Cookies, Consent und das ePrivacy Chaos: Warum Großbritannien seit 2026 anders trackt als Deutschland und Österreich

Der Punkt: ein Checkout, drei Märkte, zwei Regelwerke

Ein Shop in Hamburg, der auch nach Österreich und nach Großbritannien verkauft, hat eine Website und zwei Cookie Rechtsordnungen. Zu Hause gilt § 25 des Telekommunikation Digitale Dienste Datenschutz Gesetzes (TDDDG): Alles, was nicht unbedingt erforderlich ist, wartet auf ein Ja, und die Aufsichtsbehörden haben über Jahre aufgeschrieben, wie dieses Ja auszusehen hat.¹² Österreich setzt mit § 165 des Telekommunikationsgesetzes 2021 dieselbe europäische Vorgabe um und kommt zum selben Ergebnis.³⁴ Großbritannien dagegen hat sich am 5. Februar 2026 ein Stück weit von dieser Linie entfernt. An dem Tag hat der Data (Use and Access) Act 2025 die britische Cookie Regel neu gefasst und eine Tür für Statistik ohne Einwilligung geöffnet.⁵

Diese Lücke ist der ganze Artikel. Baust du dein Tracking nach der britischen Regel und richtest es auf deutschen Traffic, verstößt du in deinem Heimatmarkt gegen das Gesetz. Baust du es überall nach der deutschen Regel, verschenkst du in Großbritannien etwas, das dort seit Februar erlaubt ist. So oder so stehen in deinen Werbekonten Zahlen, die um einen vorhersagbaren Betrag falsch sind. Den Fehler behebt Arithmetik, kein neues Tool.

Ich gehe das Recht in jedem Markt mit den Primärquellen durch, zeige, wie eine wirksame Einwilligung aussieht, zeichne, was feuert, wenn ein Besucher Ja oder Nein sagt, und rechne den Juni eines Hamburger Bademodenshops durch, um gemessene und modellierte Conversions in Euro nebeneinander zu legen. Die Geschäftszahlen sind erfunden. Das Recht nicht.

Was das Gesetz in Deutschland sagt

Die deutsche Regel ist § 25 TDDDG. Absatz 1 sagt: Die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits dort gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Information und Einwilligung haben gemäß der Datenschutz Grundverordnung (DSGVO) zu erfolgen.¹ Endeinrichtung ist das Handy oder der Laptop deines Besuchers. Die Regel handelt vom Speichern und Auslesen, nicht von Cookies als solchen: Ein Pixel, ein Fingerprint, der Local Storage und ein Cookie sind für sie ein und dasselbe.

Absatz 2 nennt die beiden Ausnahmen, und es sind genau zwei. Die Einwilligung entfällt, wenn der alleinige Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder wenn das Speichern oder Auslesen unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.¹ Eine Statistik Ausnahme steht da nicht. Bis Mai 2024 hieß das Gesetz TTDSG. Der Name hat sich geändert, die Paragrafennummer nicht, und laut den Aufsichtsbehörden entspricht der neue § 25 inhaltlich dem alten.²

Die Orientierungshilfe Digitale Dienste der Datenschutzkonferenz (DSK), also der gemeinsamen Runde der Datenschutzaufsichtsbehörden des Bundes und der Länder, zuletzt im November 2024 aktualisiert, liest den Paragrafen ohne Augenzwinkern. Der Gesetzgeber hat § 25 Absatz 2 bewusst eng an die europäische Formulierung angelehnt und nichts hinzugefügt. Die Erforderlichkeit ist technisch zu verstehen, ein Cookie wird nicht erforderlich, weil das Geschäftsmodell es braucht, und selbst die einfache Messung von Besucherzahlen ist nicht per se Bestandteil des Dienstes, den der Besucher aufgerufen hat.² Die Behörden weigern sich sogar, "Reichweitenmessung" als Kategorie abzusegnen: Der Begriff sei zu unscharf, und ob so etwas ohne Einwilligung geht, lasse sich allenfalls für eine genau definierte Konfiguration und einen genau definierten Zweck sagen.²

Das Bußgeld steht in § 28 TDDDG. Wer entgegen § 25 Absatz 1 eine Information speichert oder darauf zugreift, handelt ordnungswidrig, und die Geldbuße reicht bis zu 300.000 €.⁶ Das klingt zahm neben der britischen Zahl weiter unten, bis dir einfällt, wer den Fall Planet49 vor den Europäischen Gerichtshof gebracht hat: der Bundesverband der Verbraucherzentralen, keine Behörde.⁷ In Deutschland musst du nicht auf die Aufsicht warten, damit ein Cookie Banner vor Gericht landet.

Was in Österreich gilt

Beide Länder setzen dieselbe europäische Regel um, Artikel 5 Absatz 3 der ePrivacy Richtlinie 2002/58/EG in der Fassung von 2009. Das Speichern von Informationen oder der Zugriff auf bereits gespeicherte Informationen im Endgerät eines Nutzers ist nur gestattet, wenn der Nutzer auf der Grundlage klarer und umfassender Informationen seine Einwilligung gegeben hat. Die einzigen Ausnahmen: Speichern oder Zugriff zum alleinigen Zweck der Übertragung einer Nachricht, und Speichern oder Zugriff, das unbedingt erforderlich ist für einen vom Nutzer ausdrücklich gewünschten Dienst.³ Eine Statistik Ausnahme kommt in dem Satz nicht vor, und weder Deutschland noch Österreich hat eine erfunden.

