Cookies und Zustimmung (CMP)

CMP (Consent Management Platform) ist ein Zustimmungsbanner für Cookies plus die Mechanik, die Drittanbieter-Skripte tatsächlich blockiert, bevor der Besucher auf „Akzeptieren“ geklickt hat. Ein bloßes „Banner am unteren Bildschirmrand“ reicht für die DSGVO nicht aus: Vor der Zustimmung dürfen Analyse- und Werbepixel gar nicht ausgeführt werden.

Unsere CMP funktioniert sowohl in unserem Schaufenster als auch auf Ihrer eigenen Website — mit demselben Code.

Wo die Konfiguration erfolgt:

• Marketing → „Meine Website“ → Karte „Cookies und Zustimmung“ (für die externe Website);
• oder Website → „Website einrichten“ → Abschnitt „Cookies und Zustimmung (CMP)“ (für unser Schaufenster).

So aktivieren Sie es#

1. Fügen Sie den Installationscode aus dem Abschnitt „Meine Website“ in Ihre Website ein — das Cookie-Banner wird als erstes von allen Widgets geladen, damit die übrigen Skripte die bereits getroffene Entscheidung sehen.
2. Aktivieren Sie den Schalter des Widgets.
3. Starten Sie den Scanner — er erstellt eine Liste der Cookies Ihrer Website.
4. Veröffentlichen Sie die Seite „Cookie-Richtlinie“ oder geben Sie einen Link zu Ihrer eigenen an.

Das Banner erkennt die Sprache der Seite selbst und wird in dieser angezeigt — Übersetzungen in 45 Sprachen sind bereits fertig.

Für WordPress gibt es ein separates Plugin Cenaly Consent: Sie installieren es in Ihrer WP-Administration, klicken auf „Verbinden“, wählen im sich öffnenden Fenster den Standort — Tag und Einstellungen werden automatisch übernommen, der Code muss nicht manuell eingefügt werden.

Was es kostet#

Das Banner selbst und die Blockierung von Trackern sind in jedem Plan kostenlos — sowohl in unserem Schaufenster als auch auf Ihrer eigenen Website. Gesetzeskonformität wird nicht stückweise verkauft: 45 Sprachen, automatische Blockierung, Consent Mode v2, das Präferenzzentrum und die gehostete Seite „Cookie-Richtlinie“ sind in der Plattform enthalten.

Separat wird die Stufe „Cookies Pro“ verkauft — die Karte „Cookies und Zustimmung“ im App-Marktplatz, 9 $ pro Monat oder 90 $ pro Jahr pro Standort. Das ist kein Zugang zum Bereich, sondern der Leistungsumfang des Dienstes: ein tieferer und häufigerer Scan der Website (einschließlich geschützter Bereiche), ein langes Zustimmungsprotokoll mit Nachweis-Export, eigene Regeln nach Ländern, vollständige Design-Anpassung und Text-Overrides nach Sprachen, Entfernung des Badges „Läuft auf Cenaly“. Der aktuelle Leistungsumfang der Stufe und der Preis stehen auf der Karte selbst im Marktplatz.

Die KI-Kennzeichnung nicht erkannter Cookies ist nicht in der Stufe enthalten und wird nicht separat verkauft: Sie ist in jeder Stufe verfügbar, und jeder Aufruf wird vom KI-Guthaben des Kontos bezahlt. Bei Marken in der Yandex-Cloud (cenaly.ru) gibt es keinen automatischen Website-Scanner (siehe unten), daher funktioniert dieser Teil der Stufe dort nicht; das Zustimmungsprotokoll und der Export sind dort vorhanden.

Kategorien und was vor der Zustimmung blockiert wird#

Vier Standardkategorien:

Solange keine Zustimmung vorliegt, werden Skripte und iframes dieser Kategorien nicht geladen: Ihre Adressen werden mit dem integrierten Tracker-Register abgeglichen, und Sie können eigene Muster hinzufügen. Ein blockiertes iframe (zum Beispiel ein YouTube-Video) zeigt einen Platzhalter mit dem Link „erlauben“.

Zusätzlich werden Zustimmungssignale an Werbesysteme übermittelt: Google Consent Mode v2 (vor der Zustimmung — Modus ohne Cookies), Microsoft UET, Meta (fbq), Clarity Consent API. Die Browsersignale GPC und Do Not Track werden berücksichtigt.

