Inhaltsverzeichnis
Das Wichtigste in Kürze
Eine moderne Consent Management Platform verbindet Information, Auswahl, Dokumentation und technische Steuerung. Für Betreiber ist dabei nicht die schönste Banner-Grafik allein entscheidend, sondern ob Ablehnung, Zustimmung, individuelle Auswahl und späterer Widerruf technisch tatsächlich wirken.
1. Entstehungsgeschichte der Cookies
HTTP ist grundsätzlich zustandslos: Ein Webserver erhält einzelne Anfragen, ohne automatisch zu wissen, welche davon zu derselben Sitzung gehören. Cookies wurden entwickelt, um einen solchen Zustand im Browser speichern und bei späteren Anfragen wiederverwenden zu können. In der Mitte der 1990er-Jahre etablierte Netscape diese Technik; später wurden Cookies in Standards dokumentiert und weiterentwickelt. RFC 6265 beschreibt den HTTP-State-Management-Mechanismus mit den Headern Set-Cookie und Cookie.
3. Welche Arten von Cookies und Speichertechniken gibt es?
Die zentrale Frage lautet daher nicht „Ist es ein Cookie?“, sondern: Was wird gespeichert oder ausgelesen, warum, durch wen und wann?
4. Was ist Cookie Consent – und warum reicht ein Banner nicht?
Cookie Consent bezeichnet die Einwilligung zur Nutzung bestimmter Cookies oder vergleichbarer Technologien. Ein Banner ist lediglich die Benutzeroberfläche. Eine professionelle CMP muss die Entscheidung in technische Zustände übersetzen: vor der Auswahl, nach Ablehnung, nach Zustimmung einzelner Kategorien und nach Widerruf.
- verständliche Informationen zu Zwecken, Kategorien und Diensten,
- eine aktive und differenzierte Auswahl,
- technisches Zurückhalten consent-pflichtiger Dienste,
- Speicherung beziehungsweise Nachweis der Auswahl,
- eine dauerhaft erreichbare Möglichkeit zur Änderung und zum Widerruf.
5. DSGVO und TDDDG: zwei rechtliche Ebenen
In Deutschland regelt § 25 TDDDG den Zugriff auf Informationen in Endeinrichtungen und das Speichern von Informationen dort. Grundsätzlich ist dafür eine Einwilligung auf Grundlage klarer und umfassender Informationen erforderlich; Ausnahmen bestehen insbesondere für technisch unbedingt erforderliche Vorgänge zur Bereitstellung eines vom Nutzer ausdrücklich gewünschten digitalen Dienstes.
Werden personenbezogene Daten verarbeitet, kommt zusätzlich die DSGVO hinzu. Bei einer Einwilligung sind insbesondere die Anforderungen an Freiwilligkeit, Informiertheit, Eindeutigkeit und Widerrufbarkeit relevant. Der EuGH hat im Verfahren C-673/17 (Planet49) klargestellt, dass ein voreingestelltes Ankreuzkästchen keine wirksame aktive Einwilligung darstellt.
6. Technische Einbindung: CMP früh im <head>
Die beste Einwilligungsoberfläche hilft wenig, wenn Analytics, Werbe-Pixel oder externe Embeds bereits vorher geladen wurden. Deshalb sollte die Consent-Initialisierung so früh erfolgen, dass sie die nachfolgenden einwilligungsabhängigen Dienste steuern kann.
<head>
<title>Beispielseite</title>
<meta name="description" content="...">
<!-- 1. CMP / Consent-Steuerung früh initialisieren -->
<script id="privacybox-cmp"
src="https://privacybox-cmp.de/privacybox/loader.php?id=IHRE-ID"></script>
<!-- 2. Erst danach externe / consent-pflichtige Dienste -->
<!-- Analytics, Marketing, externe Medien etc. -->
</head>Das konkrete Blockingschema hängt von der jeweiligen CMP ab. Wichtig ist das Prinzip: Consent-Status zuerst, consent-pflichtige Verarbeitung danach. Bei Tag-Management-Systemen müssen zusätzlich die einzelnen Tags geprüft werden; ein Container allein ist noch keine Consent-Steuerung.
async und defer
async kann die Ausführungsreihenfolge schwer vorhersehbar machen. defer verschiebt die Ausführung bis nach dem Parsen des HTML. Bei CMPs ist deshalb die vom Anbieter vorgesehene Einbindungsart entscheidend; consent-pflichtige Dienste dürfen die Steuerung nicht „überholen“.
