Cookies, Consent und das ePrivacy Chaos: Warum Großbritannien seit 2026 anders trackt als Österreich und Deutschland

Der Punkt: ein Checkout, drei Märkte, zwei Regelwerke

Ein Shop in Linz, der auch nach Deutschland und nach Großbritannien verkauft, hat eine Website und zwei Cookie Rechtsordnungen. Zu Hause gilt § 165 Absatz 3 des Telekommunikationsgesetzes 2021 (TKG 2021): Alles, was nicht unbedingt erforderlich ist, wartet auf ein aktives Ja, und die Datenschutzbehörde hat in ihren Cookie FAQ aufgeschrieben, wie dieses Ja auszusehen hat.¹² Deutschland setzt mit § 25 des Telekommunikation Digitale Dienste Datenschutz Gesetzes (TDDDG) dieselbe europäische Vorgabe um und kommt zum selben Ergebnis.³⁴ Großbritannien dagegen hat sich am 5. Februar 2026 ein Stück weit von dieser Linie entfernt. An dem Tag hat der Data (Use and Access) Act 2025 die britische Cookie Regel neu gefasst und eine Tür für Statistik ohne Einwilligung geöffnet.⁵

Diese Lücke ist der ganze Artikel. Baust du dein Tracking nach der britischen Regel und richtest es auf österreichischen Traffic, verstößt du in deinem Heimatmarkt gegen das Gesetz. Baust du es überall nach der österreichischen Regel, verschenkst du in Großbritannien etwas, das dort seit Februar erlaubt ist. So oder so stehen in deinen Werbekonten Zahlen, die um einen vorhersagbaren Betrag falsch sind. Den Fehler behebt Arithmetik, kein neues Tool.

Ich gehe das Recht in jedem Markt mit den Primärquellen durch, zeige, wie eine wirksame Einwilligung aussieht, zeichne, was feuert, wenn ein Besucher Ja oder Nein sagt, und rechne den Juni eines Linzer Bademodenshops durch, um gemessene und modellierte Conversions in Euro nebeneinander zu legen. Die Geschäftszahlen sind erfunden. Das Recht nicht.

Was das Gesetz in Österreich sagt

Die Wurzel ist europäisch: Artikel 5 Absatz 3 der ePrivacy Richtlinie 2002/58/EG in der Fassung von 2009. Das Speichern von Informationen oder der Zugriff auf bereits gespeicherte Informationen im Endgerät eines Nutzers ist nur gestattet, wenn der Nutzer auf der Grundlage klarer und umfassender Informationen seine Einwilligung gegeben hat. Die einzigen Ausnahmen: Speichern oder Zugriff zum alleinigen Zweck der Übertragung einer Nachricht, und Speichern oder Zugriff, das unbedingt erforderlich ist für einen vom Nutzer ausdrücklich gewünschten Dienst.⁶ Eine Statistik Ausnahme kommt in dem Satz nicht vor, und Österreich hat keine erfunden.

Umgesetzt ist das bei uns in § 165 Absatz 3 TKG 2021. Betreiber öffentlicher Kommunikationsdienste und Anbieter von Diensten der Informationsgesellschaft, also auch dein Shop, müssen den Nutzer darüber informieren, welche personenbezogenen Daten sie ermitteln, auf welcher Rechtsgrundlage, für welche Zwecke und für wie lange. Und die Ermittlung ist nur zulässig, wenn der Nutzer auf der Grundlage klarer und umfassender Informationen aktiv eingewilligt hat. Dann folgen dieselben zwei Ausnahmen wie in der Richtlinie: Übertragung, und was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist.¹ Das Wort "aktiv" steht im österreichischen Text ausdrücklich drin. Die Regel handelt vom Speichern und Auslesen, nicht von Cookies als solchen: Ein Pixel, ein Fingerprint, der Local Storage und ein Cookie sind für sie ein und dasselbe.

Die Datenschutzbehörde (DSB) liest den Paragrafen in ihren FAQ zu Datenschutz und Cookies ohne Augenzwinkern. Für alle technisch nicht notwendigen Cookies muss eine Einwilligung eingeholt werden, und beim Bau einer Website ist dringend darauf zu achten, dass kein solches Cookie gesetzt wird, bevor die Einwilligung da ist. Technisch notwendig heißt technisch, nicht wirtschaftlich: Nach der Judikatur der Datenschutzbehörde und des Bundesverwaltungsgerichts wird ein Werbecookie nicht notwendig, bloß weil die Website sich über personalisierte Werbung finanziert.² Die Liste des Notwendigen ist kurz und praktisch: Sitzungsverwaltung wie der Warenkorb oder der Login Status, Eingaben in einem Formular über mehrere Unterseiten, und das Speichern der Einwilligungsentscheidung selbst, solange dafür keine eindeutige Kennung vergeben wird.²

Zur Zuständigkeit sind die FAQ ehrlicher, als es manchem Berater recht ist. Der Vollzug eines Verstoßes gegen § 165 Absatz 3 TKG 2021 liegt bei den Fernmeldebehörden. Sobald als Folge der Cookies aber personenbezogene Daten verarbeitet werden, und bei Tracking Cookies ist das der Normalfall, ist die Datenschutzbehörde zuständig, und jeder Besucher kann dort Beschwerde einbringen.² Zwei Türen, hinter beiden steht jemand.

