Cookie-Banner in Shopify: Consent Mode v2 technisch sauber umsetzen

Beim Cookie-Banner treffen zwei Probleme aufeinander, die selten zusammen betrachtet werden. Das eine ist rechtlich: Ohne wirksame Einwilligung dürfen Analyse- und Werbe-Cookies nicht gesetzt werden. Das andere ist kaufmännisch: Ohne korrekt weitergereichte Einwilligung verliert Google Ads im EWR Messdaten und Remarketing-Funktionen.

Das Bemerkenswerte daran ist, dass beide Probleme dieselbe technische Ursache haben. Ein Banner, das die Zustimmung zwar abfragt, aber nicht an die Skripte durchreicht, ist gleichzeitig rechtlich angreifbar und teuer.

Dieser Artikel zeigt, was § 25 TDDDG technisch verlangt, warum Shopifys eingebautes Banner in den meisten Shops nicht genügt, und wie Sie in etwa zehn Minuten selbst prüfen, ob Ihre Einwilligung tatsächlich greift.

Teil 1: Was das Gesetz technisch verlangt

§ 25 Abs. 1 TDDDG erlaubt das Speichern von Informationen auf dem Endgerät und den Zugriff darauf nur mit Einwilligung, und zwar „auf der Grundlage von klaren und umfassenden Informationen" (Gesetzestext bei dejure).

Absatz 2 nennt genau zwei Ausnahmen: wenn der alleinige Zweck die Nachrichtenübermittlung ist, oder wenn die Speicherung unbedingt erforderlich ist, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann.

Was heißt „unbedingt erforderlich" konkret? Die Datenschutzkonferenz verlangt in ihrer Orientierungshilfe für Anbieter digitaler Dienste eine Prüfung im Einzelfall. Eine pauschale Einstufung, etwa als „Sicherheits-Cookie", genügt nicht.

Für einen Shopify-Shop läuft die Einordnung in der Praxis meist so: Warenkorb, Session und Betrugsprävention sind erforderlich. Google Analytics, Meta-Pixel, TikTok-Pixel, Hotjar und Werbe-Cookies sind es in aller Regel nicht. Das ist eine Faustregel, keine Bewertung Ihres Shops. Gehen Sie Ihre eigene Skriptliste am Maßstab der Orientierungshilfe durch, bevor Sie diese Einteilung übernehmen.

Teil 2: Reicht Shopifys eingebautes Banner?

Shopify bringt seit einiger Zeit ein eigenes Cookie-Banner mit und aktiviert es bei neuen Shops automatisch für Besucher aus dem EWR und aus Großbritannien, sofern dort aktive Märkte bestehen.

Die ehrliche Antwort auf die Frage lautet: Es kommt darauf an, was Sie sonst noch eingebaut haben. Und Shopify sagt das selbst überraschend deutlich.

Übersetzt: Wenn Ihr Shop nur mit Shopify-Bordmitteln arbeitet, kann das eingebaute Banner ausreichen. Sobald Sie Meta-Pixel, Google Ads, ein Analyse-Tool oder ein Bewertungs-Widget eingebunden haben, steuert das Banner diese Skripte nicht automatisch mit.

Die Customer Privacy API, das Bindeglied

Technisch läuft die Einwilligung in Shopify über die Customer Privacy API. Sie kennt vier Kategorien:

• preferences
• analytics
• marketing
• sale_of_data

Der Consent-Status ist nach dem Laden über window.Shopify.customerPrivacy erreichbar, mit Methoden wie currentVisitorConsent(), analyticsProcessingAllowed(), marketingAllowed() und shouldShowBanner(). Gesetzt wird die Einwilligung über setTrackingConsent(), und zwar ausdrücklich nur bei echter Nutzerinteraktion, nicht automatisiert.

Shopify weist in derselben Dokumentation darauf hin, dass Apps und eigener Code Cookies nie direkt lesen oder schreiben sollen, sondern ausschließlich über diese API arbeiten.

Teil 3: Consent Mode v2 ist keine Rechtsfrage, sondern eine Geldfrage

Seit dem 6. März 2024 setzt Google für seine Werbeprodukte voraus, dass bei Traffic aus dem EWR und aus Großbritannien der Einwilligungsstatus übermittelt wird (Google-Ads-Hilfe). Das gilt unabhängig davon, wo Ihr Unternehmen sitzt.

Übertragen werden vier Signale:

Die ersten beiden gab es schon in Version 1, die beiden letzten kamen mit v2 dazu.

Fehlt diese Übermittlung, verlieren Sie laut Google Messdaten sowie Funktionen für Personalisierung und Remarketing. Nicht eingewilligte Nutzerdaten aus dem EWR dürfen zum Beispiel nicht für Customer-Match-Listen verwendet werden.

Das ist der Punkt, an dem sich der Aufwand für viele Händler rechnet, unabhängig von jeder rechtlichen Erwägung: Ein Shop, der Google Ads schaltet und den Consent nicht sauber weiterreicht, bezahlt Klicks, deren Wirkung er nicht mehr vollständig messen kann.

