Das Cookie-Consent-Dilemma: Was passiert, wenn 97 % Ihrer Daten verschwinden

Ehrlich gesagt hat kaum etwas die Webanalyse so drastisch (und so nervtötend) verändert wie der Aufstieg des Cookie-Consent-Banners. Was als höflicher Hinweis „Wir verwenden Cookies“ begann, ist zu einem rechtlichen Vollbild-Pop-up geworden, das die halbe Internetgemeinde inzwischen ignoriert.

Seit ein paar Monaten setzen wir hier im Milk Moon Studio Enzuzo als Consent-Management-Plattform (CMP) ein.

Die Zahlen sind ... brutal. Von hundert Besuchern klicken weniger als drei tatsächlich auf Akzeptieren. Das ist eine Cookie-Consent-Rate von 2,75 %, weniger als die Fehlermarge der meisten Umfragen. Weitere 0,63 % klicken auf Ablehnen, über die Hälfte (51 %) starrt einfach ins Leere und tut nichts, und 45 % sehen das Banner wegen Blockern oder Geo-Logik gar nicht erst.

Mit anderen Worten: Wir erheben vollständig konforme, hochwertige Analysedaten von vielleicht drei Prozent unseres Publikums.

Alle anderen sind unsichtbar.

Das hat uns zum Nachdenken gebracht (und zum Recherchieren, Diskutieren und vielleicht zu ein paar schlaflosen Nächten):

Was kostet Compliance wirklich?

Verlieren wir wertvolle Daten, nur um gesetzliche Vorgaben zu erfüllen? Oder haben Cookie-Banner den Daten mehr geschadet, als der Datenschutz je genutzt hat?

Wenn Sie eine Webflow-Website (oder überhaupt eine Website) mit Analytics, Marketing-Tools oder auch nur einfachen Cookies betreiben, haben Sie wahrscheinlich dieselben Debatten spät abends geführt: Brauchen wir wirklich ein Cookie-Consent-Banner? Sollten wir eine vollständige CMP einsetzen oder es einfach halten? Was passiert eigentlich, rechtlich und praktisch, wenn man es nicht nach Lehrbuch macht?

Wir schauen uns die rechtlichen Anforderungen in drei wichtigen Rechtsräumen an: der EU (DSGVO), den USA und Südafrika (POPIA), betrachten reale Durchsetzungsfälle, vergleichen unsere Consent-Daten mit globalen Trends und klären, was zum Teufel eigentlich gerade mit der Webanalyse passiert.

Wie wir hierher gekommen sind

Die ursprüngliche Idee war einfach: Nutzern die Kontrolle darüber geben, wie ihre Daten verwendet werden. In der Praxis prallte dieses edle Ziel auf die Sucht des Internets, alles zu tracken, was sich bewegt.

Die DSGVO kam 2018 und setzte den Ton: keine nicht notwendigen Cookies ohne ausdrückliche, informierte Einwilligung (Opt-in). Keine vorausgewählten Kästchen. Keine stillschweigende Zustimmung. Sie wollen jemanden tracken? Erst fragen, und das Neinsagen genauso einfach machen.

Dann folgte POPIA in Südafrika, das sich viel von der DNA der DSGVO geliehen hat, und der schleichende Aufstieg der US-Datenschutzgesetze auf Bundesstaatenebene wie CCPA/CPRA, Colorados CPA und Virginias VCDPA. Die Details unterscheiden sich, aber der Kern ist derselbe: Die Menschen entscheiden, welche Daten Sie erheben, und Sie müssen ihnen sagen, wann Sie das tun.

Das klingt alles vernünftig, bis man merkt, was passiert, wenn Menschen tatsächlich eine Wahl haben.

Der Realitätscheck: unsere Enzuzo-Cookie-Consent-Rate im Vergleich zur Branche

Bevor wir uns ins rechtliche Labyrinth begeben, schauen wir, was auf unserer Website tatsächlich passiert und wie das im Vergleich zu allen anderen aussieht:

Die Zahlen von Milk Moon Studio:

• Seitenaufrufe insgesamt: 100 %
• Einwilligung erteilt: 2,75 %
• Einwilligung abgelehnt: 0,63 %
• Banner ignoriert: 51,33 %
• Banner weggeklickt: 0 %
• Banner nicht angezeigt: 45,29 %

Das muss man erst mal sacken lassen. Mehr als die Hälfte unserer Besucher (51,33 %) ignoriert das Banner komplett. Weitere 45,29 % sehen es gar nicht (wahrscheinlich wiederkehrende Besucher, die bereits eine Wahl getroffen haben, Nutzer mit bestimmten Browser-Konfigurationen oder Blocker). Nur 2,75 % akzeptieren aktiv, und weniger als 1 % lehnen aktiv ab.

Wie sieht das im globalen Vergleich aus?

Jetzt wird es interessant (oder deprimierend, je nach Perspektive). Laut aktuellen Branchenstudien und CMP-Anbietern:

• EU-Durchschnitt (striktes Opt-in): 3 bis 7 % ausdrückliche Zustimmung bei gut gestalteten Bannern, einzelne Seiten erreichen bis zu 15 %, wenn Nutzer der Marke wirklich vertrauen
• Ablehnungsquoten: Bei einer klaren Auswahl zwischen „Akzeptieren“ und „Ablehnen“ (wie von der DSGVO verlangt) liegen die Ablehnungsquoten typischerweise bei 50 bis 60 % oder sogar darüber
• US-Durchschnitt: 10 bis 20 % Zustimmung (höher, weil viele Seiten mit stillschweigender Einwilligung oder weniger striktem Blocking arbeiten)
• Globaler Durchschnitt: 5 bis 10 % ausdrückliche Zustimmung
• Ignorierquote: Branchenweit interagieren 40 bis 60 % der Nutzer überhaupt nicht mit Cookie-Bannern

Update, Oktober 2026: Ein Wort dazu, wie diese Zahlen gemessen werden, denn es ist wichtiger, als uns klar war. Eine „Consent-Rate“ kann die Leute meinen, die auf „Alle akzeptieren“ klicken, oder alle, die überhaupt irgendeine Einwilligung gegeben haben (auch wenn sie in den Einstellungen nur ein, zwei Kategorien gewählt haben), und sie kann pro Besucher, pro Sitzung oder, wie Enzuzo es macht, pro Seitenaufruf gezählt werden. Unsere 2,75 % sind Klicks auf „Akzeptieren“ im Verhältnis zu allen Seitenaufrufen, einschließlich der 45 %, bei denen das Banner nie angezeigt wurde. Zählt man nur die Seitenaufrufe, bei denen es tatsächlich angezeigt wurde, liegen wir eher bei 5 %. Deshalb streuen veröffentlichte Studien so stark. Die größte, die wir gefunden haben, die Cookie-Behaviour-Studie von Advance Metrics (eine Fünf-Jahres-Folgestudie zu ihrer ursprünglichen Untersuchung von 2018 mit mehr als 1,2 Millionen Nutzern), untersuchte internationale B2B-Websites in der ersten Hälfte von 2023 und stellte fest, dass 25,4 % der Nutzer direkt am Banner alle Cookies akzeptierten, während nur 33,6 % es ignorierten. Nehmen Sie die obigen Spannen also als grobe Richtwerte, und manche Seiten schneiden eindeutig deutlich besser ab als wir. Die Kernaussage bleibt trotzdem bestehen: Die meisten Menschen ignorieren das Banner oder sagen Nein, und selbst bei 25 % fliegen Sie zu drei Vierteln blind.

Was sagt uns das?

Unsere Zustimmungsrate von 2,75 % ist niedrig, liegt für eine strikte Opt-in-Umsetzung aber nicht weit außerhalb der Norm. Wir liegen ungefähr auf dem EU-Durchschnitt (oder vielleicht leicht darunter). Unsere Enzuzo-Zahlen sind also schlecht, aber auch völlig normal. Alle fliegen gemeinsam blind.

Das ist kein „Wir“-Problem. Das ist ein branchenweiter Wandel in der Funktionsweise der Webanalyse.

Der große Analytics-Blackout: was das für die Datenqualität bedeutet

Hier die brutale Rechnung: Wenn wir DSGVO und POPIA vollständig einhalten, arbeiten wir bei Besuchern aus der EU und Südafrika mit genauen Daten zu weniger als 3 % unseres Traffics.

Diese Blindheit hat Folgen. Wenn 97 % der Besucher ungetrackt bleiben, sind Ihre Conversion-Raten erfunden, Ihre Funnels kaputt und Ihre „Zielgruppen-Insights“ eher Horoskope als harte Daten.