Die Strafen kommen aus zwei Richtungen. Nach dem TKG 2021 begeht eine Verwaltungsübertretung, wer entgegen § 165 Absatz 3 die Nutzer nicht informiert, und § 188 Absatz 4 Ziffer 24 setzt dafür eine Geldstrafe von bis zu € 50.000 fest, im Fall der Uneinbringlichkeit eine Freiheitsstrafe bis zu sechs Wochen. Verhängt wird sie vom Fernmeldebüro.⁷ Das ist der kleine Hebel. Der große ist die Datenschutz Grundverordnung (DSGVO): Werden über die Cookies personenbezogene Daten ohne wirksame Einwilligung verarbeitet, reicht der Rahmen nach Artikel 83 bis zu € 20 Millionen oder 4 % des weltweiten Jahresumsatzes.⁸ Und du musst nicht auf eine Behörde warten, bis so ein Verfahren läuft. Die Organisation, die nach Schrems II 101 Beschwerden gegen Google Analytics und Facebook Connect eingereicht hat, noyb, sitzt in Wien, und die erste dieser Beschwerden hat unsere Datenschutzbehörde im Jänner 2022 entschieden.⁹ Dazu unten mehr.

Was in Deutschland gilt

Deutschland setzt dieselbe Richtlinie um, und zwar in § 25 TDDDG. Absatz 1 sagt: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits dort gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat, und Information und Einwilligung haben gemäß der DSGVO zu erfolgen.³ Absatz 2 nennt die beiden Ausnahmen, Übertragung und unbedingt erforderlich, und es sind genau zwei.³ Bis Mai 2024 hieß das Gesetz TTDSG. Der Name hat sich geändert, die Paragrafennummer nicht, und laut den deutschen Aufsichtsbehörden entspricht der neue § 25 inhaltlich dem alten.⁴

Die Orientierungshilfe Digitale Dienste der Datenschutzkonferenz (DSK), also der gemeinsamen Runde der deutschen Datenschutzaufsichtsbehörden, zuletzt im November 2024 aktualisiert, kommt zum selben Ergebnis wie unsere FAQ. Die Erforderlichkeit ist technisch zu verstehen, ein Cookie wird nicht erforderlich, weil das Geschäftsmodell es braucht, und selbst die einfache Messung von Besucherzahlen ist nicht per se Bestandteil des Dienstes, den der Besucher aufgerufen hat.⁴ Die DSK weigert sich sogar, "Reichweitenmessung" als Kategorie abzusegnen: Der Begriff sei zu unscharf, und ob so etwas ohne Einwilligung geht, lasse sich allenfalls für eine genau definierte Konfiguration und einen genau definierten Zweck sagen.⁴

Das Bußgeld steht in § 28 TDDDG: Wer entgegen § 25 Absatz 1 eine Information speichert oder darauf zugreift, handelt ordnungswidrig, und die Geldbuße reicht bis zu € 300.000.¹⁰ Und auch in Deutschland hat eine Behörde nicht die Hauptrolle gespielt: Den Fall Planet49, der die Cookie Einwilligung vor den Europäischen Gerichtshof gebracht hat, hat der Bundesverband der Verbraucherzentralen geführt.¹¹

Für einen österreichischen Shop ist Deutschland damit der bequemste Exportmarkt, den es gibt: dieselbe Sprache, dieselbe Rechtslage, dasselbe Banner. Was zu Hause stimmt, stimmt dort auch. Das geht sich aus.

Der Sonderfall Großbritannien: das neue Statistik Privileg

Die britische Regel ist Regulation 6 der Privacy and Electronic Communications Regulations, kurz PECR. Seit dem 5. Februar 2026 lautet sie sinngemäß: Vorbehaltlich Schedule A1 darf niemand Informationen in der Endeinrichtung eines Teilnehmers oder Nutzers speichern oder auf dort gespeicherte Informationen zugreifen.⁵ Das ist bis hierher derselbe Gedanke wie in § 165 Absatz 3 TKG 2021. Der Unterschied steckt im Vorbehalt.

Schedule A1 enthält die Ausnahmen, und dort lebt die Änderung.¹² Zwei alte und zwei neue sind für einen Shop relevant:

Die Einwilligungsausnahme: Du sagst dem Besucher klar und umfassend, wofür gespeichert oder zugegriffen wird, und er willigt ein. Einwilligung heißt hier Einwilligung im Sinne der UK GDPR, der britischen Fassung der DSGVO, dazu unten mehr.

Die Ausnahme für unbedingt Erforderliches: Speichern oder Zugriff, ohne das ein vom Besucher gewünschter Dienst nicht funktioniert, jetzt mit Beispielen direkt im Gesetz: Sicherheit, Betrugs und Fehlererkennung, Authentifizierung, das Merken von Auswahlentscheidungen des Besuchers.¹²

Die Statistik Ausnahme, neu seit 2026: Keine Einwilligung ist nötig, wenn der alleinige Zweck darin besteht, Statistiken über die Nutzung der Website zu sammeln, um sie zu verbessern, die Informationen mit niemandem geteilt werden, außer um bei genau dieser Verbesserung zu helfen, der Besucher klar informiert wird und ihm ein einfacher, kostenloser Weg zum Widerspruch offensteht, den er nicht nutzt.¹² Die britische Aufsicht, das Information Commissioner's Office (ICO), ergänzt: Das Ergebnis müssen aggregierte Daten sein, die keine personenbezogenen Daten mehr sind, die Ausnahme erlaubt kein Beobachten oder Verfolgen einzelner Besucher, und sie gilt für nichts, was mit Onlinewerbung zu tun hat.¹³

Die Ausnahme für Darstellung und Funktion, ebenfalls neu: Aussehen oder Funktionen der Seite an die Vorlieben des Besuchers anpassen, wieder mit Information und einfachem Widerspruch. Das ICO sagt ausdrücklich, dass es hier nicht darum geht, Inhalte an Interessen oder Verhalten einer Person anzupassen.¹³

Zwei Sätze des ICO gehören an die Wand gepinnt. Berechtigtes Interesse ist kein Weg an Regulation 6 vorbei: Was in keine Ausnahme passt, braucht Einwilligung.¹⁴ Und Onlinewerbung war nie ausgenommen und ist es weiterhin nicht,¹³ was auch immer die separate Werbeprüfung des ICO eines Tages bringt.¹⁵

Die Strafe hat sich ebenfalls geändert. Das Höchstbußgeld nach PECR stieg von 500.000 Pfund auf 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes.¹⁶ Das ICO berichtet, dass 99 % der 1.000 größten britischen Websites seinen Bannerstandard inzwischen erfüllen.¹⁵ Nach meiner Erfahrung ist der lange Schwanz der kleineren Shops davon weit entfernt.