Die Lebensdauer der Zustimmung ist konfigurierbar (standardmäßig 365 Tage, zulässig sind 30–730), danach fragt das Banner erneut. Die Ablehnung durch den Gast wird gespeichert — wir werden nicht bei jedem Besuch erneut fragen. Sie können eine allgemeine Zustimmung für alle Subdomains aktivieren und einen Link zur Liste der Websites angeben, die sie abdeckt.

Modi nach Ländern#

Ein Modus ist das Verhalten des Banners, bevor der Besucher etwas angeklickt hat. Er wird so gewählt:

1. Ihre Regel für das Land des Besuchers (falls festgelegt),
2. Ihr Standardmodus,
3. die integrierte Länderkarte,
4. die Heuristik anhand der Zeitzone des Browsers.

Das Land des Besuchers wird anhand der IP bestimmt. ⚠️ Das ist die Wahl eines Verhaltens, das Sie konfiguriert haben, und keine Aussage darüber, welches Gesetz auf Sie anwendbar ist.

Fünf Modi#

Unabhängig von den Modi gibt es die Zusatzoption „Hinweis statt Abfrage der Zustimmung“: Sie erlauben sie, und wenn der Bericht des Scanners belegt hat, dass es auf der Website außerhalb der Kategorie „notwendig“ nichts gibt, informiert die erste Ebene, statt zu fragen. Die Blockierung hebt sie nicht auf: Erscheint ein neuer Tracker, wird er trotzdem bis zur Zustimmung des Besuchers blockiert.

Integrierte Länderkarte#

Sie greift, wenn Sie weder eine Regel für ein Land noch einen eigenen Standardmodus festgelegt haben:

• Opt-in — 32 Länder: 27 Länder der Europäischen Union plus Island, Liechtenstein und Norwegen (zusammen — EWR), das Vereinigte Königreich und die Schweiz;
• Opt-out — USA;
• alle übrigen Länder — keine Regel: Es greift Ihr Standardmodus, und wenn auch dieser nicht festgelegt ist — die Heuristik anhand der Zeitzone des Browsers (Europe/* → Opt-in, America/* → Opt-out, in allen übrigen Fällen Opt-in). Der sichere Standard ist Opt-in.

⚠️ Die Karte ist unsere Standardeinstellung und keine rechtliche Klassifizierung von Ländern. Länder, in denen man üblicherweise eine Zustimmung einholt, die aber nicht in der Karte stehen (Türkei, Russland, Brasilien und Dutzende weitere), fallen unter Ihren Standard oder unter die Heuristik. Brauchen Sie einen bestimmten Modus in einem bestimmten Land — legen Sie ihn per Regel fest, statt sich auf die Karte zu verlassen.

⚠️ Die Bestimmung des Landes anhand der IP gibt es nicht überall. Bei Marken in der Yandex-Cloud (cenaly.ru) gibt es keinen Geo-Endpunkt, und das Widget fällt sofort auf die Heuristik anhand der Zeitzone zurück — sie ist gröber: Ein Besucher aus der EU auf Reisen in den USA erhält America/* → Opt-out. Wenn das für Sie wichtig ist, legen Sie den Standardmodus ausdrücklich fest. Das Land von sieben Zeitzonen erkennt das Widget dennoch (Moskau → RU, Istanbul → TR, Tiflis → GE, Kiew → UA, London → GB, Jerewan → AM, Tirana → AL): Ihre Regel für ein solches Land greift auch bei festgelegtem Standardmodus.

Wo man das konfiguriert: die Karte „Cookies und Zustimmung“ → Zahnrad → „Standard-Zustimmungsmodus“ und „Regeln nach Ländern“ (Land im ISO-2-Format → Modus).

Was der Modus NICHT tut#

• er wählt nicht die Jurisdiktion für Sie — welchen Modus Sie in welchem Land aktivieren, entscheiden Sie (und Ihr Jurist);
• er ändert nicht die Texte der Dokumente: die Zusammenstellung der Rechtsseiten und ihre Formulierungen sind ein separates Werkzeug mit eigenen Ländern, siehe Rechtsdokumente;
• er deckt keine mobilen Apps ab — das ist ein Skript für Webseiten;
• er liefert keine TCF-Zeichenkette von IAB Europe: Wenn ein Werbepartner speziell ein zertifiziertes CMP aus dem TCF-Framework verlangt, passt unser Banner nicht dazu. Wir übermitteln Zustimmungssignale direkt — Google Consent Mode v2, Microsoft UET, Meta, Clarity.

