Am 22. Oktober 2026 fragte ein Shopify-Händler auf r/shopify, wie andere mit Skripten umgehen, die nach einem Klick auf Ablehnen weiter laden. Der Banner sagte das eine, der Browser tat das andere. Das ist das häufigste Cookie-Problem auf jeder Plattform: Der Banner speichert die Entscheidung, aber nichts auf der Seite ist so angeschlossen, dass es darauf hört. WooCommerce, Shopify, ein Headless-Frontend mit Next.js oder Astro und ein normales WordPress scheitern gleich, weil die Lecks aus eingebetteten Videos, Schriftarten, Theme-Code und Tag-Konfiguration kommen, nicht aus dem Banner-Plugin.
Diese Anleitung zeigt, wie Sie mit dem Browser prüfen, was Ihre Website nach dem Ablehnen sendet, welche Anfragen typischerweise durchrutschen, was der erweiterte Einwilligungsmodus von Google absichtlich überträgt und wie Sie jede Anfrage absichern. Zu jedem Punkt nenne ich Norm, Urteil oder Herstellerdokumentation. Es ist eine technische Prüfanleitung, keine Rechtsberatung.
Warum lädt Tracking trotz Ablehnung im Cookie-Banner
Der Beitrag, mit dem der Thread begann, beschreibt die Trennlinie genau:
App-Pixel sind einfach. Die übernimmt Shopify. Alles andere? YouTube-Videos, Google Fonts, Chat-Widgets, SEO- und Analyse-Skripte: nein. Im Januar 2022 sprach ein Münchner Gericht einem Besucher 100 Euro zu, weil eine Website seine IP-Adresse über Google Fonts ohne Einwilligung an Google weitergegeben hatte.
(u/Plus_Cell394, r/shopify, 22. Oktober 2026, eigene Übersetzung)
Ein Banner steuert nur, was bei ihm registriert ist. Code, der fest im Theme steht, in ein Footer-Feld kopiert wurde, über einen Einbettungsblock kommt oder von einem Plugin geladen wird, das die Banner-Schnittstelle ignoriert, startet beim Seitenaufruf unabhängig von der Antwort. Der Banner zeigt “Abgelehnt” und hat mit seinem eigenen Status recht. Die Seite hat ihn nur nie gefragt.
§ 25 TDDDG und das Urteil zu Google Fonts
In Deutschland steht die Regel in § 25 TDDDG (früher TTDSG): Speichern von Informationen in der Endeinrichtung und der Zugriff darauf sind nur mit Einwilligung zulässig, die nach der DSGVO erfolgen muss. Ausgenommen sind die Übertragung einer Nachricht und Zugriffe, die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich sind.
Für Schriftarten gibt es ein bekanntes Urteil. Das LG München I (3 O 17493/20, Endurteil vom 20. Januar 2022) verurteilte einen Websitebetreiber, es zu unterlassen, die IP-Adresse des Klägers durch die Bereitstellung von Google Fonts an Google offenzulegen, und sprach 100 Euro Schadensersatz nach Art. 82 DSGVO zu. Laut Leitsatz fehlte ein Rechtfertigungsgrund, weil Google Fonts auch ohne Verbindung zu einem Google-Server beim Seitenaufruf genutzt werden kann.
Die Datenschutzkonferenz geht in ihrer Orientierungshilfe Telemedien 2021 (Version 1.1, Dezember 2022) über Schriftarten hinaus. In Rn. 99 nennt sie als typische Drittinhalte, deren Einbindung Daten an den Drittserver offenlegt: Werbeanzeigen, Schriftarten, Skripte, Stadtpläne, Videos, Fotos und Social-Media-Inhalte. In Rn. 135 hält sie fest, dass eine Schaltfläche “Einstellungen oder Ablehnen”, die erst auf eine weitere Banner-Ebene führt, als Ablehnungsoption nicht ausreicht.
Was die EU-Ebene ergänzt: EuGH Planet49 und EDPB-Leitlinien 2/2023
Der EuGH entschied in Planet49 (C-673/17), dass ein vorausgewähltes Ankreuzkästchen keine wirksame Einwilligung ist und Art. 5 Abs. 3 der ePrivacy-Richtlinie unabhängig vom Personenbezug gilt. Die EDPB-Leitlinien 2/2023 zum technischen Anwendungsbereich (Version 2.0 vom 7. Oktober 2024) zählen JavaScript dazu, mit dem eine Stelle den Browser anweist, asynchrone Anfragen mit Informationen zu senden, und behandeln Tracking-Pixel und reines IP-Tracking gesondert. Ein “wir setzen keine Cookies” beendet die Prüfung also nicht. Ob eine Ausnahme greift, ist eine rechtliche Frage. Ob die Anfrage überhaupt stattfindet, können Sie selbst prüfen.
