Die Kernfrage
Ein Cookie-Banner ist kein Selbstzweck. Er soll User um Zustimmung bitten, wenn Sie Daten bearbeiten für die die gesetzliche Grundlage „Zustimmung" ist. Wenn Ihre Grundlage ein legitimes Interesse ist (revDSG Art. 31 Abs. 2 lit. b), brauchen Sie keinen Banner, nur eine transparente Information (in der Datenschutzerklärung).
Der Unterschied ist für viele KMU entscheidend.
Der Entscheidungsbaum
Schritt 1: Was nutzen Sie überhaupt?
- Matomo self-hosted mit IP-Anonymisierung
- Matomo Cloud / andere EU-Analytics
- Google Analytics 4 (GA4)
- Facebook/Meta Pixel
- Heatmap-Tools (Hotjar, Microsoft Clarity)
- Werbe-Pixel (LinkedIn Insight Tag, Google Ads Conversion)
- Nichts davon, nur technisch notwendige Cookies
Schritt 2: Entscheidung
| Stack | Banner nötig? | Grund |
|---|---|---|
| Nur technisch notwendige Cookies | Nein | revDSG erlaubt berechtigtes Interesse für Session-Auth etc. |
| Matomo self-hosted + IP-Anon + DNT respektiert | Nein, aber DSE-Info | Anonymisierte Reichweitenmessung = berechtigtes Interesse |
| Matomo mit vollem IP + Cookie-Tracking | Ja (opt-in) | Identifizierbare Personendaten |
| GA4, Pixel, Ads | Ja (opt-in, nicht pre-checked) | Drittland-Übermittlung + Profiling |
| Heatmaps | Ja | Mouse-Recording = potenziell Personendaten |
Schritt 3: Wenn Banner, welcher?
Wir empfehlen drei Klassen:
-
DSG-Leichtgewicht für Matomo-Light oder Essentials-Only:
- Einfacher Info-Banner „Wir nutzen Matomo mit IP-Anonymisierung, Details"
- Kein Opt-In-Button
- Tools: Cookie-Consent.js, eigenes Minimal-Widget
-
DSG/DSGVO-Standard für „Hat GA4 / Pixel aber nichts Crazy":
- Opt-In-Modal beim ersten Besuch
- Buttons „Akzeptieren", „Nur notwendige", „Einstellungen"
- Pre-Check ist verboten
- Tools: Klaro, Cookie-Consent, Osano, Cookiebot
-
TCF-2.2-konform für „Wir arbeiten mit Ad-Tech-Vermarktern":
- IAB-TCF-Framework, schnittstellenfähig mit Google Consent Mode v2
- Purposes + Vendors-Listen
- Tools: Usercentrics, OneTrust, Cookiebot Pro
Typische KMU-Konstellationen
Konstellation A: Dienstleister-Website, Kontaktformular
- Stack: nichts weiter als Formular-Processing
- Cookies: nur Session (wenn Login) + anti-CSRF
- Banner: Nein. Nur Hinweis in DSE.
Konstellation B: Firma mit Newsletter + Matomo
- Matomo self-hosted + IP-Anon
- Newsletter via Brevo (EU-Anbieter, optin-fähig)
- Banner: Nein (bei korrekter Matomo-Config). Matomo erwähnen + Newsletter-Optin separat.
Konstellation C: E-Commerce mit GA4 + Remarketing
- GA4 aktiv
- LinkedIn Insight Tag
- Facebook Pixel
- Banner: Ja, Standard-Konfiguration mit Accept/Reject-Buttons, blocking von Tracking bis Consent.
Konstellation D: Publisher mit Werbe-Monetarisierung
- Ad-Exchange (Google, Criteo, etc.)
- TCF-2.2-konformer Banner Pflicht.
- Banner: Ja, TCF-2.2, meist via bezahlter CMP.
Was passiert wenn falsch gemacht?
- Kein Banner trotz GA4: Beschwerde beim EDÖB oder bei EU-Auslandkunden bei DSGVO- Behörden. Bussen bis CHF 250'000 (revDSG) bzw. 4 % des Jahresumsatzes (DSGVO).
- Pre-Checked Consent: gilt nicht als Zustimmung, gleiche Konsequenz.
- „Akzeptieren" vs. „Ablehnen" im UX benachteiligen (dark patterns): DSGVO-Verstoss.
Unsere pragmatische Empfehlung
Wenn möglich, auf Matomo self-hosted mit IP-Anon umsteigen und banner-frei arbeiten. Das ist schneller (kein Cookie-Modal beim ersten Klick), userfreundlicher und rechtskonform. Für viele KMU-Websites reicht das völlig.
Wenn Marketing unbedingt GA4 + Pixel will, gut, dann aber einen sauberen Consent- Banner + Google Consent Mode v2 + Post-Consent-Firing. Keine Kompromisse.
Weitere Infos in unseren Web-&-Commerce-Leistungen.