Cookie-Einwilligung aus Claude Code,
ein Befehl und ein Prompt

Claude Code kann die App schreiben, aber ohne Werkzeuge nicht konform machen, und ein kosmetisches Banner, das es selbst erfindet, blockiert nichts.

Die Regel ist überall in der EU und im Vereinigten Königreich dieselbe: Ohne Zustimmung darf nichts über das unbedingt Notwendige hinaus auf dem Gerät eines Besuchers gespeichert oder von dort ausgelesen werden. Das ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie, und die Zustimmung muss der DSGVO-Definition von Einwilligung genügen: freiwillig, spezifisch, informiert und unmissverständlich, mit einer Ablehnung, die so einfach ist wie die Annahme. Das Vereinigte Königreich hält dieselbe Regel in PECR fest, mit engen Ausnahmen für risikoarme Statistiken seit dem 5. Februar 2026. Kalifornien und die anderen US-Bundesstaaten funktionieren umgekehrt: kein Opt-in, aber ein Opt-out-Link und Unterstützung für das Global-Privacy-Control-Signal.

Für eine Website folgen daraus drei Dinge. Analyse-, Werbe- und Social-Media-Skripte müssen auf eine Entscheidung warten. Die Entscheidung muss so aufgezeichnet werden, dass Sie sie später vorzeigen können, denn Artikel 7 Absatz 1 legt die Beweislast bei Ihnen. Und der Widerruf muss so einfach sein wie die Zustimmung, also braucht es auf jeder Seite ein Bedienelement, das das Banner wieder öffnet. Ein Banner, das zwei Buttons zeigt und Google Analytics trotzdem lädt, fällt beim ersten Test durch, und genau dieses Versagen ahnden die Aufsichtsbehörden, von den CNIL-Entscheidungen gegen Google und SHEIN bis zu den Prüfwellen der niederländischen und belgischen Behörden.

Claude Code arbeitet in Ihrem Repo und kann sowohl die CookieCrumbs-CLI als auch den MCP-Server ausführen, was es zur vollständigsten der Agenten-Einrichtungen macht. Mit registriertem Server scannt es die Website, liest die Funde, sortiert jeden Anbieter ein, setzt Impressum- und Datenschutz-Links, führt das Rechts-Lint aus und veröffentlicht. Mit der CLI führt es außerdem npx cookiecrumbs init im Repo aus, committet cookiecrumbs.config.ts und öffnet den Pull Request mit dem Tag in der richtigen Datei für Ihr Framework.

Jeder Schreibvorgang durchläuft dieselbe zweistufige Schranke: ein Vorschlag mit Diff und Lint, dann eine Bestätigung. Claude Code zeigt Ihnen das Diff vor der Bestätigung, so wie es Ihnen Dateiänderungen zeigt, und der Audit-Trail hält jeden bestätigten Schreibvorgang als „via MCP“ mit dem Namen des Tokens fest. Tokens tragen nie Abrechnungs- oder Team-Rechte, egal was der Agent verlangt.

Das Ergebnis ist eine wiederholbare, prüfbare Einrichtung: Das Banner ist eine Datei in Git, der Scan ist ein CI-Gate, und das Einwilligungsprotokoll zeichnet in Frankfurt auf. Wenn eine spätere Änderung einen Tracker hinzufügt, lässt cookiecrumbs scan --fail-on-unknown den Build fehlschlagen, und Claude Code kann den neuen Anbieter in derselben Sitzung einsortieren.

Bitten Sie den Agenten, den Advanced Consent Mode zu aktivieren, und er setzt das Flag in der Konfiguration; die Runtime erledigt den Rest, bevor ein Google-Tag lädt.

Google Consent Mode v2 ist die Signalebene zwischen dem Banner und Googles Tags. Bevor ein Tag läuft, werden sieben Signale (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) für Besucher im EWR, im Vereinigten Königreich und in der Schweiz auf „denied“ gesetzt. Sobald jemand entscheidet, aktualisiert die Runtime sie und Googles Tags passen sich an. Seit dem 15. Juni 2026 verwendet Google ad_storage als maßgebliches Signal für Ads-Daten, der richtige Standardwert ist also wichtiger als früher.

CookieCrumbs setzt die Standardwerte synchron, vor jedem Tag-Manager, aktualisiert sie bei jeder Entscheidung und liefert eine Google-Tag-Manager-Vorlage mit, damit die Consent-Trigger ohne handgeschriebene Listener existieren. Im Advanced-Modus halten Googles cookielose Pings die modellierten Conversions für Besucher am Laufen, die Nein gesagt haben. Was es nicht tut: sich als von Google zertifizierte CMP ausgeben. Für AdSense, Ad Manager oder AdMob im EWR brauchen Sie weiterhin eine mit IAB TCF, und das ist CookieCrumbs heute nicht.