Was ist ein DSGVO-Cookie-Audit? (Und wie man 2026 besteht)

Die DSGVO ist acht Jahre alt, und der häufigste Compliance-Fehler auf KMU-Websites ist immer noch das Cookie-Banner. Jede EU-Aufsicht hat dazu Leitlinien; die meisten haben mindestens ein Bußgeld verhängt. Die Hürde ist nicht hoch, sie ist nur spezifisch.

Ein DSGVO-Cookie-Audit ist die strukturierte Prüfung, ob Ihre Website einer Kontrolle durch CNIL, BfDI, Garante, Datatilsynet oder den jeweiligen Landesbehörden standhält. Dieser Beitrag zeigt, was das Audit tut, welche Regeln es anwendet und welche Fehler wir auf KMU-Sites am häufigsten sehen.

Die rechtliche Grundlage (verständlich)

Zwei Vorschriften greifen. Die ePrivacy-Richtlinie (Art. 5(3)) verlangt Einwilligung, bevor nicht-strikt-notwendige Informationen auf einem Endgerät gesetzt oder gelesen werden. In Deutschland umgesetzt durch § 25 TDDDG (bis Mai 2024 TTDSG). Die DSGVO (Art. 4(11), Art. 7) definiert, wie eine gültige Einwilligung aussieht: freiwillig, spezifisch, informiert, eindeutig, und so leicht widerrufbar wie erteilt.

Was das Audit Schritt für Schritt prüft

1. Netzwerk-Erfassung beim ersten Seitenaufruf

Das Audit ruft Ihre Site als frischer Nutzer auf und protokolliert jeden gesetzten Cookie, jeden localStorage-Zugriff und jeden Netzwerk-Request, der vor der Interaktion mit dem Banner ausgelöst wird. Alles Nicht-Essentielle hier ist ein Verstoß. Diese Prüfung deckt die meisten echten Verstöße auf.

2. Cookie- und Speicher-Inventar

Das Audit listet jeden gesetzten Cookie und jeden Speicherschlüssel auf, jeweils mit der Domain, die ihn gesetzt hat. Mehr nicht: wir erfassen Namen und Domain, niemals Werte, und Laufzeit wie Zweck eines Cookies sind auf der Leitung nicht sichtbar, also melden wir keine Dauer und keinen Zweck. Wir gleichen das Inventar auch nicht automatisch mit Ihrer Cookie-Richtlinie ab, denn ein Soll-Ist-Vergleich ist Lesearbeit, keine Maschinenprüfung. Machen Sie ihn selbst, unser Inventar auf dem einen Bildschirm, Ihre Richtlinie auf dem anderen. Die meisten KMU-Cookie-Richtlinien sind veraltete Vorlagen, und Aufsichtsbehörden lesen sie.

3. Banner-Design

Fünf Muster haben die Aufsichtsbehörden benannt. Zwei davon lassen sich am Markup des Banners beurteilen, und genau die prüft Veracly automatisch:

• Gleichgewichtige Akzeptieren-/Ablehnen-Buttons. Wenn „Alle akzeptieren" prominent ist und „Ablehnen" in einem Settings-Link versteckt, ist die Einwilligung nicht freiwillig. Am 31. Dezember 2021 hat die CNIL Google mit 150 Mio. € und Facebook Ireland mit 60 Mio. € genau dafür belegt. Wir vergleichen die beiden Bedienelemente so, wie sie im DOM stehen: Art, Sichtbarkeit und visuelles Gewicht. Das ist eine Prüfung der Gestaltung, kein Test dessen, was nach einem Klick passiert.
• Keine vorausgewählten Häkchen. Jede Kategorie, Analytics, Marketing, Funktional, muss standardmäßig aus sein.

Die anderen drei wiegen genauso schwer und lassen sich aus einer einzelnen Momentaufnahme der Seite nicht klären. Gehen Sie sie selbst durch:

• Granulare Kategorien. Ein einzelner Akzeptieren-Schalter reicht nicht; Nutzer müssen Analytics ohne Werbung wählen können.
• Widerruf so einfach wie Einwilligung. Ein dauerhafter Cookie-Einstellungen-Link in der Fußzeile öffnet dasselbe Banner.
• Keine Dark Patterns. Keine Countdown-Timer, kein „Durch Weiternutzung akzeptieren", kein „berechtigtes Interesse" für Werbung.