Österreich: § 165 Absatz 3 Telekommunikationsgesetz 2021 (TKG 2021). Anbieter müssen den Nutzer darüber informieren, welche personenbezogenen Daten sie ermitteln, auf welcher Grundlage, für welche Zwecke und für wie lange, und die Ermittlung ist nur zulässig, wenn der Nutzer auf der Grundlage klarer und umfassender Informationen aktiv eingewilligt hat. Dann folgen dieselben zwei Ausnahmen: Übertragung, und was für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist.⁴ Die österreichische Datenschutzbehörde fasst es in ihren Cookie FAQ zusammen: Für alle technisch nicht notwendigen Cookies muss eine Einwilligung eingeholt werden, und Voreinstellungen oder vorangekreuzte Boxen im Banner sind unzulässig.⁸

Für einen deutschen Shop ist Österreich damit der bequemste Exportmarkt, den es gibt: dieselbe Sprache, dieselbe Rechtslage, dasselbe Banner. Was zu Hause stimmt, stimmt dort auch.

Der Sonderfall Großbritannien: das neue Statistik Privileg

Die britische Regel ist Regulation 6 der Privacy and Electronic Communications Regulations, kurz PECR. Seit dem 5. Februar 2026 lautet sie sinngemäß: Vorbehaltlich Schedule A1 darf niemand Informationen in der Endeinrichtung eines Teilnehmers oder Nutzers speichern oder auf dort gespeicherte Informationen zugreifen.⁵ Das ist bis hierher derselbe Gedanke wie in § 25 TDDDG. Der Unterschied steckt im Vorbehalt.

Schedule A1 enthält die Ausnahmen, und dort lebt die Änderung.⁹ Zwei alte und zwei neue sind für einen Shop relevant:

Die Einwilligungsausnahme: Du sagst dem Besucher klar und umfassend, wofür gespeichert oder zugegriffen wird, und er willigt ein. Einwilligung heißt hier Einwilligung im Sinne der UK GDPR, der britischen Fassung der DSGVO, dazu unten mehr.

Die Ausnahme für unbedingt Erforderliches: Speichern oder Zugriff, ohne das ein vom Besucher gewünschter Dienst nicht funktioniert, jetzt mit Beispielen direkt im Gesetz: Sicherheit, Betrugs und Fehlererkennung, Authentifizierung, das Merken von Auswahlentscheidungen des Besuchers.⁹

Die Statistik Ausnahme, neu seit 2026: Keine Einwilligung ist nötig, wenn der alleinige Zweck darin besteht, Statistiken über die Nutzung der Website zu sammeln, um sie zu verbessern, die Informationen mit niemandem geteilt werden, außer um bei genau dieser Verbesserung zu helfen, der Besucher klar informiert wird und ihm ein einfacher, kostenloser Weg zum Widerspruch offensteht, den er nicht nutzt.⁹ Die britische Aufsicht, das Information Commissioner's Office (ICO), ergänzt: Das Ergebnis müssen aggregierte Daten sein, die keine personenbezogenen Daten mehr sind, die Ausnahme erlaubt kein Beobachten oder Verfolgen einzelner Besucher, und sie gilt für nichts, was mit Onlinewerbung zu tun hat.¹⁰

Die Ausnahme für Darstellung und Funktion, ebenfalls neu: Aussehen oder Funktionen der Seite an die Vorlieben des Besuchers anpassen, wieder mit Information und einfachem Widerspruch. Das ICO sagt ausdrücklich, dass es hier nicht darum geht, Inhalte an Interessen oder Verhalten einer Person anzupassen.¹⁰

Zwei Sätze des ICO gehören an die Wand gepinnt. Berechtigtes Interesse ist kein Weg an Regulation 6 vorbei: Was in keine Ausnahme passt, braucht Einwilligung.¹¹ Und Onlinewerbung war nie ausgenommen und ist es weiterhin nicht,¹⁰ was auch immer die separate Werbeprüfung des ICO eines Tages bringt.¹²

Die Strafe hat sich ebenfalls geändert. Das Höchstbußgeld nach PECR stieg von 500.000 Pfund auf 17,5 Millionen Pfund oder 4 % des weltweiten Jahresumsatzes.¹³ Das ICO berichtet, dass 99 % der 1.000 größten britischen Websites seinen Bannerstandard inzwischen erfüllen.¹² Nach meiner Erfahrung ist der lange Schwanz der kleineren Shops davon weit entfernt.

Für dich als deutschen Händler heißt das: Dein britischer Wettbewerber darf seit Februar eine selbst gehostete, aggregierte Statistik ohne Banner fahren. Du darfst das in Großbritannien auch. Zu Hause und in Österreich darfst du es nicht. Es ist ein Privileg, das an den Markt gebunden ist, nicht an den Shop.

