Einen Cookie-Banner einzurichten ist nicht dasselbe, wie dass abgelehnte Cookies tatsächlich nicht gesetzt werden. Ein Banner ist eine Oberfläche; Consent Mode ist die technische Schicht, die die Auswahl in dieser Oberfläche an die Google-Tags weitergibt. Sind beide nicht verbunden, bleibt der Banner Dekoration, und die Werbemessung geht entweder unnötig verloren oder läuft rechtlich riskant mehr als erlaubt.
Zuerst: Was sagt das KVKK?
Der „Leitfaden zu Cookie-Praktiken“ der Datenschutzbehörde ist die wichtigste Quelle zu diesem Thema in der Türkei. In der Fassung vom Juli 2025 werden Cookies nach Verwendungszweck unterschieden, und für jeden wird erläutert, welche Verarbeitungsvoraussetzung gilt.
Cookies, die für das Funktionieren des vom Besucher gewünschten Dienstes erforderlich sind, etwa Anmeldung, Ausfüllen eines Formulars oder das Merken der Datenschutzeinstellung, dürfen ohne ausdrückliche Einwilligung verwendet werden. Der Leitfaden betont zudem gesondert, dass diese Cookies nicht zu Marketingzwecken genutzt werden dürfen. Auf der Werbeseite verhält es sich umgekehrt: Cookies für verhaltensbasierte Werbung erfordern eine ausdrückliche Einwilligung. Der Leitfaden fasst das weit. Auch mit Werbung verbundene Zwecke wie Frequenzbegrenzung, Werbepartnerschaft, Erkennung von Klickbetrug, Marktanalyse und Produktentwicklung fallen darunter, denn keiner davon bezieht sich auf eine Funktion, die der Besucher ausdrücklich verlangt hat.
Bei Analyse-Cookies ist die Lage differenzierter. Der Leitfaden sagt, dass First-Party-Analytics, die nur zur Messung der Leistung der eigenen Website dienen, unter bestimmten Bedingungen auf eine andere Verarbeitungsvoraussetzung als die ausdrückliche Einwilligung gestützt werden können. Die Bedingungen: Die verarbeiteten Daten müssen begrenzt und verhältnismäßig sein, nicht erforderliche personenbezogene Daten müssen anonymisiert werden (als Beispiel wird IP-Maskierung genannt), und die Cookies dürfen nicht für seitenübergreifendes Tracking verwendet werden. Ob ein Tool wie Google Analytics, dessen Daten an ein drittes Unternehmen gehen, unter diese Beschreibung fällt, hängt von der Konfiguration ab. Ohne diese Frage mit einem Juristen zu klären, wäre die Annahme „Analytics ist ohnehin erlaubt“ falsch.
Wie sollte der Banner aussehen?
Als gute Praxis nennt der Leitfaden, dass beim Betreten der Website sofort ein Cookie-Verwaltungsfenster erscheinen und die Schaltflächen „Akzeptieren“, „Ablehnen“ und „Einstellungen“ in Farbe, Größe und Schriftgröße gleichwertig dargestellt werden sollen. Wichtig ist auch, dass einwilligungspflichtige Cookies im Fenster zunächst deaktiviert, also nicht angehakt sind. Die Einwilligung für Werbe-Cookies kann nicht durch Anhängen an die Nutzungsbedingungen oder die Datenschutzerklärung eingeholt werden. Erwartet wird außerdem, dass sich die Einwilligung später leicht widerrufen lässt; dafür schlägt der Leitfaden ein kleines Symbol in einer Ecke der Seite oder eine schmale Leiste vor. Statt bei jedem Besuch erneut um Einwilligung zu bitten, hält man Erinnerungen in Abständen für angemessen, die zur Lebensdauer des Cookies passen.
Hinzu kommt die Frage der Übermittlung ins Ausland. Verwendet eine in der Türkei betriebene Website das Cookie eines im Ausland ansässigen Unternehmens, muss die über dieses Cookie erfolgende Datenübermittlung Artikel 9 des Gesetzes Nr. 6698 und der Verordnung vom 10. Juli 2024 entsprechen. Die Tags von Werbenetzwerken mit Sitz im Ausland, etwa Google und Meta, fallen meist unter diese Beschreibung.
Was macht Consent Mode?
Consent Mode ist ein Mechanismus, der den Google-Tags die Auswahl in Ihrem Banner mitteilt. Laut Googles Entwicklerdokumentation gibt es vier Einwilligungstypen:
- ad_storage: Steuert, ob Werbe-Cookies gesetzt werden.