Cookie-Banner in den Entwicklertools prüfen: Schritt für Schritt
Chrome, Brave, Firefox und Edge funktionieren hier gleich.
- Öffnen Sie ein neues Profil oder ein privates Fenster ohne Erweiterungen. Werbeblocker verstecken genau die Anfragen, die Sie suchen.
- Öffnen Sie die Entwicklertools vor dem Laden der Seite. Im Network-Tab “Preserve log” und “Disable cache” aktivieren.
- Startseite laden, Banner nicht anfassen. Jede fremde Domain notieren. Vor der Entscheidung sollte nichts Optionales laden.
- Auf Ablehnen klicken, dann Produktseite, eine Seite mit Video, Kontakt und Warenkorb aufrufen. Lecks sitzen oft in Vorlagen, die die Startseite nicht nutzt.
- Die Liste nach Domain-Teilen filtern:
google,gstatic,doubleclick,facebook,tiktok,youtube,hotjar,clarity, Name des Chat-Anbieters. - Im Tab Application (in Firefox: Storage) Cookies, Local Storage und Session Storage je Herkunft prüfen. Alles außer der gespeicherten Ablehnung und funktionalen Sitzungscookies braucht eine Begründung.
- Den Test mit Akzeptieren wiederholen, um zu sehen, dass die Werkzeuge mit Einwilligung funktionieren.
Halten Sie das Ergebnis als Tabelle fest: Domain, Seite, vor der Wahl, nach Ablehnen, nach Akzeptieren. Das ist Ihre Liste der Korrekturen.
Welche Drittinhalte nach dem Ablehnen typischerweise laden
| Quelle | So sieht es im Network-Tab aus | Typische Ursache |
|---|---|---|
| Eingebettetes YouTube oder Vimeo | youtube.com, ytimg.com, googlevideo.com beim Seitenaufruf | Einfaches iframe im Inhalt oder Theme-Block |
| Google Fonts | fonts.googleapis.com und fonts.gstatic.com | Theme oder Plugin lädt Schriften von Google statt lokal |
| Chat-Widget | Anbieter-Skript plus Websocket auf jeder Seite | Code im Footer oder in den Theme-Einstellungen |
| Karten | maps.googleapis.com, Kartenkacheln | Filialfinder oder Karte auf der Kontaktseite |
| Fest eingebaute Pixel | connect.facebook.net, analytics.tiktok.com, Google-Ads-Tags | Code in Header-Feldern außerhalb der Einwilligungsverwaltung |
| Tags im Tag Manager | Tags feuern in der GTM-Vorschau bei verweigerter Einwilligung | Tags ohne Einwilligungseinstellungen oder Trigger auf allen Seiten |
Google beschreibt den erweiterten Datenschutzmodus von YouTube (youtube-nocookie.com) so, dass Aufrufe eingebetteter Videos die Personalisierung beim Zuschauer nicht beeinflussen. Dass keine Daten an Google gehen, steht dort nicht. Der Domainwechsel allein ist also keine Lösung.
Einwilligungsmodus v2: was einfach und erweitert noch senden
Wenn Sie nach dem Ablehnen Anfragen an Google Analytics sehen, prüfen Sie zuerst, welcher Modus läuft. Googles Übersicht zum Einwilligungsmodus unterscheidet:
- Einfach: Google-Tags sind bis zur Interaktion mit dem Banner blockiert. Laut Google werden vorher keine Daten gesendet, nicht einmal der Standardstatus.
- Erweitert: Tags laden sofort mit verweigerten Standardwerten. Solange die Einwilligung fehlt, senden sie den Status und Messungen ohne Cookies. Bei verweigertem
analytics_storageliest und schreibt Google Analytics keine eigenen Cookies, Messungen gehen aber weiter an Analytics-Domains “für grundlegende Messung und Modellierung”. Bei verweigertemad_storagelaufen Anfragen über eine andere Domain.
