Eine Consent Management Plattform (CMP) sorgt dafür, dass deine Website Cookies und Tracking-Skripte erst lädt, wenn Besucher zugestimmt haben, und dass du diese Zustimmung später nachweisen kannst. Für Gründer, Selbstständige und kleine Unternehmen ist sie meist der einfachste Weg, das Cookie-Banner rechtssicher zu betreiben, ohne jede Einbindung selbst zu programmieren.
In diesem Artikel erfährst du, welche rechtlichen Vorgaben gelten, welche Funktionen eine gute CMP mitbringen sollte und wie sich vier verbreitete Lösungen unterscheiden: iubenda, CCM19, Usercentrics/Cookiebot und Borlabs Cookie. Am Ende findest du eine Checkliste für die Auswahl und Antworten auf häufige Fragen.
Wichtig vorab: Kein Tool nimmt dir die Verantwortung ab. Eine Consent Management Plattform ist ein Werkzeug, die Konfiguration und die Auswahl der eingebundenen Dienste bleiben deine Aufgabe.
Warum Cookie-Banner für KMU kein Randthema sind
Datenschutzverstöße betreffen längst nicht nur Konzerne. Laut der GDPR Fines and Data Breach Survey der Kanzlei DLA Piper (Januar 2025) verhängten europäische Aufsichtsbehörden im Jahr 2024 Bußgelder von rund 1,2 Milliarden Euro, seit Mai 2018 summieren sich die Bußgelder auf rund 5,88 Milliarden Euro. Im Schnitt wurden 2024 täglich 363 Datenschutzverletzungen gemeldet, nach 335 im Vorjahr. Deutschland lag mit 27.829 Meldungen auf Platz zwei hinter den Niederlanden.
Die großen Bußgelder treffen zwar vor allem Tech-Konzerne. Für kleine Unternehmen sind aber andere Folgen realistischer: Abmahnungen von Wettbewerbern, Beschwerden von Nutzern, Anfragen der Landesdatenschutzbehörde und der Aufwand, im Nachhinein zu dokumentieren, was die Website eigentlich verarbeitet. Ein Banner, das über eine Consent Management Plattform sauber gesteuert wird, reduziert dieses Risiko deutlich.
Rechtliche Grundlagen: TDDDG und DSGVO
Die zentrale Vorschrift in Deutschland ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG). Danach dürfen Informationen auf dem Endgerät eines Nutzers nur gespeichert oder ausgelesen werden, wenn er nach klarer und umfassender Information eingewilligt hat. Für Information und Einwilligung gelten die Maßstäbe der DSGVO.
Ausgenommen sind Zugriffe, die unbedingt erforderlich sind, damit ein vom Nutzer ausdrücklich gewünschter Dienst funktioniert, etwa ein Warenkorb-Cookie oder ein Login. Statistik, Marketing-Pixel, eingebettete Videos oder externe Kartendienste brauchen dagegen in aller Regel eine Einwilligung.
Was eine wirksame Einwilligung ausmacht
- Opt-in statt Opt-out: Vorausgewählte Häkchen reichen nicht, das hat der EuGH bereits 2019 im Verfahren Planet49 entschieden.
- Gleichwertige Ablehnung: Ablehnen muss so einfach sein wie Zustimmen. Ein versteckter Ablehnen-Link in der zweiten Ebene gilt bei vielen Aufsichtsbehörden als problematisch.
- Informiert und konkret: Nutzer müssen erfahren, welche Dienste zu welchem Zweck Daten erhalten.
- Widerrufbar: Die Einstellungen müssen jederzeit wieder aufrufbar sein, etwa über einen Link im Footer.
- Nachweisbar: Nach Art. 7 DSGVO musst du belegen können, dass eine Einwilligung vorliegt.
Was eine Consent Management Plattform leisten muss
Ein reines Banner, das nur einen Hinweistext anzeigt, erfüllt diese Anforderungen nicht. Eine brauchbare Consent Management Plattform verbindet die Anzeige mit der technischen Steuerung der Skripte.
Kernfunktionen einer Consent Management Plattform
- Skript-Blocking: Nicht notwendige Dienste werden erst nach Zustimmung geladen.
- Cookie-Scan: Die Website wird regelmäßig auf eingesetzte Cookies und Dienste geprüft.
- Consent-Protokoll: Jede Entscheidung wird mit Zeitstempel und Version des Banners gespeichert.
