Consent-Management-Plattform

Eine Consent-Management-Plattform (CMP) ist eine Software, die auf deiner Website oder in deiner App die Einwilligung der Besucher in Cookies und andere Tracking-Technologien einholt, speichert und steuert. Das bekannte Cookie-Banner ist dabei nur die sichtbare Oberfläche. Entscheidend ist, was dahinter passiert: Die CMP blockiert Dienste wie Analyse-Tools oder Werbe-Pixel, bis eine gültige Einwilligung vorliegt, protokolliert jede Entscheidung und ermöglicht den Widerruf.

Rechtlicher Hintergrund

Die Einwilligungspflicht ergibt sich aus zwei Regelwerken. § 25 TTDSG verlangt eine Einwilligung für das Speichern von Informationen oder den Zugriff auf Informationen im Endgerät des Nutzers – es sei denn, dies ist für den ausdrücklich gewünschten Dienst unbedingt erforderlich (§ 25 TTDSG). Ergänzend stellt die DSGVO Anforderungen an die Einwilligung selbst: Sie muss freiwillig, informiert, eindeutig und widerrufbar sein, und der Verantwortliche muss nachweisen können, dass sie erteilt wurde (Art. 7 DSGVO).

Die Datenschutzkonferenz hat in ihrer Orientierungshilfe für Anbieter:innen von Telemedien konkretisiert, dass für die meisten Tracking-, Marketing- und Analyse-Cookies eine vorherige Einwilligung nötig ist. Die Aufsichtsbehörden in Deutschland kontrollieren Websites inzwischen regelmäßig stichprobenartig – CMP-Fehler gehören zu den häufigsten Beanstandungen.

Relevanz für KMU

Für dich als KMU ist eine CMP kein optionales Extra, sobald deine Website mehr tut, als rein technisch notwendige Cookies zu setzen. Das betrifft nahezu jede Unternehmenswebsite mit Google Analytics, Facebook-Pixel, eingebetteten YouTube-Videos oder Karten-Diensten. Ohne saubere Einwilligungsverwaltung riskierst du Bußgelder und Abmahnungen. Gleichzeitig liefert dir die CMP den Nachweis der Einwilligung, den Art. 7 Abs. 1 DSGVO verlangt – rein manuell ist das praktisch nicht umsetzbar.

Typische Missverständnisse

• „Ein Banner allein reicht.“ Nein. Ein Hinweis-Banner ohne echte Blockierung lädt Tracking-Dienste oft schon vor der Entscheidung – genau das ist unzulässig. Die CMP muss die Dienste technisch unterbinden, bis eingewilligt wurde.
• „Consent ist nachträglich wählbar.“ Das Gegenteil ist gefordert: Ablehnen muss genauso einfach sein wie Annehmen, und der Widerruf muss jederzeit möglich sein (Art. 7 Abs. 3 DSGVO).
• „Einmal eingerichtet, für immer fertig.“ Neue Dienste, geänderte Tools oder Rechtsprechung (etwa zu Google Fonts oder Analytics) machen regelmäßige Pflege nötig.
• „Consent bei der Anmeldung = Double-Opt-in.“ Das sind unterschiedliche Verfahren: Beim Double-Opt-in bestätigt ein Nutzer etwa einen Newsletter per Klick in einer E-Mail; die CMP steuert dagegen die technische Einwilligung auf der Website selbst.

Prüfpunkte für deine CMP

• Werden alle nicht notwendigen Dienste vor der Einwilligung wirklich blockiert (kontrollierbar in den Browser-Entwicklertools)?
• Gibt es eine gleichwertige Ablehnen-Schaltfläche auf der ersten Ebene – ohne Dark Patterns?
• Wird jede Einwilligung und jeder Widerruf mit Zeitstempel dokumentiert?
• Ist der Widerruf dauerhaft und leicht auffindbar (z. B. Link im Footer oder in der Datenschutzerklärung)?
• Wird die Consent-Liste gepflegt, wenn neue Tools oder Cookies hinzukommen?
• Wo werden die Consent-Daten gehostet, und besteht bei US-Anbietern eine belastbare Rechtsgrundlage für die Datenübertragung?

Einordnung

Im deutschen Markt konkurrieren Anbieter wie Usercentrics, Cookiebot (Usercentrics), Consentmanager und CCM19. Die Wahl hängt vor allem von Website-Umfang, Preismodell (oft pro Domain und Seitenaufruf-Volumen) und Hosting-Standort ab. Für DACH-KMU ist ein Anbieter mit Serverstandort in der EU meist die pragmatischste Wahl, weil du damit Diskussionen um Drittlandübertragungen vermeidest.