „Sources“ und „Application“ bei Chrome). Werden einwilligungspflichtige Dienste vor Erteilung einer Einwilligung angezeigt, muss die technische Einbindung der CMP bzw. der Dienste innerhalb der CMP überprüft werden.

Leicht erreichbare Widerrufsmöglichkeit

Nach Art. 7 Abs. 3 DSGVO muss der Widerruf der Einwilligung genauso einfach sein wie die Erteilung. Es genügt nicht, in der Datenschutzerklärung zu schreiben, der Nutzer möge seine Browser-Cookies löschen. Biete ein dauerhaft sichtbares Icon („Fingerabdruck“ / „Cookie-Einstellungen“) oder einen festen Link im Footer deines Online-Shops an, über den das Einstellungsmenü mit einem Klick erneut aufgerufen werden kann.

Protokollierung und Rechenschaftspflicht (Art. 5 Abs. 2 DSGVO)

Als Händler bist du nachweispflichtig dafür, dass eine wirksame Einwilligung vorlag. Moderne CMPs vergeben dafür pseudonyme Consent-IDs, dokumentieren den genauen Zeitstempel, die gewählten Kategorien und die angezeigte Banner-Version. Achte darauf, dass dieses Consent-Logging datensparsam arbeitet und keine IP-Adressen im Klartext speichert.

Unser Tipp:

Ein datenschutzkonformes Consent-Management ist kein Hexenwerk, erfordert aber Sorgfalt bei der Pflege der Inhalte und der technischen Konfiguration. Wer auf transparente Nutzerinformationen, einen echten Layered Approach und faire, gleichwertige Buttons setzt, schützt seinen Online-Shop wirksam vor Abmahnungen und baut gleichzeitig nachhaltiges Vertrauen bei seinen Kund*innen auf.