Prüfen Sie es selbst

Bevor Sie irgendetwas kaufen oder umbauen, lohnt sich der Blick in den eigenen Shop. Alle sechs Prüfungen machen Sie im Browser, ohne Zugriff auf den Code:

Teil 4: Wo die Skripte tatsächlich hängen

Die häufigste Ursache für „Banner da, Consent trotzdem wirkungslos" ist der Ort, an dem ein Skript eingebunden ist.

Im Theme

Ein gtag- oder fbq-Aufruf, der direkt in theme.liquid oder einem Snippet steht, wird beim Seitenaufbau ausgeführt. Er weiß nichts vom Banner. Wenn er nicht ausdrücklich an den Consent-Status gekoppelt ist, feuert er, egal was der Besucher geklickt hat.

Im Checkout

Hier hat sich die Lage grundlegend geändert, und zwar in drei Stufen (Shopify-Dokumentation zu checkout.liquid):

Die dritte Zeile ist die, die derzeit am meisten Shops betrifft. Wer als normaler Shopify-Händler noch ein Tracking-Skript über einen Script-Tag auf der Bestellstatusseite laufen hat, dem ist es in diesen Tagen weggebrochen. Das fällt oft erst auf, wenn Conversions in Google Ads oder im Meta Events Manager plötzlich fehlen.

Der einzige verbleibende Weg für Tracking im Checkout ist ein Custom Pixel beziehungsweise eine App über die Web Pixels API.

Innerhalb eines Custom Pixels erreichen Sie den Status über die Web Pixels API und können auf Änderungen reagieren:

// Einwilligung beim Laden prüfen
const consent = init.customerPrivacy;
 
if (consent.marketingAllowed) {
  ladeMarketingPixel();
}
 
// Auf spätere Änderung reagieren
api.customerPrivacy.subscribe('visitorConsentCollected', (event) => {
  const c = event.customerPrivacy;
  if (c.marketingAllowed) {
    ladeMarketingPixel();
  }
});

Die Struktur ist in der Dokumentation zur Pixel Privacy beschrieben.

Teil 5: Die Auswahl einer Consent-Lösung

Wenn Sie Drittanbieter-Pixel im Einsatz haben, brauchen Sie in der Regel eine Consent-Management-Plattform. Die Preise der gängigen Optionen für Shopify, jeweils laut Anbieterseite zum Zeitpunkt dieses Artikels:

Preisstand: August 2026, direkt bei den Anbietern nachgesehen. SaaS-Preise ändern sich häufig, prüfen Sie den aktuellen Plan vor der Entscheidung selbst nach.

Die Auswahl entscheidet erfahrungsgemäß weniger über das Ergebnis als die Einbindung. Ein kostenloser Plan, der korrekt mit der Customer Privacy API und mit Custom Pixels verdrahtet ist, schlägt jedes teure Werkzeug, das nur optisch über dem Shop liegt.

Worauf ich beim Auswählen achte:

1. Schreibt die Lösung in die Shopify Customer Privacy API, oder setzt sie ihre eigenen Cookies parallel dazu?
2. Unterstützt sie Consent Mode v2 mit allen vier Signalen?
3. Blockiert sie Skripte tatsächlich vor der Einwilligung, oder lädt sie sie nur nachträglich wieder?
4. Funktioniert der Widerrufs-Link auch auf dem Handy?

Teil 6: Der Ablehnen-Button

Ein Detail, das viele Banner falsch machen und das inzwischen gerichtlich adressiert ist.

Das Verwaltungsgericht Hannover hat am 19. März 2025 entschieden (Az. 10 A 5385/22), dass eine Schaltfläche zum Ablehnen auf derselben Ebene und gleichwertig sichtbar sein muss wie die Schaltfläche zum Akzeptieren. Irreführende Formulierungen und ein erschwertes Ablehnen machen die Einwilligung unwirksam (Pressemitteilung der niedersächsischen Datenschutzbehörde vom 20.05.2025).

Praktisch heißt das: Ablehnen darf nicht hinter „Einstellungen" versteckt sein, nicht nur als grauer Textlink erscheinen und nicht deutlich kleiner sein als der Akzeptieren-Button. Das ist eine Einstellung im CMP, kein Entwicklungsaufwand.

Und die Einwilligungsverwaltungsverordnung?

Seit dem 1. April 2025 ist die Einwilligungsverwaltungsverordnung in Kraft. Sie regelt ein Anerkennungsverfahren für zentrale Einwilligungsdienste, sogenannte PIMS, mit denen Nutzer ihre Entscheidungen einmal zentral verwalten könnten. Der erste anerkannte Dienst wurde im Oktober 2025 ins Register eingetragen.

Für Ihren Shop ändert das derzeit nichts. Die Nutzung ist für Websitebetreiber nicht verpflichtend, und die niedersächsische Datenschutzbehörde stellt in ihrer Pressemitteilung fest, dass die Verordnung ihr eigentliches Ziel verfehlt, unter anderem weil Browserhersteller kein Interesse an einer Integration zeigen. Cookie-Banner bleiben auf absehbare Zeit der Standard.