Was ist eine Consent Management Platform (CMP)?

Eine Consent Management Platform (CMP) ist ein System, das Einwilligungen für Cookies, Tracking und externe Dienste auf Websites einholt, verwaltet und an angebundene Systeme weitergibt. Sie ist damit mehr als ein sichtbarer Cookie-Hinweis: Sie steuert, welche Dienste wann geladen werden dürfen.

Welche Aufgaben übernimmt eine CMP?

Eine CMP zeigt Nutzern Informationen zu Diensten und Kategorien, ermöglicht Zustimmung oder Ablehnung, speichert den gewählten Status und übergibt diese Information an Website, Tag Manager, Analyse-Tools oder Werbesysteme. Gute Systeme ermöglichen granulare Entscheidungen, Protokollierung und eine nachträgliche Änderung der Auswahl.

In der Praxis geht es um Dienste wie Webanalyse, Marketing-Tags, eingebettete Medien, Karten, Chat-Tools oder externe Schrift- und Skriptquellen. Ein Cookie-Hinweis allein reicht nicht, wenn Tracking oder externe Dienste schon vor einer wirksamen Einwilligung aktiv sind.

Eine CMP muss deshalb mit der technischen Ausspielung der Website verbunden sein. Sie sollte nicht nur eine Entscheidung anzeigen, sondern Skripte, Tags und externe Einbettungen tatsächlich kontrollieren. Sonst entsteht eine Lücke zwischen sichtbarer Einwilligung und realem Datenfluss.

Welche rechtlichen Anforderungen sind relevant?

Für Deutschland sind vor allem DSGVO und TDDDG relevant; das TDDDG hat die frühere TTDSG-Systematik abgelöst. Technisch nicht erforderliche Zugriffe auf Endgeräte und viele Tracking-Vorgänge benötigen typischerweise eine vorherige Einwilligung. Unternehmen sollten aber konkret prüfen, welche Dienste sie einsetzen und auf welcher Rechtsgrundlage sie betrieben werden.

Eine CMP ersetzt keine rechtliche Prüfung. Sie ist ein technisches Werkzeug, das eine rechtlich definierte Entscheidung umsetzen muss. Wenn Dienstekategorien falsch gepflegt sind oder Skripte trotz Ablehnung starten, hilft auch ein optisch gutes Banner nicht.

Was macht eine gute CMP technisch aus?

Wichtig sind klare Kategorien, verständliche Beschreibungen, keine vorangekreuzten optionalen Zustimmungen, zuverlässiges Blockieren vor Einwilligung, Protokollierung, Versionierung der Texte und Schnittstellen zu Consent Mode oder Tag-Management-Systemen.

Für Online-Marketing ist außerdem entscheidend, dass Messung nicht blind abgeschaltet oder rechtswidrig erzwungen wird. Ein gutes Setup unterscheidet notwendige technische Funktionen, Analyse, Marketing und externe Inhalte nachvollziehbar.

Je nach Setup kommen Schnittstellen wie Google Consent Mode, ein Tag Manager oder das IAB Transparency and Consent Framework hinzu. Diese Schnittstellen müssen korrekt konfiguriert werden, damit Einwilligungsstatus nicht nur gespeichert, sondern von den angebundenen Systemen auch berücksichtigt wird.

Häufige Fehler in der Praxis

Viele Consent-Setups scheitern nicht am Banner, sondern an der technischen Integration. Tracking-Skripte laden sofort, externe Medien setzen Anfragen vor Zustimmung ab, Dienste sind falsch kategorisiert oder Änderungen an Marketing-Tags umgehen die CMP.

Bei WordPress-Websites kommen Plugin-Konflikte hinzu. Ein Datenschutz-Plugin kann nur steuern, was es kennt oder was technisch korrekt eingebunden wurde. Darum gehört Consent Management zur WordPress-DSGVO- und Datenschutz-Umsetzung und nicht nur zur Plugin-Auswahl.

Orientierung geben die Datenschutzkonferenz mit ihrer Orientierungshilfe für Anbieter digitaler Dienste sowie die BfDI-Hinweise zu Cookies und Tracking-Technologien. Für Unternehmen bleibt entscheidend: Erst Dienste inventarisieren, dann Rechtsgrundlage und technische Auslösung kontrollieren.

Nach größeren Website-Änderungen sollte die CMP erneut getestet werden. Neue Plugins, eingebettete Medien, Kampagnen-Tags oder Formularanbieter können zusätzliche Datenflüsse erzeugen, die im Consent-Setup ergänzt werden müssen.

Besonders wichtig ist ein Test im echten Browser. Nur dort lässt sich sicher prüfen, ob vor Einwilligung tatsächlich keine optionalen Skripte, Pixel, iframes oder externen Ressourcen aktiv werden.