Für dich als österreichischen Händler heißt das: Dein britischer Mitbewerber darf seit Februar eine selbst gehostete, aggregierte Statistik ohne Banner fahren. Du darfst das in Großbritannien auch. Zu Hause und in Deutschland darfst du es nicht. Es ist ein Privileg, das an den Markt gebunden ist, nicht an den Shop.

Was "unbedingt erforderlich" heißt, und was es nie heißt

Diese zwei Wörter tragen in allen drei Ländern die Hauptlast. Die Datenschutzbehörde zählt auf, was aus technischer Sicht notwendig ist: die Sitzungsverwaltung, also Warenkorb und Login Status, Formulareingaben über mehrere Unterseiten und die Information über den Einwilligungsstatus, und sie stellt klar, dass eine wirtschaftliche Notwendigkeit nie reicht.² Der Test des ICO sagt dasselbe mit anderen Worten: Speichern oder Zugriff muss für den Dienst, den der Besucher aufruft, so wesentlich sein, dass der Dienst ohne sie technisch nicht erbracht werden könnte, beurteilt aus Sicht des Besuchers, nicht aus deiner.¹³¹⁴ Die deutsche Orientierungshilfe stimmt ein.⁴

Was in allen drei Märkten durchgeht: ein Session Cookie, das den Warenkorb zusammenhält, sobald der Besucher etwas hineingelegt hat, das Cookie, das einen eingeloggten Kunden authentifiziert, ein Cookie fürs Load Balancing, Sicherheitscookies, die wiederholte Fehlversuche beim Login erkennen, und das Cookie, das die Einwilligungsentscheidung selbst speichert.²¹³⁴ Die DSK fügt eine nützliche Feinheit hinzu: Warenkorb und Bezahlcookies werden erforderlich, wenn der Besucher tatsächlich etwas in den Korb legt oder zu zahlen beginnt, nicht während er bloß stöbert, und eine Sprach oder Farbeinstellung braucht überhaupt keine eindeutige Kennung, es reicht der Wert "language: de".⁴ Die Datenschutzbehörde zieht beim Einwilligungscookie dieselbe Linie: notwendig, solange keine eindeutige Online Kennung dranhängt.²

Was nirgends durchgeht: Analytics, die einzelne Besucher identifizieren oder verfolgen, Werbung, Remarketing, Social Media Plugins, die tracken, und alles, was Daten über Websites oder Geräte hinweg teilt.²¹³⁴ Die FAQ nennen Tracking Dienste und Social Media Plugins ausdrücklich als einwilligungsbedürftig, weil über sie personenbezogene Daten an Dritte gehen.²

Ein Beispiel: Donauwelle Bademoden in Linz, mein Shop für diesen Artikel, hat einen Warenkorb, ein Kundenlogin, ein Consent Banner, Google Analytics 4, Google Ads Conversion Tracking und ein Meta Pixel. Vor jedem Klick auf das Banner darf der Shop das Warenkorbcookie setzen, sobald etwas im Korb liegt, das Logincookie, sobald sich jemand einloggt, und das Cookie, das die Einwilligungsentscheidung speichert. Alles andere wartet. In Großbritannien könnte Donauwelle zusätzlich ein selbst gehostetes Statistiktool ohne Einwilligung laufen lassen, unter der Statistik Ausnahme, solange die Daten mit niemandem geteilt werden, das Ergebnis aggregiert bleibt, die Seite es klar sagt und einen Widerspruch anbietet. Google Analytics 4 passt da aus meiner Sicht nicht hinein, weil die Daten zu Google gehen und Werbung füttern. In Österreich und Deutschland stellt sich die Frage gar nicht: Analytics wartet auf ein Ja.

Wie eine wirksame Einwilligung aussieht

Alle drei Märkte leihen sich die Definition aus der DSGVO, Artikel 4 Nummer 11: eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, durch eine Erklärung oder eine sonstige eindeutige bestätigende Handlung.⁸ Erwägungsgrund 32 liefert den Satz, der ein Jahrzehnt Bannerdesign beendet hat: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit stellen keine Einwilligung dar.⁸ Artikel 7 Absatz 3 ergänzt, dass der Widerruf so einfach sein muss wie die Erteilung.⁸

Der Europäische Gerichtshof hat das am 1. Oktober 2019 in Planet49, Rechtssache C 673/17, auf Cookies angewandt. Ein deutsches Unternehmen hatte ein Gewinnspiel veranstaltet, mit einem vorangekreuzten Kästchen für Werbecookies. Der Gerichtshof entschied, dass eine Einwilligung durch ein vorangekreuztes Kästchen, das der Nutzer zur Verweigerung abwählen müsste, nicht wirksam erteilt ist, dass das unabhängig davon gilt, ob die Informationen im Cookie personenbezogen sind, und dass der Besucher erfahren muss, wie lange die Cookies laufen und ob Dritte darauf zugreifen können.¹¹