Die Auswirkungen sind gewaltig:

1. Massiv unvollständige Daten: Uns fehlen Daten zu mehr als 97 % der Besucher
2. Völlig ungenaue Kennzahlen: Conversion-Raten, Absprungraten, Verweildauer, Traffic-Quellen: alles ist verzerrt
3. Unbrauchbar für Entscheidungen: Auf Basis von Daten aus 3 % Ihres Publikums lassen sich keine fundierten Geschäftsentscheidungen treffen
4. Verzerrte Stichprobe: Die 2,75 %, die zustimmen, sind keine Zufallsstichprobe. Es ist eine bestimmte Teilgruppe von Nutzern, die möglicherweise engagierter oder vertrauensvoller ist oder einen anderen demografischen Hintergrund hat
5. Zu niedrig ausgewiesene Conversions: Ihre tatsächlichen Conversions können deutlich höher liegen als das, was Analytics anzeigt
6. Fehlallokation von Ressourcen: Sie investieren womöglich zu viel in Kanäle mit höheren Consent-Raten und ignorieren Kanäle mit niedrigerem Consent, aber besserem echtem ROI

Bei Werbung ist es noch schlimmer:

Wer Anzeigen schaltet, hat doppelt zu leiden. Ohne Consent-Signale schaltet Google Ads Remarketing und personalisierte Zielgruppen komplett ab. Sie rufen mit generischem Targeting ins Leere, und viel Glück beim Optimieren von Kampagnen, wenn bei Ihren Conversions die halbe Attribution fehlt:

• Stark eingeschränkte Remarketing-Zielgruppen (nur 2,75 % können per Remarketing angesprochen werden)
• Verschlechtertes Conversion-Tracking (man kann nicht nachverfolgen, welche Anzeigen zu Conversions geführt haben, wenn Nutzer nicht eingewilligt haben)
• Beeinträchtigte Optimierung (Googles Algorithmen können ohne Consent-Signale der meisten Nutzer nicht optimieren)
• Verschwendetes Werbebudget (Anzeigen für Leute, die schon konvertiert haben, oder Leute nicht zu erreichen, die sie sehen sollten)

Und selbst wenn Sie sich mit Googles Consent Mode v2 völlig verbiegen, bekommen Sie nur statistische Modellierung. GA4 versucht, die Lücken mit „Verhaltensmodellierung“ und „Conversion-Modellierung“ zu füllen, aber das ist im Grunde nur gehobenes Raten. Besser, als völlig blind zu fliegen, aber weit entfernt von echten Daten.

Und eine kleine Website bekommt vielleicht nicht einmal das Raten. GA4 aktiviert die Verhaltensmodellierung erst, wenn eine Property an mindestens 7 der letzten 28 Tage mindestens 1.000 tägliche Nutzer mit erteilter Analytics-Einwilligung hat, plus mindestens 1.000 Ereignisse pro Tag von Personen, die Nein gesagt haben, an mindestens 7 Tagen. Bei einer Cookie-Consent-Rate von 2,75 % bräuchten Sie deutlich mehr als 36.000 Besucher pro Tag, um die erste Hürde zu nehmen. Bei den meisten Websites kleiner Unternehmen springt die Modellierung deshalb schlicht nie an.

Die Aufsichtsbehörden machen derweil keine Späße: die DSGVO regiert die EU

Was das Gesetz tatsächlich sagt

Die Datenschutz-Grundverordnung (DSGVO) gilt seit dem 25. Mai 2018 und nimmt es sehr genau. Wenn Sie personenbezogene Daten von Personen in der Europäischen Union verarbeiten, müssen Sie sich daran halten, egal wo Ihr Unternehmen tatsächlich sitzt.

Zentrale Anforderungen an die Cookie-Einwilligung:

1. Ausdrückliche, informierte Einwilligung: Nutzer müssen aktiv einwilligen (Opt-in), bevor Sie nicht notwendige Cookies auf ihrem Gerät setzen. Vorausgewählte Kästchen zählen nicht. „Stillschweigende Einwilligung“ gibt es unter der DSGVO nicht. Keine Einwilligung = kein Tracking.
2. Granulare Kontrolle: Nutzer müssen verschiedene Cookie-Kategorien (Analyse, Marketing, Funktional usw.) getrennt akzeptieren oder ablehnen können. „Alle akzeptieren“ als einzige Option ist nicht zulässig.
3. Klare Information: Sie müssen erklären, welche Daten Sie erheben, warum, mit wem Sie sie teilen und wie lange Sie sie speichern. Die ePrivacy-Richtlinie und die DSGVO verlangen diese Transparenz gemeinsam.
4. Einfacher Widerruf: Nutzer müssen ihre Einwilligung so einfach widerrufen können, wie sie sie erteilt haben. Wenn das Akzeptieren einen Klick braucht, sollte das Ablehnen oder Widerrufen das auch.
5. Keine Cookie-Walls: Sie dürfen den Zugang zu Ihrer Website in der Regel nicht verweigern, wenn jemand nicht notwendige Cookies ablehnt. (Es gibt enge Ausnahmen, die sich aber schwer begründen lassen.)
6. Dokumentierte Einwilligung: Sie müssen Nachweise führen, dass eine Einwilligung eingeholt wurde, wann und für welche Zwecke. Wenn sich jemand beschwert, müssen Sie den Beleg vorlegen.
7. Keine vorausgewählten Kästchen: Das wegweisende EuGH-Urteil in der Sache Planet49 hat klargestellt, dass vorausgewählte Kästchen auch bei Cookies gegen das Gesetz verstoßen. Die Einwilligung muss eine aktive Handlung sein.
8. Berechtigtes Interesse greift nicht: Die jüngsten Durchsetzungstrends machen es glasklar: Für nicht notwendige Cookies wie Analyse oder Marketing dürfen Sie sich nicht auf „berechtigtes Interesse“ als Rechtsgrundlage berufen.

Was zählt als personenbezogene Daten?

Hier wird es knifflig. Google Analytics (auch GA4) erhebt Daten, die nach der DSGVO als personenbezogen gelten können:

• IP-Adressen (auch wenn sie „anonymisiert“ werden, erhält Google die vollständige IP, bevor sie gekürzt wird)
• Client-IDs und User-IDs
• Geräte-Kennungen
• Surfverhalten, aus dem sich ein „digitaler Fingerabdruck“ bilden lässt

Europäische Aufsichtsbehörden (die nationalen Datenschutzbehörden, etwa die französische CNIL) haben unmissverständlich klargestellt: Google Analytics erfordert eine Einwilligung. Genau genommen ergibt sich das aus den Cookie-Regeln des jeweiligen Landes, wobei die DSGVO den Maßstab dafür setzt, was als Einwilligung gilt.

Durchsetzung in der Praxis: Sie bluffen nicht

Wir können nicht einfach mit den Schultern zucken und trotzdem Daten erheben, weil die Aufsichtsbehörden Zähne haben und sie auch einsetzen. Schauen wir uns ein paar echte Fälle an, in denen Unternehmen wegen Verstößen gegen die Cookie-Vorgaben bestraft wurden:

Google gegen Frankreich (September 2025): Die französische Datenschutzbehörde (CNIL) verhängte gegen Google eine Geldbuße von 325 Millionen Euro, weil Google Werbung in Gmail ohne ordnungsgemäße Einwilligung der Nutzer eingeblendet und Nutzer durch Dark Patterns zur Annahme von Cookies gedrängt hatte. Es ist eine der höchsten jemals verhängten Cookie-Consent-Strafen (technisch nach den französischen Cookie-Regeln, also der ePrivacy-Seite des Rechts, und nicht nach der DSGVO selbst).

IAB Europe (Februar 2022): Die belgische Datenschutzbehörde stellte fest, dass das Transparency and Consent Framework von IAB Europe nicht DSGVO-konform ist, und ordnete umfassende Änderungen daran an, wie Adtech-Unternehmen Einwilligungen einholen. Strafe: 250.000 € plus die Anordnung, große Mengen unrechtmäßig erhobener Daten zu löschen.

Google-Analytics-Entscheidungen (2022 bis 2023): Datenschutzbehörden in Österreich, Frankreich, Italien, Dänemark, Finnland, Norwegen und Schweden entschieden alle, dass die Nutzung von Google Analytics wegen der Datenübermittlung in die USA gegen die DSGVO verstößt, auch mit Einwilligung. Einige verlangten von Websites, GA komplett einzustellen. (Gut zu wissen: Diese Entscheidungen betrafen die Übermittlung von Daten in die USA, bevor das EU-US Data Privacy Framework im Juli 2023 in Kraft trat. Google ist danach zertifiziert, das Übermittlungsproblem ist damit vorerst vom Tisch. Die Einwilligungspflicht ist geblieben.)

Auch kleinere Unternehmen trifft es: Es sind nicht nur die Tech-Giganten. Im Januar 2022 verpflichtete ein Münchner Gericht einen Websitebetreiber, einem Besucher 100 € Schadenersatz zu zahlen, weil er Google Fonts ohne Einwilligung von Googles Servern geladen hatte (wodurch die IP-Adresse des Besuchers an Google übermittelt wird), und drohte Ordnungsgelder von bis zu 250.000 € an, falls er das weiter tue. Französische Unternehmen wurden für Cookie-Banner bestraft, die kein einfaches Ablehnen zuließen.

Dark Patterns im Visier: Die kalifornische Datenschutzbehörde (California Privacy Protection Agency) und ein neues Consortium of Privacy Regulators mehrerer US-Bundesstaaten gehen inzwischen aktiv gegen Cookie-Banner vor, die „Dark Patterns“ einsetzen: „Akzeptieren“ leuchtend und auffällig, „Ablehnen“ in grauer Schrift versteckt oder nur über mehrere Klicks erreichbar.

Selbst wenn die Durchsetzung uneinheitlich ist, ist das Muster klar: Datenschutzgesetze sind keine Modeerscheinung. Sie sind eine Einbahnstraße.

Was auf dem Spiel steht

Verstöße gegen die DSGVO können Sie Folgendes kosten:

• Bis zu 20 Millionen € ODER 4 % des weltweiten Jahresumsatzes, je nachdem, was höher ist
• Anwaltskosten, Prüfungskosten und Aufwand für Abhilfemaßnahmen
• Reputationsschaden
• Die Anordnung, die Datenverarbeitung ganz einzustellen
• Zivilrechtliche Ansprüche betroffener Personen
• Aktive Beschwerden von Datenschutz-Organisationen wie NOYB (die aktiv nach Verstößen sucht)

Für eine kleine Agentur wie unsere wäre selbst eine „kleine“ DSGVO-Strafe existenzbedrohend.

Der Google-Faktor: wenn Plattformen zur Polizei werden

Hier geht es weniger ums Gesetz als um die Praxis.

Selbst wenn Sie mutig genug wären, die Compliance zu ignorieren, Google lässt Sie nicht. Seit März 2024 muss jede Website, die Analytics oder Ads im EWR und in Großbritannien nutzt (und seit Juli 2024 auch in der Schweiz), Consent Mode v2 umsetzen.

