Cookie-Einwilligung für Nuxt
@cookiecrumbs/nuxt stellt das Tag mit kritischer Priorität an den Anfang von app.head.script, vor den Nuxt-Entry-Chunk, und importiert automatisch ein useConsent()-Composable.
die Regel
Eine Nuxt-App mit einem GA- oder Pixel-Plugin führt es beim Client-Entry aus. Nichts fragt vorher, und nichts kann es zurücknehmen.
Die Regel ist überall in der EU und im Vereinigten Königreich dieselbe: Ohne Zustimmung darf nichts über das unbedingt Notwendige hinaus auf dem Gerät eines Besuchers gespeichert oder von dort ausgelesen werden. Das ist Artikel 5 Absatz 3 der ePrivacy-Richtlinie, und die Zustimmung muss der DSGVO-Definition von Einwilligung genügen: freiwillig, spezifisch, informiert und unmissverständlich, mit einer Ablehnung, die so einfach ist wie die Annahme. Das Vereinigte Königreich hält dieselbe Regel in PECR fest, mit engen Ausnahmen für risikoarme Statistiken seit dem 5. Februar 2026. Kalifornien und die anderen US-Bundesstaaten funktionieren umgekehrt: kein Opt-in, aber ein Opt-out-Link und Unterstützung für das Global-Privacy-Control-Signal.
Für eine Website folgen daraus drei Dinge. Analyse-, Werbe- und Social-Media-Skripte müssen auf eine Entscheidung warten. Die Entscheidung muss so aufgezeichnet werden, dass Sie sie später vorzeigen können, denn Artikel 7 Absatz 1 legt die Beweislast bei Ihnen. Und der Widerruf muss so einfach sein wie die Zustimmung, also braucht es auf jeder Seite ein Bedienelement, das das Banner wieder öffnet. Ein Banner, das zwei Buttons zeigt und Google Analytics trotzdem lädt, fällt beim ersten Test durch, und genau dieses Versagen ahnden die Aufsichtsbehörden, von den CNIL-Entscheidungen gegen Google und SHEIN bis zu den Prüfwellen der niederländischen und belgischen Behörden.
so funktioniert es
Nuxt verwaltet den Dokument-Head für Sie, und genau dort muss eine Consent-Runtime sitzen. Das Modul setzt das Tag mit tagPriority: "critical" in app.head.script, sodass es auf jeder Seite vor dem Nuxt-Entry-Chunk gerendert wird, serverseitig oder statisch. Keine Layout-Änderungen, keine Head-Aufrufe pro Seite.
Client-Plugins sind in Nuxt die übliche Quelle früher Tracker: ein gtag-Plugin, ein Pixel-Plugin, ein Drittmodul, das sein eigenes Skript einschleust. Das useConsent()-Composable gibt jedem davon isGranted(category) und eine Möglichkeit, Änderungen zu abonnieren, sodass ein Plugin warten und in dem Moment initialisieren kann, in dem die Einwilligung eintrifft. Nuxt-Drittmodule, die Skripte einschleusen, bekommen eine Kategorie an ihrem Tag, oder ihr Host wird von der Block-Map aus dem Scan neutralisiert.
Drei Komponenten kommen mit dem Modul: ConsentGate für Teilbäume, CookieDeclaration für die Datenschutzseite und ManageCookiesLink für die Fußzeile. Server-Routen und Middleware können das Einwilligungs-Cookie über dieselben Helfer lesen, sodass eine Seite vor der Hydration einen Platzhalter statt eines Embeds rendern kann.
Einrichtung
Fünf Schritte. Die CLI erledigt die meisten davon, und jeder ist auch ein Klick im Dashboard.
Erkennt Nuxt, verknüpft die Website, schreibt die Konfiguration.
npx cookiecrumbs login
npx cookiecrumbs initSite-Schlüssel und Umgebung kommen in nuxt.config.ts.
npm i @cookiecrumbs/nuxt
// nuxt.config.ts
export default defineNuxtConfig({
modules: ['@cookiecrumbs/nuxt'],
cookiecrumbs: { site: 'pk_live_…', env: 'production' },
});useConsent() stellt status, consent, regime, country, language, version und die Aktionen accept, reject, open und withdraw bereit.
const { isGranted, open } = useConsent();
<ConsentGate category="analytics">
<AnalyticsWidget />
</ConsentGate>Ein Client-Plugin initialisiert seinen Tracker erst, wenn die Kategorie erlaubt wird, und erneut, wenn sich die Einwilligung später ändert.