Die Leitlinien des Europäischen Datenschutzausschusses zur Einwilligung vom Mai 2020 schließen die restlichen Lücken. Der Zugang zu einer Seite darf nicht von der Einwilligung in Cookies abhängen, die sogenannte Cookie Wall, weil so eine Einwilligung nicht freiwillig ist. Scrollen oder Wischen durch eine Seite zählt unter keinen Umständen als eindeutige bestätigende Handlung.¹⁷

Und dann die Behörden zum Ablehnen Button, an dem die meisten Banner immer noch scheitern. Zuerst unsere eigene: Die Nichtabgabe einer Einwilligung darf nicht mehr Interaktionen mit dem Banner verlangen als die Abgabe, vom Besucher kann nicht verlangt werden, die Ablehnung erst auf einer zweiten oder dritten Ebene zu finden, Weitersurfen ohne Interaktion ist keine Einwilligung, Voreinstellungen oder vorangekreuzte Boxen sind unzulässig, Nudging ist verboten, und es ist unzulässig, den Ablehnen Button weniger prominent zu gestalten als den Akzeptieren Button.² Ob die beiden Buttons dieselbe Farbe haben müssen, beantworten die FAQ mit einem Einzelfall, aber eine Ablehnen Option, die kaum sichtbar ist, kann die Einwilligung ungültig machen.² Die deutsche Orientierungshilfe ist konkreter: Gleichwertig ist die Ablehnung zum Beispiel, wenn neben dem Einwilligungsbutton ein in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button steht, und ein Button "Einstellungen oder ablehnen", der auf eine zweite Ebene führt, reicht nicht.⁴ Die Checkliste des ICO: Besucher müssen nicht ausgenommenes Speichern und Zugreifen so leicht ablehnen können, wie sie es akzeptieren, und ein Banner, das nur "weiter zur Website" anbietet, ist keine wirksame Einwilligung, auch mit einem OK Button daneben nicht.¹⁸

Das Banner, das in allen drei Märkten legal ist, ist also langweilig: zwei Buttons mit demselben Gewicht auf der ersten Ebene, keine vorangekreuzten Zwecke, Zwecke und Drittanbieter benannt, nichts Nichtnotwendiges gesetzt, bevor ein Button gedrückt wurde, und ein Link im Footer, der das Banner wieder öffnet. Wie aus einem Schubser eine Haftung wird, steht in meinem Artikel über Dark Patterns im Consent Design.

Google Consent Mode v2 ist eine Plattformregel, kein Gesetz

Der Consent Mode ist Googles Mechanismus, um seinen Tags mitzuteilen, was der Besucher entschieden hat. Die Tags lesen vier Signale: ad_storage und analytics_storage für Cookies, und seit Ende 2023 ad_user_data für das Senden von Nutzerdaten an Google zu Werbezwecken und ad_personalization für personalisierte Werbung. Die letzten beiden sind das, was alle mit "v2" meinen.¹⁹

Googles Richtlinie zur Einwilligung der Nutzer in der EU verlangt eine rechtswirksame Einwilligung für Cookies oder Local Storage, wo das Gesetz sie verlangt, und für die Nutzung personenbezogener Daten zur Anzeigenpersonalisierung, bei Nutzern im Europäischen Wirtschaftsraum, in Großbritannien und in der Schweiz, mit Nachweis.²⁰ Für Traffic aus dem EWR hat Google die Richtlinie an Funktionen geknüpft: Wer seine Tags weiter für Messung, Anzeigenpersonalisierung und Remarketing nutzen will, muss Einwilligungen einholen und die Signale an Google weitergeben.²¹ Das ist eine Vertragsbedingung, kein Gesetz. Für einen Shop in Linz wirkt sie aber genauso.

Der Consent Mode hat zwei Spielarten.¹⁹ Basic: Die Google Tags laden erst, wenn der Besucher mit dem Banner interagiert hat, und wenn er ablehnt, geht gar nichts an Google. Advanced: Die Tags laden, alle Signale stehen standardmäßig auf verweigert, solange die Einwilligung fehlt, gehen cookielose Pings raus, und erst mit der Einwilligung fließt die volle Messung. Die Advanced Variante liefert Googles Modellierung eigenes Material über die Besucher, die abgelehnt haben.

Für österreichischen und deutschen Traffic ist dieser Unterschied eine Rechtsfrage. Die Advanced Variante lädt Googles Skript, bevor der Besucher entschieden hat, und solange die Einwilligung fehlt, lässt das Skript den Browser Pings mit Zeitstempel, User Agent und Referrer an Google senden.¹⁹ Der Europäische Datenschutzausschuss (EDSA) liest die europäische Regel, die § 165 Absatz 3 TKG 2021 und § 25 TDDDG umsetzen, so, dass genau das darunter fällt: Ein JavaScript, das den Browser anweist, Informationen zu senden, ist eindeutig erfasst, und das Erheben von Headerdaten wie dem User Agent kann die Regel auslösen.²² Beide Gesetze kennen nur die zwei Ausnahmen, und Googles Modellierung von Werbeconversions ist weder die Übertragung einer Nachricht noch ein Dienst, den der Besucher ausdrücklich gewünscht hat.¹³ Die deutsche DSK schreibt dazu, dass keine Skripte laden, die auf das Gerät zugreifen könnten, solange das Banner angezeigt wird, soweit dafür eine Einwilligung nötig ist.⁴ Für Österreich gilt dieselbe Lesart des EDSA, weil § 165 Absatz 3 TKG 2021 dieselbe Richtlinie umsetzt.⁶ Ich habe keine Stellungnahme einer deutschen Aufsichtsbehörde gefunden, die cookielose Pings beim Namen nennt, weder erlaubend noch verbietend. Für österreichische und deutsche Besucher ist die Basic Variante deshalb mein Standard, und die Advanced Variante gibt es nur, wenn dein eigener Anwalt schriftlich begründet, warum sie zulässig sein soll. Auch in der Basic Variante modelliert Google abgelehnte Conversions, dann aber mit einem allgemeinen Modell statt mit einem, das auf deinem Konto aufsetzt.¹⁹ Und damit sind wir bei den Zahlen.