- Google Consent Mode v2: Wer Google Ads oder Google Analytics nutzt, muss für Nutzer im EWR seit März 2024 Einwilligungssignale übermitteln. Google unterscheidet dabei einen einfachen Modus, bei dem Tags erst nach der Entscheidung laden, und einen erweiterten Modus mit cookielosen Pings.
- IAB TCF: Für Websites mit programmatischer Werbung ist das Transparency and Consent Framework relevant, für die meisten KMU eher nicht.
- Mehrsprachigkeit und Design: Texte und Gestaltung sollten zur Website passen, ohne die Ablehnung zu verstecken.
Zusätzlich lohnt ein Blick darauf, wo die Plattform Daten verarbeitet. Wer Einwilligungen auf Servern außerhalb der EU speichert, braucht eine tragfähige Grundlage für den Drittlandtransfer. Mehr zu datensparsamer Analyse liest du in unserem Beitrag zu DSGVO-konformem Tracking und Webanalyse.
Vier CMPs im Vergleich
Die folgenden Angaben zu den einzelnen Anbietern beruhen auf den Informationen der Anbieter, Stand Oktober 2026. Preise und Leistungsumfang ändern sich regelmäßig, prüfe sie deshalb vor dem Abschluss selbst.
iubenda: Banner und Rechtstexte aus einer Hand
iubenda ist ein Anbieter aus Mailand, der zur Gruppe team.blue gehört, zu der auch consentmanager, CookieFirst und Complianz zählen. Neben dem Cookie-Banner bietet iubenda Generatoren für Datenschutzerklärung, Cookie-Richtlinie und AGB an. Laut Anbieter umfasst die Bibliothek über 2.400 Klauseln, die bei Rechtsänderungen automatisch aktualisiert werden, außerdem Consent-Protokolle und einen Website-Scan.
Interessant ist der Ansatz für kleine Teams, die Banner und Rechtstexte nicht bei zwei Anbietern pflegen wollen. Details zum Funktionsumfang findest du direkt beim Anbieter, etwa auf der Seite zum Generator für Datenschutz- und Cookie-Richtlinien von iubenda. Es gibt einen kostenlosen Einstieg, die Preise der Bezahlpläne richten sich nach Funktionsumfang und Seitenaufrufen. Generierte Rechtstexte solltest du trotzdem auf dein Geschäftsmodell prüfen, besonders bei Shops oder besonderen Datenkategorien.
CCM19: Entwicklung und Hosting in Deutschland
CCM19 wird in Deutschland entwickelt und auf deutschen Servern betrieben, auf Wunsch auch als selbst gehostete Version. Das spricht Unternehmen an, die Datenflüsse in Drittländer möglichst vermeiden wollen. Für kleine Websites gibt es einen kostenlosen Einstieg mit begrenzten Seitenaufrufen, ein TCF-Modul lässt sich ergänzen. Generatoren für Datenschutzerklärungen gehören nicht zum Kern des Angebots.
Usercentrics und Cookiebot: für komplexe Setups
Usercentrics aus München hat 2021 Cookiebot übernommen, beide Marken werden weitergeführt. Die Stärken liegen bei automatischem Cookie-Scanning, detaillierten Consent-Analysen und vielen Integrationen, was sie für größere Websites und Marketing-Teams interessant macht. Für einfache Websites kann der Funktionsumfang mehr sein als nötig. Historisch erwähnenswert: Das VG Wiesbaden untersagte Ende 2021 einer Hochschule vorläufig den Einsatz von Cookiebot wegen möglicher US-Datentransfers, der VGH Kassel hob diese Entscheidung 2022 wieder auf.
Borlabs Cookie: das WordPress-Plugin
Borlabs Cookie ist ein Plugin speziell für WordPress. Einwilligungen werden auf dem eigenen Server gespeichert, eine externe Cloud ist nicht nötig. Vorgefertigte Pakete für Dienste wie YouTube, Google Maps oder Analytics erleichtern die Einrichtung. Abgerechnet wird über eine Jahreslizenz, deren Preis von der Zahl der Websites abhängt. Für Shopify, Webflow oder andere Systeme ist das Plugin nicht gedacht.
Vergleichstabelle
| Kriterium | iubenda | CCM19 | Usercentrics/Cookiebot | Borlabs Cookie |
|---|---|---|---|---|
| Typ | SaaS, alle CMS | SaaS oder selbst gehostet | SaaS, alle CMS | WordPress-Plugin |
| Rechtstext-Generator | ja | nein | nein | nein |
| Serverstandort | EU | Deutschland | EU | eigener Server |
| Kostenloser Einstieg | ja | ja, begrenzt | Testphase | nein |
| Geeignet für | KMU, Freelancer, Shops | datensensible KMU | größere Websites, Marketing-Teams | WordPress-Betreiber |
So wählst du die passende Lösung aus
Die richtige Consent Management Plattform hängt weniger vom Markennamen ab als von deinem Setup. Diese Fragen helfen bei der Entscheidung:
- Welches System nutzt du? Bei WordPress kommt ein Plugin infrage, bei Shopify, Wix oder eigener Software eher eine SaaS-Lösung.