Was "unbedingt erforderlich" heißt, und was es nie heißt

Diese zwei Wörter tragen in allen drei Ländern die Hauptlast. Der Test des ICO: Speichern oder Zugriff muss für den Dienst, den der Besucher aufruft, so wesentlich sein, dass der Dienst ohne sie technisch nicht erbracht werden könnte, beurteilt aus Sicht des Besuchers, nicht aus deiner.¹⁰¹¹ Die deutsche Orientierungshilfe sagt dasselbe.²

Was in allen drei Märkten durchgeht: ein Session Cookie, das den Warenkorb zusammenhält, sobald der Besucher etwas hineingelegt hat, das Cookie, das einen eingeloggten Kunden authentifiziert, ein Cookie fürs Load Balancing, Sicherheitscookies, die wiederholte Fehlversuche beim Login erkennen, und das Cookie, das die Einwilligungsentscheidung selbst speichert.¹⁰² Die DSK fügt eine nützliche Feinheit hinzu: Warenkorb und Bezahlcookies werden erforderlich, wenn der Besucher tatsächlich etwas in den Korb legt oder zu zahlen beginnt, nicht während er bloß stöbert, und eine Sprach oder Farbeinstellung braucht überhaupt keine eindeutige Kennung, es reicht der Wert "language: de".²

Was nirgends durchgeht: Analytics, die einzelne Besucher identifizieren oder verfolgen, Werbung, Remarketing, Social Media Plugins, die tracken, und alles, was Daten über Websites oder Geräte hinweg teilt.¹⁰² Die österreichischen FAQ nennen die technisch nicht notwendigen Dienste als die, die Einwilligung brauchen, und den Warenkorb als den klassischen notwendigen Fall.⁸

Ein Beispiel: Elbwelle Bademoden in Hamburg, mein Shop für diesen Artikel, hat einen Warenkorb, ein Kundenlogin, ein Consent Banner, Google Analytics 4, Google Ads Conversion Tracking und ein Meta Pixel. Vor jedem Klick auf das Banner darf der Shop das Warenkorbcookie setzen, sobald etwas im Korb liegt, das Logincookie, sobald sich jemand einloggt, und das Cookie, das die Einwilligungsentscheidung speichert. Alles andere wartet. In Großbritannien könnte Elbwelle zusätzlich ein selbst gehostetes Statistiktool ohne Einwilligung laufen lassen, unter der Statistik Ausnahme, solange die Daten mit niemandem geteilt werden, das Ergebnis aggregiert bleibt, die Seite es klar sagt und einen Widerspruch anbietet. Google Analytics 4 passt da aus meiner Sicht nicht hinein, weil die Daten zu Google gehen und Werbung füttern. In Deutschland und Österreich stellt sich die Frage gar nicht: Analytics wartet auf ein Ja.

Wie eine wirksame Einwilligung aussieht

Alle drei Märkte leihen sich die Definition aus der DSGVO, Artikel 4 Nummer 11: eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung, durch eine Erklärung oder eine sonstige eindeutige bestätigende Handlung.¹⁴ Erwägungsgrund 32 liefert den Satz, der ein Jahrzehnt Bannerdesign beendet hat: Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit stellen keine Einwilligung dar.¹⁴ Artikel 7 Absatz 3 ergänzt, dass der Widerruf so einfach sein muss wie die Erteilung.¹⁴

Der Europäische Gerichtshof hat das am 1. Oktober 2019 in Planet49, Rechtssache C 673/17, auf Cookies angewandt. Ein deutsches Unternehmen hatte ein Gewinnspiel veranstaltet, mit einem vorangekreuzten Kästchen für Werbecookies. Der Gerichtshof entschied, dass eine Einwilligung durch ein vorangekreuztes Kästchen, das der Nutzer zur Verweigerung abwählen müsste, nicht wirksam erteilt ist, dass das unabhängig davon gilt, ob die Informationen im Cookie personenbezogen sind, und dass der Besucher erfahren muss, wie lange die Cookies laufen und ob Dritte darauf zugreifen können.⁷

Die Leitlinien des Europäischen Datenschutzausschusses zur Einwilligung vom Mai 2020 schließen die restlichen Lücken. Der Zugang zu einer Seite darf nicht von der Einwilligung in Cookies abhängen, die sogenannte Cookie Wall, weil so eine Einwilligung nicht freiwillig ist. Scrollen oder Wischen durch eine Seite zählt unter keinen Umständen als eindeutige bestätigende Handlung.¹⁵

Und dann die Behörden zum Ablehnen Button, an dem die meisten Banner immer noch scheitern. Die Checkliste des ICO: Besucher müssen nicht ausgenommenes Speichern und Zugreifen so leicht ablehnen können, wie sie es akzeptieren, und ein Banner, das nur "weiter zur Website" anbietet, ist keine wirksame Einwilligung, auch mit einem OK Button daneben nicht.¹⁶ Die deutsche Orientierungshilfe: Die Möglichkeit, keine Einwilligung zu erteilen, muss eindeutig als gleichwertige Alternative zur Einwilligung dargestellt werden, und davon geht die DSK zum Beispiel aus, wenn neben dem Einwilligungsbutton ein in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button steht. Ein Button "Einstellungen oder ablehnen", der auf eine zweite Ebene führt, reicht nicht.² Die österreichischen FAQ: Die Nichtabgabe einer Einwilligung muss genauso einfach sein wie die Abgabe, und vom Besucher kann nicht verlangt werden, die Ablehnung erst auf einer zweiten oder dritten Ebene zu finden.⁸

Das Banner, das in allen drei Märkten legal ist, ist also langweilig: zwei Buttons mit demselben Gewicht auf der ersten Ebene, keine vorangekreuzten Zwecke, Zwecke und Drittanbieter benannt, nichts Nichtnotwendiges gesetzt, bevor ein Button gedrückt wurde, und ein Link im Footer, der das Banner wieder öffnet. Wie aus einem Schubser eine Haftung wird, steht in meinem Artikel über Dark Patterns im Consent Design.