Was wann feuert: der Ablauf

So baue ich die Reihenfolge für einen Shop in allen drei Märkten. Die erste Ebene ist überall identisch. Die Zweige unterscheiden sich darin, was der Shop für sich selbst behält.

Lies es von oben nach unten. Die ersten beiden Kästen passieren, bevor irgendjemand etwas anfasst, und genau dort scheitern die meisten Seiten: Der Tag Manager lädt, die Pixel feuern, und das Banner ist Dekoration. Der Akzeptieren Zweig ist gewöhnliches Tracking. Im Ablehnen Zweig steckt die Arbeit, und meine Regel dafür kommt weiter unten. Beide Zweige landen in einem Bericht, der sagen muss, welche Zahlen beobachtet, welche modelliert und welche aus der Datenbank sind. Die Technik des Event Trackings unter dem Consent Mode ist ein eigener Artikel.

Gemessen gegen modelliert: die Linzer Zahlen

Jetzt die Arithmetik, denn hier hört Einwilligung auf, eine Rechtsfrage zu sein, und wird eine Budgetfrage.

Rechenbeispiel: der Juni von Donauwelle Bademoden in Zahlen

Donauwelle Bademoden ist ein erfundener Shop in Linz, den Maren führt. Er verkauft nach Österreich, Deutschland und Großbritannien, in dieser Reihenfolge der Größe. Im Juni hat er 20.000 Google Ads Klicks zu je € 0,40 gekauft, also € 8.000 Ausgaben: 10.000 Klicks und € 4.000 in Österreich, 8.000 Klicks und € 3.200 in Deutschland, 2.000 Klicks und € 800 in Großbritannien. Marens eigene Datenbank, die Bestellungen der Landingsession zuordnet, sagt, dass diese Klicks 400 Bestellungen gebracht haben: 200 in Österreich, 160 in Deutschland, 40 in Großbritannien. Der durchschnittliche Bestellwert lag bei € 65, also € 26.000 Umsatz aus € 8.000 Werbung. Jede dieser Zahlen ist fürs Beispiel erfunden.

Jetzt das Banner. Für das Beispiel nehme ich an, dass 45 % der österreichischen und deutschen Besucher auf Akzeptieren drücken und 60 % der britischen, und ich komme unten auf diese Annahmen zurück. Für den ersten Durchgang nehme ich außerdem an, dass Ablehner genauso oft kaufen wie Akzeptierer, und danach räume ich diese Annahme wieder weg.

Google Ads kann eine Conversion nur sehen, wenn die Klick ID in einem Cookie überlebt hat, das es setzen durfte. Die Conversions, die es beobachtet, sind also die wahren Conversions mal der Einwilligungsquote:

$$C_{\text{obs}} = C \times r$$

Dabei ist $C_{\text{obs}}$ die Zahl der Conversions, die die Werbeplattform beobachtet, $C$ die wahre Zahl der Conversions aus diesen Klicks, und $r$ die Einwilligungsquote, der Anteil der Besucher, die akzeptiert haben. Das ist eine schlichte Quote, angewandt auf eine Anzahl, und wer die Grundlagen dazu will, findet sie in Grundlagen: Verhältnisse und Quoten.

Markt für Markt: Österreich, $200 \times 0{,}45 = 90$. Deutschland, $160 \times 0{,}45 = 72$. Großbritannien, $40 \times 0{,}60 = 24$. Beobachtet insgesamt: 186 von 400 Bestellungen, bei € 65 also € 12.090 von den € 26.000, die tatsächlich passiert sind.

Googles Modellierung füllt einen Teil der Lücke. Die Hilfeseite sagt, dass die Modellierung die fehlenden Pfade von der Anzeige zur Conversion aus den Wegen einwilligender Nutzer und aus historischen Trends schätzt, bewusst eher zu wenig als zu viel vorhersagt, die cookielosen Pings zur Kalibrierung braucht und erst anspringt, wenn ein Konto pro Land und Domaingruppe an sieben Tagen über 700 Anzeigenklicks am Tag kommt.²³ Sie nennt eine Illustration: Bei einer Einwilligungsquote von 50 % brachte die Modellierung 18 % mehr gemeldete Conversions.²³ Für das Beispiel nehme ich 20 % Aufschlag auf die beobachtete Zahl. Österreich, $90 \times 1{,}20 = 108$. Deutschland, $72 \times 1{,}20 \approx 86$. Großbritannien, $24 \times 1{,}20 \approx 29$. Modelliert insgesamt: 223 Bestellungen, € 14.495.

Die Balken zeigen den Umsatz in Euro aus denselben 20.000 Klicks, dreimal gezählt: was Google Ads mit dem Consent Mode allein anzeigt, was es anzeigt, sobald die Modellierung greift, und was Marens Datenbank weiß. Die Plattform lügt nicht. Sie meldet, was sie sehen durfte, plus eine vorsichtige Schätzung, und selbst dann zeigt das Konto nur rund 56 % des echten Umsatzes. Niemand bei der Plattform wird Maren anrufen, um ihr das zu sagen.

