# Cookie-Einwilligung für viele Kunden-Websites managen

> Ein Agentur-Playbook für die Cookie-Einwilligung auf vielen Kunden-Websites: Rollen und Verträge, gemeinsame Standards, Onboarding, Monitoring und Nachweise.

Source: https://www.cookiesh.eu/de/blog/cookie-consent-for-agencies  
Published: 2026-10-20

## Key takeaways

- Der Kunde ist in der Regel der Verantwortliche für die Cookies seiner Website. Er muss daher Bannertexte, Kategorien und Richtlinientexte freigeben.
- Agenturen skalieren die Consent-Arbeit, indem sie Kategorien, Skript-Blockierung und Consent-Mode-Logik standardisieren und die rechtlichen Inhalte je Kunde konfigurieren.
- Ein fester Onboarding-Ablauf aus Audit, Klassifizierung, Konfiguration, Test und Freigabe sorgt für einheitliche Launches bei allen Kunden.
- Geplante Cookie-Scans finden Tracker, die Kundenteams nach dem Launch über Tag-Manager hinzufügen.
- Halten Sie die Einwilligungsnachweise jedes Kunden getrennt und exportierbar, mit Zugriff nur für die Personen, die für diesen Kunden arbeiten.

Um die Cookie-Einwilligung auf vielen Kunden-Websites zu managen, standardisieren Sie alles Technische und halten alles Rechtliche kundenspezifisch. Nutzen Sie für jede Website ein einheitliches Setup-Muster, ein Kategoriemodell und einen Ansatz zur Skript-Blockierung. Geben Sie jedem Kunden eine eigene Konfiguration, eigene Richtlinientexte, regionale Regeln und Einwilligungsnachweise. Scannen Sie anschließend regelmäßig erneut, denn Kunden-Websites verändern sich auch nach dem Launch ständig.

## Wer ist für die Einwilligung auf der Website eines Kunden verantwortlich?

In der Regel der Kunde. Als Unternehmen, das über Zweck und Mittel der Verarbeitung von Besucherdaten entscheidet, ist der Kunde nach der DSGVO normalerweise der Verantwortliche, und an ihn wendet sich eine Aufsichtsbehörde.

Agenturen handeln typischerweise als Auftragsverarbeiter, wenn sie im Auftrag eines Kunden Tags, Analysen oder Einwilligungsprotokolle verwalten. Artikel 28 DSGVO verlangt einen Vertrag, der festlegt, was ein Auftragsverarbeiter mit diesen Daten tun darf. In der Praxis bedeutet das:

- Einen Auftragsverarbeitungsvertrag mit jedem Kunden, für den Sie personenbezogene Daten verarbeiten.
- Eine schriftliche Freigabe des Kunden für Bannertexte, Kategorien, Regionen und die Cookie-Richtlinie.
- Eine klare Trennung zwischen Umsetzung und Rechtsberatung. Empfehlen Sie, dass die Rechtsberatung des Kunden strittige Fragen entscheidet, etwa ob der [erweiterte Consent Mode](/de/blog/basic-vs-advanced-consent-mode) eingesetzt wird.

Klare Rollen schützen die Agentur ebenso wie den Kunden. Geht eine Beschwerde ein, sollte allen bereits klar sein, wer was freigegeben hat.

## Was sollten Sie kundenübergreifend standardisieren?

Standardisieren Sie die Technik und den Prozess, nicht die rechtlichen Inhalte. Eine gemeinsame Basis verkürzt die Einrichtungszeit, und jede Website profitiert davon, wenn Sie etwas einmal korrigieren oder verbessern.

