# So ermöglichen Sie Besuchern den Widerruf ihrer Cookie-Einwilligung (und was danach zu tun ist)

> Nach der DSGVO muss der Widerruf so einfach sein wie die Einwilligung. So gestalten Sie den Widerrufsweg, stoppen Tags, löschen Cookies und aktualisieren Consent Mode und Protokolle.

Source: https://www.cookiesh.eu/de/blog/withdraw-cookie-consent  
Published: 2026-10-29

## Key takeaways

- Artikel 7 Absatz 3 DSGVO gibt Menschen das Recht, ihre Einwilligung jederzeit zu widerrufen, und verlangt, dass der Widerruf so einfach ist wie die Erteilung der Einwilligung.
- Hat die Einwilligung einen Klick im Banner gekostet, sollte der Widerruf etwa einen Klick über einen Link oder ein Symbol erfordern, das auf jeder Seite verfügbar ist.
- Der Widerruf muss ändern, was Ihre Website tut: Tags stoppen, Signale wie Google Consent Mode aktualisieren und die nicht notwendigen Cookies und Speichereinträge löschen, die Sie gesetzt haben.
- Bereits ausgeführte Skripte lassen sich nicht entladen. Die Seite nach dem Widerruf neu zu laden ist daher der zuverlässigste Weg, sie zu stoppen.
- Protokollieren Sie den Widerruf wie jede andere Entscheidung, und stellen Sie die Verarbeitung von Daten, die auf Grundlage der Einwilligung erhoben wurden, ein oder löschen Sie sie, wenn Sie keine andere Rechtsgrundlage dafür haben.

Die DSGVO gibt jedem das Recht, seine Einwilligung jederzeit zu widerrufen, und Artikel 7 Absatz 3 verlangt, dass der Widerruf so einfach ist wie die Erteilung der Einwilligung. Für Cookies heißt das: ein Link oder Symbol auf jeder Seite, das die Consent-Auswahl mit etwa so vielen Klicks wieder öffnet, wie das Akzeptieren gekostet hat. Danach muss die Website die neue Entscheidung umsetzen: Tags stoppen, die gesetzten Cookies löschen, Signale wie Google Consent Mode aktualisieren und die Änderung protokollieren.

## Was verlangt das Gesetz?

Artikel 7 Absatz 3 DSGVO enthält vier Regeln. Menschen können ihre Einwilligung jederzeit widerrufen. Der Widerruf macht die bisherige Verarbeitung nicht unrechtmäßig. Sie müssen vor der Einwilligung über dieses Recht informiert werden. Und der Widerruf muss so einfach sein wie die Erteilung der Einwilligung.

Die Leitlinien 05/2020 des EDSA zur Einwilligung konkretisieren den letzten Punkt: Wird die Einwilligung elektronisch mit einem Klick, einer Wischbewegung oder einem Tastendruck eingeholt, müssen Menschen sie ebenso einfach widerrufen können. Der Widerruf sollte zudem ohne Nachteile möglich sein: Ein Besucher, der seine Meinung ändert, sollte weder den Zugang zur Website verlieren noch durch einen längeren Prozess geschickt werden. Da die ePrivacy-Richtlinie die Definition der Einwilligung aus der DSGVO übernimmt, gelten für Cookies dieselben Regeln.

## Wie einfach muss der Widerruf sein?

Vergleichen Sie die Wege. Hat das Akzeptieren einen Klick im Banner auf der ersten Ebene gekostet, sollte der Widerruf ungefähr einen Klick zum Öffnen der Auswahl und einen zum Speichern erfordern.

| Widerrufsweg | So einfach wie die Erteilung der Einwilligung? |
| --- | --- |
| Dauerhafter Link „Cookie-Einstellungen“ oder Symbol auf jeder Seite, das den Einstellungsbereich erneut öffnet | Ja, der übliche Ansatz |
| Ein Button „Alle ablehnen“ oder „Einwilligung widerrufen“ in diesem Bereich | Ja |
| Ein Link nur innerhalb der Cookie-Richtlinie | In der Regel nicht, weil er zusätzliche Schritte erfordert |
| Anleitung zum Löschen von Cookies in den Browsereinstellungen | Nein, das verlagert die Arbeit auf den Nutzer |
| Eine E-Mail-Adresse oder ein Kontaktformular | Nein, wenn die Einwilligung mit einem Klick erteilt wurde |