Jetzt schau, was das mit einer Entscheidung macht. Der Return on Ad Spend ist Umsatz geteilt durch Ausgaben:

$$\text{ROAS} = \frac{\text{Umsatz}}{\text{Ausgaben}}$$

$\text{ROAS}$ ist der Return on Ad Spend als schlichtes Vielfaches, $\text{Umsatz}$ ist der Umsatz, den die Klicks gebracht haben, und $\text{Ausgaben}$ ist, was die Klicks gekostet haben. Mathematisch ist das dasselbe Verhältnis wie oben, also deckt Grundlagen: Verhältnisse und Quoten es ab, und warum das durchschnittliche Verhältnis das falsche ist, um ein Budget zu skalieren, steht in Grundlagen: marginal gegen durchschnittlich.

Der tatsächliche ROAS ist in allen drei Märkten per Konstruktion gleich: Österreich $13.000 / 4.000 = 3{,}25$, Deutschland $10.400 / 3.200 = 3{,}25$, Großbritannien $2.600 / 800 = 3{,}25$. Der beobachtete ROAS ist es nicht. Österreich $5.850 / 4.000 = 1{,}46$. Deutschland $4.680 / 3.200 = 1{,}46$. Großbritannien $1.560 / 800 = 1{,}95$. Hat Maren Google einen Ziel ROAS von 2,0 vorgegeben, oder liest ihre Agentur am Montagmorgen das Dashboard, dann werden Österreich und Deutschland gekürzt und Großbritannien bekommt mehr Budget. Nicht weil österreichische Kunden weniger kaufen, sondern weil sie öfter auf Ablehnen drücken. Das ist der teuerste Einwilligungsfehler, den ich sehe: Der Heimatmarkt wird zugunsten des kleinsten Marktes gekürzt, und er bleibt unsichtbar, solange niemand die Zahl der Plattform gegen die eigene hält.

Die Verzerrung korrigieren, und warum du trotzdem deine eigene Datenbank brauchst

Jetzt weg mit der vereinfachenden Annahme. Googles eigene Seite sagt, dass Nutzer mit Einwilligung typischerweise zwei bis fünf Mal so oft konvertieren wie Nutzer ohne.²³ Ein Teil davon ist echt: Wer auf Akzeptieren drückt, ist engagierter. Ein Teil ist ein Artefakt: Manche der Conversions "ohne Einwilligung" sind schlicht nicht sichtbar. So oder so überschätzt es die Wahrheit, die beobachtete Zahl einfach durch die Einwilligungsquote zu teilen. Wenn einwilligende Besucher $k$ mal so oft konvertieren wie ablehnende, ist die wahre Zahl:

$$C = C_{\text{obs}} \left( 1 + \frac{1 - r}{k \, r} \right)$$

$C$ ist die wahre Zahl der Conversions, $C_{\text{obs}}$ die beobachtete, $r$ die Einwilligungsquote und $k$ das Verhältnis der Conversion Rate der Einwilligenden zur Conversion Rate der Ablehnenden. Mit $k = 1$ fällt die Klammer auf $1/r$ zusammen, und du bist wieder beim Teilen durch die Einwilligungsquote. Die Herleitung sind zwei bedingte Quoten, die addiert werden, und das ist das Gebiet von Grundlagen: Wahrscheinlichkeit.

Österreich, beobachtet 90, $r = 0{,}45$. Mit $k = 1$: $90 \times (1 + 0{,}55 / 0{,}45) = 90 \times 2{,}22 = 200$, die wahre Zahl im Beispiel. Mit $k = 2$: $90 \times (1 + 0{,}55 / 0{,}90) = 90 \times 1{,}61 = 145$. Die ehrliche Schätzung von der Plattformseite aus lautet also "irgendwo zwischen 145 und 200 österreichischen Bestellungen", und das ist eine breite Spanne, um darauf ein Budget zu fahren. Marens Datenbank sagt 200, und die Datenbank braucht keine Schätzung, weil sie gezählt hat.

Server Side Tracking ohne Einwilligung: meine Regel zum Umbenennen

Ein Besucher, der auf Ablehnen drückt, bestellt trotzdem. Die Bestellung ist ein Vertrag zwischen ihm und dem Shop, der Shop speichert sie in seiner eigenen Datenbank auf der Vertragsgrundlage der DSGVO, und dafür wird kein Cookie gelesen oder geschrieben.⁸ Dieser Datensatz ist die First Party Wahrheit des Shops, und er fällt nicht unter § 165 Absatz 3 TKG 2021, weil über die unbedingt erforderliche Session hinaus nichts auf dem Gerät gespeichert oder ausgelesen wird.

Die Frage ist, was der Shop aus diesem Datensatz weitergibt, wenn überhaupt. Hier ist die Regel, nach der ich arbeite, und ich formuliere sie als meine Praxis, nicht als Auslegung des Gesetzes. Jedes Event eines Besuchers, der abgelehnt hat, wird aus dem Retargeting herausbenannt. Die Bestellung mit Einwilligung geht als Standardevent an die Plattformen, purchase an GA4, die Conversion Aktion mit Klick ID an Google Ads, Purchase mit den passenden Kennungen an Meta. Die Bestellung ohne Einwilligung geht als purchase_nc, von jeder Kennung befreit: keine Klick ID, keine Cookie ID, keine gehashte Mailadresse, kein User Agent über das hinaus, was der Transport braucht. Dieser Eventname wird nie auf eine Conversion Aktion gemappt, auf die die Plattform optimiert, und er ist nie für eine Zielgruppe zugelassen. Er existiert, damit die Summe im Bericht zur Datenbank passt, und für nichts sonst.

Warum eine Umbenennung statt eines stillen Schalters: Die Leute, die Werbekonten betreuen, wechseln, und ein benanntes Event lässt sich schwerer aus Versehen missbrauchen als ein Flag, das jemand vergessen hat. Nichts von einer Person, die Nein gesagt hat, darf je zu einer Retargeting Zielgruppe werden, und der Name erzwingt das, wenn ich nicht im Raum bin. Der Hintergrund in den Richtlinien ist Googles eigener: Anzeigenpersonalisierung braucht Einwilligung, und einen Nachweis davon.²⁰ Ein Event ohne Kennung hat nichts, womit sich personalisieren ließe.