| Für alle Kunden standardisieren | Je Kunde konfigurieren |
|---|---|
| Banner-Komponente, Barrierefreiheit und Performance-Budget | Firmenname, Branding und Sprachen |
| Kategoriemodell: notwendig, Präferenzen, Analyse, Marketing | Welche Anbieter und Cookies in welche Kategorie fallen |
| Muster für die Skript-Blockierung | Bediente Regionen und der Banner, den jede Region sieht |
| Default- und Update-Logik für Google Consent Mode | Einfacher oder erweiterter Modus, gemäß der rechtlichen Entscheidung des Kunden |
| Format des Einwilligungsprotokolls und Mechanik der Aufbewahrung | Aufbewahrungsfrist und Bedingungen der Auftragsverarbeitung |
| Scan-Zeitplan und Weiterleitung von Warnmeldungen | Verantwortliche beim Kunden, die Warnmeldungen erhalten |

Verwenden Sie überall denselben Ansatz, um [Skripte bis zur Einwilligung zu blockieren](/de/blog/block-scripts-until-consent). Wenn jede Website demselben Muster folgt, kann jeder Entwickler in Ihrem Team jede Kunden-Website in wenigen Minuten debuggen, statt sich erst in ein individuelles Setup einarbeiten zu müssen.

Pflegen Sie Ihre Basis in einer Versionsverwaltung mit Änderungsprotokoll. Wenn Sie sie ändern, rollen Sie das Update gezielt Kunde für Kunde aus und halten Sie fest, auf welchen Websites welche Version läuft.

## Wie nehmen Sie eine neue Kunden-Website auf?

Behandeln Sie das Onboarding als festen Ablauf, damit unter Termindruck nichts übersprungen wird.

1. **Audit:** Führen Sie ein [Cookie-Audit](/de/blog/how-to-run-a-cookie-audit) der Live-Website durch, um Cookies, Skripte und Anbieter zu inventarisieren.
2. **Klassifizieren:** Ordnen Sie jeden Anbieter einer Kategorie zu und markieren Sie alles, was Sie nicht zuordnen können, damit der Kunde es erklärt.
3. **Regionen festlegen:** Klären Sie, woher die Besucher kommen und welche Regeln gelten, etwa die Opt-in-Einwilligung nach der DSGVO in der EU, UK GDPR und PECR im Vereinigten Königreich oder die Opt-out-Rechte nach dem CCPA in Kalifornien.
4. **Konfigurieren:** Erstellen Sie aus Ihrer Basis den Banner, den Richtlinien-Link und die Sprachversionen des Kunden.
5. **Tags absichern:** Blockieren Sie nicht notwendige Skripte bis zur Einwilligung und setzen Sie die Consent-Mode-Standardwerte in Google Tag Manager (GTM).
6. **Testen:** Vergewissern Sie sich, dass vor der Einwilligung nichts Nicht-Notwendiges läuft und dass Ablehnen und Widerrufen beide funktionieren.
7. **Freigeben:** Holen Sie vor dem Go-live die schriftliche Freigabe des Kunden ein.
8. **Übergeben:** Dokumentieren Sie, was Sie konfiguriert haben, wer es ändern darf und wie der Kunde Einwilligungsnachweise anfordern kann.

Bei Schritt 2 gibt es die meisten Überraschungen. Ältere Websites enthalten oft Skripte, an deren Einbindung sich beim Kunden niemand erinnert, und jedes davon braucht einen Verantwortlichen und einen Zweck, bevor es eingeordnet werden kann.

## Wie bleiben Kunden-Websites nach dem Launch konform?

Planen Sie wiederkehrende Scans und lassen Sie sich bei Änderungen benachrichtigen. Kunden-Websites verändern sich schleichend: Ein Marketingteam fügt in GTM ein Pixel hinzu, ein Plugin-Update bringt ein neues Cookie mit, oder ein Landingpage-Tool liefert eigene Tracker aus.

Kontrollen, die diese schleichenden Veränderungen im Griff behalten:

- Beschränken Sie, wer in den GTM-Containern der Kunden veröffentlichen darf, und verlangen Sie Consent-Einstellungen für jedes neue Tag.
- Scannen Sie nach jedem Release und nach einem festen Zeitplan erneut und leiten Sie neue, nicht klassifizierte Cookies an einen namentlich benannten Verantwortlichen beim Kunden weiter.
- Erhöhen Sie die Banner-Version und holen Sie die Einwilligung erneut ein, wenn sich Zwecke oder Anbieter wesentlich ändern.
- Prüfen Sie das Banner-Design mindestens einmal im Jahr anhand der aktuellen Leitlinien der Aufsichtsbehörden zu manipulativen Mustern.