Platzieren Sie den Link dort, wo Menschen ihn suchen, meist im Footer der Website, und beschriften Sie ihn eindeutig. Wenn Sie denselben Bereich und dieselben Bedienelemente wie im ursprünglichen Banner verwenden, erkennen Menschen ihn leichter wieder. Mehr zum Banner-Layout lesen Sie unter [Best Practices für das Design von Cookie-Bannern](/de/blog/cookie-banner-design-best-practices).

## Was sollte nach einem Widerruf passieren?

Der Widerruf muss ändern, was Ihre Website tut, nicht nur, was sie speichert. Gehen Sie diese Schritte der Reihe nach durch.

1. **Die neue Entscheidung speichern.** Überschreiben Sie den gespeicherten Consent-Status, damit jeder weitere Seitenaufruf den Widerruf ausliest.
2. **Nachgelagerte Signale aktualisieren.** Senden Sie ein Consent-Mode-Update, bei dem die betroffenen Typen auf `denied` gesetzt sind, und rufen Sie die entsprechenden APIs anderer Anbieter auf, etwa `fbq('consent', 'revoke')` für das Meta Pixel.
3. **Eigene First-Party-Cookies und Speichereinträge löschen.** Entfernen Sie die nicht notwendigen Cookies und Browserspeicher-Schlüssel, die Tags auf Ihrer Domain gesetzt haben.
4. **Die Seite neu laden.** Bereits ausgeführter Code lässt sich nicht entladen, und manche Skripte halten Timer, Listener oder Kennungen im Arbeitsspeicher vor. Ein Neuladen ist der einfachste Weg zu einem sauberen Neustart.
5. **Ihre Server informieren.** Wenn Sie [Server-Side Tagging](/de/blog/server-side-tagging-and-consent) nutzen oder Events aus Ihrem Backend senden, geben Sie den neuen Status auch dorthin weiter.
6. **Protokollieren.** Erfassen Sie den Widerruf mit Zeitstempel und Bannerversion zusammen mit Ihren übrigen [Einwilligungsnachweisen](/de/blog/proof-of-consent-records).
7. **Für bekannte Nutzer synchronisieren.** Ist der Besucher eingeloggt und synchronisieren Sie die Einwilligung geräteübergreifend, wenden Sie den Widerruf auf sein Konto an.

Die Schritte 2 bis 4 könnten so aussehen:

```js
function withdrawConsent(categories) {
  saveConsent(categories); // Ihr Consent-Speicher; Kategorien jetzt false

  gtag('consent', 'update', {
    analytics_storage: categories.analytics ? 'granted' : 'denied',
    ad_storage: categories.marketing ? 'granted' : 'denied',
    ad_user_data: categories.marketing ? 'granted' : 'denied',
    ad_personalization: categories.marketing ? 'granted' : 'denied',
  });
  if (!categories.marketing && window.fbq) fbq('consent', 'revoke');

  deleteCookies(/^_ga($|_)/, /^_gcl_/, /^_fbp$/, /^_fbc$/);
  localStorage.removeItem('analytics_client_id');

  location.reload();
}
```

## Wie lösche ich Cookies per JavaScript?

Setzen Sie das Cookie erneut mit demselben Namen, demselben Pfad und derselben Domain, mit denen es erstellt wurde, und einem Ablaufdatum in der Vergangenheit. Der Haken: `document.cookie` verrät Ihnen weder Domain noch Pfad eines Cookies. Probieren Sie daher die wahrscheinlichen Kombinationen durch:

```js
function deleteCookies(...patterns) {
  const names = document.cookie
    .split('; ')
    .map((pair) => pair.split('=')[0])
    .filter((name) => patterns.some((re) => re.test(name)));

  // Analysetools setzen Cookies oft auf der übergeordneten Domain (".example.com")
  const labels = location.hostname.split('.');
  const domains = [''];
  for (let i = 0; i < labels.length - 1; i++) {
    domains.push(`; domain=.${labels.slice(i).join('.')}`);
  }

  for (const name of names) {
    for (const domain of domains) {
      document.cookie = `${name}=; Max-Age=0; path=/${domain}`;
    }
  }
}
```

