Consent-Management (Einwilligungsverwaltung)

Rechtsstand: 14.10.2026 · Aktualisiert: 14.10.2026

Kurz gesagt

Consent-Management ist die Verwaltung der Einwilligungen, die ein Shop für Cookies und Tracking einholt. Eine Consent-Management-Plattform (CMP) ist die Software dafür: Sie zeigt den Einwilligungsdialog, speichert die Auswahl je Zweck und hält den Nachweis fest. Die Anforderungen stehen in Art. 4 Nr. 11 und Art. 7 DSGVO; den Zugriff auf das Endgerät regelt in Deutschland § 25 TDDDG.

Das Wichtigste

Consent-Management-Plattform (CMP): Software für Einwilligungsdialog, Auswahl je Zweck und Widerrufsmöglichkeit.
Eine Einwilligung muss freiwillig, für den bestimmten Fall, informiert und unmissverständlich sein (Art. 4 Nr. 11 DSGVO).
Vorausgewählte Kästchen und Untätigkeit tragen keine Einwilligung (Erwägungsgrund 32 DSGVO).
Der Verantwortliche muss nachweisen können, dass die betroffene Person eingewilligt hat; wie er diesen Nachweis führt, schreibt die DSGVO nicht vor (Art. 7 Abs. 1 DSGVO; EDSA-Leitlinien 05/2020, Rn. 107).
Deutschland: Einwilligung am Endgerät nach § 25 Abs. 1 TDDDG (seit 1. Dezember 2021), Ausnahmen nach Abs. 2.

Definition

Consent-Management (Einwilligungsverwaltung) ist die Gesamtheit der Schritte, mit denen eine Website die Zustimmung ihrer Besucher einholt, nach Zwecken getrennt festhält und den Widerruf ermöglicht. Eine Consent-Management-Plattform (CMP) übernimmt das technisch: Sie spielt den Einwilligungsdialog aus und protokolliert jede Entscheidung.

Für eine wirksame Einwilligung muss der Besucher vorher wissen, wer verantwortlich ist, welche Daten zu welchem Zweck verwendet werden und dass er widerrufen kann (Art. 13 Abs. 1 Buchst. a und c, Art. 7 Abs. 3 DSGVO; EDSA-Leitlinien 05/2020, Rn. 64). Einzuholen ist sie je Zweck getrennt; eine Sammelzustimmung für mehrere Zwecke genügt nicht (Rn. 42 bis 44). Vorausgewählte Kästchen und Untätigkeit tragen sie nicht (Art. 4 Nr. 11 DSGVO, Erwägungsgrund 32).

Festzuhalten ist der Nachweis: Der Verantwortliche muss belegen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat (Art. 7 Abs. 1 DSGVO). Wie er diesen Nachweis führt, schreibt die DSGVO nicht vor (EDSA-Leitlinien 05/2020, Rn. 107). Die Leitlinien nennen als mögliche Umsetzung Aufzeichnungen über erhaltene Einwilligungserklärungen, aus denen sich die Einwilligung, der Zeitpunkt und die damals mitgeteilten Informationen ergeben; der bloße Hinweis auf eine korrekt konfigurierte Website genügt nicht (Rn. 108).

Beispiel

Ein Shop setzt Reichweitenmessung, Werbe-Cookies und ein eingebettetes Video ein. Das Banner nennt drei Zwecke; der Besucher erlaubt nur die Reichweitenmessung. Die Plattform hält Zweck, Zeitpunkt und Banner-Fassung fest, die übrigen Skripte laden nicht. Auf Werbe-Cookies trifft keine Ausnahme des § 25 Abs. 2 TDDDG zu.

Rechtsgrundlage

EU-weit: Art. 4 Nr. 11 DSGVO für den Begriff, Art. 7 DSGVO für die Bedingungen der Einwilligung; beide gelten seit 25. Mai 2018. Die Verordnung erfasst nach Art. 3 Abs. 2 DSGVO auch Verantwortliche außerhalb der Union, die Personen in der Union Waren oder Dienstleistungen anbieten oder deren Verhalten in der Union beobachten. Den Zugriff auf das Endgerät regelt Art. 5 Abs. 3 der Richtlinie 2002/58/EG in der Fassung von Artikel 2 Nummer 5 der Richtlinie 2009/136/EG; in Deutschland setzt § 25 TDDDG ihn seit 1. Dezember 2021 um, § 26 TDDDG regelt die Anerkennung unabhängiger Einwilligungsverwaltungsdienste. Zum Banner im Einzelnen: Cookie-Einwilligung im Onlineshop in Deutschland.

Nicht zu verwechseln mit

Datenschutzerklärung: erfüllt die Informationspflichten nach Art. 13 und 14 DSGVO, ersetzt die Einwilligung aber nicht (Datenschutzerklärung im Onlineshop).
Einwilligungsverwaltungsdienst: Nach § 26 Abs. 1 TDDDG ein Dienst zur Verwaltung der nach § 25 Abs. 1 erteilten Einwilligungen, der kein wirtschaftliches Eigeninteresse an der Erteilung der Einwilligung und an den verwalteten Daten hat und unabhängig von Unternehmen sein muss, die ein solches Interesse haben können; er kann von einer unabhängigen Stelle anerkannt werden.

Häufige Fragen

Muss ich für mein Banner eine bestimmte Consent-Management-Plattform einsetzen?

Nein, entscheidend ist nicht die Software, sondern die Einwilligung selbst: Verlangt sind eine wirksame Einwilligung und ihr Nachweis (Art. 7 Abs. 1 DSGVO), in Deutschland ergänzt um § 25 TDDDG. Die EDSA-Leitlinien nennen als mögliche Umsetzung Aufzeichnungen, aus denen sich Zeitpunkt und die damals gezeigte Information ergeben (EDSA-Leitlinien 05/2020, Rn. 108); das kann auch eine selbst gebaute Lösung leisten.

Was passiert mit dem Nachweis, wenn der Besucher widerruft?

Der Widerruf muss so einfach möglich sein wie die Erteilung (Art. 7 Abs. 3 Satz 4 DSGVO); für die Zeit davor bleibt die Verarbeitung rechtmäßig (Art. 7 Abs. 3 Satz 2 DSGVO). Den Nachweis dürfen Sie nach dem Ende der Verarbeitung nicht länger aufbewahren, als eine rechtliche Verpflichtung oder die Verteidigung von Rechtsansprüchen es erfordert (EDSA-Leitlinien 05/2020, Rn. 107).

Reicht ein Link im Banner auf die Datenschutzerklärung?

Für die Einwilligung nicht. Die Information, die zur Entscheidung befähigt, muss auf der Ebene der Einwilligungsabfrage stehen und darf nicht in den allgemeinen Bedingungen versteckt sein (EDSA-Leitlinien 05/2020, Rn. 67 und 71). Die Datenschutzerklärung trägt daneben die weitergehenden Pflichten nach Art. 13 DSGVO.