Welche Nachweise braucht eine Cookie-Consent-Prüfung?

Einwilligung ist eine Abfolge, und die Nachweise müssen ihr folgen. Der erste Zustand ist die Seite vor jeder Interaktion: welche Cookies existieren und welche Drittanbieter-Anfragen bereits ausgelöst wurden. Hier treten die meisten Probleme auf, weil ein Tag-Manager oder ein Werbepixel laden kann, bevor das Banner erscheint.

Der zweite Zustand ist das Banner selbst: ob es erscheint und welche Optionen auf seiner ersten Ebene sichtbar sind, insbesondere ob dort eine Ablehnungsoption vorhanden ist oder nur eine Schaltfläche zum Akzeptieren und ein Link zu den Einstellungen. Der dritte und vierte Zustand sind die Seite nach dem Annehmen und nach dem Ablehnen. Der Vergleich zeigt, ob die Wahl tatsächlich ändert, was die Seite setzt.

Nachweise sind nützlich, wenn sich später jemand anderes darauf verlassen kann. Das erfordert die exakte URL, Datum und Uhrzeit, das verwendete Gerät und den Browser sowie den Netzwerkkontext, aus dem der Besuch stammte. Es erfordert außerdem Screenshots, die mit den Cookie-Listen verknüpft sind, die sie veranschaulichen, damit ein Prüfer keiner Zusammenfassung vertrauen muss.

Zwei technische Details entscheiden, ob eine Cookie-Liste vertrauenswürdig ist. Das Browserprofil darf keine Cookies aus fremden Konten mitführen, sonst werden diese fälschlich als eigene der Seite gezählt. Und ein Banner muss anhand seiner Schaltflächen erkannt werden, nicht anhand irgendeines Links, der Datenschutz erwähnt, sonst wird ein Footer-Link fälschlich als Consent-Banner gemeldet.

Viele Consent-Plattformen zeigen unterschiedliche Banner oder gar keine, je nachdem, wo sich der Besucher scheinbar befindet. Ein Durchlauf von einer echten SIM außerhalb der EU zeigt, was ein Besucher außerhalb der EU erhält. Er zeigt nicht, was ein in der EU befindlicher Besucher erhält, und sollte nicht als Prüfung für EU-Besucher dargestellt werden.

Diese Einschränkung ist dennoch nützlich. Pixel, die vor der Einwilligung für ein Publikum ausgelöst werden, lösen oft auch für jedes andere Publikum aus, und eine fehlende Ablehnungsoption ist eine Designentscheidung, die dazu neigt, überall aufzutauchen. Aber der Befund muss zusammen mit seinem Beobachtungspunkt gemeldet werden, und eine Schlussfolgerung über EU-Besucher braucht einen Beobachtungspunkt in der EU.

Sie geben eine Domain oder URL und eine Ausführungshäufigkeit an. Bei jedem Durchlauf lädt ein physisches Android-Telefon die Seite und erfasst das Vorhandensein des Banners, die sichtbaren Optionen, Cookies vor und nach der Einwilligung, relevante Änderungen zwischen den Durchläufen und Screenshots. Eine Basislinie bereits vorhandener Profil-Cookies wird ausgeschlossen, sodass nur die eigenen Cookies der Seite gezählt werden.

Jeder Durchlauf erzeugt einen signierten Nachweisdatensatz und einen Kundenbericht in JSON und PDF, der ausschließlich aus gespeicherten Daten erstellt wird. Screenshots werden 60 Tage im Founder-Plan und 90 Tage im Standard-Plan aufbewahrt. Ein während der Backtests dokumentierter Befund: Der Pilotshop bot damals keine Ablehnungsoption an und setzte Facebook-Cookies vor der Einwilligung.

Consent & Cookie Check erklärt niemals, dass eine Seite rechtlich konform ist. Es zeichnet auf, was auf einem echten Gerät geschah, damit Ihr Rechtsteam, Ihr Prüfer oder Ihr Datenschutzverantwortlicher diese Schlussfolgerung mit besserem Material ziehen können.