Berichten Sie Kunden diese Ergebnisse in einer kurzen, regelmäßigen Zusammenfassung: neu erkannte Anbieter, geänderte Banner-Versionen und offene Punkte. Das zeigt den Wert der Arbeit und hält Entscheidungen dokumentiert.

## Wie verwalten Sie Einwilligungsnachweise für viele Kunden?

Halten Sie die Einträge jedes Kunden logisch getrennt, mit Zugriff nur für die Personen, die für diesen Kunden arbeiten. Werden Daten verschiedener Kunden in einem gemeinsamen Protokoll vermischt, entstehen Vertraulichkeitsprobleme, und Exporte werden schwieriger.

Jeder Kunde sollte auf Anfrage einen Export seiner eigenen [Einwilligungsnachweise](/de/blog/proof-of-consent-records) erhalten können, etwa um einer Aufsichtsbehörde zu antworten oder ein Auskunftsersuchen einer betroffenen Person zu beantworten. Vereinbaren Sie im Vertrag, was mit den Einträgen geschieht, wenn die Zusammenarbeit endet: Rückgabe, Löschung oder beides, und in welchem Zeitrahmen.

Wenden Sie dieselbe Disziplin auf Personen an. Nutzen Sie rollenbasierte Zugriffe und Multi-Faktor-Authentifizierung und entziehen Sie Zugriffe umgehend, wenn Mitarbeitende ausscheiden oder eine Kundenbeziehung endet.

## Fazit

Agenturen, die gut mit Einwilligungen umgehen, behandeln sie als wiederholbares Produkt, nicht als Projekt pro Website. Standardisieren Sie die technische Basis, belassen Sie rechtliche Entscheidungen beim Kunden, überwachen Sie Websites kontinuierlich und halten Sie die Nachweise jedes Kunden getrennt und exportierbar. Tools wie Cookiesh bieten Agenturen White-Labeling und Mandantenfähigkeit, sodass sich dieses Playbook zentral umsetzen lässt.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Ist eine Agentur bei der Cookie-Einwilligung ihrer Kunden Auftragsverarbeiter?

Häufig, wenn sie im Auftrag des Kunden personenbezogene Daten wie Einwilligungsprotokolle oder Analysedaten verarbeitet. In diesem Fall verlangt Artikel 28 DSGVO einen schriftlichen Vertrag über diese Verarbeitung. Die genaue Rolle hängt von der Vereinbarung ab. Lassen Sie sie daher rechtlich bestätigen.

### Sollte jeder Kunde denselben Cookie-Banner verwenden?

Komponente und Verhalten können gleich sein, die Inhalte jedoch nicht. Jeder Kunde braucht eigene Unternehmensangaben, eine eigene Cookie-Liste, einen eigenen Richtlinien-Link, eigene Sprachen und ein eigenes Branding, denn jede Website nutzt andere Anbieter für andere Zwecke.

### Wer sollte die Cookie-Richtlinie für eine Kunden-Website schreiben?

Sie gehört dem Kunden, denn sie beschreibt dessen Verarbeitung. Eine Agentur kann eine Vorlage und das technische Inventar aus den Cookie-Scans liefern, doch der Kunde oder seine Rechtsberatung sollte den endgültigen Text prüfen und freigeben.

### Wie oft sollten Agenturen Kunden-Websites erneut scannen?

Nach jedem Release und nach einem festen Zeitplan, etwa monatlich. Mit Tag-Managern können Marketingteams Tags ohne Code-Deployment hinzufügen. Geplante Scans finden daher Änderungen, die releasebasierte Prüfungen übersehen.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)