Consent Manager

[Volker]

Moin

Ich bastel gerade an einem eigenen Consent Manager den ich noch am entwickeln bin.
Erste Tests waren schon recht zufrieden stellend

Hab ich hier mal eingebaut : https://www.niederastroth.de/block3er/

Unter Komfort sind dann Google Fonts, Youtube und Google Maps z.B. frei zu schalten oder eben auch nicht

Die Konfiguration erfolgt über eine json und kann so vom Webseitenbetreiber leicht selber angepasst werden.
Ziel ist es das über eine Oberfläche einstellen zu können. Man kann auch nach Scripten suchen lassen :

Dafür einfach https://www.niederastroth.de/block3er/?consentconfig=1 im Browser eingeben.

Die gefundenen Scripte werden dann in die json geschrieben - man kann vorher aussuchen in welche Kategorie sie fallen. So mal grob zum Ablauf

Natürlich die Cookie Auswahl der jeweiligen IP´s auch gespeichert und protokolliert DSVGO Konform anonymisiert.

https://www.niederastroth.de/block3er/a ... viewer.php

[Tommy Herrmann]

Moin Volker,

zunächst einmal finde ich Deinen Einsatz großartig! Immer wieder präsentierst Du neue Ideen für Anwendungen. Manche sind wirklich sehr nützlich, andere weniger - das hängt natürlich auch davon ab, was jemand gerade sucht oder braucht.

Bei rechtlichen Fragen bin ich jedoch sehr vorsichtig und in meinem Forum sogar verpflichtet, zumindest vor möglichen rechtlichen Konsequenzen zu warnen.

Dein gerade erst abgeschlossener PHP‑Kurs macht Dich schließlich nicht zum IT‑Juristen, und ich habe den Eindruck, dass Du Dich mit solchen Themen auf sehr dünnem Eis bewegst und Dir das offensichtlich gar nicht bewusst ist.

Ehrlich gesagt fehlt mir jegliches Vertrauen in Dein rechtliches Wissen. Schon der erste Blick in Deinen Quellcode zeigt: Obwohl Google Fonts von mir nicht bestätigt wurde, wird das Google-Fonts‑Skript geladen. Google Fonts setzt zwar keine Cookies wird aber als eine Kategorie eingestuft, die eine Einwilligung (consent) des Nutzers erfordert. Es ist keine Kategorie wie "Marketing" oder "Funktionalität" im herkömmlichen Sinne, sondern eine Dienste-Kategorie, die die Datenweitergabe an Google beinhaltet. Dieser Dienst darf ohne Zustimmung nicht geladen werden da persönliche Nutzerdaten abgegriffen werden und darf daher eigentlich auf keiner Website in Europa ohne ausdrückliche Zustimmung des Nutzers verwendet werden.

Das ist so nicht zulässig und kann von Dritten rechtlich abgemahnt werden.

Die unbewilligte Weitergabe der IP-Adressen an Google wegen Fonts ist mit der DSGVO unvereinbar und darüber hinaus ein Verstoß gegen das allgemeine Persönlichkeitsrecht in Form des informationellen Selbstbestimmungsrechts nach § 823 Abs. 1 BGB.

Auch die Bezeichnungen Deiner Cookie-Kategorien sind meiner Meinung nach fehlerhaft; die einzelnen Cookies Deiner Website müssen außerdem separat aufgeführt und genau beschrieben werden, damit ersichtlich ist, welche Funktionen sie haben.

Persönlich sehe ich mich nicht in der Lage, eine solche Anwendung rechtlich zu prüfen, und werde es daher gar nicht erst versuchen. Ich kann nur dringend davor warnen, rechtlich relevante Anwendungen von Dritten ohne vorherige Prüfung durch einen Fachanwalt zu verwenden.


Ich habe meine KI um Rat gefragt; sie rät ebenfalls davon ab, für solche Angelegenheiten eine KI zu verwenden, und empfiehlt stattdessen rechtlich geprüfte Tools oder fachkundige Rechtsberatung.

Das ist nur ein kleiner Hinweis von mir. Letztlich entscheidet natürlich jeder selbst, welche Software er auf der Webseite einsetzt - aber am Ende ist der Betreiber der Webseite verantwortlich und steht vor Gericht.

Auch hier gilt der berühmte Satz: "Unwissenheit schützt nicht vor Strafe"


Hier die Antwort der KI:

Ah, ich fühl’ dich da total. Ein Cookie-Consent-Manager ist halt nicht “mal eben ein bisschen PHP und fertig”, sondern rechtlich und technisch ein ziemliches Minenfeld. Einfach weil’s um Datenschutz, Tracking, personenbezogene Daten und Einwilligungen geht—und da guckt die DSGVO nicht gerade entspannt weg.

Dass jemand frisch aus dem PHP-Kurs und mit KI-Stützrädern direkt so ein Tool baut… hmm, sagen wir mal: ambitioniert

Nicht falsch, aber definitiv risikobehaftet, wenn er das Ding später öffentlich anbietet oder Kunden es nutzen sollen.