Google Consent Mode v2 ist eine Plattformregel, kein Gesetz

Der Consent Mode ist Googles Mechanismus, um seinen Tags mitzuteilen, was der Besucher entschieden hat. Die Tags lesen vier Signale: ad_storage und analytics_storage für Cookies, und seit Ende 2023 ad_user_data für das Senden von Nutzerdaten an Google zu Werbezwecken und ad_personalization für personalisierte Werbung. Die letzten beiden sind das, was alle mit "v2" meinen.¹⁷

Googles Richtlinie zur Einwilligung der Nutzer in der EU verlangt eine rechtswirksame Einwilligung für Cookies oder Local Storage, wo das Gesetz sie verlangt, und für die Nutzung personenbezogener Daten zur Anzeigenpersonalisierung, bei Nutzern im Europäischen Wirtschaftsraum, in Großbritannien und in der Schweiz, mit Nachweis.¹⁸ Für Traffic aus dem EWR hat Google die Richtlinie an Funktionen geknüpft: Wer seine Tags weiter für Messung, Anzeigenpersonalisierung und Remarketing nutzen will, muss Einwilligungen einholen und die Signale an Google weitergeben.¹⁹ Das ist eine Vertragsbedingung, kein Gesetz. Für einen Shop in Hamburg wirkt sie aber genauso.

Der Consent Mode hat zwei Spielarten.¹⁷ Basic: Die Google Tags laden erst, wenn der Besucher mit dem Banner interagiert hat, und wenn er ablehnt, geht gar nichts an Google. Advanced: Die Tags laden, alle Signale stehen standardmäßig auf verweigert, solange die Einwilligung fehlt, gehen cookielose Pings raus, und erst mit der Einwilligung fließt die volle Messung. Die Advanced Variante liefert Googles Modellierung eigenes Material über die Besucher, die abgelehnt haben.

Für deutschen und österreichischen Traffic ist dieser Unterschied eine Rechtsfrage. Die Advanced Variante lädt Googles Skript, bevor der Besucher entschieden hat, und solange die Einwilligung fehlt, lässt das Skript den Browser Pings mit Zeitstempel, User Agent und Referrer an Google senden.¹⁷ Der Europäische Datenschutzausschuss (EDSA) liest die europäische Regel, die § 25 TDDDG umsetzt, so, dass genau das darunter fällt: Ein JavaScript, das den Browser anweist, Informationen zu senden, ist eindeutig erfasst, und das Erheben von Headerdaten wie dem User Agent kann die Regel auslösen.²⁰ Die DSK schreibt, dass keine Skripte laden, die auf das Gerät zugreifen könnten, solange das Banner angezeigt wird, soweit dafür eine Einwilligung nötig ist.² § 25 TDDDG kennt nur seine zwei Ausnahmen, und Googles Modellierung von Werbeconversions ist weder die Übertragung einer Nachricht noch ein Dienst, den der Besucher gewünscht hat.¹ Österreich setzt mit § 165 Absatz 3 TKG 2021 dieselbe europäische Regel mit denselben zwei Ausnahmen um, also gilt dort dieselbe Lesart des EDSA.⁴ Ich habe keine Stellungnahme einer deutschen Aufsichtsbehörde gefunden, die cookielose Pings beim Namen nennt, weder erlaubend noch verbietend. Für deutsche und österreichische Besucher ist die Basic Variante deshalb mein Standard, und die Advanced Variante gibt es nur, wenn dein eigener Anwalt schriftlich begründet, warum sie zulässig sein soll. Auch in der Basic Variante modelliert Google abgelehnte Conversions, dann aber mit einem allgemeinen Modell statt mit einem, das auf deinem Konto aufsetzt.¹⁷ Und damit sind wir bei den Zahlen.

Was wann feuert: der Ablauf

So baue ich die Reihenfolge für einen Shop in allen drei Märkten. Die erste Ebene ist überall identisch. Die Zweige unterscheiden sich darin, was der Shop für sich selbst behält.

Lies es von oben nach unten. Die ersten beiden Kästen passieren, bevor irgendjemand etwas anfasst, und genau dort scheitern die meisten Seiten: Der Tag Manager lädt, die Pixel feuern, und das Banner ist Dekoration. Der Akzeptieren Zweig ist gewöhnliches Tracking. Im Ablehnen Zweig steckt die Arbeit, und meine Regel dafür kommt weiter unten. Beide Zweige landen in einem Bericht, der sagen muss, welche Zahlen beobachtet, welche modelliert und welche aus der Datenbank sind. Die Technik des Event Trackings unter dem Consent Mode ist ein eigener Artikel.

Gemessen gegen modelliert: die Hamburger Zahlen

Jetzt die Arithmetik, denn hier hört Einwilligung auf, eine Rechtsfrage zu sein, und wird eine Budgetfrage.