Wenn Sie Google keine gültigen Consent-Signale senden:

• GA4 hört auf, vollständige Daten von nicht einwilligenden Nutzern zu erheben
• Remarketing-Listen in Ads füllen sich nicht
• Conversion-Tracking wird unscharf
• Anzeigenpersonalisierung wird abgeschaltet
• Die Leistung Ihrer Kampagnen stürzt ab

Ja, Sie könnten das Banner entfernen, aber Ihre Analytics und Ihre Anzeigen wären sofort bestenfalls halb funktionsfähig. Google ist zum De-facto-Vollstrecker der DSGVO geworden. Diese Durchsetzung können Sie nicht ignorieren.

Risikostufe bei Nichteinhaltung: HOCH

Auch kleine Unternehmen werden erwischt. Nutzer können Beschwerden einreichen. Datenschutz-Organisationen suchen aktiv nach Verstößen. Die Datenschutzbehörden verhängen Bußgelder in Milliardenhöhe, ermitteln aktiv bei Cookie-Verstößen, gehen Beschwerden nach und koordinieren die grenzüberschreitende Durchsetzung.

POPIA: Südafrika folgt dem Vorbild der EU

Was das Gesetz sagt

Der Protection of Personal Information Act (POPIA) ist am 1. Juli 2021 vollständig in Kraft getreten und teilt viele Grundsätze mit der DSGVO. Wenn Sie personenbezogene Informationen südafrikanischer betroffener Personen verarbeiten, gilt POPIA für Sie.

Zentrale Anforderungen:

1. Die Einwilligung muss freiwillig, spezifisch und informiert sein: Derselbe Maßstab wie bei der DSGVO, wenn Sie sich darauf stützen. Die Einwilligung ist einer von sechs Rechtmäßigkeitsgründen für die Verarbeitung in Section 11 (berechtigtes Interesse ist ein weiterer), POPIA verlangt also nicht für jede Verarbeitung eine Einwilligung. Für Analyse- und Marketing-Cookies ist eine informierte, vorherige Einwilligung aber der sichere Weg, und es ist der, den wir gehen.
2. Zweckbindung: Sie dürfen Daten nur für ausdrücklich festgelegte, rechtmäßige Zwecke erheben. Diese Zwecke müssen Sie klar kommunizieren.
3. Datenminimierung: Erheben Sie nur, was für den angegebenen Zweck notwendig ist.
4. Sicherheitsvorkehrungen: Sie müssen personenbezogene Daten vor unbefugtem Zugriff, Verlust oder Beschädigung schützen.
5. Rechte der betroffenen Personen: Einzelpersonen können Auskunft über ihre Daten verlangen, Berichtigungen beantragen oder der Verarbeitung widersprechen.
6. Grenzüberschreitende Übermittlung: POPIA regelt die Übermittlung von Daten außerhalb Südafrikas. Für die Übertragung an Googles Server im Ausland brauchen Sie also Garantien (wie Standardvertragsklauseln).

Was zählt nach POPIA als personenbezogene Information?

POPIA definiert personenbezogene Informationen weit:

• IP-Adressen
• Geräte-Kennungen
• Cookies, die eine identifizierbare Person identifizieren oder sich auf sie beziehen können
• Surfverhalten, das einer Einzelperson zugeordnet ist

Ja, Google Analytics fällt unter diese Definition. POPIA enthält zwar noch keine cookiespezifischen Vorschriften, aber die juristische Kommentierung behandelt Cookies in der Regel als Verarbeitung personenbezogener Informationen.

Durchsetzung in der Praxis: noch am Anfang, aber zunehmend ernst

Die Durchsetzung von POPIA hinkt der der DSGVO noch hinterher, aber der Information Regulator (die südafrikanische Datenschutzbehörde) wird aktiv.

In Südafrika ist die Durchsetzung jünger, läuft aber warm. Der Information Regulator verhängt inzwischen Strafen in Millionenhöhe (Rand) für schlampigen Umgang mit Daten, und die Beschwerden häufen sich:

2023, die erste POPIA-Strafe: Das Department of Justice and Constitutional Development wurde mit 5 Millionen ZAR bestraft, weil es nach einem Ransomware-Angriff 2021 eine Durchsetzungsanordnung (Enforcement Notice) ignoriert hatte (es hatte seinen Virenschutz und andere Sicherheitslizenzen nicht verlängert). Beachten Sie den Ablauf: Verstoß, dann Enforcement Notice, dann die Strafe, als die Anordnung ignoriert wurde.

Zahlreiche eingereichte Beschwerden: Das Büro des Information Regulator meldet Tausende eingegangener Beschwerden, viele davon zu digitalem Tracking, Marketingkommunikation und fehlenden Einwilligungsmechanismen.

Die Durchsetzung ist langsamer als in Europa, aber sie findet statt. Und die Strafen sind ernst.

Was auf dem Spiel steht

POPIA-Verstöße können Folgendes nach sich ziehen:

• Geldbußen von bis zu 10 Millionen ZAR (etwa 550.000 US-Dollar)
• Freiheitsstrafe von bis zu 10 Jahren bei bestimmten Straftaten, etwa der Behinderung des Information Regulator oder der Missachtung einer Enforcement Notice (nicht für die Verarbeitung selbst)
• Zivilrechtliche Schadenersatzansprüche
• Anordnungen, die Verarbeitung einzustellen
• Reputationsschaden auf dem südafrikanischen Markt

Für Unternehmen, die in Südafrika tätig sind, ist die Einhaltung von POPIA nicht optional. Es ist nur eine Frage der Zeit, bis die Durchsetzung die Verstöße einholt.

Googles Anforderungen

Nicht ganz dasselbe wie bei der DSGVO, wie sich zeigt. Googles EU-Richtlinie zur Einwilligung von Nutzern (die hinter der Consent-Mode-Pflicht steht) gilt für den EWR, Großbritannien und die Schweiz, nicht für Südafrika. Wenn Sie ohnehin eine CMP für POPIA betreiben (und das sollten Sie), verbinden Sie sie mit Consent Mode, damit Google Analytics und Ads die Entscheidungen Ihrer Besucher respektieren.

Risikostufe bei Nichteinhaltung: MITTEL (aber steigend)

Der Information Regulator hat im Vergleich zu den EU-Datenschutzbehörden begrenzte Ressourcen, konzentriert sich auf gravierende Fälle (Datenpannen, vorsätzliche Verstöße) und geht Beschwerden nur langsam nach. Das Risiko ist aber real und wächst. Wenn Sie in Südafrika nennenswert Geschäfte machen, sollten Sie nicht darauf wetten.

USA: der Flickenteppich (oder: der zerstreute Onkel des Datenschutzrechts)

Eine hilfreiche Art, die Rechtsräume zu betrachten:

Europa ist der strenge Elternteil: „Frag, bevor du irgendetwas anfasst.“

Die USA sind der zerstreute Onkel: „Verkauf es einfach nicht, dann ist es wahrscheinlich in Ordnung.“

Südafrika ist das jüngere Geschwister, das die Fehler der EU beobachtet und sich langsam mit denselben Regeln wappnet.

Bundesrecht: im Grunde nichts (vorerst)

Anders als die EU und Südafrika haben die Vereinigten Staaten kein umfassendes Bundesdatenschutzgesetz. Kein Pendant zur DSGVO. Kein Pendant zu POPIA.

Es gibt allerdings Bundesgesetze für bestimmte Branchen:

• COPPA: Children's Online Privacy Protection Act (gilt für Websites, die sich an Kinder unter 13 richten)
• HIPAA: Health Insurance Portability and Accountability Act (Gesundheitsdaten)
• GLBA: Gramm-Leach-Bliley Act (Finanzdaten)
• FTC Act Section 5: Gibt der FTC die Befugnis, gegen „unfaire oder irreführende“ Praktiken vorzugehen, einschließlich Datenschutzverstößen

Für die meisten Websites verlangt das Bundesrecht kein Cookie-Banner. Aber die Landesgesetze? Das ist eine andere Geschichte.

Bundesstaatliche Gesetze: eine wachsende Liste

Mehrere US-Bundesstaaten haben Datenschutzgesetze erlassen, jeweils mit leicht unterschiedlichen Anforderungen:

Kalifornien (CCPA/CPRA, 2020/2023): Der California Consumer Privacy Act, erweitert durch den California Privacy Rights Act, ist das umfassendste Datenschutzgesetz der USA. Er verlangt:

• Klare Datenschutzhinweise, die erklären, welche Daten Sie erheben und warum
• Einen Link „Do Not Sell or Share My Personal Information“
• Die Möglichkeit für Nutzer, dem Verkauf bzw. der Weitergabe von Daten zu widersprechen (Opt-out)
• Die Möglichkeit für Nutzer, Auskunft, Löschung und Berichtigung ihrer Daten zu verlangen

Wichtig: Der CCPA verlangt KEINE Opt-in-Einwilligung für Cookies. Es ist ein Opt-out-Modell. Sie dürfen standardmäßig tracken, müssen aber einen einfachen Opt-out-Mechanismus bereitstellen.

Weitere Bundesstaaten mit Datenschutzgesetzen:

• Virginia (VCDPA): in Kraft seit Januar 2023
• Colorado (CPA): in Kraft seit Juli 2023
• Connecticut (CTDPA): in Kraft seit Juli 2023
• Utah (UCPA): in Kraft seit Dezember 2023
• Texas, Oregon, Montana, Delaware: zum Zeitpunkt unseres Schreibens bereits in Kraft (Texas und Oregon im Juli 2024, Montana im Oktober 2024, Delaware im Januar 2025), und weitere Bundesstaaten sind gefolgt

Die meisten davon folgen einem Opt-out-Modell ähnlich dem CCPA und nicht dem Opt-in-Ansatz der DSGVO.