Wo die größten Fallstricke liegen


Rechtlich/DSGVO:

> Einwilligung muss aktiv & freiwillig sein (kein "weiter surfen = ok")

> Keine Cookies vor Zustimmung setzen

> Protokollierung der Einwilligung (Zeitpunkt, Entscheidung, Version der Erklärung)

> Widerruf jederzeit möglich + einfache Änderung der Einstellungen

> Transparente Info welche Cookies / Tools / Zwecke / Anbieter / Speicherdauer

> Zwecktrennung (Marketing vs Statistik vs Essenziell)

> Keine Dark Patterns (Design darf Entscheidung nicht manipulieren)

> Regionale Anforderungen (EU-DSGVO, ePrivacy – und ggf. Länder wie Deutschland/Österreich besonders pingelig)


Technisch:

> Skripte wirklich blockieren, bis Zustimmung vorliegt (Google Analytics, FB Pixel, etc.)

> Asynchrones Laden richtig handeln

> Race-Conditions vermeiden (sonst werden Cookies trotzdem gesetzt)

> Funktion in allen Browsern & Devices

> Updates & Bugfixes – weil Tools und rechtliche Vorgaben sich dauernd ändern

> Sichere Datenhaltung (Consent-Logs = personenbezogene Daten!)


Das ist echt kein Anfängerprojekt, eher so “Entwickler mit Erfahrung und juristischem Input” Niveau.



Wie kann man’s korrekt prüfen?


Juristisch:

> DSGVO-Checkliste abarbeiten

> Vergleich mit etablierten Anbietern (CookieFirst, OneTrust, Borlabs)

> Datenschützer / Anwalt drüberschauen lassen (ja, kostet – lohnt aber)

> Orientierung an Standards wie IAB TCF 2.2 (wenn Werbenetzwerke im Spiel)


Technisch:

> Browser-DevTools → Network + Cookies → prüfen, ob vor Consent was gesetzt wird

> Test-Tools wie:

> Webbkoll

> CookieServe / Cookiebot Scanner

> browser-privacy-reports

> Penetration-Test light bzw. Sicherheit auf Basics checken


Und ganz ehrlich: KI-Hilfe ist okay, aber KI spuckt eben auch mal halbrichtiges oder veraltetes DSGVO-Zeug aus. Ohne eigenes Verständnis wird’s gefährlich!



Fazit:

Kann man machen — wenn es nur ein Lernprojekt ist

Wenn es kommerziell oder für andere Webseiten sein soll → Vorsicht, lieber mit Profi-Review



Mein Rat an den Kollegen:

> Lernen ja → super!

> Live-Einsatz ohne Rechts-/Tech-Audit → risky business → extrem riskant

> Besser: Open-Source-Consent-Frameworks verwenden und anpassen, statt neu erfinden.



Wenn du magst, kann ich dir sogar eine kleine Checkliste bauen, die du ihm geben kannst. Oder wir machen einen Mini-Audit für den Prototyp – ganz ohne Anwaltssprechstunde, versprochen

[Volker]

Moin Tommy,

ich denke das wir beide der Meinung sind, das der Mobirise eigene Consent Manager nicht DSVGO konform ist und
man damit auch auf keinen Fall auf der 100% rechtlich sicheren Seite ist. Auch wenn man erstmal alles blocken kann

Zum Thema Google Fonts: JA das ist ein Problem, wenn man die nicht lokal einbindet, so wie Du
Wenn Du das nämlich nicht machen würdest, hätte auch Dein monatlich oder jährlich bezahlter Dienst cookiefirst Probleme die abzufangen, weil auch Das Script von denen kommt in der ´Reihenfolge nach der Google API.

Und JA ich bin kein Anwalt, aber auch die DSVGO ist keine Raketentechnik Ich sagte ja ich "bastel" !!
Die Testseite ist eine reine Mobirise Seite, eben so wie Mobirise sie erstellt - mit Google Fonts direkt aus der Google API.

Genau das ist ein Thema, welches ich probiere in den Griff zu bekommen

Niemand ist gezwungen meine Scripte zu laden oder zu nutzen. Wer was nicht brauchen kann - OK. Allerdings habe ich auch schon zig positive Rückmeldungen ...aber das gehört jetzt nicht zum Thema

Das die Texte und auch das gesamte Script noch nicht Fehlerfrei ist sagte ich ja oben bereits schon. Was geht ist Maps und Youtube sicher zu unterbinden. Ebenfalls funktioniert die DSVGO konforme Speicherung der Daten, denn mehr braucht es nicht als das was ich da mache -( kann man ja alles auch nachlesen )

Dann möchte ich anmerken, das ich hier so ziemlich der einzige bin, der anstatt nur zu Fragen auch mal Antworten gibt Auch auf Fragen die eventuell noch gar nicht gestellt wurden Und eben Mehr oder weniger nützliche Tools entwickelt ( mit meinem PHP Grundkurs) die auf jeden Fall mal laufen

Ich werde mich weiterhin mit diesem consent Tool beschäftigen und meine Erfolge einfach für mich beahlten und wenn er denn mal richtig läuft, nur auf meiner Seite einsetzen. Also keine Angst vor Werbung oder Angebot zum Download Tommy

[Tommy Herrmann]

Ja, das ist zwar lobenswert, aber ich bezweifle, dass du rechtlich so informiert bist, um ein solches Tool anbieten zu dürfen.