4. Einwilligungs-Nachweis

Die DSGVO verlangt, dass Sie für jeden Besucher nachweisen können, was wann gewählt wurde. Eine echte Consent Management Platform (CMP) leistet das; selbstgebaute Banner fast nie.

5. Verhalten von Drittanbieter-Skripten

Veracly erfasst jedes Drittanbieter-Skript, jeden Cookie und jeden Speichervorgang, der vor jeder Einwilligungsgeste ausgelöst wird, also genau den Zustand vor der Einwilligung, auf den Aufsichtsbehörden am meisten achten. Wir klicken Ihr Banner nie an, und das ist Absicht: ein Klick wäre selbst eine Einwilligungsgeste und würde die Messung verfälschen, für die wir gekommen sind. Damit gibt es auch keinen Durchlauf nach der Einwilligung. Um zu prüfen, ob Skripte eine getroffene Wahl respektieren, gehen Sie jeden Pfad selbst durch, „Alle akzeptieren", „Alle ablehnen" und jede granulare Teilauswahl, in einem frischen privaten Fenster mit offenem Netzwerk-Tab. Häufigster Fehler: ein Skript, das trotz „Ablehnen" lädt, meist weil ein Tag-Manager es auf dem falschen Trigger feuert.

Die häufigsten Fehler auf KMU-Sites

Meta Pixel feuert beim Seitenaufruf. Mit Abstand am häufigsten. Die Meta-Anleitung sagt: ins <head>; das Snippet feuert sofort. In der EU ein Verstoß bei jedem Besuch.

Google Analytics ohne Consent Gate. GA4 hat Consent Mode v2, den die wenigsten KMU konfigurieren.

Hotjar/Microsoft Clarity/HubSpot zeichnen vor Einwilligung auf. Session-Recorder erfassen Eingaben und personenbezogene Daten, ohne Einwilligung ein klarer ePrivacy-Verstoß.

„Durch Weiternutzung stimmen Sie zu". Stillschweigende Einwilligung wird von jeder EU-Aufsicht abgelehnt. Wenn Ihr Banner so formuliert ist: heute ersetzen.

So bestehen Sie das Audit

1. Echte CMP installieren, die Einwilligung dokumentiert (Cookiebot, Usercentrics, Iubenda, OneTrust, Termly).
2. Jedes Analytics-, Werbungs- und Recording-Skript hinter den Consent-Gate verschieben.
3. Banner mit gleichwertigen Buttons, ohne vorausgewählte Kategorien, mit granularen Toggles.
4. Persistenten „Cookie-Einstellungen"-Link in die Fußzeile.
5. Cookie-Richtlinie neu generieren, passend zu dem, was die Site wirklich setzt.
6. Erneut auf den Zustand vor der Einwilligung scannen, dann die Akzeptieren- und Ablehnen-Pfade selbst im privaten Fenster durchgehen.

Cookie-Compliance bricht still. Marketing fügt einen neuen Tag in GTM hinzu, ein Entwickler integriert ein Chat-Widget, ein Drittanbieter aktualisiert sein Skript und setzt einen neuen Cookie. Die einzige Methode, die für KMU funktioniert: Baseline-Scan, Fixes, dann geplante Wiederholungsscans, die das Cookie-Inventar jedes Mal neu aufbauen, sodass Neues im nächsten Bericht auftaucht.

Genau das tut Veracly, kostenloser Baseline-Scan über eine Seite, dann geplante Wiederholungsscans in den bezahlten Plänen. Beim Alarmieren sind wir genau: Sie bekommen eine E-Mail, wenn ein Bericht fertig ist, und einen Alarm, wenn Ihr Durchschnittsscore um mehr als den von Ihnen gesetzten Schwellenwert fällt. Wir vergleichen noch keine Fund- oder Tracker-Listen zwischen Scans, ein neu hinzugekommener Tracker erreicht Sie also als Score-Abfall und als Zeile im nächsten Bericht, nicht als „Neuer Tracker"-Benachrichtigung. Scan starten.