Aktuelle Entwicklung: Bundesstaaten nehmen zunehmend die UI-Gestaltung von Cookie-Bannern unter die Lupe. Das neue Consortium of Privacy Regulators koordiniert die Durchsetzung bei der Umsetzung von Cookie-Bannern in mehreren Bundesstaaten und nimmt „Dark Patterns“ ins Visier (Nutzer zur Zustimmung drängen). Beispiel: Die kalifornische CPPA kritisierte Banner, bei denen Nutzer mit einem Klick zustimmen können, das Ablehnen aber mehrere Klicks erfordert (asymmetrische Wahl).

Durchsetzung in der Praxis

Sephora (CCPA, 2022): Mit 1,2 Millionen US-Dollar bestraft, weil das Unternehmen nicht offengelegt hatte, dass es personenbezogene Informationen verkaufte, und Opt-out-Anfragen nicht bearbeitete. Es war die erste CCPA-Durchsetzungsmaßnahme.

Google und YouTube (FTC, 2019): Zahlten 170 Millionen US-Dollar wegen COPPA-Verstößen im Zusammenhang mit der Erhebung von Daten von Kindern ohne Zustimmung der Eltern.

Meta/Facebook (mehrere, laufend): Sah sich in verschiedenen US-Verfahren Strafen in Milliardenhöhe gegenüber, meist im Zusammenhang mit FTC-Consent-Decrees und irreführenden Praktiken.

Maßnahmen der Generalstaatsanwälte: Mehrere Generalstaatsanwälte der Bundesstaaten haben Verfahren gegen Unternehmen wegen Datenschutzverstößen eingeleitet, noch bevor die Datenschutzgesetze ihrer Bundesstaaten in Kraft traten, gestützt auf Verbraucherschutzgesetze.

Was auf dem Spiel steht

Die US-Strafen variieren je nach Bundesstaat:

• CCPA: Bis zu 7.500 US-Dollar pro vorsätzlichem Verstoß (und 2.500 US-Dollar pro nicht vorsätzlichem Verstoß), inflationsbereinigt ab Januar 2025 auf 7.988 und 2.663 US-Dollar
• Privates Klagerecht: Nach dem CCPA können Verbraucher bei Datenpannen (nicht nur bei Einwilligungsverstößen) auf 100 bis 750 US-Dollar pro Verbraucher und Vorfall klagen (ab Januar 2025 angepasst auf 107 bis 799 US-Dollar)
• Andere Landesgesetze: Ähnliche Strafstrukturen, typischerweise 5.000 bis 7.500 US-Dollar pro Verstoß
• FTC-Maßnahmen: Können zu Vergleichen in Millionenhöhe führen
• Klagen der Generalstaatsanwälte: Können teuer in der Verteidigung sein, selbst wenn man gewinnt
• Verbraucherklagen: Datenschutz-Sammelklagen nehmen zu und zielen auf Tracking und Datenpraktiken

Was Google verlangt

Jetzt wird es interessant: Google verlangt für US-Traffic NICHT in gleicher Weise Consent Mode oder Consent-Signale wie für Traffic aus dem EWR und Großbritannien.

Allerdings:

• Sie müssen weiterhin die geltenden Datenschutzgesetze der Bundesstaaten einhalten (die Opt-out-Mechanismen verlangen können)
• Viele CMPs, darunter Enzuzo, zeigen US-Nutzern trotzdem Banner an, um Transparenz zu zeigen und Einwilligungspräferenzen zu erfassen
• Ohne Einwilligungsmechanismus ist es schwieriger, Opt-out-Anfragen nach dem CCPA und anderen Landesgesetzen zu erfüllen
• Werbeplattformen erwarten zunehmend Consent-Signale oder die Einhaltung regionaler Gesetze

Risikostufe bei Nichteinhaltung: NIEDRIG BIS MITTEL

Sofortige Durchsetzung wegen Cookie-Problemen ist unwahrscheinlich, es sei denn, Sie sind ein großes Unternehmen oder tun etwas besonders Krasses. Aber die Lage verschiebt sich, und immer mehr Bundesstaaten führen eigene Gesetze ein. Die Trends deuten auf wachsende Opt-in-Anforderungen auch in den USA hin.

Das praktische Fazit: Solange Ihr Publikum nicht ausschließlich aus den USA kommt und Sie nicht darauf wetten wollen, dass nie jemand aus Europa oder Südafrika Ihre Seite besucht, können Sie realistischerweise nicht auf Consent-Banner verzichten. Und wenn Sie Google Analytics oder Ads nutzen, können Sie nicht einmal schummeln: Die Plattformen selbst verlangen die Signale (jedenfalls für Besucher aus dem EWR, Großbritannien und der Schweiz).

Die Illusion der Daten: was das für die Analyse tatsächlich bedeutet

Man ist versucht zu denken: „Gut, vergessen wir die Compliance, ich tracke einfach alle.“ Aber das schafft ein anderes Problem: Datenmüll.

Wenn Sie Nutzer tracken, die nicht eingewilligt haben, sind Ihre Kennzahlen technisch illegal und ethisch fragwürdig. Sie sind außerdem unzuverlässig, denn viele datenschutzbewusste Nutzer blockieren Skripte ohnehin. Sie bekommen vielleicht mehr Zahlen, aber nicht genauere.

Das ist das Paradox: Compliance tötet Daten, aber Nicht-Compliance rettet sie auch nicht.

Analytics war früher der Herzschlag digitaler Entscheidungen. Heute ist es ein schwacher, unregelmäßiger Puls, der uns kaum noch sagt, ob der Patient lebt. Jedes moderne Analytics-Dashboard ist im Grunde eine 3-%-Stichprobe, die so tut, als stünde sie für die gesamte Bevölkerung. Der Rest? Modelliert, geschätzt oder schlichtweg weg.

Gehen wir zurück zu unseren Zahlen und schlüsseln auf, was da genau passiert:

Die Aufschlüsselung

• 2,75 % Einwilligung erteilt: Wir haben die volle, legale, eindeutige Erlaubnis, diese Nutzer mit Google Analytics zu tracken, Werbe-Cookies zu setzen, Remarketing zu betreiben usw. Das ist der Goldstandard.
• 0,63 % Einwilligung abgelehnt: Diese Nutzer haben ausdrücklich „Nein“ gesagt. Wir dürfen sie nicht mit nicht notwendigen Cookies tracken. Das respektieren wir.
• 51,33 % Banner ignoriert: Diese Nutzer haben das Banner gesehen, aber nicht darauf reagiert. Rechtlich bedeutet das in DSGVO- und POPIA-Rechtsräumen, dass keine Einwilligung erteilt wurde. Wir dürfen sie NICHT mit nicht notwendigen Cookies tracken. Aber tun wir es? Das hängt davon ab, wie unsere CMP konfiguriert ist.
• 45,29 % Banner nicht angezeigt: Das sind wahrscheinlich wiederkehrende Besucher, die zuvor eine Wahl getroffen haben, Nutzer mit bestimmten Browser-Konfigurationen oder Bots. Ihre frühere Entscheidung (falls vorhanden) ist zu respektieren.

Der Analytics-Albtraum

Mit nur 2,75 % Einwilligung sind unsere Analytics-Daten:

• Massiv unvollständig: Es fehlen Daten zu mehr als 97 % der Besucher
• Völlig ungenau: Conversion-Raten, Absprungraten, Verweildauer, Traffic-Quellen: alles ist verzerrt
• Statistisch verzerrt: Die 2,75 %, die akzeptieren, sind keine Zufallsstichprobe. Sie sind vielleicht datenschutzfreundlicher, engagierter oder stammen aus bestimmten Regionen
• Unbrauchbar für Entscheidungen: Auf Basis von Daten aus 3 % Ihres Publikums lassen sich keine sicheren Geschäftsentscheidungen treffen
• Modellierung hilft nicht genug: Die Verhaltensmodellierung von Googles Consent Mode v2 versucht, die Lücken zu füllen, aber es bleibt im Wesentlichen Raten

Der Vergleich mit globalen Benchmarks

Basierend auf der Recherche schneiden unsere Zahlen so ab:

Zustimmungsrate

• Milk Moon Studio: 2,75 %
• Branchendurchschnitt: 3 bis 7 % (EU), 10 bis 20 % (USA), 5 bis 10 % (global)
• Was das bedeutet: Etwas niedrig, aber für striktes Opt-in nicht ungewöhnlich

Ablehnungsrate

• Milk Moon Studio: 0,63 %
• Branchendurchschnitt: Weniger als 1 % (viele Nutzer lehnen nicht aktiv ab)
• Was das bedeutet: Normal: Die meisten Nutzer ignorieren, statt abzulehnen

Ignorierquote

• Milk Moon Studio: 51,33 %
• Branchendurchschnitt: 40 bis 60 % branchenweit
• Was das bedeutet: Genau in der Mitte: Bannermüdigkeit ist real

Banner nicht angezeigt

• Milk Moon Studio: 45,29 %
• Branchendurchschnitt: Je nach Umsetzung unterschiedlich
• Was das bedeutet: Hoch: Wir müssen die Ursache untersuchen

Zentrale Erkenntnis: Unsere Zustimmung von 2,75 % ist kein Scheitern. Sie ist die neue Realität der datenschutzorientierten Webanalyse. Seiten mit wirklich gut gestalteten, vertrauenswürdigen Bannern erreichen vielleicht 10 bis 15 % Zustimmung, aber das ist die Obergrenze. Niemand erreicht heute noch 50 oder 80 % Consent-Raten (und wenn doch, ist das Banner wahrscheinlich gar nicht konform).