- analytics_storage: Legt fest, ob die Analysemessung Cookies verwendet.
- ad_user_data: Erlaubt oder verbietet das Senden werbebezogener Nutzerdaten an Google.
- ad_personalization: Trägt die Einwilligung für personalisierte Werbung.
Die letzten beiden sind mit v2 hinzugekommene Signale. Googles Richtlinie zur Einwilligung von EU-Nutzern verlangt, dass diese Signale für Nutzer im Europäischen Wirtschaftsraum übermittelt werden. Für eine Website, die sich nur an die Türkei richtet, bindet diese Richtlinie Sie nicht unmittelbar; die Verpflichtung ergibt sich aus dem KVKK. Der technische Nutzen ist aber derselbe: Bei einem Besucher, der ablehnt, bleibt das Verhalten der Tags nicht dem Zufall überlassen, sondern entspricht Googles Dokumentation.
Der Standardwert ist die kritischste Zeile
Die Dokumentation verlangt, dass der Befehl gtag('consent', 'default', ...) vor den Messbefehlen ausgeführt wird. In Googles eigenem Beispiel stehen alle vier Typen am Anfang auf denied. Trifft der Besucher im Banner eine Auswahl, wird der neue Status mit gtag('consent', 'update', ...) gemeldet. Wird der Banner nach den Tags auf der Seite geladen, sorgt der Parameter wait_for_update, zum Beispiel mit 500 Millisekunden, dafür, dass die Tags auf die Aktualisierung der Einwilligung warten.
Zu beachten ist Folgendes: Auf Googles Support-Seite steht, dass zwei Einwilligungstypen standardmäßig als „granted“ gelten. Wenn Sie also nichts konfigurieren, laufen die Tags unter der Annahme einer Erlaubnis. Da einwilligungspflichtige Cookies nach dem KVKK zu Beginn ausgeschaltet sein müssen, muss der Standard bewusst auf denied gesetzt werden. Es ist auch möglich, je nach Region unterschiedliche Standardwerte zu definieren, aber für den vom KVKK erfassten Traffic aus der Türkei ist es in der Praxis am einfachsten, mit denied zu beginnen.
Basismodus, erweiterter Modus
Google beschreibt zwei Umsetzungsformen. Im Basismodus bleiben die Google-Tags blockiert, bis der Besucher einwilligt. Kommt keine Einwilligung, werden keine Daten erhoben, und auf der Seite von Google Analytics entstehen auch keine modellierten Daten. Im erweiterten Modus werden die Tags geladen, bevor der Banner erscheint, und senden bei Ablehnung cookielose „Pings“. Laut Google können diese Pings allein keine Person direkt identifizieren und enthalten grobe Ereignisinformationen. Auf der Werbeseite fällt die Conversion-Modellierung ohne Einwilligung auf ein allgemeines Modell zurück, das aus allgemeinen, nicht identifizierenden Variablen wie Browsertyp und Tageszeit gebildet wird.
Google empfiehlt in der eigenen Dokumentation, die Tags in jedem Fall zu laden, also den erweiterten Modus, denn nur dann funktioniert die Modellierung. In den von uns gelesenen Abschnitten des KVKK-Leitfadens gibt es jedoch keine gesonderte Regelung für cookielose Signale. Ob diese Pings unter die ausdrückliche Einwilligung fallen, bedarf einer rechtlichen Auslegung. Unsere Empfehlung: Beginnen Sie mit dem Basismodus, solange Sie sich nicht sicher sind, und wechseln Sie gemeinsam mit Ihrer Rechtsberatung in den erweiterten Modus. Der Verlust an Messung ist billiger als das Risiko, ein falsches Cookie zu setzen.
Fällt ein Besucher, der ablehnt, aus der Messung?
Ja, und das muss man von Anfang an akzeptieren. Die Conversion eines Besuchers, der nicht einwilligt, erscheint in Google Ads und Analytics entweder gar nicht oder wird per Modellierung teilweise geschätzt. Wie viele Menschen ablehnen, hängt vom Publikum Ihrer Website sowie von Gestaltung und Sprache des Banners ab; für die Türkei haben wir keine verlässliche Ablehnungsquote, deshalb nennen wir keine Zahl. Ihre eigene Quote sehen Sie, wenn Sie sie einige Wochen im Tag Manager oder im CMP-Panel beobachten.