7. Externe Dienste, iframes und Ressourcen richtig behandeln
Consent Management betrifft weit mehr als klassische Cookies. Typische Prüfbereiche sind:
Ein häufig sinnvoller Ansatz ist ein lokaler Platzhalter: Der externe Inhalt wird zunächst nicht geladen. Erst nach Zustimmung ersetzt die Website den Platzhalter durch das echte iframe oder Skript.
8. Consent Management Platforms im Vergleich: 10 CMP-Anbieter 2026
Die folgenden zehn Consent Management Platforms sind alphabetisch nach Anbieternamen sortiert. Zu jeder CMP werden Einsatzbereich, zentrale Funktionen sowie öffentlich erkennbare Preise oder Preismodelle zusammengefasst. Die Angaben wurden anhand der jeweils verfügbaren offiziellen Herstellerinformationen geprüft. Preise und Funktionen können sich ändern; maßgeblich bleibt die aktuelle Anbieterwebsite.
1. Captain Compliance
Geeignet für: Unternehmen, die Consent Management mit persönlicher Implementierungsunterstützung und zusätzlichen Datenschutz-Workflows verbinden möchten.
Captain Compliance kombiniert einen Cookie Consent Manager mit Cookie Scanner, Privacy Notice Generator, DSR/DSAR-Portal und einer Cookie Transparency Page. Laut Anbieter können Banner geografisch angepasst werden; die Ausspielung ist per JavaScript-Snippet, Google Tag Manager sowie über Plugins für Plattformen wie WordPress oder Shopify möglich. Der Scanner soll Cookies und weitere Tracking-Technologien erkennen und klassifizieren, während Consent-Entscheidungen technisch durchgesetzt und dokumentiert werden können.
Der Professional-Tarif umfasst fünf Privacy-Module, einen festen Ansprechpartner („Captain Compliance Hero“) und Implementierungsunterstützung. Für komplexere Umgebungen nennt der Anbieter im Enterprise-Bereich unter anderem Multi-Domain-Betrieb, DSAR-Automatisierung, individuelle Integrationen sowie optional On-Premise- oder Air-Gapped-Deployments. Die offizielle Anbieterinformation nennt für Professional einen Einstieg ab 499 US-Dollar pro Monat. Der Tarif umfasst eine Domain, fünf Privacy-Module, bis zu 500 gescannte Seiten, 150.000 Website-Aufrufe und drei Team-Zugänge sowie einen festen Ansprechpartner („Captain Compliance Hero“).
Preise
Quelle/Stand: offizielle Captain-Compliance-Seiten, geprüft Oktober 2026.
2. consentmanager
Einsatzbereich: europäische Websites, Publisher und Organisationen, die eine Google-zertifizierte CMP mit EU-Datenspeicherung, Cookie-Crawling und IAB-Unterstützung suchen.
consentmanager verbindet automatisches Cookie-Blocking mit Crawling, anpassbaren Consent-Layern und Google Consent Mode v2. Laut Anbieter werden Consent-Daten ausschließlich in europäischen Rechenzentren gespeichert. Die Plattform unterstützt vordefinierte Designs, Geo-Targeting für EU/Nicht-EU-Szenarien und mehr als 35 verfügbare Sprachen; die Zahl der gleichzeitig nutzbaren Sprachen hängt vom Tarif ab.
Ab Essential nennt consentmanager zusätzlich IAB-TCF-kompatible CMP-Funktionen und IAB GPP sowie A/B-Testing und Optimierung. Der Enterprise-Tarif ergänzt unter anderem White-Label, einen persönlichen Account-Manager und individuell skalierbare Websites, Apps und Aufrufmengen.
Preise
Quelle/Stand: offizielle consentmanager Preis- und Funktionsseiten, geprüft Oktober 2026.
3. OneTrust
Typischer Einsatz: große Unternehmen und internationale Organisationen mit umfangreichen Consent-, Preference- und Governance-Anforderungen über mehrere Kanäle.
OneTrust bietet Consent Management für Websites, mobile Anwendungen sowie OTT- und CTV-Umgebungen. Die Plattform kann Cookies, SDKs und Tracking-Technologien automatisiert erkennen und kategorisieren und greift dabei laut Anbieter auf eine Datenbank mit mehr als 45 Millionen kategorisierten Tracking-Technologien zurück. Consent-Banner und Preference Center lassen sich markenspezifisch gestalten, geolokalisieren und in mehr als 250 Sprachen bereitstellen.
Für technisch komplexe Setups unterstützt OneTrust unter anderem IAB Europe TCF v2.3, GPP, GPC und Google Consent Mode v2. Dazu kommen A/B-Tests, Consent-Protokollierung, Integrationen in Tag-Manager und Marketing-Systeme sowie No-Code-Blocking beziehungsweise Script-Rewriting bis zur Einwilligung.