- Welche Dienste bindest du ein? Erstelle eine Liste aller Tools, von Analytics über Newsletter-Formulare bis zu Chat-Widgets.
- Brauchst du auch Rechtstexte? Wenn ja, spart ein kombiniertes Angebot Pflegeaufwand.
- Wie viel Traffic hast du? Viele Tarife richten sich nach Seitenaufrufen oder Domains.
- Wo werden Daten gespeichert? Lass dir Serverstandort und Auftragsverarbeitungsvertrag zeigen.
- Wie gut ist der Support? Teste die Einrichtung in einer kostenlosen Phase.
Wenn du einen Onlineshop aufbaust, lohnt es sich, das Banner gleich beim Aufbau des Checkouts mitzudenken. Auch beim WhatsApp-Marketing oder bei Chat-Widgets spielen Einwilligungen eine Rolle.
Typische Fehler bei der Einrichtung
- Skripte laden trotzdem: Tags im Theme oder im Tag Manager werden am Banner vorbei geladen. Prüfe mit den Entwicklertools des Browsers, welche Anfragen vor der Zustimmung rausgehen.
- Kein Ablehnen-Button auf der ersten Ebene: Das ist eine der häufigsten Beanstandungen.
- Veraltete Dienstliste: Neue Plugins werden eingebaut, das Banner aber nicht angepasst.
- Banner verdeckt Impressum und Datenschutzerklärung: Beide müssen auch vor der Entscheidung erreichbar sein.
- Ladezeit ignoriert: Ein schwerfälliges Banner kann Nutzererlebnis und Rankings beeinträchtigen. Mehr dazu in unserem Artikel über typische SEO-Fehler.
Häufige Fragen
Brauche ich eine Consent Management Plattform, wenn ich nur technisch notwendige Cookies nutze?
Nein. Setzt deine Website ausschließlich unbedingt erforderliche Cookies, ist nach § 25 Abs. 2 TDDDG keine Einwilligung nötig und damit auch kein Banner. Du musst trotzdem in der Datenschutzerklärung informieren. Sobald du Statistik, Werbung oder externe Inhalte einbindest, brauchst du eine Einwilligungslösung.
Was kostet eine CMP?
Viele Anbieter haben kostenlose Einstiegspläne für kleine Websites mit begrenzten Seitenaufrufen. Bezahlpläne liegen für KMU typischerweise im niedrigen zweistelligen Eurobereich pro Monat, Enterprise-Lösungen deutlich darüber. Vergleiche Preise immer auf Basis deines tatsächlichen Traffics und der Zahl deiner Domains.
Reicht der Google Consent Mode allein aus?
Nein. Der Consent Mode übermittelt nur den Einwilligungsstatus an Google-Dienste. Die Einwilligung selbst muss eine CMP einholen, die idealerweise von Google zertifiziert ist.
Wie lange muss ich Einwilligungen speichern?
Eine feste gesetzliche Frist gibt es nicht. Du musst die Einwilligung so lange nachweisen können, wie du auf ihrer Grundlage Daten verarbeitest. Viele Plattformen speichern Protokolle daher über die Gültigkeitsdauer der Einwilligung hinaus.
Fazit
Eine Consent Management Plattform ist für fast jede gewerbliche Website mit Analyse- oder Marketing-Tools Pflichtausstattung. Entscheidend sind Skript-Blocking, ein gleichwertiger Ablehnen-Button, saubere Protokolle und Unterstützung für den Google Consent Mode. iubenda passt zu Teams, die Banner und Rechtstexte zusammen pflegen wollen, CCM19 zu Unternehmen mit Fokus auf deutsches Hosting, Usercentrics/Cookiebot zu komplexen Setups und Borlabs Cookie zu reinen WordPress-Seiten.
Teste mindestens zwei Anbieter einer Consent Management Plattform und prüfe nach der Einrichtung mit den Browser-Entwicklertools, ob wirklich nichts vor der Zustimmung lädt. Wer sich zusätzlich mit IT-Sicherheit beschäftigt, findet im Beitrag zum Cyber Resilience Act weitere Pflichten für digitale Produkte.