Was das in verschiedenen Szenarien bedeutet

Wenn Sie Google Ads schalten:

• Remarketing-Listen schrumpfen auf ca. 3 % der Besucher
• Conversion-Tracking wird unzuverlässig
• Die Kampagnenoptimierung leidet
• Die Effizienz des Werbebudgets sinkt

Wenn Sie nur Google Analytics nutzen (wie wir):

• Sie können nicht nachvollziehen, welche Inhalte Anfragen bringen
• Sie sehen nicht, welche Traffic-Quellen konvertieren
• Sie können die Content-Strategie nicht anhand echten Verhaltens optimieren
• Die Stichprobe ist zu klein für statistische Signifikanz

Das Verzerrungsproblem: Nutzer, die Cookies akzeptieren, sind möglicherweise:

• Vertrauensvoller gegenüber Ihrer Marke
• Engagierter mit Ihren Inhalten
• Aus bestimmten demografischen Gruppen oder Regionen
• Weniger datenschutzbewusst als der Durchschnitt

Das heißt, Ihre Analytics sind nicht nur unvollständig, sie sind systematisch zugunsten einer bestimmten Teilgruppe Ihres Publikums verzerrt.

Die Risikorechnung: Daten verlieren oder die Prozessakte?

Hier die Millionenfrage: Was ist schlimmer: Ihre Daten zu verlieren oder Ihre Prozessakte zu füllen?

Ist der Datenverlust schlimmer als das rechtliche Risiko? Gehen wir die Szenarien durch:

Szenario A: Banner entfernen und alle tracken

Vorteile:

• Vollständige Daten zu 100 % der Besucher (abzüglich Werbeblocker)
• Genaue Analytics
• Wirksame Werbung und wirksames Remarketing
• Bessere Geschäftsentscheidungen auf Basis vollständiger Daten
• Keine Bannermüdigkeit mehr bei den Nutzern
• Von ca. 3 % Sichtbarkeit auf ca. 80 % Sichtbarkeit (unter Berücksichtigung von Werbeblockern)

Nachteile:

• Illegal nach der DSGVO (für EU-Besucher): Risiko von bis zu 20 Mio. € oder 4 % des Umsatzes
• Illegal nach POPIA (für südafrikanische Besucher): Risiko von bis zu 10 Mio. ZAR
• Möglicherweise illegal nach US-Landesgesetzen (je nach Umsetzung)
• Google spielt nicht mit (Consent Mode ist für den EWR, Großbritannien und die Schweiz Pflicht)
• Risiko von Strafen von Tausenden bis zu Millionen
• Risiko, das Tracking komplett einstellen zu müssen
• Reputationsschaden, wenn es auffliegt
• Vertrauensverlust bei Kunden (besonders für Agenturen)
• Die Daten werden rechtlich toxisch: Man darf sie nicht nutzen und muss sie auf Anordnung löschen
• Jeder Besucher aus der EU oder Südafrika kann Beschwerde einlegen und Ermittlungen auslösen

Szenario B: Banner behalten und den Datenverlust hinnehmen

Vorteile:

• Rechtliche Compliance mit DSGVO, POPIA und US-Landesgesetzen
• Kein Strafrisiko wegen Einwilligungsverstößen
• Moralische Überlegenheit (wir respektieren die Privatsphäre der Nutzer)
• Vertrauen der Kunden (wir leben, was wir predigen)
• Kooperation von Google (Consent Mode funktioniert korrekt)
• Die Daten, die wir erheben, sind rechtlich sauber
• Zukunftssicher (die Regulierung wird strenger, nicht lockerer)

Nachteile:

• Mehr als 97 % Datenverlust bei nicht einwilligenden Nutzern
• Ungenaue Analytics, die Geschäftsentscheidungen in die Irre führen können
• Schwache Werbeleistung wegen begrenzter Zielgruppen
• Wettbewerbsnachteil, wenn Konkurrenten ohne Einwilligung tracken (auch wenn sie damit rechtliche Risiken eingehen)
• Keine sicheren datenbasierten Entscheidungen möglich
• Der Marketing-ROI wird unklar

Szenario C: geo-gezielter Ansatz

Vorteile:

• Rechtliche Compliance in den Rechtsräumen, die sie verlangen
• Bessere Daten aus Rechtsräumen ohne Opt-in-Pflicht
• Gleicht Risiko und Nutzen aus
• 100 % der US-Besucher wären trackbar, ca. 3 % der Besucher aus EU/SA

Nachteile:

• Aufwendigeres Setup (genaue Geolokalisierung nötig)
• Uneinheitliche Nutzererfahrung je nach Region
• Weiterhin Datenverlust bei Besuchern aus der EU und Südafrika
• Man muss wirklich verstehen, woher die Besucher kommen
• Ein einziger falsch zugeordneter EU-Besucher könnte trotzdem ein DSGVO-Verfahren auslösen

Szenario D: das Banner optimieren, um die Consent-Rate zu steigern

Vorteile:

• Konform bleiben und dabei mehr Einwilligungen bekommen
• Bessere Datenqualität ohne rechtliches Risiko
• Bessere Nutzererfahrung (klarere, weniger nervige Banner erzielen höhere Zustimmung)
• Vielleicht eine Steigerung von 3 % auf 10 bis 15 % Zustimmung

Nachteile:

• Nie bei 100 % Einwilligung (oder auch nur in der Nähe)
• Optimieren braucht Zeit und Tests
• Abnehmender Ertrag (selbst die besten Banner erreichen im strikten Opt-in nur 15 bis 20 % Zustimmung)
• Gefahr von Dark Patterns, wenn man zu stark auf Einwilligung drängt

Das Urteil

In einer perfekten Welt hätten wir vollständige Daten. Aber in dieser Welt leben wir nicht mehr.

Banner weglassen und alle tracken:

Sie bekommen saubere Daten, verstoßen aber gegen DSGVO und POPIA, riskieren Strafen in Millionenhöhe (Rand oder Euro), und Sie werden merken, wie Googles Ökosystem Sie stillschweigend abschneidet.

Banner behalten und das Gesetz befolgen:

Sie verlieren über 90 Prozent des messbaren Verhaltens, schlafen aber besser, weil Sie nicht kurz davor stehen, die Hauptrolle in der Pressemitteilung einer Aufsichtsbehörde zu spielen.

Es ist ein Lose-lose-Szenario, nur mit unterschiedlichen Geschmacksrichtungen von Schmerz.

Aber darauf läuft es hinaus: Die Kosten der Nichteinhaltung (rechtlich, Strafen, Plattformbeschränkungen, Reputationsschaden) wiegen schwerer als der „Nutzen“ vollständiger Daten, die rechtlich toxisch sind.

Die Daten, die Sie per Einwilligung erheben, sind rechtlich belastbar und verteidigbar. Illegale Daten sind wertlose Daten: Sie dürfen sie nicht nutzen, und womöglich müssen Sie sie ohnehin löschen.

Aber es gibt einen Mittelweg.

Der pragmatische Mittelweg: geo-gezielt und optimiert

Die einzige rationale Strategie ist derzeit ein Gleichgewicht.

Zeigen Sie strikte Opt-in-Banner in den Regionen, die sie verlangen (EU, Großbritannien und Südafrika), und wechseln Sie anderswo zu einem Opt-out-Modell. So holen Sie einen Teil der Daten zurück, ohne das Unheil herauszufordern.

Optimieren Sie dann das Banner selbst:

• Klare Sprache statt Juristendeutsch
• Symmetrische Buttons (Akzeptieren und Ablehnen gleich sichtbar)
• Eine kurze Erklärung, warum die Einwilligung hilft (Vertrauen erhöht die Zustimmung nach wie vor)
• Minimale Verzögerung vor der Anzeige, aber nicht sofort beim Laden der Seite
• Nutzer nicht nerven, die bereits eine Wahl getroffen haben

(Dazu passend: Wenn Sie nur eine Hinweisleiste brauchen, die man schließen kann, braucht die gar kein Cookie. Wie das geht, haben wir in unserem Beitrag zu einem schließbaren, sitzungsbasierten Info-Banner in Webflow gezeigt.)

Kleine Anpassungen können die Consent-Rate von 3 % auf 10 % heben. Immer noch schlecht, aber dreimal weniger schlecht.

Und wenn möglich, investieren Sie in serverseitige Analytics oder datenschutzfreundliche Tools wie Plausible oder Fathom für grobe, anonyme Trends. Sie ersetzen GA4 nicht komplett, füllen aber einen Teil des fehlenden Bildes, ohne Einwilligungsgesetze auszulösen. Wenn Sie bei Cloudflare sind, lohnt sich auch ein Blick auf Zaraz: Es führt Ihre Tags vom Cloudflare-Edge statt im Browser des Besuchers aus, und wir haben es in unserer Anleitung zur Einrichtung von Cloudflare Zaraz mit GA4 in Webflow Schritt für Schritt durchgegangen. Die Einwilligungsfrage erledigt es nicht, aber es ist ein guter erster Schritt in Richtung serverseitig.

Was das für uns bedeutet (und für alle wie uns)

Werden wir konkret, was unsere Situation betrifft. Wir sind ein kleines Webdesign- und Entwicklungsstudio mit Sitz in Südafrika. Wir schalten keine Anzeigen. Wir brauchen keine Remarketing-Listen. Wir wollen nur wissen, ob überhaupt jemand unsere Beiträge liest, und vielleicht verstehen, welche Blogbeiträge tatsächlich Anfragen bringen.

Würde das Entfernen des Banners das lösen? Technisch ja: Wir kämen von 3 % Sichtbarkeit auf vielleicht 80 % (unter Berücksichtigung von Blockern).

Aber rechtlich? Das ist eine ganz andere Geschichte.