Preise
OneTrust veröffentlicht auf der CMP-Preisseite keinen direkt vergleichbaren Standard-Einstiegspreis. Drittquellenpreise werden deshalb nicht als offizieller Listenpreis dargestellt.
4. Osano
Geeignet für: Unternehmen, die Consent Management mit weitergehenden Privacy-Management-Funktionen und internationalen Datenschutzanforderungen verbinden möchten.
Osano positioniert Consent Management als Teil einer breiteren Datenschutzplattform. Die Cookie-Consent-Lösung lokalisiert Banner laut Anbieter für mehr als 45 Sprachen und 95+ Datenschutzregelungen in über 50 Ländern. Je nach Produktstufe kommen Funktionen für Subject Rights Management, Data Mapping, Vendor Privacy Risk Management, Assessments und weitere Privacy-Prozesse hinzu.
Beim Consent Management unterscheidet Osano zwischen Free, Plus und Premier. Free und Plus enthalten Consent-Management-Funktionen; Premier erweitert den Umfang um die breitere Privacy-Suite. Für Plus nennt Osano eine 30-tägige kostenlose Testphase. Die Preisberechnung für Consent Management erfolgt trafficbasiert: Osano misst, wie oft die CMP-Bibliothek pro Gerät innerhalb von 24 Stunden ausgeliefert wird, und berücksichtigt für die Abrechnung einen rollierenden Drei-Monats-Durchschnitt. Öffentliche feste Listenpreise für Plus und Premier werden auf den aktuell geprüften offiziellen Seiten nicht ausgewiesen.
Preise
Quelle/Stand: offizielle Osano-Produkt-, Demo- und Dokumentationsseiten, geprüft Oktober 2026. Die kommerziellen CMP-Preise werden trafficbasiert kalkuliert und nicht als allgemeine feste Listenpreise veröffentlicht.
5. Piwik PRO
Sinnvoll für: Unternehmen, die datenschutzorientierte Webanalyse und Tag Management mit einer externen Consent-Lösung verbinden möchten oder den früheren Piwik-PRO-Consent-Manager bereits lizenziert haben.
Piwik PRO ist in erster Linie eine datenschutzorientierte Analytics Suite mit Analytics, Tag Manager und Data Activation. Consent-Informationen können in die Tag-Auslieferung einbezogen werden: Tags mit einer erforderlichen Consent-Kategorie werden erst ausgelöst, wenn die entsprechende Einwilligung vorliegt. Dadurch lässt sich die Consent-Entscheidung eng mit Analytics- und Tag-Management-Prozessen verzahnen.
Für einen aktuellen CMP-Vergleich ist wichtig: Der integrierte Piwik PRO Consent Manager wird in der offiziellen Dokumentation ausdrücklich als Consent Manager (legacy) geführt und neuen Piwik-PRO-Accounts nicht mehr angeboten. Bestehende Accounts, in deren Subscription das Legacy-Modul enthalten ist, können es weiterhin nutzen. Für neue Setups beschreibt Piwik PRO stattdessen die Anbindung einer externen Consent-Lösung; in der aktuellen Dokumentation wird dafür insbesondere Cookie Information CMP genannt.
Die öffentliche Piwik-PRO-Preisseite bezieht sich auf die Analytics Suite und nicht auf einen separat neu buchbaren Piwik-PRO-Consent-Manager. Deshalb wird hier kein eigenständiger CMP-Neukundenpreis ausgewiesen.
Preise
Quelle/Stand: offizielle Piwik-PRO-Preisseite sowie Piwik-PRO-Help-Center zum Consent Manager, geprüft Oktober 2026.
6. PrivacyBox
Geeignet für: Websites, KMU und Agenturen, die eine in Deutschland entwickelte und gehostete Consent Management Platform mit domainbasierter Preisstruktur und unbegrenzten Seitenaufrufen suchen.
PrivacyBox kombiniert Cookie Consent mit Script- und Iframe-Blocking, dynamischer Dienst-Erkennung und Google Consent Mode v2. Das aktuelle Diensteregister umfasst 104 bekannte Dienste und Technologien aus den Bereichen Statistik & Analyse, Marketing & Tracking, externe Dienste & Medien, funktionelle Dienste und essenzielle Technologien. Die technische Einbindung erfolgt zentral über einen JavaScript-Loader.
Die PrivacyBox unterstützt 12 Sprachen und stellt nach den vorliegenden Produktinformationen in allen Tarifen den vollständigen Funktionsumfang bereit. Unterschiede zwischen den kostenpflichtigen Tarifen ergeben sich vor allem aus der Zahl der verwalteten Domains; die Seitenaufrufe sind nicht tarifabhängig begrenzt. Der 30-Tage-Test für eine Domain benötigt keine Zahlungsdaten und verlängert sich nicht automatisch.