Drei Einschränkungen sollten Sie kennen. Als `HttpOnly` gekennzeichnete Cookies lassen sich nicht per JavaScript entfernen, löschen Sie sie daher serverseitig mit einem `Set-Cookie`-Header. Cookies mit einem anderen Pfad als `/` brauchen genau diesen Pfad. Und Cookies auf der eigenen Domain eines Anbieters kann Ihre Website überhaupt nicht löschen; Sie können höchstens aufhören, den Code des Anbieters zu laden.

## Was ist mit bereits erhobenen Daten?

Der Widerruf macht die Vergangenheit nicht rückgängig, wirkt sich aber darauf aus, was Sie aufbewahren. Sobald die Einwilligung widerrufen ist, müssen Sie die darauf gestützte Verarbeitung einstellen. Haben Sie für bereits erhobene Daten keine andere Rechtsgrundlage, erwartet der EDSA, dass Sie sie löschen, und das Recht auf Löschung nach der DSGVO erfasst dieselbe Situation.

Prüfen Sie bei Analyse- und Werbedaten, die bei Anbietern liegen, welche Löschwerkzeuge diese anbieten, etwa APIs zum Löschen von Nutzern, und binden Sie sie in Ihren Prozess für eingeloggte Nutzer ein, deren Identität Sie kennen. Bei anonymen Besuchern können Sie realistischerweise meist nur die weitere Erhebung stoppen.

## Fazit

Machen Sie den Widerruf zu einem Ein-Klick-Weg von jeder Seite aus und sorgen Sie dann dafür, dass er tatsächlich wirkt: Entscheidung speichern, Consent Mode und Anbieter-APIs aktualisieren, eigene First-Party-Cookies und Speichereinträge löschen, neu laden, Ihre Server informieren und protokollieren. Fragen Sie den Besucher nicht sofort erneut. Tools wie Cookiesh bieten ein Präferenzcenter, in dem Besucher ihre Auswahl ändern können, senden das passende Consent-Mode-Update und protokollieren jede Änderung, auch Widerrufe.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Reicht ein Link in der Cookie-Richtlinie für den Widerruf der Einwilligung aus?

In der Regel nicht. Wurde die Einwilligung mit einem Klick im Banner erteilt, ist es aufwendiger als die Einwilligung selbst, erst eine Richtlinienseite finden, sie lesen und dann ein Bedienelement suchen zu müssen. Üblich ist ein dauerhaft verfügbarer Link oder ein Symbol auf jeder Seite, das den Einstellungsbereich erneut öffnet.

### Kann ich Third-Party-Cookies löschen, wenn ein Nutzer seine Einwilligung widerruft?

Nicht von Ihrer eigenen Domain aus. Browser erlauben einer Website nur, Cookies ihrer eigenen Domain zu löschen. Cookies auf der Domain eines Anbieters bleiben also bestehen, bis sie ablaufen oder der Anbieter sie entfernt. Sie können aber aufhören, den Code des Anbieters zu laden, sodass diese Cookies nicht mehr ausgelesen oder erneuert werden.

### Macht der Widerruf die bisherige Verarbeitung unrechtmäßig?

Nein. Nach der DSGVO berührt der Widerruf nicht die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung. Ab dem Zeitpunkt des Widerrufs müssen Sie die auf die Einwilligung gestützte Verarbeitung jedoch einstellen.

### Sollte ich den Banner direkt nach einem Widerruf erneut anzeigen?

Nein. Ein Widerruf ist eine Entscheidung wie jede andere, speichern und respektieren Sie ihn also. Beim nächsten Seitenaufruf erneut zu fragen, ist genau die Art wiederholter Aufforderung, die Aufsichtsbehörden als Druck zur Einwilligung werten.

## Sources

- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [Guidelines 05/2020 on consent under Regulation 2016/679, EDPB](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)