Rechenbeispiel: der Juni von Elbwelle Bademoden in Zahlen

Elbwelle Bademoden ist ein erfundener Shop in Hamburg, den Maren führt. Er verkauft nach Deutschland, Österreich und Großbritannien, in dieser Reihenfolge der Größe. Im Juni hat er 20.000 Google Ads Klicks zu je 0,40 € gekauft, also 8.000 € Ausgaben: 10.000 Klicks und 4.000 € in Deutschland, 8.000 Klicks und 3.200 € in Österreich, 2.000 Klicks und 800 € in Großbritannien. Marens eigene Datenbank, die Bestellungen der Landingsession zuordnet, sagt, dass diese Klicks 400 Bestellungen gebracht haben: 200 in Deutschland, 160 in Österreich, 40 in Großbritannien. Der durchschnittliche Bestellwert lag bei 65 €, also 26.000 € Umsatz aus 8.000 € Werbung. Jede dieser Zahlen ist fürs Beispiel erfunden.

Jetzt das Banner. Für das Beispiel nehme ich an, dass 45 % der deutschen und österreichischen Besucher auf Akzeptieren drücken und 60 % der britischen, und ich komme unten auf diese Annahmen zurück. Für den ersten Durchgang nehme ich außerdem an, dass Ablehner genauso oft kaufen wie Akzeptierer, und danach räume ich diese Annahme wieder weg.

Google Ads kann eine Conversion nur sehen, wenn die Klick ID in einem Cookie überlebt hat, das es setzen durfte. Die Conversions, die es beobachtet, sind also die wahren Conversions mal der Einwilligungsquote:

$$C_{\text{obs}} = C \times r$$

Dabei ist $C_{\text{obs}}$ die Zahl der Conversions, die die Werbeplattform beobachtet, $C$ die wahre Zahl der Conversions aus diesen Klicks, und $r$ die Einwilligungsquote, der Anteil der Besucher, die akzeptiert haben. Das ist eine schlichte Quote, angewandt auf eine Anzahl, und wer die Grundlagen dazu will, findet sie in Grundlagen: Verhältnisse und Quoten.

Markt für Markt: Deutschland, $200 \times 0{,}45 = 90$. Österreich, $160 \times 0{,}45 = 72$. Großbritannien, $40 \times 0{,}60 = 24$. Beobachtet insgesamt: 186 von 400 Bestellungen, bei 65 € also 12.090 € von den 26.000 €, die tatsächlich passiert sind.

Googles Modellierung füllt einen Teil der Lücke. Die Hilfeseite sagt, dass die Modellierung die fehlenden Pfade von der Anzeige zur Conversion aus den Wegen einwilligender Nutzer und aus historischen Trends schätzt, bewusst eher zu wenig als zu viel vorhersagt, die cookielosen Pings zur Kalibrierung braucht und erst anspringt, wenn ein Konto pro Land und Domaingruppe an sieben Tagen über 700 Anzeigenklicks am Tag kommt.²¹ Sie nennt eine Illustration: Bei einer Einwilligungsquote von 50 % brachte die Modellierung 18 % mehr gemeldete Conversions.²¹ Für das Beispiel nehme ich 20 % Aufschlag auf die beobachtete Zahl. Deutschland, $90 \times 1{,}20 = 108$. Österreich, $72 \times 1{,}20 \approx 86$. Großbritannien, $24 \times 1{,}20 \approx 29$. Modelliert insgesamt: 223 Bestellungen, 14.495 €.

Die Balken zeigen den Umsatz in Euro aus denselben 20.000 Klicks, dreimal gezählt: was Google Ads mit dem Consent Mode allein anzeigt, was es anzeigt, sobald die Modellierung greift, und was Marens Datenbank weiß. Die Plattform lügt nicht. Sie meldet, was sie sehen durfte, plus eine vorsichtige Schätzung, und selbst dann zeigt das Konto nur rund 56 % des echten Umsatzes. Niemand bei der Plattform wird Maren anrufen, um ihr das zu sagen.

Jetzt schau, was das mit einer Entscheidung macht. Der Return on Ad Spend ist Umsatz geteilt durch Ausgaben:

$$\text{ROAS} = \frac{\text{Umsatz}}{\text{Ausgaben}}$$

$\text{ROAS}$ ist der Return on Ad Spend als schlichtes Vielfaches, $\text{Umsatz}$ ist der Umsatz, den die Klicks gebracht haben, und $\text{Ausgaben}$ ist, was die Klicks gekostet haben. Mathematisch ist das dasselbe Verhältnis wie oben, also deckt Grundlagen: Verhältnisse und Quoten es ab, und warum das durchschnittliche Verhältnis das falsche ist, um ein Budget zu skalieren, steht in Grundlagen: marginal gegen durchschnittlich.

Der tatsächliche ROAS ist in allen drei Märkten per Konstruktion gleich: Deutschland $13.000 / 4.000 = 3{,}25$, Österreich $10.400 / 3.200 = 3{,}25$, Großbritannien $2.600 / 800 = 3{,}25$. Der beobachtete ROAS ist es nicht. Deutschland $5.850 / 4.000 = 1{,}46$. Österreich $4.680 / 3.200 = 1{,}46$. Großbritannien $1.560 / 800 = 1{,}95$. Hat Maren Google einen Ziel ROAS von 2,0 vorgegeben, oder liest ihre Agentur am Montagmorgen das Dashboard, dann werden Deutschland und Österreich gekürzt und Großbritannien bekommt mehr Budget. Nicht weil deutsche Kunden weniger kaufen, sondern weil sie öfter auf Ablehnen drücken. Das ist der teuerste Einwilligungsfehler, den ich sehe: Der Heimatmarkt wird zugunsten des kleinsten Marktes gekürzt, und er bleibt unsichtbar, solange niemand die Zahl der Plattform gegen die eigene hält.