Preise
Quelle/Stand: aktuelle PrivacyBox-Produktinformationen, Oktober 2026.
7. Sourcepoint
Einsatzbereich: Medienunternehmen, Publisher und größere digitale Angebote mit komplexen Consent-, Monetarisierungs- und Compliance-Anforderungen.
Sourcepoint kombiniert Consent- und Preference-Management mit Geotargeting, granularen Opt-in/Opt-out-Regeln und automatisierter Third-Party-Erkennung. Der integrierte Scanner kann Skripte, Tracker und Datenverarbeitungsaktivitäten erkennen und kategorisieren; zusätzlich lassen sich nicht autorisierte Drittanbieter blockieren. Für unterschiedliche Länder, Regionen oder US-Bundesstaaten können unterschiedliche Consent-Erlebnisse ausgespielt werden.
Zu den weiteren Funktionen zählen Consent Reporting, A/B-Testing und ein anpassbarer Message Builder. Im Pro-Tarif kommt Compliance Monitoring hinzu; Enterprise ergänzt unter anderem erweitertes Preference Management und Data-Subject-Request-Funktionen. Die Abrechnung orientiert sich bei Websites an Pageviews und bei Apps an monatlich aktiven App-Nutzern.
Preise
Quelle/Stand: offizielle Sourcepoint-Preisseite, geprüft Oktober 2026.
8. Termly
Geeignet für: kleine und mittlere Unternehmen, die Consent Management mit zusätzlichen Generatoren für Datenschutz- und Rechtstexte verbinden möchten.
Termly kombiniert eine Consent Management Platform mit Cookie Scanner, Cookie Policy Generator und weiteren Policy-Generatoren. Der Starter-Tarif umfasst die CMP und zwei Policy-Generatoren mit bis zu 50.000 Banner-Aufrufen pro Monat. Pro+ erweitert den Funktionsumfang unter anderem um unbegrenzte Banner-Aufrufe, mehrere Sprachen, wöchentliche Cookie-Scans und automatisch aktualisierte Richtlinien.
Für anspruchsvollere Consent-Setups nennt Termly im Pro+-Umfang unter anderem IAB TCF v2.3, Google Consent Mode v2, regionale Consent-Regeln, Consent Logs und das Scannen von Subdomains. Ein Agency-Tarif richtet sich an Reseller und Organisationen mit mehreren Websites und ergänzt Multi-Domain-Verwaltung, Benutzerrechte sowie Onboarding- und Supportleistungen.
Preise
Quelle/Stand: offizielle Termly-Produkt- und Preisangaben, geprüft Oktober 2026.
9. UniConsent
Typischer Einsatz: Publisher, AdTech-Umgebungen und Websites, die anpassbare Banner, IAB-Frameworks und mehrere Plattformen beziehungsweise Apps abdecken möchten.
UniConsent bietet Consent Management mit Cookie Scanning, Consent-basiertem Tag Loader, Analytics & Insights und anpassbaren Bannern. Bereits der Basic-Tarif unterstützt laut Hersteller IAB TCF 2.3, CCPA, GPP, Google Consent Mode 2.0 und Microsoft UET Consent Mode sowie mehr als 52 Sprachen und mehrere vorkonfigurierte Banner.
Höhere Tarife ergänzen Mobile SDKs für iOS, Android und Flutter, Google-DFP-Unterstützung, Programmatic-Ads-Funktionen und WP Consent API. Im Pro-Tarif kommen unter anderem Consent Audit Trail und eine Insight Data API hinzu. Damit richtet sich UniConsent besonders an Publisher und technische Umgebungen, in denen standardisierte Werbe- und Consent-Signale wichtig sind.
Preise
Quelle/Stand: offizielle UniConsent-Preisseite, geprüft Oktober 2026. Die Seite weist zusätzlich eine jährliche Abrechnung mit Rabatt aus.
10. Usercentrics
Geeignet für: Websites, Apps und größere Organisationen mit mehrsprachigen Consent-Anforderungen sowie umfangreichen Marketing-, AdTech- und Multi-Channel-Integrationen.
Usercentrics bietet CMP-Produkte für Web, Apps und CTV. Die Web-CMP unterstützt je nach Tarif mehrere Datenschutzregelwerke, bis zu 60 Banner-Sprachen und eine unbegrenzte Zahl von Unterseiten und Nutzern. Die Preisstaffel richtet sich im Web-Bereich vor allem nach Sessions und der Zahl der Domains.