Woher die gewohnten Markterwartungen kommen#

⚖️ Das sind Orientierungshinweise und keine Rechtsberatung und keine Aussage, dass auf Sie die eine oder andere Norm anwendbar ist. Wir nennen die Primärquellen, auf die wir uns selbst stützen; Aktualität und Anwendbarkeit auf Ihr Geschäft prüfen Sie mit einem Juristen.

Es gibt mehr Länder auf der Welt als Zeilen in dieser Tabelle: Die Liste ist bewusst unvollständig — wir führen nur das auf, was wir selbst bei der Konfiguration des Produkts verwenden.

Aussehen und Texte#

• Layout: Leiste, Karte, modales Fenster; die Position ist eine von sechs Varianten an Kante/Ecke.
• Einstellungsansicht: Aufklappen in der Karte oder ausfahrende Seitenleiste.
• Farbpalette pro Element getrennt für helles und dunkles Theme, eigenes Logo, eigenes CSS (bis zu 10 KB).
• Schaltflächen-Toggles: Kreuz, „Alles ablehnen“, „Anpassen“. Die Schaltfläche „Annehmen“ lässt sich nicht ausblenden, und im Opt-in-Modus warnt die Admin-Oberfläche vor Risiken, wenn Sie „Ablehnen“ entfernen.
• Kategorien lassen sich als Häkchen direkt auf die erste Ebene des Banners legen.
• Jeder Text des Banners lässt sich pro Sprache über unsere Übersetzungen legen.
• Die Vorschau im Konto wechselt zwischen Desktop, Tablet und Mobil.
• Separat konfigurierbar sind die schwebende Schaltfläche „Cookie-Einstellungen“ (links/rechts/aus) und die Liste der Seiten, auf denen der Banner nicht angezeigt wird.

Cookie-Scanner und Deklaration#

⚠️ Auf Marken in der Yandex-Cloud (cenaly.ru) gibt es keinen Scanner. Dort wird die Cookie-Liste für die Deklaration manuell in derselben Tabelle unten gepflegt — die Richtlinienseite bleibt aktiv —, und statt der Abfrage der Zustimmung und der KI-Kennzeichnung, die auf dem Scan-Bericht beruhen, gibt es Hinweise.

Der Scanner öffnet Ihre Website im Browser und sammelt echte Cookies und Drittanbieterdienste. Jede Seite wird zweimal durchlaufen — ohne Zustimmung (so werden Verstöße gegen Prior Consent sichtbar) und mit vollständiger Zustimmung (so wird die vollständige Deklaration erfasst):

• Durchlauf über robots.txt, sitemap.xml und Links von den Startseiten, begrenzt durch die Anzahl der Seiten;
• Zeitplan: monatlich oder wöchentlich, im Konto ist das Datum des nächsten Scans sichtbar;
• Scan-Verlauf — wie viele Seiten durchlaufen, wie viele Cookies gefunden und wie viele davon neu im Vergleich zum letzten Mal;
• Scan hinter dem Login — für Seiten des persönlichen Bereichs;
• KI-Klassifikator: unbekannte Cookies erhalten eine vorgeschlagene Kategorie mit Erklärung, Sie bestätigen oder ändern sie. Der Aufruf ist kostenpflichtig — er wird vom KI-Guthaben des Kontos auf jeder Stufe abgebucht.

Cookie-Deklaration — eine Tabelle aller Cookies nach Kategorien: Name, Anbieter, Speicherdauer, Zweck. Sie können eigene Einträge hinzufügen, Beschreibungen und Übersetzungen bearbeiten. Aus derselben Tabelle wird die Liste für den Banner und für die Richtlinienseite erstellt.

Verwechseln Sie den Scanner nicht mit der öffentlichen Seite „Website-Prüfung“: Sie ist ohne Login ins Konto zugänglich, liest aber nur das Quell-HTML einer Seite — sie zeigt Tracker im Code, das Vorhandensein eines Zustimmungsbanners und unser Tag, sieht aber keine echten Cookies und nicht, was Skripte im Browser nachladen. Das ist ein Schaufenster-Magnet für „schauen, was auf meiner Website läuft“; die vollständige Deklaration erfasst genau der Scanner oben.