Unsere konkrete Situation

Standort: Südafrika (POPIA gilt für uns unmittelbar als Verantwortliche)

Publikum: Mischung aus USA (Mehrheit), Südafrika und EU-Besuchern

Tools: Google Analytics 4 (GA4) für die Website-Analyse

Werbung: Derzeit keine. Wir schalten weder Google Ads noch Facebook Ads noch sonstige bezahlte Werbung mit Pixel-Tracking, aber wir schalten sie mal an, mal aus und experimentieren.

Geschäftsmodell: Dienstleistung (Webdesign- und Entwicklungsagentur)

Rechtliche Folgen beim Entfernen des Banners

POPIA-Risiko (hoch, wir sitzen in Südafrika)

Das ist der große Punkt. Wir sind ein südafrikanisches Unternehmen, in Südafrika registriert, und verarbeiten personenbezogene Informationen betroffener Personen. POPIA gilt für uns direkt und eindeutig.

Wenn wir das Consent-Banner entfernen und südafrikanische Besucher ohne Einwilligung tracken:

• Verstoßen wir direkt gegen die Einwilligungsanforderungen von POPIA
• Verarbeiten wir personenbezogene Informationen (IP-Adressen, Geräte-IDs, Surfverhalten) ohne rechtmäßige Grundlage
• Riskieren wir Strafen von bis zu 10 Millionen ZAR
• Riskieren wir eine mögliche strafrechtliche Haftung (ja, Gefängnis, wenn es je so weit käme, dass wir eine Enforcement Notice ignorieren)

Realistische Durchsetzungswahrscheinlichkeit:

Der Information Regulator baut die Durchsetzung noch auf und konzentriert sich auf krasse Fälle (große Datenpannen, böswillige Akteure, Beschwerden über Marketing-Spam). Würde er gegen eine kleine Webagentur vorgehen, die Analytics ohne Einwilligung betreibt?

Wahrscheinlich nicht sofort. Aber:

1. Jeder südafrikanische Besucher kann Beschwerde gegen uns einreichen
2. Wir können uns nicht verstecken: Wir sind ein registriertes Unternehmen mit öffentlicher Website
3. Das Risiko summiert sich mit der Zeit: Je länger wir nicht konform arbeiten, desto größer die Angriffsfläche
4. Die Strafen sind hart: Schon 1 Million ZAR wäre verheerend, 10 Millionen ZAR wären das Ende
5. Das Ignorieren einer Enforcement Notice kann strafrechtliche Verfolgung bedeuten, und persönliche Haftung für die Verantwortlichen

Wir könnten argumentieren, die Durchsetzung sei langsam, die Behörden jagten die großen Fische, und niemanden interessiere eine kleine Webflow-Agentur im Overberg, aber darum geht es nicht. Es geht darum: Das Gesetz existiert, und es zu ignorieren, während wir Kunden zur Compliance beraten, wäre ein spektakuläres Eigentor.

Unsere Einschätzung: Dieses Risiko können wir nicht rechtfertigen. Selbst wenn die Wahrscheinlichkeit gering ist, ist der Schaden katastrophal. Im Risikomanagement heißt das: geringe Wahrscheinlichkeit × katastrophale Auswirkung = Finger weg.

DSGVO-Risiko (mittel, wir haben EU-Besucher)

Wir sitzen nicht in der EU, haben aber EU-Besucher. Wenn wir Dienstleistungen für betroffene Personen in der EU anbieten (was wir tun: Unsere Website ist öffentlich zugänglich, und wir nehmen EU-Kunden an), gilt die DSGVO für uns nach ihren Vorschriften zum räumlichen Anwendungsbereich.

Wenn wir das Consent-Banner entfernen und EU-Besucher ohne Einwilligung tracken:

• Verstoßen wir bei allen EU-Besuchern unserer Website gegen die DSGVO
• Riskieren wir Strafen von bis zu 20 Millionen € oder 4 % des weltweiten Umsatzes
• Kann jeder EU-Besucher bei seiner nationalen Datenschutzbehörde Beschwerde einlegen
• Können (und tun) EU-Datenschutzbehörden gegen Unternehmen außerhalb der EU nach dem räumlichen Anwendungsbereich der DSGVO vorgehen

Unsere Einschätzung: Ein spürbares Risiko, besonders wenn wir wachsen oder ein einziger EU-Besucher sich zur Beschwerde entschließt.

USA-Risiko (niedrig, aber nicht null)

Bei unseren US-Besuchern ist das Risiko deutlich geringer. Kein Bundesgesetz zur Cookie-Einwilligung, und die Landesgesetze arbeiten mit Opt-out-Modellen, nicht mit Opt-in. Wir könnten US-Besucher potenziell ohne Banner tracken und nur einen Opt-out-Mechanismus anbieten.

Unsere Einschätzung: Den US-Teil unseres Traffics dürften wir rechtlich ohne vorherige Einwilligung tracken, solange wir Opt-out-Mechanismen bereitstellen.

Folgen für die Datenqualität

Aktueller Stand (mit Consent-Banner):

• 2,75 % Zustimmungsrate
• Tracking von 2,75 % der Besucher mit vollem Funktionsumfang
• Mehr als 97 % Datenverlust
• Stark unvollständige Analytics-Daten
• Keine sicheren Entscheidungen auf Datenbasis möglich

Wenn wir das Banner entfernen würden:

• 100 % Tracking (bei Besuchern ohne Werbeblocker, ca. 75 bis 85 % der Nutzer)
• Vollständiges Bild des Nutzerverhaltens
• Genaue Kennzahlen zu Traffic-Quellen, Nutzerpfaden, Conversion-Pfaden und Content-Performance
• Die Verbesserung der Daten wäre enorm: von ca. 3 % Sichtbarkeit auf ca. 80 % Sichtbarkeit

Mit vollständigen Daten könnten wir:

1. Verstehen, welche Blogbeiträge tatsächlich Anfragen bringen (derzeit raten wir)
2. Sehen, welche Traffic-Quellen am besten konvertieren (die Stichprobe ist derzeit zu klein)
3. Unsere Content-Strategie anhand echten Verhaltens optimieren
4. Bessere Entscheidungen treffen, wo wir Zeit investieren
5. Den tatsächlichen ROI unserer Content-Marketing-Arbeit nachverfolgen

Das ist nicht trivial. Für ein kleines Unternehmen ist der Unterschied zwischen genauen Daten und 97 % Datenverlust der Unterschied zwischen Blindflug und fundierten Entscheidungen.

Der Google-Analytics-Faktor (ohne Werbung)

Hier unterscheidet sich unsere Situation: Wir schalten keine Google Ads. (Manchmal doch)

Das verändert die Rechnung:

1. Googles Consent-Mode-Pflicht ist für uns weniger kritisch. Der Hauptdruck von Google betrifft Werbeprodukte. GA4 erhebt auch ohne Consent Mode weiter Daten. Wir würden das in DSGVO- und POPIA-Rechtsräumen dann eben nicht rechtskonform tun.
2. Wir verlieren keine Werbefunktionen. Viele Unternehmen können das Banner nicht entfernen, weil Google Ads dann nicht richtig funktioniert. Diese Einschränkung haben wir nicht.
3. GA4 funktioniert weiter. Google Analytics 4 hört nicht auf zu arbeiten, wenn Sie kein Consent-Banner haben. Es erhebt nur Daten, die rechtlich problematisch sein können.

Aus der reinen „Funktionieren die Tools?“-Perspektive würde GA4 also ohne Banner problemlos laufen.

Aber das macht es nicht legal.

Die ethische und reputationsbezogene Dimension

Da ist noch ein Faktor: Wir sind eine Webagentur.

Wenn wir unser Consent-Banner entfernen:

1. Was sagen wir Kunden? Ihnen zu Bannern raten, während wir selbst keins haben? Das ist heuchlerisch.
2. Was, wenn Kunden merken, dass wir nicht konform sind? Warum sollten sie uns zutrauen, konforme Websites zu bauen?
3. Welches Signal senden wir? „Wir kennen das Gesetz, ignorieren es aber“ ist für ein professionelles Dienstleistungsunternehmen nicht gerade ideal.
4. Reputationsrisiko: Wenn wir erwischt oder bestraft werden, ist das öffentlich. In der kleinen südafrikanischen Webentwickler-Community spricht sich so etwas schnell herum.

Hier geht es nicht nur um Recht oder Daten. Es geht um geschäftliche Glaubwürdigkeit.

Das endgültige Urteil: was sollte Milk Moon Studio tun?

Nach Abwägung von allem lautet unser Fazit:

Wir können es nicht rechtfertigen, das Consent-Banner trotz des massiven Datenverlusts zu entfernen.

Hier ist der Grund:

1. Das POPIA-Risiko ist zu hoch

Wir sind ein südafrikanisches Unternehmen. POPIA gilt unmittelbar. Die Strafen (eine Geldbuße von 10 Millionen ZAR und Gefängnis bei ignorierter Enforcement Notice) sind hart. Die Durchsetzung nimmt zu. Allein das macht das Entfernen des Banners unvertretbar.

Selbst wenn die Wahrscheinlichkeit einer Durchsetzung derzeit relativ gering ist, wäre das Ergebnis existenzbedrohend. Geringe Wahrscheinlichkeit × katastrophale Auswirkung = Finger weg.

2. Das DSGVO-Risiko verschärft das Problem

Kommen EU-Besucher hinzu, wird das rechtliche Risiko noch schlimmer. Wir wären in zwei wichtigen Rechtsräumen nicht konform, beide mit harten Strafen.