Für größere Installationen stehen höhere Session-Limits, mehrere Domains und Corporate-Angebote zur Verfügung. Usercentrics unterstützt Google Consent Mode v2 und adressiert zusätzlich App- und CTV-Szenarien, wodurch die Plattform besonders für Organisationen interessant ist, die Consent nicht nur auf einer einzelnen Website verwalten.
Preise
Quelle/Stand: offizielle Usercentrics-Preisseite, geprüft Oktober 2026. Für alle dort aufgeführten Pakete wird eine 14-tägige kostenlose Testversion ohne Kreditkarte angeboten.
9. CMP-Vergleich 2026 auf einen Blick
Die Tabelle fasst die zehn im Artikel beschriebenen Consent Management Platforms zusammen. Sie ist keine Rangliste: Der passende Anbieter hängt von Domains, Traffic, Integrationen, Rechtsräumen, Supportbedarf und technischer Umgebung ab.
| Nr. | CMP | Typischer Fokus | Einstieg / Preis | Abrechnung / Hinweis |
|---|---|---|---|---|
| 1 | Captain Compliance | Consent + Privacy-Workflows + persönlicher Support | Free; Professional ab 499 $/Monat | Domain-, Traffic- und Funktionslimits |
| 2 | consentmanager | EU-Websites, Publisher, IAB/Google | Starter 23 €/Monat | Aufrufe + Websites/Apps |
| 3 | OneTrust | Enterprise, Multi-Channel, Governance | auf Anfrage | individuelle Enterprise-Pakete |
| 4 | Osano | Privacy Suite, Consent, internationale Regelwerke | Free; Plus/Premier auf Anfrage | trafficbasiert · 30-Tage-Test für Plus |
| 5 | Piwik PRO | Privacy Analytics + Tag Management + Consent-Integration | kein separater CMP-Neukundenpreis | Consent Manager ist Legacy und für neue Accounts nicht mehr verfügbar · externe CMP integrierbar |
| 6 | PrivacyBox | Websites, KMU, Agenturen | 30 Tage 0 €; danach ab 5,30 €/Monat | nach Domains · unbegrenzte Seitenaufrufe |
| 7 | Sourcepoint | Publisher, Medien, komplexe Consent-Umgebungen | Essentials 500 $/Monat | u. a. nach Pageviews/App-Nutzern |
| 8 | Termly | KMU, CMP + Policy-Generatoren | Free; Starter 14 $ monatlich / 10 $ pro Monat bei jährlicher Abrechnung | tarifabhängig; Agency individuell |
| 9 | UniConsent | Publisher, AdTech, IAB/GPP | Basic 20 £/Monat | nach Nutzern + Websites/Apps |
| 10 | Usercentrics | Web/App/CTV, mehrsprachig | Essential 7 €/Monat | Sessions + Domains |
10. So prüfen Sie Cookie Consent technisch
- Privates Browserfenster öffnen und Entwicklerwerkzeuge vor dem Seitenaufruf starten.
- Ohne Auswahl Cookies, Local Storage, Netzwerkrequests und iframes prüfen.
- „Nur notwendige“ wählen und erneut laden: optionale Dienste müssen ausbleiben.
- Statistik einzeln zulassen und prüfen, welche Requests hinzukommen.
- Marketing oder Medien einzeln freigeben und wiederholen.
- Einwilligung widerrufen, neu laden und kontrollieren, ob die Sperre wieder greift.
- Ergebnisse mit Datum, CMP-Version und Konfiguration dokumentieren.
11. Häufige Cookie-Consent-Fehler
- Analytics oder Marketing startet vor der ersten Entscheidung.
- Ein Banner ist sichtbar, hat aber keine technische Blocking-Wirkung.
- Nur Cookies werden geprüft; externe Requests, iframes und Local Storage bleiben unbeachtet.
- Neue Plugins oder Kampagnentags werden eingebaut, ohne die CMP-Konfiguration zu aktualisieren.
- Die Ablehnung ist unnötig schwieriger als die Zustimmung.
- Der Widerruf ist versteckt oder ändert den technischen Zustand nicht zuverlässig.
- Datenschutzerklärung und tatsächlich eingesetzte Dienste stimmen nicht überein.
12. Weitere Fachinformationen
13. Häufige Fragen
Braucht jede Website ein Cookie-Banner?
Nicht automatisch. Entscheidend ist, welche Speicherungen oder Zugriffe auf Informationen im Endgerät stattfinden und welche personenbezogenen Daten anschließend verarbeitet werden. Technisch notwendige Vorgänge können anders zu beurteilen sein als Analyse-, Marketing- oder externe Mediendienste.
Muss die CMP wirklich vor Google Analytics laden?