Der erweiterte Modus erzeugt nach dem Ablehnen also absichtlich Google-Anfragen. Ob das für Ihre Website trägt, ist genau die Frage nach § 25 TDDDG, die Sie mit Ihrer Beratung klären, nicht der Tag. Im einfachen Modus bedeutet Ablehnen keine Google-Anfrage. Zwei Fehler aus Googles Implementierungsanleitung führen in beiden Modi zu echten Lecks: Der Standardbefehl muss vor config und event laufen, und ein asynchron geladener Banner braucht wait_for_update.
Shopify, WooCommerce und Headless: wo Code am Banner vorbeiläuft
Laut Shopify-Dokumentation zu Web-Pixeln beachten Web-Pixel-App-Erweiterungen die Customer Privacy API und laufen in Regionen mit Einwilligungspflicht erst nach der Einwilligung. Theme-Code bekommt diesen Schutz nicht. Dafür gibt es die Customer Privacy API mit analyticsProcessingAllowed(), marketingAllowed() und dem Ereignis visitorConsentCollected. Wichtig: Der Standard hängt von den Datenschutzeinstellungen des Shops ab. Regionen ohne Einwilligungspflicht erlauben alles, ein falsch eingestellter Markt sieht also aus wie ein kaputter Banner. Der Autor des Threads lädt Skripte nur, wenn analyticsProcessingAllowed() true liefert, beim Laden und erneut nach visitorConsentCollected. Er beobachtete, dass seine Themes Version 0.1 der API geladen hatten, während die Dokumentation 0.2 zeigt.
Bei WooCommerce, WordPress und Headless-Frontends gibt es keine Plattform-Sandbox. In einem Thread auf r/woocommerce vom Oktober 2026 ging es eigentlich um die Wahl eines Consent-Plugins, am Ende vor allem ums Testen. Eine Antwort benennt die zwei Lücken, die bei GTM-Setups übersehen werden:
Consent Mode spricht nur mit Google-Tags. Das Meta-Pixel liest diese Signale nicht. […] Nicht jedes Pixel steckt im GTM. WooCommerce-Plugins (Meta for WooCommerce, Google for WooCommerce und ähnliche) setzen ihr Pixel oft direkt in die Seite. Die GTM-Vorschau zeigt die gar nicht an.
(u/Bignose_boy, r/woocommerce, 12. Oktober 2026, eigene Übersetzung)
Ein anderer Teilnehmer empfiehlt zusätzlich, einen wiederkehrenden Besucher zu testen, der seine Einwilligung zurückzieht, ohne den Browser zu leeren (u/anamap_alex). Prüfen Sie Header- und Footer-Felder, Plugins mit eigenen Tags (Bewertungen, Chat, Marketing) und Einbettungen im Beitragsinhalt. Unsere Anleitung zu Google Analytics 4 beschreibt die Anbindung über die Einwilligung, der Artikel zu Drittanbieter-Skripten zeigt, wie Sie prüfen, was jedes Skript nachlädt.
So schließen Sie jedes Leck
- Videos und Karten: iframe durch einen Platzhalter ersetzen, der das iframe erst nach Klick oder Einwilligung erzeugt. Das Vorschaubild vom eigenen Server ausliefern, sonst ist es selbst eine Drittanfrage.
- Schriftarten: Dateien herunterladen, per
@font-facevon der eigenen Domain ausliefern, jeden Verweis auf fonts.googleapis.com entfernen. - Chat: lokale Schaltfläche “Chat starten” zeigen und das Anbieter-Skript erst nach Klick oder Einwilligung laden.
- Fest eingebaute Pixel: in den Tag Manager oder das Pixel-System der Plattform verschieben, damit die Prüfung greift.
- Tag Manager: Einwilligungsanforderungen für jedes Tag setzen und in der Vorschau mit verweigerter Einwilligung testen.
Danach den Test wiederholen und die Tabelle neu ausfüllen. In der Spalte “nach Ablehnen” sollten nur noch Ihre eigene Domain und Dienste stehen, die Sie bewusst zulassen, jeweils mit dokumentierter Begründung. Die DSK erinnert in derselben Orientierungshilfe daran, dass Verantwortliche nach Art. 5 Abs. 2 DSGVO vorab prüfen und dokumentieren müssen, auf welche Rechtsgrundlage sie eine Verarbeitung stützen.
Unser WooCommerce-EU-Readiness-Audit enthält diesen Test für jede Vorlage, und der kostenlose Website-Check zeigt Drittanfragen einer öffentlichen URL.