Seite „Cookie-Richtlinie“#

Der Link im Banner führt entweder zu Ihrer bestehenden Seite oder zu einem Dokument, das wir selbst generieren und platzieren: Es wird aus den Scan-Ergebnissen erstellt, in 45 Sprachen veröffentlicht und zusammen mit der Deklaration aktualisiert — die Cookie-Tabelle darauf ist immer aktuell.

Wenn Sie auch die übrigen rechtlichen Seiten benötigen (Datenschutzerklärung, Bedingungen, Rückgaben, Lieferung) — siehe Rechtliche Dokumente.

Zustimmungsjournal und Berichte#

ℹ️ Auf Marken in der Yandex-Cloud (cenaly.ru) wird das Journal anders erfasst, aber ebenso vollständig. Auf der Hauptinfrastruktur der Lösung werden die Daten nachts ins Journal übertragen, auf cenaly.ru hingegen in dem Moment, in dem Sie das Journal, die Trends oder den Export öffnen: Das erste Öffnen am Tag kann ein paar Sekunden länger dauern, dafür sind frische Entscheidungen sofort sichtbar. Format, Deduplizierung und Aufbewahrungsfristen sind gemeinsam, daher ist der Export als Nachweis in beiden Clouds identisch.

Das Journal ist der Nachweis der Zustimmung (proof of consent) für den Fall einer Prüfung:

• Datum, anonyme Kennung, gewählte Kategorien, Version der Richtlinie, Land und Sprache;
• Export als CSV und als einzelner Eintrag;
• Trends: angenommen / abgelehnt / teilweise nach Tagen und nach Ländern;
• Zähler der Banner-Einblendungen.

Die Schaltfläche „Alle jetzt erneut fragen“ hebt die Version der Richtlinie an — nach wesentlichen Änderungen fragt der Banner alle erneut.

Einschränkungen#

• Strikter „Prior Consent“ erfordert ein separates Tag. Über den einheitlichen Loader wird der Cookie-Banner als erstes unserer Widgets geladen, aber fremde Analytik, die in <head> oberhalb unseres Codes eingebunden ist, überholt er nicht. Wenn kein Drittanbieter-Skript starten soll, bevor der Gast geantwortet hat, setzen Sie das Banner-Tag in die erste Zeile in <head>, vor alle anderen.
• Eine defekte oder nicht erreichbare Konfiguration hebt die Blockierung auf, statt sie einzuschalten. Das Widget ist aus, die Seite steht in den Ausnahmen, die Konfiguration wurde nicht gelesen — die Tracker auf der Website laufen wie gewohnt. Eine fremde Website wegen unserer Störung blockiert zu halten ist nicht zulässig, prüfen Sie daher, dass der Banner tatsächlich angezeigt wird.
• Blockiert wird, was bekannt ist. Skripte und iframes werden mit dem integrierten Tracker-Register abgeglichen; ein nicht standardmäßiger oder selbst geschriebener Zähler muss mit eigenem Muster hinzugefügt werden — sonst lädt er vor der Zustimmung.
• Das Alters-Gate 18+ ist eine separate Sektion und separate Texte. Es ist standardmäßig aus, und seine Beschriftungen gibt es auf Englisch, Russisch, Georgisch und Türkisch mit Rückfall auf Englisch, während der Banner selbst in 45 Sprachen spricht: Legen Sie die Formulierung für Ihren Markt mit eigenen Texten fest.
• Die Abdeckung von Regionen ist eine Einstellung, keine Zertifizierung. Die integrierte Karte kennt 32 Länder mit Opt-in und die USA mit Opt-out, den Rest legen Sie mit Regeln fest; die Übereinstimmung mit Ihrer Jurisdiktion kann der Banner nicht prüfen und versucht es auch nicht — Details und Primärquellen im Abschnitt „Modi nach Ländern“.
• Ein TCF-Framework (IAB Europe) haben wir nicht. Wenn ein Werbenetzwerk ein zertifiziertes CMP mit TCF-String verlangt, passt unser Banner dafür nicht: Wir übermitteln die Zustimmung direkt — Google Consent Mode v2, Microsoft UET, Meta, Clarity.
• Dies ist ein Web-Banner. Für mobile Apps (eigene SDKs, systemische Tracking-Abfragen) ist es nicht vorgesehen.
• Der Banner ersetzt nicht die Richtlinie. Der Link zur Seite „Cookie-Richtlinie“ (unserer veröffentlichten oder Ihrer eigenen) muss ausgefüllt sein — ohne ihn hat der Gast keinen Ort, an dem er sehen kann, wozu er zustimmt.