Wenn Google Analytics erst nach einer Einwilligung aktiviert werden soll, muss die Consent-Steuerung technisch wirksam sein, bevor die relevante Verarbeitung startet. Bei einer tagbasierten Umsetzung bedeutet das typischerweise: Consent-Defaults und CMP-Logik müssen vor den betroffenen Tags greifen.
Warum reicht ein Scanner nicht aus?
Scanner können viele statische Ressourcen, Cookies und externe Requests erkennen, aber dynamische Inhalte, Zustände nach Interaktionen, Single-Page-Anwendungen oder geschützte Bereiche übersehen. Deshalb sollte immer zusätzlich im Browser mit Entwicklerwerkzeugen geprüft werden.
Was unterscheidet PrivacyBox im Vergleich?
Laut eigener Produktseite kombiniert PrivacyBox eine zentrale JavaScript-Einbindung, eine Registry mit 104 bekannten Diensten und Technologien, eine Statusanzeige, 12 Sprachen, unbegrenzte Seitenaufrufe und einen vollen Funktionsumfang in allen Tarifen. Zusätzlich kann PrivacyBox 30 Tage kostenlos für 0 € auf 1 Domain getestet werden – ohne Zahlungsdaten und ohne automatische Verlängerung. Reseller und Agenturen können von 20 % Provision profitieren.
Was ist der Unterschied zwischen Cookie Consent und einer Consent Management Platform?
Cookie Consent bezeichnet die Einwilligungsentscheidung des Besuchers. Eine Consent Management Platform (CMP) ist die technische Lösung, die diese Entscheidung abfragt, speichert, an angebundene Dienste weitergibt und je nach Konfiguration Skripte, iframes oder andere externe Ressourcen vor einer Freigabe blockiert oder steuert.
Welche Cookies oder Speicherzugriffe können ohne Einwilligung zulässig sein?
§ 25 TDDDG sieht Ausnahmen insbesondere dann vor, wenn die Speicherung oder der Zugriff unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen. Ob eine konkrete Technologie darunter fällt, muss anhand ihres tatsächlichen Zwecks und ihrer technischen Funktion bewertet werden; die Bezeichnung „notwendig“ allein reicht nicht.
Reicht ein einfacher OK-Button für eine wirksame Einwilligung?
Ein pauschaler OK-Button ist problematisch, wenn daraus nicht klar hervorgeht, wozu der Nutzer einwilligt. Eine wirksame Einwilligung muss informiert, eindeutig und freiwillig erfolgen. Zweck, Kategorien beziehungsweise Dienste und eine echte Wahlmöglichkeit sollten nachvollziehbar dargestellt werden.
Muss Ablehnen genauso einfach sein wie Akzeptieren?
Die Einwilligung muss freiwillig sein. Eine Gestaltung, die die Zustimmung deutlich erleichtert und die Ablehnung versteckt oder unnötig erschwert, kann diese Freiwilligkeit beeinträchtigen. In der Praxis sollte die Ablehnung deshalb ohne Umwege erreichbar und technisch gleich wirksam sein.
Wann muss eine Einwilligung erneut eingeholt werden?
Die DSGVO nennt kein pauschales Ablaufdatum für jede Einwilligung. Eine erneute Abfrage kann jedoch erforderlich werden, wenn sich Zwecke, eingesetzte Dienste, Empfänger oder die Einwilligungslogik wesentlich ändern oder wenn eine frühere Einwilligung nicht mehr hinreichend aktuell oder nachweisbar ist. Änderungen sollten versioniert und dokumentiert werden.
Wie sollte eine CMP Einwilligungen dokumentieren?
Für die Nachweisbarkeit sollte die CMP zumindest festhalten können, wann eine Entscheidung getroffen wurde, welche Kategorien oder Dienste betroffen waren und auf welcher Banner- beziehungsweise Konfigurationsversion die Auswahl beruhte. Gleichzeitig sollte nur das gespeichert werden, was für den Nachweis tatsächlich benötigt wird.
Ersetzt Google Consent Mode v2 ein Cookie-Banner oder eine CMP?
Nein. Consent Mode übermittelt Consent-Signale an unterstützte Google-Tags und beeinflusst deren Verhalten. Er ersetzt weder die rechtliche Einwilligungsentscheidung noch die Benutzeroberfläche einer CMP. Zuerst braucht es eine belastbare Consent-Logik; Consent Mode kann diese technisch ergänzen.
Wie sollten YouTube, Google Maps oder andere externe iframes behandelt werden?
