Cookie-Banner und die Messlücke

Im Vereinigten Königreich regelt Regulation 6 der Privacy and Electronic Communications (EC Directive) Regulations 2003 (PECR) den Einsatz von Cookies und ähnlichen Technologien. Der Data (Use and Access) Act 2025 hat Regulation 6 mit Wirkung vom 5. Februar 2026 durch eine neue Fassung ersetzt. Die Grundregel ist unverändert. Vorbehaltlich Schedule A1 darf niemand Informationen in der Endeinrichtung eines Teilnehmers oder Nutzers speichern oder auf dort gespeicherte Informationen zugreifen. Der neue Text ergänzt, dass auch das Veranlassen der Speicherung oder des Zugriffs zählt und dass der Zugriff auch das automatische Erfassen von Informationen umfasst, die das Gerät von sich aus aussendet.

Das Information Commissioner's Office hat seinen Leitfaden zu Speicher- und Zugriffstechnologien am 29. April 2026 fertiggestellt. Er erfasst Cookies, Tracking-Pixel, Link-Decoration, lokalen Speicher, Device Fingerprinting, Skripte und Tags. Er nennt fünf Ausnahmen von der Einwilligungspflicht: Kommunikation, unbedingte Erforderlichkeit, statistische Zwecke, Darstellung und Nothilfe.

Für das Reporting an die Geschäftsleitung zählt vor allem die Ausnahme für statistische Zwecke. Nach dem Leitfaden des ICO darf eine Organisation Analytics ohne Einwilligung betreiben, wenn der einzige Zweck darin besteht, statistische Informationen darüber zu erheben, wie ihr Dienst genutzt wird, um ihn zu verbessern. Die gewonnenen Informationen müssen aggregiert sein, die Besucher müssen klare und umfassende Informationen erhalten, und es muss ein einfaches, kostenloses Mittel zum Widerspruch geben. Ein externer Analytics-Anbieter darf unterstützen, muss aber als Auftragsverarbeiter handeln und darf die Daten nicht mit Informationen aus anderen Quellen zusammenführen.

Die Ausnahme hat feste Grenzen. Das ICO stellt fest, dass Zwecke der Onlinewerbung „von den Einwilligungsanforderungen der PECR nicht ausgenommen sind und es nie waren“, und zählt die Messung von Werbung und Werbeleistung ausdrücklich dazu. Wer eine Besucherkennung mit Käufen verknüpft, um Conversions mit Werbepartnern zu teilen, braucht weiterhin eine Einwilligung.

Der Data (Use and Access) Act ändert nur britisches Recht. Organisationen mit Besuchern aus der EU brauchen eine gesonderte Prüfung anhand der Regeln, die am Ort dieser Besucher gelten.

Websites mit Google-Tags übergeben die Einwilligungsentscheidungen über Google Consent Mode an diese Tags. Die Entwicklerdokumentation von Google beschreibt zwei Arten der Implementierung, und die Wahl verändert, was das Unternehmen sehen kann.

Im einfachen Consent Mode sind die Google-Tags blockiert, bis der Besucher mit dem Banner interagiert. Lehnt der Besucher ab, werden keinerlei Daten an Google gesendet, nicht einmal der Einwilligungsstatus. Die Conversion-Modellierung in Google Ads greift dann auf ein allgemeines Modell zurück.

Im erweiterten Consent Mode werden die Tags mit der Voreinstellung „denied“ geladen. Solange die Einwilligung verweigert ist, senden sie Messungen ohne Cookies, und die vollständige Messung beginnt erst, wenn der Besucher einwilligt. Nach Angaben von Google ermöglicht dies ein werbetreibendenspezifisches Modell statt eines allgemeinen.

Die einzelnen Einwilligungstypen haben konkrete Folgen. Ist analytics_storage verweigert, liest und schreibt Google Analytics seine First-Party-Cookies nicht. Ist ad_storage verweigert, werden keine neuen Werbe-Cookies geschrieben und IP-Adressen bei der Erfassung gekürzt. Ist ad_user_data verweigert, werden keine gehashten First-Party-Daten für erweiterte Conversions gesendet. Jede dieser Einstellungen senkt den Anteil der Aktivität, der beobachtet und über eine Sitzung oder einen erneuten Besuch hinweg einem einzelnen Besucher zugeordnet werden kann.