Die Verzerrung korrigieren, und warum du trotzdem deine eigene Datenbank brauchst

Jetzt weg mit der vereinfachenden Annahme. Googles eigene Seite sagt, dass Nutzer mit Einwilligung typischerweise zwei bis fünf Mal so oft konvertieren wie Nutzer ohne.²¹ Ein Teil davon ist echt: Wer auf Akzeptieren drückt, ist engagierter. Ein Teil ist ein Artefakt: Manche der Conversions "ohne Einwilligung" sind schlicht nicht sichtbar. So oder so überschätzt es die Wahrheit, die beobachtete Zahl einfach durch die Einwilligungsquote zu teilen. Wenn einwilligende Besucher $k$ mal so oft konvertieren wie ablehnende, ist die wahre Zahl:

$$C = C_{\text{obs}} \left( 1 + \frac{1 - r}{k \, r} \right)$$

$C$ ist die wahre Zahl der Conversions, $C_{\text{obs}}$ die beobachtete, $r$ die Einwilligungsquote und $k$ das Verhältnis der Conversion Rate der Einwilligenden zur Conversion Rate der Ablehnenden. Mit $k = 1$ fällt die Klammer auf $1/r$ zusammen, und du bist wieder beim Teilen durch die Einwilligungsquote. Die Herleitung sind zwei bedingte Quoten, die addiert werden, und das ist das Gebiet von Grundlagen: Wahrscheinlichkeit.

Deutschland, beobachtet 90, $r = 0{,}45$. Mit $k = 1$: $90 \times (1 + 0{,}55 / 0{,}45) = 90 \times 2{,}22 = 200$, die wahre Zahl im Beispiel. Mit $k = 2$: $90 \times (1 + 0{,}55 / 0{,}90) = 90 \times 1{,}61 = 145$. Die ehrliche Schätzung von der Plattformseite aus lautet also "irgendwo zwischen 145 und 200 deutschen Bestellungen", und das ist eine breite Spanne, um darauf ein Budget zu fahren. Marens Datenbank sagt 200, und die Datenbank braucht keine Schätzung, weil sie gezählt hat.

Server Side Tracking ohne Einwilligung: meine Regel zum Umbenennen

Ein Besucher, der auf Ablehnen drückt, bestellt trotzdem. Die Bestellung ist ein Vertrag zwischen ihm und dem Shop, der Shop speichert sie in seiner eigenen Datenbank auf der Vertragsgrundlage der DSGVO, und dafür wird kein Cookie gelesen oder geschrieben.¹⁴ Dieser Datensatz ist die First Party Wahrheit des Shops, und er fällt nicht unter § 25 TDDDG, weil über die unbedingt erforderliche Session hinaus nichts auf dem Gerät gespeichert oder ausgelesen wird.

Die Frage ist, was der Shop aus diesem Datensatz weitergibt, wenn überhaupt. Hier ist die Regel, nach der ich arbeite, und ich formuliere sie als meine Praxis, nicht als Auslegung des Gesetzes. Jedes Event eines Besuchers, der abgelehnt hat, wird aus dem Retargeting herausbenannt. Die Bestellung mit Einwilligung geht als Standardevent an die Plattformen, purchase an GA4, die Conversion Aktion mit Klick ID an Google Ads, Purchase mit den passenden Kennungen an Meta. Die Bestellung ohne Einwilligung geht als purchase_nc, von jeder Kennung befreit: keine Klick ID, keine Cookie ID, keine gehashte Mailadresse, kein User Agent über das hinaus, was der Transport braucht. Dieser Eventname wird nie auf eine Conversion Aktion gemappt, auf die die Plattform optimiert, und er ist nie für eine Zielgruppe zugelassen. Er existiert, damit die Summe im Bericht zur Datenbank passt, und für nichts sonst.

Warum eine Umbenennung statt eines stillen Schalters: Die Leute, die Werbekonten betreuen, wechseln, und ein benanntes Event lässt sich schwerer aus Versehen missbrauchen als ein Flag, das jemand vergessen hat. Nichts von einer Person, die Nein gesagt hat, darf je zu einer Retargeting Zielgruppe werden, und der Name erzwingt das, wenn ich nicht im Raum bin. Der Hintergrund in den Richtlinien ist Googles eigener: Anzeigenpersonalisierung braucht Einwilligung, und einen Nachweis davon.¹⁸ Ein Event ohne Kennung hat nichts, womit sich personalisieren ließe.

Für Deutschland und Österreich gehe ich einen Schritt weiter und behalte den abgelehnten Strom in meinen eigenen Systemen. Im Januar 2022 entschied die österreichische Datenschutzbehörde die erste der 101 Beschwerden, die noyb nach Schrems II eingereicht hatte, und stellte fest, dass eine Website mit Google Analytics personenbezogene Daten ohne ausreichende Grundlage an Google in die USA übermittelte.²² Das EU US Data Privacy Framework hat seither eine Übermittlungsgrundlage für zertifizierte US Unternehmen wiederhergestellt.²³ Der Appetit der Aufsichtsbehörden auf Daten über ablehnende Besucher, die bei einem amerikanischen Werbekonzern landen, hat sich damit nicht geändert. In diesen beiden Märkten bleiben die abgelehnten Bestellungen also in der Shopdatenbank und im eigenen Reporting, und die Plattformen sehen nichts davon, weil in der Basic Variante nach einem Nein kein Tag feuert. Die Verrohrung steht im technischen Guide zum Server Side Tracking.