Wenn ein externer Dienst erst nach Einwilligung geladen werden soll, darf nicht bereits der ursprüngliche iframe oder ein gleichwertiger Request beim Seitenaufruf aktiv sein. Üblich ist ein Platzhalter, der den externen Inhalt erst nach entsprechender Freigabe nachlädt. Entscheidend ist der tatsächliche Netzwerkverkehr, nicht nur die sichtbare Oberfläche.
Was ist der Unterschied zwischen TDDDG und DSGVO beim Cookie Consent?
Das TDDDG betrifft insbesondere das Speichern von Informationen auf Endeinrichtungen und den Zugriff auf bereits gespeicherte Informationen. Die DSGVO regelt dagegen die anschließende Verarbeitung personenbezogener Daten. Bei Tracking-Technologien können deshalb beide Regelwerke gleichzeitig relevant sein und unterschiedliche Prüfschritte auslösen.
Kann eine Einwilligung für mehrere Websites oder Domains gemeinsam genutzt werden?
Technisch ist ein Cross-Domain-Consent möglich, aber nicht automatisch sinnvoll oder zulässig. Die betroffenen Websites, Verantwortlichen, Zwecke und Dienste müssen für den Nutzer transparent sein. Außerdem muss die eingesetzte CMP die Weitergabe beziehungsweise Wiedererkennung der Entscheidung technisch korrekt und datenschutzgerecht umsetzen.
14. Fazit
Ein pauschaler „Testsieger“ lässt sich aus diesem Vergleich nicht seriös ableiten, weil sich die CMPs deutlich bei Zielgruppe, Abrechnungsmodell, Funktionsumfang und technischer Ausrichtung unterscheiden.
Auch Usercentrics bietet einen vergleichsweise niedrigen Einstiegspreis. Der Essential-Tarif startet bei 7 € pro Monat für eine Domain und bis zu 1.500 Sessions. Usercentrics bietet darüber hinaus Lösungen für Websites, Apps und größere Organisationen, unterstützt mehrere Datenschutzregelwerke und bietet je nach Tarif zahlreiche Banner-Sprachen sowie Google Consent Mode v2. Die Abrechnung nach Sessions kann für kleinere Websites attraktiv sein, bei stark wachsendem Traffic sollte jedoch geprüft werden, ob die jeweiligen Session-Grenzen zum eigenen Nutzungsprofil passen.
Termly bietet ebenfalls einen vergleichsweise niedrig angesetzten Einstieg. Neben einem kostenlosen Tarif beginnt der Starter-Tarif bei 14 US-Dollar pro Monat beziehungsweise bei 10 US-Dollar pro Monat bei jährlicher Abrechnung. Termly kombiniert Consent Management mit Cookie-Scanner und Generatoren für Datenschutz- und Rechtstexte. In höheren Tarifen kommen unter anderem Google Consent Mode v2, IAB TCF, Consent-Protokolle, mehrere Sprachen und regelmäßige Cookie-Scans hinzu. Damit richtet sich Termly vor allem an kleinere und mittlere Unternehmen, die neben dem Cookie Consent auch unterstützende Datenschutzwerkzeuge aus einer Plattform nutzen möchten.
Captain Compliance verbindet Consent Management mit zusätzlichen Datenschutz-Workflows und persönlicher Unterstützung. Neben dem Cookie Consent Manager bietet die Plattform unter anderem Cookie-Scanning, ein DSR/DSAR-Portal, Geo-Targeting sowie Integrationen über JavaScript und Google Tag Manager. Ein Vorteil liegt insbesondere in der Kombination aus technischer Consent-Lösung und begleitender Implementierungsunterstützung. Der Professional-Tarif richtet sich mit persönlichem Ansprechpartner und mehreren Privacy-Modulen eher an Unternehmen, die neben dem Banner weitere Datenschutzprozesse zentral abbilden möchten.
consentmanager ist besonders auf europäische Websites, Publisher und komplexere Consent-Anforderungen ausgerichtet. Die Plattform bietet automatisches Cookie-Blocking, einen Cookie-Crawler, Geo-Targeting, Google Consent Mode v2 sowie Unterstützung für IAB TCF und GPP. Consent-Daten werden laut Anbieter in europäischen Rechenzentren gespeichert. Ein weiterer Vorteil ist die Kombination aus technischer Steuerung, mehreren Sprachen, A/B-Testing und Optimierungsfunktionen. Dadurch eignet sich consentmanager insbesondere für Betreiber, die ihre Consent-Rate technisch und gestalterisch laufend optimieren möchten.
