Cookie-Einwilligung aus Cursor,
mit einem Diff, das Sie prüfen

Cursor kann die App schreiben, aber ohne Werkzeuge nicht konform machen, und ein kosmetisches Banner, das er selbst erfindet, blockiert nichts.

Die Regel ist überall in der EU und im Vereinigten Königreich dieselbe: Ohne Zustimmung darf nichts über das unbedingt Notwendige hinaus auf dem Gerät eines Besuchers gespeichert oder von dort ausgelesen werden. Das ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie, und die Zustimmung muss der DSGVO-Definition von Einwilligung genügen: freiwillig, spezifisch, informiert und unmissverständlich, mit einer Ablehnung, die so einfach ist wie die Annahme. Das Vereinigte Königreich hält dieselbe Regel in PECR fest, mit engen Ausnahmen für risikoarme Statistiken seit dem 5. Februar 2026. Kalifornien und die anderen US-Bundesstaaten funktionieren umgekehrt: kein Opt-in, aber ein Opt-out-Link und Unterstützung für das Global-Privacy-Control-Signal.

Für eine Website folgen daraus drei Dinge. Analyse-, Werbe- und Social-Media-Skripte müssen auf eine Entscheidung warten. Die Entscheidung muss so aufgezeichnet werden, dass Sie sie später vorzeigen können, denn Artikel 7 Absatz 1 legt die Beweislast bei Ihnen. Und der Widerruf muss so einfach sein wie die Zustimmung, also braucht es auf jeder Seite ein Bedienelement, das das Banner wieder öffnet. Ein Banner, das zwei Buttons zeigt und Google Analytics trotzdem lädt, fällt beim ersten Test durch, und genau dieses Versagen ahnden die Aufsichtsbehörden, von den CNIL-Entscheidungen gegen Google und SHEIN bis zu den Prüfwellen der niederländischen und belgischen Behörden.

Cursor spricht MCP, und der CookieCrumbs-Server antwortet darin. Sobald der Server in .cursor/mcp.json steht, sieht der Agent eine Werkzeugliste, die das Dashboard spiegelt: Websites auflisten und anlegen, Scans starten und lesen, erklären, warum ein Tracker so klassifiziert wurde, die Banner-Konfiguration aktualisieren, pushen, veröffentlichen, die Einwilligungszusammenfassung lesen, Protokolle exportieren. Er sieht nur die Werkzeuge, die Ihr Token erlaubt; ein Nur-Lese-Token zeigt nie ein Schreibwerkzeug.

Interessant ist, wie Schreibvorgänge funktionieren. Jedes Werkzeug, das etwas ändert, nimmt ein confirm-Flag. Der erste Aufruf antwortet mit einem Unified Diff der Konfiguration plus Rechts-Lint (gleiche Prominenz, Kontrast, die zwei rechtlichen Links) und ändert nichts. Erst ein zweiter Aufruf mit confirm: true schreibt, und er landet als „via MCP“ mit dem Namen des Tokens im Audit-Trail. Das macht es sicher, „richte die Cookie-Einwilligung für dieses Projekt ein“ zu sagen und das Ergebnis zu lesen, statt es zu babysitten.

Was der Agent nicht kann, ist das Tag von außen in Ihre Seite zu setzen. Er reicht Ihnen das Snippet für Ihr Framework und bearbeitet, wenn Sie im Repo sind, die Datei mit Ihrer Prüfung wie jede andere Änderung. Der Installations-Check im Dashboard beweist dann, dass die Runtime vor jedem Tracker läuft, und auch dieses Ergebnis kann Cursor lesen.

Bitten Sie den Agenten, den Advanced Consent Mode zu aktivieren, und er setzt das Flag in der Konfiguration; die Runtime erledigt den Rest, bevor ein Google-Tag lädt.

Google Consent Mode v2 ist die Signalebene zwischen dem Banner und Googles Tags. Bevor ein Tag läuft, werden sieben Signale (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) für Besucher im EWR, im Vereinigten Königreich und in der Schweiz auf „denied“ gesetzt. Sobald jemand entscheidet, aktualisiert die Runtime sie und Googles Tags passen sich an. Seit dem 15. Juni 2026 verwendet Google ad_storage als maßgebliches Signal für Ads-Daten, der richtige Standardwert ist also wichtiger als früher.

CookieCrumbs setzt die Standardwerte synchron, vor jedem Tag-Manager, aktualisiert sie bei jeder Entscheidung und liefert eine Google-Tag-Manager-Vorlage mit, damit die Consent-Trigger ohne handgeschriebene Listener existieren. Im Advanced-Modus halten Googles cookielose Pings die modellierten Conversions für Besucher am Laufen, die Nein gesagt haben. Was es nicht tut: sich als von Google zertifizierte CMP ausgeben. Für AdSense, Ad Manager oder AdMob im EWR brauchen Sie weiterhin eine mit IAB TCF, und das ist CookieCrumbs heute nicht.