Einwilligungsquoten: was zu erwarten ist, und warum die Zahl ein bisschen lügt

Leute fragen mich nach der Einwilligungsquote, mit der sie planen sollen, und die ehrliche Antwort beginnt mit einer Definition. Das Privacy Barometer 2025 von Commanders Act, das im Mai 2025 1.301 Banner auf Websites weltweit untersucht hat, meldet eine durchschnittliche Consent Rate von 80,54 %. Es definiert Consent Rate aber als den Anteil der Akzeptierenden unter denen, die überhaupt eine Wahl getroffen haben, und berichtet separat, dass 32,41 % der Besucher gar keine Wahl getroffen haben. Der Anteil der Einwilligenden an allen Besuchern, den der Bericht Opt in nennt, lag bei 55,03 %.²⁴ Dieselben Banner, derselbe Monat, und die Schlagzeilenzahl liegt 25 Punkte über der brauchbaren.

Für einen Shop ist die brauchbare Zahl das Opt in: der Anteil aller Besucher, deren Conversions die Plattform sehen kann. Das ist das $r$ in den Formeln oben. Die Besucher, die keine Wahl getroffen haben, sind aus Sicht deines Werbekontos Ablehner, weil nichts Nichtnotwendiges gefeuert hat. Wenn dir also ein Anbieter eine Consent Rate nennt, frag, welcher Nenner dahintersteckt, und frag, ob das Banner hinter der Zahl einen gleichwertigen Ablehnen Button auf der ersten Ebene hatte. Eine hohe Einwilligungsquote ist manchmal ein gut gestaltetes Banner und manchmal ein illegales.

Deshalb hat das Beispiel mit 45 % und 60 % gerechnet: Annahmen, die die veröffentlichten Zahlen plausibel machen, keine Messungen. Die richtige Zahl für deinen Shop ist die, die dein eigenes Banner produziert, gemessen als Opt in über alle Besucher, Markt für Markt, und jeden Monat in die Korrektur oben eingespeist. Wo die Einwilligung ordentlich protokolliert wird, ist das eine Abfrage.

Was ich bauen würde, in dieser Reihenfolge

Käme Elbwelle zu mir, wäre die Reihenfolge der Arbeit diese, und sie ist für jeden Shop dieselbe, der aus Deutschland nach Österreich und Großbritannien verkauft.

Erstens das Banner: zwei gleichwertige Buttons auf der ersten Ebene, Zwecke und Drittanbieter benannt, nichts Nichtnotwendiges vor einem Klick, ein Link im Footer, um die Entscheidung zu ändern, ein Einwilligungsprotokoll. Ein Banner für alle drei Märkte, weil der deutsche und österreichische Standard der strenge ist und ein britischer Besucher nichts verliert, wenn er ihn erfüllt.

Zweitens die Ausnahmen, pro Markt. In Großbritannien entscheiden, ob ein selbst gehostetes, nicht geteiltes, aggregiertes Statistiktool unter der Statistik Ausnahme den Aufwand wert ist, mit Hinweis und Widerspruch. In Deutschland und Österreich nicht. Die Liste des unbedingt Erforderlichen kurz halten und aufschreiben, mit dem Grund für jeden Eintrag.

Drittens Consent Mode v2, standardmäßig in der Basic Variante: kein Google Tag vor einem Klick, nichts an Google nach einem Nein. Die Advanced Variante nur, wenn dein eigener Anwalt schriftlich begründet hat, warum ihre cookielosen Pings in Deutschland und Österreich zulässig sind. Für britische Besucher fahre ich dasselbe Setup, statt die Seite in zwei zu teilen.

Viertens die eigene Messung des Shops: Bestellungen der Landingsession zugeordnet, ein monatlicher Abgleich der Plattform Conversions mit den Datenbank Conversions pro Markt, und die Korrekturformel angewandt, damit niemand den Heimatmarkt kürzt, weil er auf Ablehnen drückt. Auf Solidus trägt der Bestelldatensatz schon, was dafür nötig ist.

Fünftens die Umbenennungsregel, im Code und auf einer Seite, die der nächste Marketer lesen wird.

Die alte Fassung dieses Artikels sagte, in Deutschland und Österreich sei Compliance ein Vertrauenssignal. Das glaube ich immer noch, und ich kann es immer noch nicht mit einer Zahl belegen, also bleibt es eine Meinung. Was ich belegen kann, ist die Arithmetik: Ein Shop, der gegen seine eigene Datenbank misst, trifft bessere Budgetentscheidungen als einer, der das Dashboard liest, und in Deutschland und Österreich ist die Lücke zwischen beiden um ein gutes Drittel größer als in Großbritannien. Das ist Grund genug.

