Was ist eine CMP (Consent-Management-Plattform)?

Die Abkürzung steht für Consent-Management-Plattform. Die verbreitetste Verwechslung setzt sie mit dem Cookie-Banner gleich. Das Banner ist der sichtbare Teil. Die CMP ist das ganze System: der Scan, der aufdeckt, welche Cookies und welche Anbieter es auf der Website gibt, die Logik, die je nach Herkunftsland des Besuchers den passenden Hinweis auswählt, das Protokoll jeder Entscheidung mit Zeitstempel und der Weg, sie später zu widerrufen.

Daraus folgt die zweite, deutlich teurere Verwechslung. Eine CMP macht eine Website nicht rechtskonform. Eine CMP setzt eine Entscheidung um, sie trifft sie nicht. Wenn der Hinweis Kategorien anbietet, die der tatsächlichen Verarbeitung nicht entsprechen, wenn Ablehnen mehr Mühe kostet als Zustimmen oder wenn die Tags schon vor der Antwort auslösen, läuft das System und die Website bleibt trotzdem angreifbar.

Abzugrenzen ist sie auch vom Einwilligungsmodus. Die CMP holt die Entscheidung ein und speichert sie. Der Einwilligungsmodus übersetzt sie in die Signale, die die Google-Tags verstehen. Es sind getrennte Bausteine, die miteinander verbunden werden, und keiner erledigt die Arbeit des anderen.

Der Ablauf beginnt mit einer Bestandsaufnahme. Die CMP durchsucht die Website, erkennt Cookies, Pixel und externe Anbieter und ordnet sie Kategorien zu. Auf diesem Bestand baut der Hinweis auf, mit einer kurzen ersten Ebene und einer zweiten Ebene, auf der der Nutzer nach Kategorie oder nach Anbieter zustimmen oder ablehnen kann.

Antwortet die Person, speichert die Plattform die Entscheidung mit Datum, Fassung des angezeigten Textes und Geltungsbereich und stellt sie dem Rest der Website auf zwei Wegen bereit. Zum einen blockiert oder gibt sie Skripte je nach Kategorie frei. Zum anderen sendet sie Signale an externe Systeme, darunter die des Einwilligungsmodus an die Google-Tags.

Im Werbeökosystem ist diese Kommunikation durch das Transparency and Consent Framework von IAB Europe standardisiert. Die CMP kodiert die Entscheidungen in einer Zeichenkette, dem TC String, der die erlaubten Zwecke und die konkreten Anbieter der Global Vendor List festhält. Jeder Teilnehmer des Rahmenwerks liest diese Zeichenkette und richtet seine Verarbeitung danach aus. Fassung 2.3 des Rahmenwerks erschien im April 2025, verbindlich für die Teilnehmer ab dem 28. Februar 2026.

Hinzu kommt eine Zertifizierungsebene. Google verlangt eine zertifizierte, ins TCF eingebundene CMP, um personalisierte Werbung im Inventar von AdSense, Ad Manager und AdMob auszuliefern: seit dem 16. Januar 2024 im Europäischen Wirtschaftsraum und im Vereinigten Königreich, seit dem 31. Juli 2024 in der Schweiz. Die Liste der zertifizierten Plattformen ist öffentlich und wird regelmäßig aktualisiert.

Die Entscheidung, die von einer CMP abhängt, betrifft die Datenverantwortung, nicht den Einkauf. Sie bestimmt, was gemessen wird und was nicht, und damit, welcher Teil des Geschäfts in den Berichten dokumentiert ist. Eine mehrheitliche Ablehnung, sauber umgesetzt, verringert die analytische Abdeckung sichtbar und ehrlich. Eine Konfiguration, die diese Ablehnung übergeht, liefert vollständige Daten und ein offenes Risiko.

Für Werbung entscheidet die Zertifizierung über den Zugang. Ohne zertifizierte, ins TCF eingebundene CMP ist der betroffene Traffic in den genannten Google-Produkten nicht mehr für personalisierte Werbung geeignet und erhält nicht personalisierte oder eingeschränkte Anzeigen, sofern das Format das zulässt. Für einen Publisher bedeutet das geringere Erlöse je tausend Impressionen.

Eine interne Folge wird meist unterschätzt. Das Entscheidungsprotokoll ist der Nachweis, den man vorlegt, wenn jemand nach der Grundlage für die Verarbeitung eines konkreten Datums fragt. Bewahrt die Plattform dieses Protokoll nicht abrufbar und exportierbar auf, stützt sich die Verteidigung am Ende auf Bildschirmfotos. Ob das Vorgehen im Einzelfall angemessen ist, muss eine juristische Beratung bewerten.

• Die Website nach jedem Rollout erneut scannen, weil ein neuer Anbieter unangekündigt über irgendeine Marketing-Integration hereinkommt.
• Prüfen, ob Ablehnen genauso wenig Mühe kostet wie Zustimmen, gemessen an Klickzahl und Sichtbarkeit der Schaltfläche.
• Im Browser nachsehen, ob vor der Antwort wirklich kein nicht notwendiges Cookie geschrieben wird, statt sich auf das Dashboard des Werkzeugs zu verlassen.
• Die CMP mit dem Einwilligungsmodus verbinden und bestätigen, dass die vier Signale bei Zustimmung und Ablehnung tatsächlich umschalten.
• Das Entscheidungsprotokoll mit Datum, Textfassung und Geltungsbereich aufbewahren und den Export kennen, bevor man ihn braucht.
• Zertifizierung und TCF-Fassung der eingesetzten Plattform jedes Mal prüfen, wenn das Rahmenwerk eine neue Fassung veröffentlicht.

• Die Website für konform halten, weil das Banner steht, ohne zu prüfen, was technisch passiert, wenn jemand ablehnt.
• Analytics oder den Werbepixel vor der Entscheidung laden und danach abschalten, wenn das Cookie längst geschrieben ist.
• Die Zustimmen-Schaltfläche hervorheben und das Ablehnen hinter einem Einstellungsmenü verstecken.
• Eine Plattform wählen, ohne zu prüfen, ob sie in der Liste der zertifizierten steht, obwohl das Geschäftsmodell von personalisierter Werbung lebt.
• Den Hinweis übersetzen und dabei vergessen, dass Geltungsbereich und Kategorien der tatsächlichen Verarbeitung im jeweiligen Markt entsprechen müssen.