Natürlich "muss" es niemand verwenden, aber man sollte sich auf solche Angebote — gerade wenn sie in meinem Forum gemacht werden — rechtlich zu 100 % verlassen können. Hier geht es nicht um Spielerei, sondern um potenziell Tausende an Euros an Abmahnungen.

Du kannst ja mal versuchen, Google Fonts bereits beim Laden zu sperren (das könnte Cookie First zwar auch, aber meine Lösung ist mit lokalen Fonts ist besser und sauberer. Der Browser würde dann trotzdem eine Ersatzschrift anzeigen.

Es geht ja auch nicht nur um einzelne Sperrungen wie Google Fonts oder Maps. Die rechtlichen Vorgaben der DSGVO umfassen Tausende von Paragrafen und Vorschriften, die nicht einmal alle Anwälte vollständig kennen. Wie solltest du das wissen oder in deiner Anwendung alles berücksichtigen? Genau das meine ich: Du konstruierst hier etwas, das du rechtlich überhaupt nicht beurteilen kannst - und auch keine KI!

Und nein: Mobirise hat drei unterschiedliche Cookie-Consent-Varianten, die funktionieren. Hier die Varianten 1 und 2:

Variante 1 macht eigentlich nichts, außer auf Cookies hinzuweisen. Variante 2 sperrt Anwendungen wie z.B. Google-Maps:

https://www.mobirise-tutorials.com/Test ... e-Alert-1/

https://www.mobirise-tutorials.com/Test ... e-Alert-2/

Deshalb gibt es auch noch Variante 3 — dort wird alles gesperrt und eine schwarze Seite wird dargestellt. Geht - aber sieht schrecklich aus.

[Volker]

Du willst jetzt aber nicht damit sagen das die Mobirsie Dinger DSGVO Konform sind Sind sie nämlich nicht !
Wer das aktiviert und glaubt er sei Sicher irrt gewaltig. Aber ist auch müsig jetzt darüber zu diskutieren.

Dann bau ich mir lieber meinen ein auch wenn der nicht 100% ist. Allemal sicherer als der von Mobirise.
Fonts kann ich auch lokal einbinden - Den Rest schaffe ich

Ein DSGVO-konformer Consent Manager ist ein Werkzeug, das Websites verwenden, um die Einwilligung von Nutzern zur Verarbeitung ihrer personenbezogenen Daten und zur Nutzung von Cookies einzuholen, zu speichern und zu verwalten. Er sorgt dafür, dass die Verarbeitung von Daten rechtmäßig erfolgt, indem er Nutzer transparent über die Datenerfassung informiert und sicherstellt, dass Daten nur nach ausdrücklicher Zustimmung verarbeitet werden. Wichtige Merkmale sind die dynamische Anpassung an Gesetzesänderungen und die Blockierung von Skripten, bis die Zustimmung vorliegt.
So funktioniert ein DSGVO-konformer Consent Manager
Erfassung der Einwilligung: Ein Banner oder Pop-up informiert Nutzer transparent über die verwendeten Cookies und Datenverarbeitung.
Erfolgslose Einwilligung: Wenn ein Nutzer seine Zustimmung verweigert, werden die entsprechenden Skripte oder Cookies blockiert und es werden keine Daten weitergegeben.
Erfolgreiche Einwilligung: Wenn der Nutzer zustimmt, werden die Dienste aktiviert und die Zustimmung wird nach DSGVO-Vorgaben dokumentiert und gespeichert.
Anpassung an Änderungen: Der Consent Manager passt sich dynamisch an Änderungen im Datenschutzrecht und in den technischen Anforderungen an.
Rechtssicherheit: Der Manager bietet Rechtssicherheit, da er die Einhaltung der DSGVO-Vorgaben unterstützt.
Wichtige Funktionen
Cookie-Scanner: Scannt die Website, um alle Cookies und Tracking-Verfahren zu identifizieren.
Dynamische Anpassung: Passt die Einwilligungseinstellungen automatisch an Änderungen der Gesetze oder der technischen Vorgaben an.
Transparente Darstellung: Bietet klare Informationen über die Zwecke der Datenerhebung.
Dokumentation: Speichert die Einwilligungen der Nutzer rechtskonform.

Dokumentation - hab ich
Scannt die Website, um alle Cookies und Tracking-Verfahren zu identifizieren - hab ich

Fehlt leider bei Mobirise

Aber ich sag jetzt auch nichts mehr zu dem Thema.