Für Österreich und Deutschland gehe ich einen Schritt weiter und behalte den abgelehnten Strom in meinen eigenen Systemen. Der Grund ist bei uns daheim passiert. Im Jänner 2022 hat die österreichische Datenschutzbehörde die erste der 101 Beschwerden entschieden, die noyb nach Schrems II eingereicht hatte, und festgestellt, dass eine Website mit Google Analytics personenbezogene Daten ohne ausreichende Grundlage an Google in die USA übermittelte.⁹ Das EU US Data Privacy Framework hat seither eine Übermittlungsgrundlage für zertifizierte US Unternehmen wiederhergestellt.²⁴ Der Appetit der Aufsichtsbehörden auf Daten über ablehnende Besucher, die bei einem amerikanischen Werbekonzern landen, hat sich damit nicht geändert. In diesen beiden Märkten bleiben die abgelehnten Bestellungen also in der Shopdatenbank und im eigenen Reporting, und die Plattformen sehen nichts davon, weil in der Basic Variante nach einem Nein kein Tag feuert. Die Verrohrung steht im technischen Guide zum Server Side Tracking.

Einwilligungsquoten: was zu erwarten ist, und warum die Zahl ein bisschen lügt

Leute fragen mich nach der Einwilligungsquote, mit der sie planen sollen, und die ehrliche Antwort beginnt mit einer Definition. Das Privacy Barometer 2025 von Commanders Act, das im Mai 2025 1.301 Banner auf Websites weltweit untersucht hat, meldet eine durchschnittliche Consent Rate von 80,54 %. Es definiert Consent Rate aber als den Anteil der Akzeptierenden unter denen, die überhaupt eine Wahl getroffen haben, und berichtet separat, dass 32,41 % der Besucher gar keine Wahl getroffen haben. Der Anteil der Einwilligenden an allen Besuchern, den der Bericht Opt in nennt, lag bei 55,03 %.²⁵ Dieselben Banner, derselbe Monat, und die Schlagzeilenzahl liegt 25 Punkte über der brauchbaren.

Für einen Shop ist die brauchbare Zahl das Opt in: der Anteil aller Besucher, deren Conversions die Plattform sehen kann. Das ist das $r$ in den Formeln oben. Die Besucher, die keine Wahl getroffen haben, sind aus Sicht deines Werbekontos Ablehner, weil nichts Nichtnotwendiges gefeuert hat. Wenn dir also ein Anbieter eine Consent Rate nennt, frag, welcher Nenner dahintersteckt, und frag, ob das Banner hinter der Zahl einen gleichwertigen Ablehnen Button auf der ersten Ebene hatte. Eine hohe Einwilligungsquote ist manchmal ein gut gestaltetes Banner und manchmal ein illegales.

Deshalb hat das Beispiel mit 45 % und 60 % gerechnet: Annahmen, die die veröffentlichten Zahlen plausibel machen, keine Messungen. Die richtige Zahl für deinen Shop ist die, die dein eigenes Banner produziert, gemessen als Opt in über alle Besucher, Markt für Markt, und jeden Monat in die Korrektur oben eingespeist. Wo die Einwilligung ordentlich protokolliert wird, ist das eine Abfrage.

Was ich bauen würde, in dieser Reihenfolge

Käme Donauwelle zu mir, wäre die Reihenfolge der Arbeit diese, und sie ist für jeden Shop dieselbe, der aus Österreich nach Deutschland und Großbritannien verkauft.

Erstens das Banner: zwei gleichwertige Buttons auf der ersten Ebene, Zwecke und Drittanbieter benannt, nichts Nichtnotwendiges vor einem Klick, ein Link im Footer, um die Entscheidung zu ändern, ein Einwilligungsprotokoll. Ein Banner für alle drei Märkte, weil der österreichische und deutsche Standard der strenge ist und ein britischer Besucher nichts verliert, wenn er ihn erfüllt.

Zweitens die Ausnahmen, pro Markt. In Großbritannien entscheiden, ob ein selbst gehostetes, nicht geteiltes, aggregiertes Statistiktool unter der Statistik Ausnahme den Aufwand wert ist, mit Hinweis und Widerspruch. In Österreich und Deutschland nicht. Die Liste des unbedingt Erforderlichen kurz halten und aufschreiben, mit dem Grund für jeden Eintrag.

Drittens Consent Mode v2, standardmäßig in der Basic Variante: kein Google Tag vor einem Klick, nichts an Google nach einem Nein. Die Advanced Variante nur, wenn dein eigener Anwalt schriftlich begründet hat, warum ihre cookielosen Pings in Österreich und Deutschland zulässig sind. Für britische Besucher fahre ich dasselbe Setup, statt die Seite in zwei zu teilen.

Viertens die eigene Messung des Shops: Bestellungen der Landingsession zugeordnet, ein monatlicher Abgleich der Plattform Conversions mit den Datenbank Conversions pro Markt, und die Korrekturformel angewandt, damit niemand den Heimatmarkt kürzt, weil er auf Ablehnen drückt. Auf Solidus trägt der Bestelldatensatz schon, was dafür nötig ist.

Fünftens die Umbenennungsregel, im Code und auf einer Seite, die der nächste Marketer lesen wird.