Google Analytics 4 schließt einen Teil der Lücke mit verhaltensbasierter Modellierung, die das Verhalten von Besuchern, die Analytics-Cookies abgelehnt haben, aus dem Verhalten ähnlicher Besucher schätzt, die zugestimmt haben. Die Hilfe von Google nennt die Voraussetzungen. Der Consent Mode muss auf jeder Seite in der erweiterten Implementierung eingesetzt sein. Die Property muss an mindestens 7 Tagen mindestens 1.000 Events pro Tag mit verweigertem analytics_storage erfassen. Außerdem muss sie an mindestens 7 der letzten 28 Tage mindestens 1.000 tägliche Nutzer haben, die Events mit erteiltem analytics_storage senden. Wer diese Schwellen erreicht, hat damit noch keine Garantie auf die Modellierung.

Eine Property mit überschaubarem Traffic kann darunter fallen, und Google benennt die Folge ausdrücklich. Gibt es nicht genug Traffic mit Einwilligung, um das Modell zu trainieren, werden Events von Besuchern, die die Einwilligung verweigert haben, nicht berichtet.

Wo die Modellierung läuft, endet sie bei bestimmten Funktionen. Google führt Zielgruppen, den Nutzer-Explorer, Kohorten- und Lifetime-Explorationen, Sequenzsegmente, Bindungsberichte, prognostische Messwerte und den Datenexport einschließlich des BigQuery-Exports als nicht unterstützt auf. Ein Data Warehouse, das aus dem BigQuery-Export gespeist wird, enthält daher nur beobachtete Daten, während die GA4-Oberfläche mit der Berichtsidentität „Gemischt“ beobachtete und modellierte Daten zeigt. Wenn das Dashboard aus dem Data Warehouse und die GA4-Ansicht für dieselbe Woche unterschiedliche Nutzerzahlen ausweisen, ist dies ein dokumentierter Grund, den man zuerst prüfen sollte.

Die Ausnahme von 2026 erlaubt Analytics, die ihre Bedingungen erfüllt, ohne Einwilligung, während die Erfolgsmessung von Werbung weiterhin von ihr abhängt. Eine Organisation, die ihre Analytics auf die Ausnahme umstellt, sieht möglicherweise steigende Sitzungen und Nutzer in ihren Analytics-Berichten, während die von ihren Werbeplattformen gemeldeten Conversions auf dem bisherigen Niveau bleiben. Dieser Unterschied ergäbe sich daraus, was jedes System beobachten darf, ohne dass sich an der Nachfrage etwas geändert hätte.

Behandeln Sie das Datum jeder Änderung an der Einwilligungskonfiguration als Bruch in der Zeitreihe. Halten Sie es im Reporting-Kalender fest, führen Sie getrennte Trendlinien für die Zeit davor und danach und vergleichen Sie Conversion-Raten nicht ohne ausgewiesene Anpassung über den Bruch hinweg. Nutzen Sie die Zahl der Bestellungen aus der Commerce-Plattform oder dem ERP als Bezugsreihe, denn sie hängt nicht davon ab, dass ein Browser etwas speichert, und ändert sich nicht, wenn ein Banner neu gestaltet wird.

Der CTO sollte wissen, welche Consent-Management-Plattform im Einsatz ist, ob Google Consent Mode in der einfachen oder der erweiterten Form implementiert ist und ob jedes Tag auf der Website, auch die anderer Anbieter, die Entscheidung des Besuchers respektiert.

Die für Datenschutz verantwortliche Person sollte sagen können, auf welche PECR-Ausnahme sich jede nicht werbliche Technologie stützt, wo der Besucher sein einfaches Mittel zum Widerspruch findet und ob der Vertrag mit dem Analytics-Anbieter diesen zum Auftragsverarbeiter macht.

CMO und CFO sollten wissen, welche Kennzahlen im Vorstandsbericht beobachtet sind und welche modellierte Daten enthalten, ob die GA4-Property die Schwellen für die verhaltensbasierte Modellierung erreicht und welche Reihe als Bezug dient, wenn die Systeme voneinander abweichen. Jede Antwort braucht eine namentlich benannte verantwortliche Person und eine Überprüfung, sobald sich Banner, Consent-Plattform oder Tag-Bestand ändern.