Fehlerbehebung#

Kein Banner auf der Website. Das Tag ist nicht eingefügt oder steht nicht auf allen Seiten der Vorlage (klicken Sie auf „Installation prüfen“); im Tag steht eine fremde data-domain; der Schalter des Widgets ist ausgeschaltet; die Änderungen sind noch nicht angekommen — die Widget-Dateien werden über ein CDN mit einem Cache von 5 Minuten ausgeliefert. Ein Tag, das Google Tag Manager erst im Browser einfügt, wird von der Installationsprüfung nicht erkannt — das ist kein Fehler, sehen Sie sich die Website mit eigenen Augen an; die vollständige Liste solcher Fälle finden Sie unter „Was die Installationsprüfung nicht sieht“.

Das Banner ist da, aber Tracker laden vor der Zustimmung. Wahrscheinlich steht ein fremdes Skript im <head> oberhalb unseres Tags — verschieben Sie unser Tag an die erste Stelle. Der zweite häufige Fall — ein Zähler fehlt im integrierten Register: Fügen Sie seine Adresse mit Ihrem eigenen Muster hinzu.

Das Banner wird immer wieder angezeigt. Prüfen Sie die Gültigkeitsdauer der Zustimmung und ob die Richtlinie neu veröffentlicht wurde: Eine Neuveröffentlichung erhöht die Version, und das Banner fragt erneut — das ist so gewollt.

Diagnosewerkzeuge:

• Installation prüfen — wir lesen den HTML-Quelltext Ihrer Seite und sagen, ob der Code gefunden wurde und ob er innerhalb von <head> steht.
• Code an den Entwickler senden — öffnet in Ihrem E-Mail-Programm eine fertige Nachricht mit dem Snippet.
• Leitfaden zu Google Tag Manager — wie Sie das Banner als GTM-Tag einfügen.
• Debug-Modus: Öffnen Sie die Website mit ?cenaly_consent_debug=1 — in der Konsole erscheinen die Ereignisse von Consent Mode (default/update) und der bestimmte Regionsmodus; Sie sehen, was Google und andere Systeme genau erhalten.

Verwandte Abschnitte#

• Meine Website — Installationscode und weitere Widgets
• Rechtliche Dokumente — Datenschutzrichtlinie, Bedingungen, Rückerstattungen
• Analytik — was nach der Zustimmung sichtbar ist

Häufige Fragen#

Ist das Banner Pflicht? Das ist eine Frage an Ihren Juristen, nicht an uns: Die Pflicht hängt davon ab, wo Sie tätig sind, woher Ihre Besucher kommen und welche Skripte auf der Website laufen. Von der Produktseite aus lautet die Antwort so: Unser Banner beherrscht fünf Modi, standardmäßig wird in 32 Ländern des EWR, im Vereinigten Königreich und in der Schweiz ein strenges Opt-in aktiviert, in den USA ein Opt-out mit „Do Not Sell“, in den übrigen Ländern bestimmen Sie das Verhalten. Orientierungspunkte und Primärquellen sind oben im Abschnitt „Modi nach Ländern“ zusammengestellt.

Blockiert CMP meine eigene Analytik? Vor der Zustimmung — ja, das ist seine Aufgabe. Die Plattform-Analytik zählt dabei weiterhin Besuche im cookieless-Modus von Consent Mode v2.

Was passiert mit alten Zustimmungen nach einer Änderung der Richtlinie? Nichts, bis Sie auf „Jetzt alle erneut fragen“ klicken oder die Richtlinie neu veröffentlichen — dann steigt die Version und das Banner fragt erneut.

Funktioniert das, wenn die Website nicht auf unserer Plattform läuft? Ja — das ist das Hauptszenario. Ein Tag auf jeder Website, und für WordPress das Plugin Cenaly Consent, das das Tag für Sie einfügt.