Die alte Fassung dieses Artikels sagte, in Österreich und Deutschland sei Compliance ein Vertrauenssignal. Das glaube ich immer noch, und ich kann es immer noch nicht mit einer Zahl belegen, also bleibt es eine Meinung. Was ich belegen kann, ist die Arithmetik: Ein Shop, der gegen seine eigene Datenbank misst, trifft bessere Budgetentscheidungen als einer, der das Dashboard liest, und in Österreich und Deutschland ist die Lücke zwischen beiden um ein gutes Drittel größer als in Großbritannien. Das ist Grund genug.

Quellen

Footnotes

1. Telekommunikationsgesetz 2021 (TKG 2021), § 165 Datenschutz, Allgemeines, Absatz 3, Linde Verlag Rechtsdatenbank, https://linda.lindeverlag.at/Dokument/537514_165/

2. Datenschutzbehörde (Österreich), FAQ Datenschutz und Cookies, dsb.gv.at, https://dsb.gv.at/faqs/datenschutz-cookies

3. Telekommunikation Digitale Dienste Datenschutz Gesetz (TDDDG), § 25 Schutz der Privatsphäre bei Endeinrichtungen, Bundesministerium der Justiz, gesetze im internet, https://www.gesetze-im-internet.de/ttdsg/__25.html

4. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK), Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2, Randnummern 5, 6, 67, 75 bis 78, 80, 81, 83, 84, 87 bis 90, 121, 135 und 137, DSK, November 2024, https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf

5. The Privacy and Electronic Communications (EC Directive) Regulations 2003, regulation 6, in der seit 5. Februar 2026 durch den Data (Use and Access) Act 2025 geltenden Fassung, legislation.gov.uk, https://www.legislation.gov.uk/uksi/2003/2426/regulation/6

6. Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation, konsolidierte Fassung nach Richtlinie 2009/136/EG, Artikel 5 Absatz 3, EUR Lex, 2009, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02002L0058-20091219

7. Telekommunikationsgesetz 2021 (TKG 2021), § 188 Verwaltungsstrafbestimmungen, Absatz 4 Ziffer 24 und Absatz 11, Linde Verlag Rechtsdatenbank, https://linda.lindeverlag.at/Dokument/537514_188/

8. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 4 Nummer 11, Artikel 6 Absatz 1 Buchstabe b, Artikel 7, Artikel 83 und Erwägungsgrund 32, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

9. noyb, Österreichische DSB: EU US Datenübermittlung an Google Analytics illegal, noyb.eu, 13. Jänner 2022, https://noyb.eu/de/oesterr-dsb-eu-us-datenuebermittlung-google-analytics-illegal

10. Telekommunikation Digitale Dienste Datenschutz Gesetz (TDDDG), § 28 Bußgeldvorschriften, Bundesministerium der Justiz, gesetze im internet, https://www.gesetze-im-internet.de/ttdsg/__28.html

11. Gerichtshof der Europäischen Union, Pressemitteilung Nr. 125/19, Urteil in der Rechtssache C 673/17 Planet49: Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers, 1. Oktober 2019, https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-10/cp190125de.pdf

12. The Privacy and Electronic Communications (EC Directive) Regulations 2003, Schedule A1 (Ausnahmen zu regulation 6), eingefügt am 5. Februar 2026, legislation.gov.uk, https://www.legislation.gov.uk/uksi/2003/2426/schedule/A1

13. Information Commissioner's Office, Guidance on the use of storage and access technologies: What are the exceptions?, ICO, 2026, https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions/

14. Information Commissioner's Office, Fact vs fiction: ICO debunks myths on storage and access technologies, ICO, 11. September 2025, https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/09/fact-vs-fiction-ico-debunks-myths-on-storage-and-access-technologies/

15. Information Commissioner's Office, Final storage and access technologies guidance published, ICO, 29. April 2026, https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/04/final-storage-and-access-technologies-guidance-published/

16. Mayer Brown, The Data (Use and Access) Act: PECR reform, rules relating to electronic marketing and cookies in the UK, Mayer Brown, 1. Juli 2025, https://www.mayerbrown.com/en/insights/publications/2025/06/the-data-use-and-access-act-pecr-reform-rules-relating-to-electronic-marketing-and-cookies-in-the-uk

17. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, Version 1.1, Randnummern 39 bis 41 und 86, 4. Mai 2020, https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_202005_consent_de.pdf

18. Information Commissioner's Office, Guidance on the use of storage and access technologies: How do we comply with the PECR rules?, ICO, 2026, https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-comply-with-the-pecr-rules/

19. Google, Einwilligungsmodus, Übersicht, Google for Developers, Tag Platform, https://developers.google.com/tag-platform/security/concepts/consent-mode?hl=de

20. Google, Richtlinie zur Einwilligung der Nutzer in der EU, Google, https://www.google.com/about/company/user-consent-policy/?hl=de

21. Google, Einwilligungsmodus für Traffic im Europäischen Wirtschaftsraum (EWR), Google Ads Hilfe, https://support.google.com/google-ads/answer/13695607?hl=de

22. Europäischer Datenschutzausschuss, Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der Datenschutzrichtlinie für elektronische Kommunikation, Version 2.0, Randnummern 33 und 43, EDSA, 7. Oktober 2024, https://www.edpb.europa.eu/system/files/documents/2025-02/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_de.pdf

23. Google, Modellierung für den Einwilligungsmodus, Google Ads Hilfe, https://support.google.com/google-ads/answer/10548233?hl=de

24. Europäische Kommission, Datenübermittlungen zwischen der EU und den USA: Angemessenheitsbeschluss zum EU US Datenschutzrahmen, 10. Juli 2023, https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_de

25. Commanders Act, Privacy Barometer 2025 (1.301 Banner, 1. bis 31. Mai 2025), Commanders Act, 2025, https://www.commandersact.com/wp-content/uploads/2025/09/Barometre-Privacy-2025-EN-website.pdf