Cookie и согласие в Германии: что нужно рекламодателю

В Германии трекинг начинается с вопроса к посетителю, и пока он не ответил, измерять нельзя. Так требует § 25 TDDDG (закон о защите данных в телекоммуникациях и цифровых услугах): без согласия нельзя ни сохранять информацию на устройстве, ни считывать её, исключений мало. Того же от рекламодателей требует собственная политика согласия Google. Для компании, которая рекламируется здесь из-за границы, это значит две вещи. Часть ваших посетителей ответит «нет» и пропадёт из данных о конверсиях. А cookie-баннер на странице ещё не значит, что теги ждут ответа.

Я работал для Google над настройкой аналитики, и согласие — первое, что я проверяю в аккаунте. Ниже: что требует закон, что Consent Mode решает и чего не решает, что я измерил на сайтах немецких компаний, и чек-лист. Я не юрист, и это не юридическая консультация.

1. Что требует закон до начала измерения

Действуют сразу два слоя правил. Один защищает устройство, другой — персональные данные.

§ 25 TDDDG: устройство

§ 25 TDDDG разрешает сохранять информацию на устройстве пользователя или считывать информацию, которая там уже хранится, только если пользователь дал согласие на основе понятной и полной информации. Само согласие должно соответствовать требованиям GDPR (Общего регламента ЕС по защите данных). Есть два исключения: передача сообщения и хранение или доступ, строго необходимые для цифровой услуги, которую пользователь прямо запросил.

Для рекламодателей важны три детали.

• Персональные данные не обязательны. Немецкие органы по защите данных пишут в своём руководстве для поставщиков цифровых услуг, что требование согласия действует независимо от того, относится ли информация к человеку.
• Сначала согласие. В том же руководстве сказано, что согласие должно быть дано до обращения к устройству. Ставить cookie при первой загрузке страницы и спрашивать потом нельзя.
• Регистрация за границей сама по себе не выводит вас из-под закона. Закон применяется ко всем компаниям, у которых есть постоянное подразделение в Германии, которые оказывают здесь услуги или предлагают здесь товары на рынке (§ 1 TDDDG). Тот же параграф оставляет без изменений § 3 DDG (закон о цифровых услугах), правило страны происхождения для цифровых услуг. Как эти две нормы сочетаются для компании, учреждённой в другой стране ЕС, — вопрос к юристу.

За сохранение или считывание информации в нарушение этого параграфа штраф может достигать 300 000 € (§ 28 TDDDG).

GDPR: персональные данные

GDPR применяется к компании за пределами ЕС, когда она обрабатывает персональные данные людей в ЕС в связи с предложением им товаров или услуг либо с отслеживанием их поведения (ст. 3(2)). В этом случае компания должна письменно назначить представителя в ЕС, за некоторыми исключениями (ст. 27).

Согласие — это добровольное, конкретное, осознанное и однозначное выражение воли: заявление или явное подтверждающее действие (ст. 4(11)). Пункт 32 преамбулы добавляет, что молчание, заранее проставленные галочки и бездействие не считаются согласием. Вы должны уметь доказать, что человек дал согласие (ст. 7(1)), а отозвать согласие должно быть так же просто, как его дать (ст. 7(3)). За нарушение условий согласия штраф может достигать 20 млн € или 4 % мирового годового оборота, в зависимости от того, что больше (ст. 83(5)).

Кнопка отказа

О баннере в руководстве сказано конкретно. Если баннер закрывает содержимое и посетитель не может его просто проигнорировать, отказ не должен требовать больше кликов, чем согласие. Пример лишних усилий оттуда же: отказаться можно только на втором уровне баннера.

Административный суд Ганновера решил так же в первой инстанции 19 марта 2025 года. По сообщению органа по защите данных земли Нижняя Саксония, суд постановил, что хорошо заметная кнопка «отклонить всё» должна находиться на первом уровне баннера, если есть вариант «принять всё». Суд также подтвердил позицию органа, что использование Google Tag Manager требует согласия. Это решение одного суда, но я всё равно на него ориентируюсь.

2. Что Consent Mode решает, а что нет

Что он делает: по словам Google, Consent Mode позволяет передавать Google статус согласия ваших пользователей на cookie, а теги подстраиваются под него. Вариантов два.

• Basic. Теги Google блокируются, пока посетитель не взаимодействует с баннером. Если посетитель не даёт согласия, Google не передаётся ничего, даже статус согласия.
• Advanced. Теги Google загружаются, когда посетитель открывает сайт. Пока согласие отклонено, они отправляют пинги без cookie. По ним Google строит модель конверсий отдельно для каждого рекламодателя.

Моделирование не включается само. Одно из условий Google: 700 кликов по рекламе за семь дней на страну и группу доменов. И Google ждёт сигналов: чтобы и дальше использовать его теги для измерения, персонализации рекламы и ремаркетинга, вы должны собирать согласие у пользователей из ЕЭЗ и передавать сигналы согласия Google.