OneTrust gehört zu den umfangreichsten Enterprise-Lösungen im Vergleich. Die Plattform unterstützt Consent Management für Websites, mobile Apps sowie OTT- und CTV-Umgebungen und richtet sich damit vor allem an internationale Unternehmen mit vielen digitalen Angeboten. Zu den Stärken zählen die automatisierte Erkennung und Kategorisierung von Tracking-Technologien, Geo-Targeting, mehrsprachige Consent-Oberflächen, Preference Center sowie die Unterstützung von IAB TCF, GPP, GPC und Google Consent Mode v2. Der große Funktionsumfang macht OneTrust vor allem dort interessant, wo Consent Management mit Governance-, Marketing- und Preference-Prozessen verbunden werden soll.
Osano kombiniert Consent Management mit einer breiter angelegten Datenschutzplattform. Neben Cookie- und Consent-Steuerung können je nach Produktumfang Funktionen wie Consent Analytics, Audit Logs, Data Mapping, Vendor Risk Management und DSR/DSAR-Prozesse genutzt werden. Der Vorteil liegt damit weniger in einem möglichst einfachen Cookie-Banner, sondern in der Verbindung verschiedener Privacy-Management-Aufgaben innerhalb einer Plattform. Osano kann insbesondere für Unternehmen interessant sein, die internationale Datenschutzanforderungen und interne Compliance-Prozesse gemeinsam verwalten möchten.
Piwik PRO verbindet datenschutzorientierte Webanalyse, Tag Management und Consent-Steuerung eng miteinander. Consent-Informationen können direkt in die Auslieferung von Tags einbezogen werden, sodass bestimmte Tags erst nach der passenden Einwilligung ausgelöst werden. Der integrierte Piwik PRO Consent Manager wird inzwischen als Legacy-Modul geführt und neuen Accounts nicht mehr angeboten. Bestehende Kunden mit dem Legacy-Modul können ihn weiterhin nutzen; für neue Setups unterstützt Piwik PRO die Anbindung externer CMPs und die consentabhängige Steuerung von Tags im Tag Manager.
Sourcepoint richtet sich besonders an Publisher, Medienunternehmen und größere digitale Plattformen. Die Lösung kombiniert Consent- und Preference-Management mit Geotargeting, Third-Party-Erkennung, granularen Opt-in- und Opt-out-Regeln sowie Consent Reporting. Hinzu kommen Funktionen wie A/B-Testing, Compliance Monitoring und ein anpassbarer Message Builder. Ein wesentlicher Vorteil ist die starke Ausrichtung auf komplexe Medien- und Monetarisierungsumgebungen, in denen unterschiedliche Rechtsräume, Werbetechnologien und Consent-Szenarien gleichzeitig berücksichtigt werden müssen.
UniConsent ist besonders für Publisher, AdTech-Umgebungen und international ausgerichtete Websites interessant. Die Plattform unterstützt unter anderem IAB TCF 2.3, GPP, Google Consent Mode, Microsoft UET Consent Mode sowie mehr als 52 Sprachen. Höhere Tarife ergänzen Mobile SDKs, Programmatic-Advertising-Funktionen, Consent Audit Trails und APIs für Auswertungen. Ein Vorteil von UniConsent ist damit die starke Unterstützung standardisierter Werbe- und Consent-Frameworks sowie die Möglichkeit, Websites und Apps innerhalb einer technischen Consent-Infrastruktur abzudecken.
Der Preis allein sollte die Auswahl dennoch nicht bestimmen. Entscheidend ist, ob eine CMP zur eigenen technischen Umgebung passt, benötigte Dienste zuverlässig steuern kann, die gewünschten Sprachen und Rechtsräume unterstützt und ein nachvollziehbares Preismodell bietet. Für größere Publisher, internationale Konzerne oder stark regulierte Organisationen können Plattformen mit erweiterten Governance-, Preference-, IAB-, App- oder Multi-Channel-Funktionen die passendere Wahl sein, auch wenn deren Einstiegspreise deutlich höher liegen.
Alle Angaben wurden den Webseiten der jeweiligen CMP-Anbieter entnommen. Für die Richtigkeit, Vollständigkeit und Aktualität dieser Informationen übernehmen wir keine Gewähr.
15. Quellen und weiterführende Informationen
- RFC 6265 – HTTP State Management Mechanism
- § 25 TDDDG – Schutz der Privatsphäre bei Endeinrichtungen
- Datenschutz-Grundverordnung (DSGVO)
- Google – Consent Mode
- Captain Compliance – Pricing
- consentmanager – CMP
- OneTrust – Preise und Pakete
- Osano – Privacy Platform
- Osano – Consent-Management-Preismodell
- Piwik PRO – Preise
- Piwik PRO – Consent Manager (legacy)
- PrivacyBox Preise
- Sourcepoint – Pricing
- Termly – Preise
- UniConsent – CMP
- Usercentrics – Preise