3. Der Datengewinn wiegt das rechtliche Risiko nicht auf

Ja, wir hätten viel bessere Daten. Aber:

• Wir können keine Geschäftsentscheidungen treffen, wenn uns eine Strafe von 10 Millionen ZAR droht
• Wir können keine Inhalte optimieren, während wir uns gegen ein Verfahren des Information Regulator verteidigen
• Bessere Analytics-Daten sind wertlos, wenn sie uns das Geschäft kosten

4. Wir sind ein professionelles Dienstleistungsunternehmen

Wir beraten Kunden zu Best Practices im Web. Wir können selbst nicht gegen die Regeln verstoßen. Das Reputationsrisiko ist zu hoch.

5. Die Branche bewegt sich in Richtung Datenschutz, nicht davon weg

Die Durchsetzung von POPIA wird strenger, nicht lockerer. Immer mehr Länder führen Datenschutzgesetze ein. Der Trend geht zu mehr Regulierung, nicht zu weniger. Wer jetzt nicht konform ist, steht auf der falschen Seite der Entwicklung.

Was wir tatsächlich tun werden

Angesichts all dessen ist das unser Plan:

1. Das Consent-Banner behalten (nicht verhandelbar für die Einhaltung von POPIA und DSGVO)

2. Geo-Targeting umsetzen:

• Striktes Opt-in für Besucher aus Südafrika und der EU (gesetzlich vorgeschrieben)
• Opt-out-Modell für US-Besucher (nach US-Recht erlaubt, verbessert die Datenerhebung)

3. Das Banner optimieren, um die Zustimmungsraten zu verbessern:

• Verschiedene Botschaften testen
• Den Nutzen klarer herausstellen
• Die Oberfläche vereinfachen
• Das Ablehnen so einfach machen wie das Akzeptieren (paradoxerweise kann das die Zustimmung steigern, weil es Vertrauen schafft)
• Verschiedene Bannerdesigns und Platzierungen ausprobieren

4. Den Datenverlust bei nicht einwilligenden Nutzern hinnehmen als Kosten des legalen Betriebs

5. Die Daten, die wir haben, intelligenter nutzen:

• Auf Trends statt auf absolute Zahlen achten
• Qualitatives Feedback nutzen, um quantitative Daten zu ergänzen
• Akzeptieren, dass 3 % genaue Daten besser sind als 100 % illegale Daten
• In Berichten „eingewilligt“ und „nicht eingewilligt (modelliert)“ trennen

6. Datenschutzfreundliche Alternativen prüfen:

• Serverseitige Analytics erwägen, die keine Cookie-Einwilligung erfordern
• Methoden zur Erhebung von First-Party-Daten ansehen
• Analytics-Tools untersuchen, die keine personenbezogenen Daten verarbeiten (wie Plausible, Fathom)

Das Fazit für Milk Moon Studio

Die 97 % Datenverlust tun weh. Sie machen unsere Analytics nahezu nutzlos. Das ist frustrierend.

Aber das rechtliche Risiko, in Südafrika ohne Einwilligung zu arbeiten, ist nicht akzeptabel. Wir würden nach POPIA personenbezogene Daten ohne Einwilligung verarbeiten, was Strafen von bis zu 10 Millionen ZAR nach sich zieht, und Gefängnis, wenn eine Enforcement Notice ignoriert wird. Das können wir weder uns selbst noch unseren Kunden noch unseren Buchhaltern gegenüber rechtfertigen.

Rechnen Sie das DSGVO-Risiko für EU-Besucher, das Reputationsrisiko als Webagentur und die ethische Dimension dazu, das zu leben, was wir predigen, und die Antwort ist klar.

Wir behalten das Consent-Banner, optimieren es, wo wir können, und nehmen den Datenverlust als Kosten eines legalen und ethischen Geschäftsbetriebs hin.

Wir behalten das Banner also. Wir werden es geo-gezielt ausspielen, verfeinern und akzeptieren, dass unsere Analytics eine höfliche Fiktion sind.

Es ist nicht die Antwort, die wir uns gewünscht haben. Aber es ist die richtige Antwort.

Die neue Normalität: was das für das Web bedeutet

Treten wir kurz einen Schritt zurück. Was wir erleben, ist nicht einzigartig für Milk Moon Studio. Es passiert im gesamten Web.

Die unbequeme Wahrheit ist: Das Zeitalter der perfekten Analytics ist vorbei.

Consent-Banner haben das Tracking nicht nur eingeschränkt, sie haben verändert, was „datengetrieben“ bedeutet. Jahrelang gingen wir davon aus, dass man jeden Besucher der Website tracken kann. Diese Ära ist vorbei. Die neue Realität sieht so aus:

• Die meisten Nutzer willigen nicht ins Tracking ein (3 bis 10 % Zustimmung weltweit)
• Die meisten Nutzer ignorieren Cookie-Banner (40 bis 60 % interagieren nie)
• Die Daten, die wir erheben, sind systematisch verzerrt (einwilligende Nutzer sind keine Zufallsstichprobe)
• Googles Modellierung versucht auszugleichen (aber es ist Raten, nicht Messen)
• Die rechtliche Durchsetzung nimmt zu (Milliarden an Strafen, aktive Ermittlungen)
• Die Plattformanforderungen werden strenger (Google schreibt Consent Mode v2 vor)

Das ist die neue Normalität.

Webprofis müssen ihre Erwartungen anpassen:

• Analytics werden immer unvollständig sein
• Conversion-Tracking wird immer unscharf sein
• Anzeigen-Remarketing wird immer begrenzt sein
• Geschäftsentscheidungen brauchen mehr qualitativen Input
• Stichproben werden immer kleiner sein, als uns lieb ist

Die Frage lautet nicht „Wie kommen wir zurück zu 100 % Tracking?“ (Antwort: gar nicht, legal jedenfalls nicht.)

Die Frage lautet „Wie treffen wir gute Geschäftsentscheidungen mit 3 bis 10 % Tracking-Daten, ergänzt durch Modellierung und qualitative Erkenntnisse?“

Entscheidungen müssen sich jetzt auf kleinere, sauberere Datensätze, qualitative Forschung und (schockierenderweise) tatsächliches menschliches Urteilsvermögen stützen.

Das ist nichts Schlechtes. Es ist nur anders.

Für Agenturen und Marketer erzwingt dieser Wandel die Rückkehr zu den Grundlagen: überzeugende Inhalte, echte Interaktion und Vertrauen. Denn in einer Welt, in der nur 3 % der Nutzer „Ja“ sagen, sind die, die es tun, diejenigen, denen es wirklich wichtig ist.

Empfehlungen für verschiedene Szenarien

Wenn Sie IRGENDWELCHE Besucher aus der EU oder Südafrika haben:

Sie brauchen ein Consent-Banner. Punkt. Das rechtliche Risiko ist zu hoch, und für Ihre Besucher aus der EU, Großbritannien und der Schweiz funktioniert Google ohne Banner nicht richtig.

Empfohlene Tools für Webflow:

• Enzuzo (was wir nutzen, lässt sich gut in Webflow integrieren)
• CookieYes
• Cookiebot
• Osano
• Termly

Alle lassen sich in Webflow integrieren und unterstützen Google Consent Mode v2. Die Consent-Mode-Seite würden wir über Google Tag Manager verdrahten, und hier ist das grundsätzliche Argument, ihn in Webflow zu verwenden: unser Beitrag dazu, warum Sie Google Tag Manager in Webflow nutzen sollten. Wenn Sie Tag Manager noch nicht auf der Website haben, beginnen Sie mit unserer Anleitung zum Hinzufügen von Google Tag Manager und Google Analytics zu Webflow.

Wenn Sie nur in den USA tätig sind:

Sie haben mehr Spielraum:

1. Option A: Trotzdem ein Consent-Banner einsetzen (Best Practice, schafft Vertrauen, macht Sie zukunftssicher gegenüber neuen Landesgesetzen)
2. Option B: Einen minimalen Hinweis mit Opt-out-Link verwenden (CCPA-Konformität)
3. Option C: Kein Banner, dafür eine klare Datenschutzerklärung und einen Opt-out-Mechanismus irgendwo auf Ihrer Website

Seien Sie ehrlich zu sich selbst, ob Sie wirklich nur in den USA tätig sind. Prüfen Sie Ihre Analytics. Wenn Sie Traffic aus der EU oder Südafrika sehen, brauchen Sie das Banner.

Für Webflow-Designer und Agenturen:

Das ist eine Gelegenheit zur Kundenaufklärung. Viele Kunden verstehen nicht:

• Was Cookie-Einwilligung ist oder warum sie wichtig ist
• Dass das Gesetz für sie gilt
• Dass Google sie für die volle Funktionalität verlangt (für Besucher aus der EU, Großbritannien und der Schweiz)
• Dass alle mit Datenverlust zu tun haben, nicht nur sie

Setzen Sie die richtigen Erwartungen:

• „Ihre Analytics-Daten werden unvollständig sein, und das ist normal und legal.“
• „Wir tracken die Nutzer, auf die es am meisten ankommt: die, die Ihnen genug vertrauen, um einzuwilligen.“
• „Kein Consent-Banner setzt Sie Strafen aus, die Ihr Unternehmen beenden könnten.“

Best Practices zur Optimierung Ihres Banners (und Ihrer Cookie-Consent-Rate)

Da Sie mit dem Banner leben müssen, sorgen Sie dafür, dass es besser funktioniert:

1. Einfach halten: Überfordern Sie Nutzer nicht mit Optionen
2. Transparent sein: Erklären Sie, was Sie erheben und warum
3. Ablehnen einfach machen: Schafft Vertrauen, kann paradoxerweise die Zustimmung erhöhen
4. Verschiedene Designs testen: A/B-Tests für Bannerstil, Text, Platzierung und Timing
5. Geo-Targeting nutzen: Zeigen Sie je nach rechtlichen Anforderungen unterschiedliche Banner für verschiedene Regionen
6. Consent Mode v2 unterstützen: Lassen Sie Google Daten für Nicht-Einwilligende modellieren
7. Alles dokumentieren: Führen Sie Einwilligungsnachweise für Compliance-Audits
8. Dark Patterns vermeiden: „Akzeptieren“ nicht leicht und „Ablehnen“ nicht vergraben (die Aufsichtsbehörden schauen hin)
9. Beobachten und nachbessern: Verfolgen Sie Ihre Consent-Raten und verbessern Sie sie laufend

„Banner nicht angezeigt“ reduzieren

Wenn 45 % Ihrer Nutzer das Banner nie sehen (wie bei uns), gehen Sie den Ursachen nach:

• Geolokalisierungslogik (schließen Sie zu viele Regionen aus?)
• Logik für wiederkehrende Besucher (bleiben Cookies richtig bestehen?)
• Skriptfehler (lädt das Banner nicht?)
• Bot-Traffic (werden Bots mitgezählt?)
• Browser-Kompatibilität (funktioniert es in allen Browsern?)