Für die Werbesteuerung heißt das: Auf einer Website mit hoher Ablehnungsquote bleiben die von der Plattform gemeldeten Conversions unter den echten Verkäufen. Das beim Blick auf den ROAS zu berücksichtigen, ist wichtig, um Werbung nicht unnötig zu kürzen. Der verlässlichste Abgleich ist der Vergleich der Conversions mit den Bestell- und Terminaufzeichnungen in Ihrem eigenen System. Auf der Meta-Seite gibt es eine ähnliche Unterscheidung; Einwilligungsverwaltung und serverseitiges Tracking sind Thema eines eigenen Beitrags.
Die drei häufigsten Einrichtungsfehler
Erstens: Das Tag läuft ohne Kenntnis von Consent Mode. Ist ein gtag.js oder GA4-Code direkt in den Seitenquelltext eingefügt, wird das Tag unabhängig von der Auswahl im Banner geladen und läuft mit dem Standardverhalten. Man muss über den Tag Manager arbeiten oder den Standardbefehl vor das Tag setzen. Zweitens: den Standardwert gar nicht definieren; wie oben gesehen, gilt er dann bei Google als erteilt. Drittens: nicht testen. Im Banner auf „Ablehnen“ zu klicken und sich den Cookie-Tab des Browsers anzusehen dauert zwei Minuten und endet oft mit einer Überraschung, weil Banner-Einstellungen und Tag-Trigger getrennt konfiguriert werden.
Reihenfolge der Einrichtung
In der Praxis läuft die Reihenfolge so ab. Ermitteln Sie zuerst, welche Cookies und welche Drittanbieter-Tags auf Ihrer Website laufen; der Cookie-Tab der Entwicklerwerkzeuge des Browsers genügt dafür. Richten Sie dann den Banner gemäß KVKK-Leitfaden ein: gleichwertige Schaltflächen, nicht angehakte Kategorien, ein Link zur Datenschutzerklärung. Fügen Sie im dritten Schritt die Consent-Mode-Standardwerte als denied hinzu, sodass sie vor den Google-Tags laufen. Testen Sie im vierten Schritt im Vorschaumodus des Tag Managers mit Ablehnungs- und Akzeptanz-Szenarien, dass die Auswahl im Banner tatsächlich per update-Befehl gesendet wird. Prüfen Sie auch im Browser, dass in einer Sitzung, in der „Ablehnen“ gedrückt wurde, kein Werbe-Cookie gesetzt wird. Aktualisieren Sie schließlich Ihre Cookie-Richtlinie und Ihre Datenschutzerklärung und nennen Sie dort auch die Übermittlung ins Ausland.
Das Gegenstück derselben Logik auf der Automatisierungsseite finden Sie in unserem Beitrag zur KVKK-konformen Automatisierung; dort behandeln wir, in welchem Tool Kundendaten wo liegen.
Häufige Fragen
Reicht die Einrichtung von Consent Mode v2 für die KVKK-Konformität?
Nein. Consent Mode gibt nur die vom Besucher erteilte oder nicht erteilte Einwilligung an die Google-Tags weiter. Dass die Einwilligung KVKK-konform eingeholt wird, also Information, gleich sichtbare Schaltflächen, nicht angehakte Kästchen und die Bedingungen der Übermittlung ins Ausland, muss gesondert sichergestellt werden.
Muss ich Consent Mode einrichten, wenn ich nur in der Türkei werbe?
Googles Einwilligungsrichtlinie ist für Nutzer im Europäischen Wirtschaftsraum verbindlich. Für eine Website, die sich an die Türkei richtet, ergibt sich die Pflicht aus dem KVKK. Die Einwilligung an die Google-Tags zu melden, ist der praktischste Weg, geregelt sicherzustellen, dass bei einem ablehnenden Besucher keine Cookies gesetzt werden.
Basismodus oder erweiterter Modus?
Im Basismodus laufen die Tags bis zur Einwilligung gar nicht. Im erweiterten Modus wird auch bei abgelehnter Einwilligung ein cookieloses Signal gesendet, und Google modelliert. Da der KVKK-Leitfaden keine besondere Regelung für cookielose Signale enthält, ist der vorsichtige Einstieg der Basismodus; bewerten Sie den erweiterten Modus gemeinsam mit Ihrer Rechtsberatung.
Quellen: KVKK, "Çerez Uygulamaları Hakkında Rehber" (Fassung vom Juli 2025) · Google for Developers, "Manage consent settings" · Google Analytics-Hilfe, "Consent mode". Dieser Beitrag dient der allgemeinen Information und ist keine Rechtsberatung.
Kommt Ihre Cookie-Einwilligung wirklich bei Ihren Google-Tags an?
Lassen Sie uns Banner, Tag und Conversion-Setup gemeinsam testen und zeigen, wo Sie Daten verlieren oder zu viel erheben.