// plugins/pixel.client.ts
export default defineNuxtPlugin(() => {
const { isGranted, onChange } = useConsent();
const start = () => { if (isGranted('marketing')) initPixel(); };
start(); onChange(start);
});Scannen, einmal pro Anbieter einsortieren, veröffentlichen.
npx cookiecrumbs scan --wait
npx cookiecrumbs push --env productionNuxt-Shops, die Google Ads über ein gtag-Plugin betreiben, bekommen die Consent-Mode-Standardwerte von der Runtime, bevor das Plugin lädt, sodass das Conversion-Tag die Entscheidung ohne Umbau respektiert.
Google Consent Mode v2 ist die Signalebene zwischen dem Banner und Googles Tags. Bevor ein Tag läuft, werden sieben Signale (ad_storage, analytics_storage, ad_user_data, ad_personalization, functionality_storage, personalization_storage, security_storage) für Besucher im EWR, im Vereinigten Königreich und in der Schweiz auf „denied“ gesetzt. Sobald jemand entscheidet, aktualisiert die Runtime sie und Googles Tags passen sich an. Seit dem 15. Juni 2026 verwendet Google ad_storage als maßgebliches Signal für Ads-Daten, der richtige Standardwert ist also wichtiger als früher.
CookieCrumbs setzt die Standardwerte synchron, vor jedem Tag-Manager, aktualisiert sie bei jeder Entscheidung und liefert eine Google-Tag-Manager-Vorlage mit, damit die Consent-Trigger ohne handgeschriebene Listener existieren. Im Advanced-Modus halten Googles cookielose Pings die modellierten Conversions für Besucher am Laufen, die Nein gesagt haben. Was es nicht tut: sich als von Google zertifizierte CMP ausgeben. Für AdSense, Ad Manager oder AdMob im EWR brauchen Sie weiterhin eine mit IAB TCF, und das ist CookieCrumbs heute nicht.
aufgepasst
Jeder davon taucht im ersten Scan als Tracker auf, der vor der Einwilligung gefeuert hat.
vor dem Livegang
Acht Zeilen. Die letzten beiden hakt das Dashboard anhand echter Daten ab.
type="text/plain" mit einer Kategorie, oder der Host steht in der Block-Map aus dem Scan.was Sie bekommen
Zwei Domains, 100 gescannte Unterseiten pro Monat und Domain, jede Regulierung, die CLI, die SDKs und der MCP-Server.
Jede Seite, in jedem Einwilligungszustand, in einem echten Browser. Cookies, Pixel, iFrames und Storage-Schlüssel, mit der Seite und dem Skript, die sie gesetzt haben. Regelmäßig neu gescannt.
Die Cookie-Erklärung schreibt sich aus dem Ergebnis von selbst.
Tags bleiben inaktiv, bis ihre Kategorie erlaubt wird. „Alle ablehnen“ ist so sichtbar wie „Alle akzeptieren“. Sieben Layouts, 25 Sprachen, Consent Mode v2 und die richtige Regel pro Region.
21 kB, eine Datei, keine eigenen Anfragen an Dritte.
Jede Entscheidung wird mit Zeitstempel, Banner-Version und einem Hash der angezeigten Texte gespeichert, verkettet mit dem Datensatz davor. Exporte sind signiert. Gehostet in Frankfurt.
Artikel 7 Absatz 1, im kostenlosen Tarif.
kostenloser Check
Das HTML der Startseite, abgeglichen mit der Tracker-Datenbank. Kein Konto, nichts wird gespeichert. Der vollständige Scan im Dashboard macht dasselbe für jede Seite, in einem echten Browser.
Fragen
nächster Schritt
Website hinzufügen, npx cookiecrumbs init im Nuxt-Repo ausführen, und das Einwilligungsprotokoll beginnt in der EU aufzuzeichnen.