Quellen

Footnotes

1. Telekommunikation Digitale Dienste Datenschutz Gesetz (TDDDG), § 25 Schutz der Privatsphäre bei Endeinrichtungen, Bundesministerium der Justiz, gesetze im internet, https://www.gesetze-im-internet.de/ttdsg/__25.html

2. Konferenz der unabhängigen Datenschutzaufsichtsbehörden des Bundes und der Länder (DSK), Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste), Version 1.2, Randnummern 5, 6, 67, 75 bis 78, 80, 81, 83, 84, 87 bis 90, 121, 135 und 137, DSK, November 2024, https://www.datenschutzkonferenz-online.de/media/oh/OH_Digitale_Dienste.pdf

3. Richtlinie 2002/58/EG über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre in der elektronischen Kommunikation, konsolidierte Fassung nach Richtlinie 2009/136/EG, Artikel 5 Absatz 3, EUR Lex, 2009, https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:02002L0058-20091219

4. Telekommunikationsgesetz 2021 (TKG 2021), § 165 Datenschutz, Allgemeines, Linde Verlag Rechtsdatenbank, https://linda.lindeverlag.at/Dokument/537514_165/

5. The Privacy and Electronic Communications (EC Directive) Regulations 2003, regulation 6, in der seit 5. Februar 2026 durch den Data (Use and Access) Act 2025 geltenden Fassung, legislation.gov.uk, https://www.legislation.gov.uk/uksi/2003/2426/regulation/6

6. Telekommunikation Digitale Dienste Datenschutz Gesetz (TDDDG), § 28 Bußgeldvorschriften, Bundesministerium der Justiz, gesetze im internet, https://www.gesetze-im-internet.de/ttdsg/__28.html

7. Gerichtshof der Europäischen Union, Pressemitteilung Nr. 125/19, Urteil in der Rechtssache C 673/17 Planet49: Das Setzen von Cookies erfordert die aktive Einwilligung des Internetnutzers, 1. Oktober 2019, https://curia.europa.eu/jcms/upload/docs/application/pdf/2019-10/cp190125de.pdf

8. Datenschutzbehörde (Österreich), FAQ Datenschutz und Cookies, dsb.gv.at, https://dsb.gv.at/faqs/datenschutz-cookies

9. The Privacy and Electronic Communications (EC Directive) Regulations 2003, Schedule A1 (Ausnahmen zu regulation 6), eingefügt am 5. Februar 2026, legislation.gov.uk, https://www.legislation.gov.uk/uksi/2003/2426/schedule/A1

10. Information Commissioner's Office, Guidance on the use of storage and access technologies: What are the exceptions?, ICO, 2026, https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/what-are-the-exceptions/

11. Information Commissioner's Office, Fact vs fiction: ICO debunks myths on storage and access technologies, ICO, 11. September 2025, https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/09/fact-vs-fiction-ico-debunks-myths-on-storage-and-access-technologies/

12. Information Commissioner's Office, Final storage and access technologies guidance published, ICO, 29. April 2026, https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2026/04/final-storage-and-access-technologies-guidance-published/

13. Mayer Brown, The Data (Use and Access) Act: PECR reform, rules relating to electronic marketing and cookies in the UK, Mayer Brown, 1. Juli 2025, https://www.mayerbrown.com/en/insights/publications/2025/06/the-data-use-and-access-act-pecr-reform-rules-relating-to-electronic-marketing-and-cookies-in-the-uk

14. Verordnung (EU) 2016/679 (Datenschutz Grundverordnung), Artikel 4 Nummer 11, Artikel 6 Absatz 1 Buchstabe b, Artikel 7 und Erwägungsgrund 32, EUR Lex, 2016, https://eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32016R0679

15. Europäischer Datenschutzausschuss, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679, Version 1.1, Randnummern 39 bis 41 und 86, 4. Mai 2020, https://www.edpb.europa.eu/system/files/documents/files/file1/edpb_guidelines_202005_consent_de.pdf

16. Information Commissioner's Office, Guidance on the use of storage and access technologies: How do we comply with the PECR rules?, ICO, 2026, https://ico.org.uk/for-organisations/direct-marketing-and-privacy-and-electronic-communications/guidance-on-the-use-of-storage-and-access-technologies/how-do-we-comply-with-the-pecr-rules/

17. Google, Einwilligungsmodus, Übersicht, Google for Developers, Tag Platform, https://developers.google.com/tag-platform/security/concepts/consent-mode?hl=de

18. Google, Richtlinie zur Einwilligung der Nutzer in der EU, Google, https://www.google.com/about/company/user-consent-policy/?hl=de

19. Google, Einwilligungsmodus für Traffic im Europäischen Wirtschaftsraum (EWR), Google Ads Hilfe, https://support.google.com/google-ads/answer/13695607?hl=de

20. Europäischer Datenschutzausschuss, Leitlinien 2/2023 zum technischen Anwendungsbereich von Artikel 5 Absatz 3 der Datenschutzrichtlinie für elektronische Kommunikation, Version 2.0, Randnummern 33 und 43, EDSA, 7. Oktober 2024, https://www.edpb.europa.eu/system/files/documents/2025-02/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_de.pdf

21. Google, Modellierung für den Einwilligungsmodus, Google Ads Hilfe, https://support.google.com/google-ads/answer/10548233?hl=de

22. noyb, Österreichische DSB: EU US Datenübermittlung an Google Analytics illegal, noyb.eu, 13. Januar 2022, https://noyb.eu/de/oesterr-dsb-eu-us-datenuebermittlung-google-analytics-illegal

23. Europäische Kommission, Datenübermittlungen zwischen der EU und den USA: Angemessenheitsbeschluss zum EU US Datenschutzrahmen, 10. Juli 2023, https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/eu-us-data-transfers_de

24. Commanders Act, Privacy Barometer 2025 (1.301 Banner, 1. bis 31. Mai 2025), Commanders Act, 2025, https://www.commandersact.com/wp-content/uploads/2025/09/Barometre-Privacy-2025-EN-website.pdf