Cookie-Einwilligung für Lovable,
mit einem Prompt

Ein Standard-Lovable-Projekt setzt Analyse- und Marketing-Cookies, sobald diese Skripte hinzugefügt werden. Genau dieses Verhalten ahnden europäische Aufsichtsbehörden, und die rechtliche Pflicht liegt bei Ihnen, dem Betreiber, nicht beim Werkzeug, das den Code erzeugt hat.

Die Regel ist überall in der EU und im Vereinigten Königreich dieselbe: Ohne Zustimmung darf nichts über das unbedingt Notwendige hinaus auf dem Gerät eines Besuchers gespeichert oder von dort ausgelesen werden. Das ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie, und die Zustimmung muss der DSGVO-Definition von Einwilligung genügen: freiwillig, spezifisch, informiert und unmissverständlich, mit einer Ablehnung, die so einfach ist wie die Annahme. Das Vereinigte Königreich hält dieselbe Regel in PECR fest, mit engen Ausnahmen für risikoarme Statistiken seit dem 5. Februar 2026. Kalifornien und die anderen US-Bundesstaaten funktionieren umgekehrt: kein Opt-in, aber ein Opt-out-Link und Unterstützung für das Global-Privacy-Control-Signal.

Für eine Website folgen daraus drei Dinge. Analyse-, Werbe- und Social-Media-Skripte müssen auf eine Entscheidung warten. Die Entscheidung muss so aufgezeichnet werden, dass Sie sie später vorzeigen können, denn Artikel 7 Absatz 1 legt die Beweislast bei Ihnen. Und der Widerruf muss so einfach sein wie die Zustimmung, also braucht es auf jeder Seite ein Bedienelement, das das Banner wieder öffnet. Ein Banner, das zwei Buttons zeigt und Google Analytics trotzdem lädt, fällt beim ersten Test durch, und genau dieses Versagen ahnden die Aufsichtsbehörden, von den CNIL-Entscheidungen gegen Google und SHEIN bis zu den Prüfwellen der niederländischen und belgischen Behörden.

Lovable erzeugt eine React-App auf Vite mit Tailwind und shadcn/ui, meist mit Supabase dahinter, und veröffentlicht sie auf einer lovable.app-Subdomain oder Ihrer eigenen Domain. Die Consent-Runtime gehört in die eine Datei, die jede Vite-App hat: index.html, als erstes im Head. Lovable bearbeitet diese Datei, wenn Sie es darum bitten, und behält die Änderung über spätere Prompts hinweg.

Was Lovable von sich aus nicht tut, ist blockieren. Bitten Sie um „ein Cookie-Banner“, schreibt das Modell eine Komponente, die zwei Buttons zeigt und einen Boolean speichert, während das zuvor eingefügte Google-Analytics- oder Meta-Pixel-Snippet bei jedem Seitenaufruf weiterläuft. Das ist schlimmer als kein Banner: Es sieht konform aus und ist es nicht. Der Prompt unten tut die zwei Dinge, die zählen, in der richtigen Reihenfolge: zuerst die Runtime, dann jeden Tracker zu einem einwilligungspflichtigen Skript machen.

Danach übernimmt der Scanner. Er lädt Ihre veröffentlichte App in einem echten Browser, in jedem Einwilligungszustand, und listet auf, was noch vor der Einwilligung feuert, falls überhaupt. Da Lovable-Apps Single-Page-Apps sind, folgt der Scan den clientseitigen Routen, die er im gerenderten DOM entdeckt; fügen Sie im Dashboard Start-URLs für Routen hinzu, die er von der Startseite nicht erreicht. Das Einwilligungsprotokoll zeichnet jede Entscheidung auf, sobald das Banner live ist.

Lovable-Projekte mit Google Ads oder GA4 bekommen die Consent-Mode-Standardwerte von der Runtime, bevor diese Tags laden, sodass die Messung für Besucher, die Ja sagen, weiter funktioniert.

Google Consent Mode v2 ist die Signalebene zwischen dem Banner und Googles Tags. Bevor ein Tag läuft, werden sieben Signale (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) für Besucher im EWR, im Vereinigten Königreich und in der Schweiz auf „denied“ gesetzt. Sobald jemand entscheidet, aktualisiert die Runtime sie und Googles Tags passen sich an. Seit dem 15. Juni 2026 verwendet Google ad_storage als maßgebliches Signal für Ads-Daten, der richtige Standardwert ist also wichtiger als früher.

CookieCrumbs setzt die Standardwerte synchron, vor jedem Tag-Manager, aktualisiert sie bei jeder Entscheidung und liefert eine Google-Tag-Manager-Vorlage mit, damit die Consent-Trigger ohne handgeschriebene Listener existieren. Im Advanced-Modus halten Googles cookielose Pings die modellierten Conversions für Besucher am Laufen, die Nein gesagt haben. Was es nicht tut: sich als von Google zertifizierte CMP ausgeben. Für AdSense, Ad Manager oder AdMob im EWR brauchen Sie weiterhin eine mit IAB TCF, und das ist CookieCrumbs heute nicht.