Чего он не делает:

1. Это не баннер. На странице Google о Consent Mode сказано, что он не предоставляет баннер или виджет согласия. Сбор согласия остаётся вашей задачей.
2. Он управляет только теми тегами, которые его слушают. Документация Google для разработчиков перечисляет теги со встроенными проверками согласия: Google tag, Google Analytics, Google Ads, Floodlight и Conversion Linker. Для тегов без встроенных проверок она отсылает к настройкам согласия в Tag Manager, где проверки вы добавляете сами. Для пикселя Meta или LinkedIn я задаю это условие вручную.
3. Он не отвечает на юридический вопрос. В варианте Advanced теги Google загружаются при открытии страницы и отправляют пинги, пока согласие отклонено. Суд Ганновера потребовал согласия для самого Google Tag Manager. В своём исследовании я считал отдельно сайты, которые отправляли только пинги с пометкой «denied»: 859 из 41 161, то есть 2,1 %. Какой вариант использовать, решают ваш юрист или уполномоченный по защите данных.
4. Он не настраивается сам. В том же исследовании 3 066 сайтов отправили запросы в Google Analytics 4 до любого клика. У 2 027 из них не было никакого статуса согласия, 896 сообщили «denied», 115 сообщили «granted» до любого клика, а у 28 картина была смешанной или неясной.

Шаги настройки описаны в статье Настройка Consent Mode v2.

3. Что показали три моих исследования сайтов немецких компаний

Во всех трёх исследованиях одна и та же выборка: 50 000 адресов сайтов, выбранных случайно из 350 146 немецких компаний, у которых в OpenStreetMap указан сайт. В каждом исследовании своё число сайтов, которые удалось проверить.

Трекинг до согласия

С 23 по 26 сентября 2026 года я открыл каждый адрес в настоящем браузере и записал, что происходит до любого клика. Доступен был 41 161 сайт.

• У 59,5 % был cookie-баннер, который смог обнаружить браузер.
• 8,8 %, то есть 3 619 сайтов, отправили данные сервису измерения или рекламы до любого клика, без сигнала «denied». 95-процентный доверительный интервал: от 8,5 % до 9,1 %.
• На 2 619 из этих 3 619 сайтов браузер обнаружил баннер.
• На 2 670 из них это были Google Analytics или Google Ads.
• На фиксированной четверти сайтов (10 173) браузер затем пытался нажать кнопку согласия и нашёл её на 5 212 из них. Из 1 854 сайтов среди них, где был виден трекинг, 573 измеряли до клика. Это 30,9 %. 1 079 не отправляли измерений до клика.
• Ещё 1 733 сайта, 4,2 %, загрузили скрипт трекинга до клика, но пока не измеряли через него.

Полные результаты в статье Трекинг до согласия.

Google Fonts

На 22 сентября 2026 года из 38 065 доступных сайтов 18,7 % всё ещё загружали шрифты с серверов Google (около 17,7 процентного пункта я наблюдал напрямую, остальное оценил по повторной проверке 185 сайтов). Я также проверил 706 крупных немецких компаний, из них 540 были доступны. У них этот показатель составил 10,1 %.

При чём здесь согласие: в январе 2022 года земельный суд Мюнхена I (Landgericht München I) как суд первой инстанции обязал владельца сайта выплатить 100 €, потому что IP-адрес посетителя был передан Google через Google Fonts без согласия. Суд отметил, что шрифты можно использовать без подключения к серверам Google. Подробности в статье Google Fonts и GDPR.

Юридические страницы

Для третьего исследования я загрузил адреса 24 сентября 2026 года. 38 958 вернули зашифрованную страницу без ошибки, а 37 393 главные страницы удалось проанализировать. Примерно у 10,9 % из них не было ссылки на политику конфиденциальности (диапазон от 8,7 % до 14,7 %, проверено в браузере). Остальное в статье Сайты немецких компаний 2026.

Это местные немецкие компании, от ресторанов до юридических фирм, а не выборка рекламодателей. Для меня эти цифры показывают общий фон: баннер на странице мало говорит о том, что происходит за ним.

Вывод

Чек-лист для рекламодателя, который находится за границей:

1. Перечислите все теги на лендингах и отметьте, что каждый из них сохраняет или считывает на устройстве.
2. Баннер на немецком с кнопками «принять» и «отклонить» на первом уровне, с одинаковым числом кликов для обеих.
3. Все сигналы согласия по умолчанию в «denied». Загружаются ли теги Google до выбора (Advanced) или только после него (Basic), решают ваш юрист или уполномоченный по защите данных. Все остальные теги ждут «да».
4. Добавьте проверки согласия в Tag Manager для каждого тега, который не от Google.
5. Проверьте в свежем окне браузера, ничего не нажимая. Пятиминутный способ описан в исследовании, а проверка трекинга (на английском) даёт первое представление.
6. Ведите учёт согласий, ставьте ссылку на политику конфиденциальности на каждом лендинге и сделайте так, чтобы отозвать согласие было так же просто, как дать.
7. Размещайте шрифты у себя. Проверка Google Fonts (на английском) показывает, обращается ли страница всё ещё к Google.
8. Если ваша компания за пределами ЕС, спросите юриста о представителе по ст. 27.
9. Учитывайте потери в данных. Посетители, которые отказываются, пропадают из данных о конверсиях, поэтому оценивайте кампании по тому, что остаётся после отказов.

С чем я бы не связывался: баннер с единственной кнопкой «OK» и любая настройка, которую никто не проверял при ещё открытом баннере.

Если вы хотите, чтобы я посмотрел вашу настройку согласия и трекинга до начала рекламы в Германии, запишитесь на первый созвон.