FAQ

Was ist eine normale Cookie-Consent-Rate?

Das hängt stark davon ab, wodurch man teilt. Enzuzo hat uns eine Cookie-Consent-Rate von 2,75 % geliefert, aber die bezieht sich auf alle Seitenaufrufe, einschließlich der 45 %, bei denen das Banner nie angezeigt wurde. Zählt man nur die Seitenaufrufe, bei denen es angezeigt wurde, liegen wir eher bei 5 %. Studien, die sich auf Menschen konzentrieren, die das Banner tatsächlich zu sehen bekommen, landen deutlich höher: Advance Metrics hat seiner Studie von 2018 mit mehr als 1,2 Millionen Nutzern eine Folgeuntersuchung zu internationalen B2B-Websites in der ersten Hälfte von 2023 folgen lassen und festgestellt, dass 25,4 % sofort alle Cookies akzeptierten, während 33,6 % das Banner komplett ignorierten. Prüfen Sie also, bevor Sie Ihre Zahl mit der von anderen vergleichen, ob Sie dasselbe vergleichen.

Was passiert, wenn mein Cookie-Consent-Banner nicht DSGVO-konform ist?

Eine Aufsichtsbehörde kann Ihnen die Nachbesserung anordnen und Sie mit einer Geldbuße belegen. Die Cookie-Regeln selbst stammen aus dem ePrivacy-Recht des jeweiligen EU-Landes (deshalb hat die französische CNIL Google im September 2025 nach französischem Cookie-Recht mit 325 Millionen € bestraft), während die DSGVO den Maßstab dafür setzt, was als Einwilligung gilt: keine vorausgewählten Kästchen, und Nein sagen muss so einfach sein wie Ja sagen. DSGVO-Verstöße können mit bis zu 20 Millionen € oder 4 % des weltweiten Jahresumsatzes geahndet werden, je nachdem, was höher ist. Hinzu kommt: Wenn Sie Google Ads oder Analytics für Besucher im EWR, in Großbritannien oder in der Schweiz nutzen, verlangt Googles eigene Richtlinie gültige Consent-Signale, und ohne sie verlieren Sie für diese Besucher Remarketing und personalisierte Anzeigen.

Wie wahrscheinlich ist es, dass eine kleine Website eine Strafe bekommt, weil sie kein Cookie-Banner hat?

Gering, aber nicht null, und selten kommt die Strafe aus heiterem Himmel. Die Aufsichtsbehörden beschäftigen sich die meiste Zeit mit den großen Akteuren und schweren Verstößen. Kleine Websites trifft es meist durch eine Beschwerde oder eine Klage. In Deutschland verpflichtete ein Münchner Gericht im Januar 2022 einen Websitebetreiber, einem Besucher 100 € Schadenersatz zu zahlen, weil er Google Fonts ohne Einwilligung geladen hatte, und dieses Urteil löste eine Welle von Nachahmer-Abmahnungen an andere Websitebetreiber aus. In Südafrika läuft es über eine Beschwerde oder eine Datenpanne, dann eine Enforcement Notice und dann eine Strafe, wenn man die Anordnung ignoriert, und so kam das Department of Justice 2023 zur ersten POPIA-Strafe von 5 Millionen Rand (bei ihm begann der Weg mit einer Datenpanne).

Verlangt POPIA ein Cookie-Banner in Südafrika?

POPIA hat keine cookiespezifischen Regeln. Es besagt (Section 11), dass Sie einen Rechtmäßigkeitsgrund für die Verarbeitung personenbezogener Informationen brauchen, und die Einwilligung ist einer von sechs. Die Definition personenbezogener Informationen umfasst Online-Kennungen, sodass Analyse- und Werbe-Cookies, die das Surfverhalten mit einer Person verknüpfen, darunterfallen. Sie holen also entweder eine Einwilligung ein oder berufen sich auf einen anderen Grund, etwa berechtigtes Interesse. Bei Analyse- und Marketing-Cookies setzen wir auf die Einwilligung, deshalb bleibt unser Banner.

Welche Analytics-Tools funktionieren ohne Cookie-Consent-Banner?

Cookielose, datenschutzorientierte Tools wie Plausible und Fathom sind genau dafür gebaut. Plausible setzt zum Beispiel keine Cookies und speichert keine IP-Adressen (Besucher werden über einen Hash gezählt, der sich täglich ändert), weshalb laut Anbieter dafür kein Consent-Banner nötig ist. Sie bekommen die groben Trends (Seitenaufrufe, Referrer, Top-Seiten) ohne das 97-%-Loch, aber nicht die detaillierten Daten auf Nutzerebene, die GA4 liefert. Serverseitiges Tagging allein befreit nicht von der Einwilligung: Wenn Sie weiterhin personenbezogene Daten an Google senden, brauchen Sie weiterhin das Ja.

Schlussgedanke: der Anschnallwarnton, den man nicht ignorieren kann

Cookie-Consent-Banner sind das digitale Äquivalent zum Anschnallwarnton im Auto: nervig, unerbittlich und nicht zu überhören, aber Sie legen den Gurt trotzdem an, weil die Alternative schlimmer ist.

Unsere Cookie-Consent-Rate von 2,75 % tut weh, und sie entspricht den globalen Trends. Cookie-Consent-Banner nerven. Sie töten die Datenerhebung. Sie machen Werbung schwieriger.

Aber so ist die Realität:

Das rechtliche Risiko, in DSGVO- und POPIA-Rechtsräumen ohne ordnungsgemäße Einwilligung zu arbeiten, ist existenzbedrohend. Eine einzige DSGVO-Strafe könnte eine kleine Agentur oder ein kleines Unternehmen dichtmachen. Wer in Südafrika die Enforcement Notice des Information Regulator ignoriert, kann im Gefängnis landen.

Google spielt ohne Consent-Signale für Besucher aus der EU, Großbritannien und der Schweiz nicht mit. Selbst wenn Sie bereit sind, bei der Durchsetzung zu pokern, funktionieren Ihre Tools für diesen Traffic nicht richtig. Google ist faktisch zum Vollstrecker der DSGVO geworden.

Alle anderen haben mit demselben Datenverlust zu kämpfen. Ihre Konkurrenten mit Consent-Bannern sehen ebenfalls Zustimmungsraten von 3 bis 10 %. Die ohne Banner sind entweder nur in den USA tätig, uninformiert oder gehen massive rechtliche Risiken ein.

Nutzer schätzen Transparenz tatsächlich. Ja, die Consent-Raten sind niedrig. Aber die Nutzer, die einwilligen, entscheiden sich dafür, Ihnen zu vertrauen. Das ist etwas wert.

Die Landschaft der Webanalyse hat sich dauerhaft verändert. 100 % Tracking ist (legal) nicht mehr möglich. Wir alle lernen, Geschäftsentscheidungen mit unvollständigen Daten zu treffen, ergänzt durch Modellierung und qualitative Erkenntnisse.

Für Milk Moon Studio heißt das: Wir behalten unser Consent-Banner. Wir werden es optimieren, um unsere Zustimmungsrate zu verbessern. Wir werden es geo-gezielt ausspielen, damit US-Besucher ein weniger restriktives Erlebnis bekommen. Und wir werden den Datenverlust als Kosten dafür hinnehmen, 2025 legal und ethisch Geschäfte zu machen.

Für alle, die 2025 Websites bauen: Wenn Sie Besucher aus der EU oder Südafrika bedienen, brauchen Sie eine Cookie-Consent-Lösung. Das rechtliche Risiko ist den Datengewinn nicht wert. Und selbst wenn, würde Google Sie diese Daten von Besuchern aus der EU, Großbritannien und der Schweiz ohne Consent-Signale ohnehin nicht wirksam erheben lassen.

Unsere Daten mögen kleiner sein, unsere Dashboards leerer und unsere Berichte voller Vorbehalte, aber wir sind wenigstens konform, konsequent und glaubwürdig.

Ja, wir behalten also unser Banner. Wir werden es optimieren, nachjustieren, vielleicht sogar den Text A/B-testen, aber wir nehmen es nicht ab.

Denn 97 % Datenverlust schmerzen, aber das Recht zu verlieren, überhaupt tätig zu sein, schmerzt noch viel mehr.

---

Haftungsausschluss: Dieser Beitrag ist keine Rechtsberatung. Wir sind ein Webdesign- und Entwicklungsstudio, keine Juristen. Für konkrete rechtliche Beratung zu Ihrer Situation wenden Sie sich an einen qualifizierten Anwalt mit Spezialisierung auf Datenschutzrecht. Gesetze ändern sich, die Durchsetzung entwickelt sich weiter, und Ihre besonderen Umstände zählen. Dieser Beitrag gibt unseren Kenntnisstand vom Oktober 2025 und unseren Entscheidungsprozess für unser eigenes Unternehmen wieder.