Shopify-Cookie-Banner: wenn Ablehnen nichts bewirkt

Auslöser war eigentlich etwas anderes: eine Mail von Google zur Umstellung der Tag-Einrichtung in Shopify. Bei der Prüfung sind wir dann über etwas gestolpert, das mit der Mail nichts zu tun hatte.

Das Setup des Shops ist unauffällig und ziemlich verbreitet: Shopify ohne Plus, das native Shopify-Cookie-Banner mit aktivierten Regionen inklusive Schweiz, Google Analytics, Google Ads und Merchant Center über die offizielle Google & YouTube App, dazu ein Google Tag Manager für ein paar Lead-Conversions.

Also genau die Kombination, die Google selbst empfiehlt. Nichts Selbstgebasteltes im Theme, keine exotische App. Gemessen haben wir aus der Schweiz, im Tag Assistant und in den Browser-DevTools.

Diese Kombination ist deshalb interessant, weil sie der Standardweg ist. Wer einen Shopify-Shop aufsetzt und Google anbinden will, landet mit hoher Wahrscheinlichkeit genau hier: natives Banner, offizielle App, keine Drittanbieter-Lösung. Wenn hier etwas nicht zusammenpasst, betrifft das nicht eine exotische Bastelei, sondern den empfohlenen Pfad.

Um den Befund einzuordnen, hilft ein Blick darauf, wie das native Banner überhaupt arbeitet. Es schreibt seinen Zustand in Shopifys Customer Privacy API. Die kennt vier Kategorien: Präferenzen, Analytics, Marketing und den Verkauf von Daten. Abgefragt werden sie über Methoden wie analyticsProcessingAllowed() und marketingAllowed().

Entscheidend ist der Wirkungsbereich dieser Schnittstelle. Shopify beschreibt sie als browserbasiert und dazu bestimmt, Consent-Entscheidungen auf von Shopify verwaltete Flächen anzuwenden, namentlich Pixel, Audiences und Checkout. Für Systeme, die ausserhalb dieser Flächen laufen, nennt die Dokumentation keinen Mechanismus.

Google Consent Mode v2 kommt in Shopifys Hilfe zwar vor, aber als etwas, das du aktivieren und einbinden musst, damit Ereignisdaten für personalisierte Werbung genutzt werden dürfen. Es ist keine Eigenschaft, die das Banner von sich aus mitbringt.

Und ein Punkt, der in den Einrichtungs-Anleitungen fast nie steht: Shopify dokumentiert nirgends abschliessend, welche Tracker das native Banner konkret steuert. Wer wissen will, was in seinem Shop nach einem Klick auf Ablehnen passiert, findet die Antwort nicht in der Dokumentation. Er findet sie nur, indem er misst.

Das erklärt unseren Fall ausdrücklich nicht. Die Regionen waren aktiviert, und Shopifys eigene Cookies verschwanden ja korrekt. Es zeigt aber, wo die Bruchstelle strukturell liegen kann: an der Übergabe zwischen dem, was Shopify verwaltet, und dem, was die Google-Tags tun.

Daraus lässt sich ableiten, was ein Banner technisch leisten muss. Vor der Zustimmung dürfen keine nicht essenziellen Cookies gesetzt und keine Marketing-Tags ausgelöst werden. Ablehnen gehört genauso leicht erreichbar wie Akzeptieren, nicht eine Ebene tiefer. Analytics und Werbung müssen getrennt steuerbar sein, weil Google diese Zwecke getrennt auswertet. Und die Entscheidung muss nicht nur Shopify erreichen, sondern auch die Google-Tags. Dieser letzte Punkt ist der einzige, den du direkt nachmessen kannst, nämlich am Parameter gcs. Dazu kommt die Protokollierung, damit später nachvollziehbar bleibt, wer wann was gewählt hat: Dafür bietet das native Banner keine Ausgabe.

Einen Punkt überspringen viele Schweizer Shops dabei. Googles EU-Nutzereinwilligungsrichtlinie nennt neben dem EWR und dem Vereinigten Königreich ausdrücklich die Schweiz, während die technische Hilfeseite zur Consent-Mode-Umstellung nur EWR-bezogen formuliert ist. Wer nur letztere liest, kommt zum falschen Schluss. Ob dein Setup rechtlich genügt, ist damit allerdings nicht beantwortet: Das hier sind technische Voraussetzungen, keine juristische Bewertung.

Beim Ablehnen fehlten die Shopify-eigenen Analytics-Cookies _shopify_s und _shopify_y, die beim Akzeptieren vorhanden waren. Shopifys eigenes Tracking hat den Klick also registriert und umgesetzt. Die Ablehnung ist im System angekommen. Nur bei den Google-Tags scheint sie nicht anzukommen.

Genau das macht die Sache interessant. Wäre gar nichts passiert, wäre die naheliegende Erklärung ein kaputtes Banner. So sieht es eher nach einer Lücke zwischen zwei Systemen aus, die beide für sich funktionieren.

Dazu passt ein zweites Detail: Die im Hit übertragene Client ID entsprach exakt dem _ga-Cookie. Bei den viel zitierten cookielosen Pings wäre das nicht so, dort erzeugt GA4 pro Ereignis eine zufällige, nicht wiederverwendbare ID. Der Besucher war also normal und dauerhaft identifiziert. Den Test haben wir anschliessend sauber wiederholt, mit frischem Inkognito-Fenster und Ablehnen als allererster Aktion. Das Ergebnis war identisch.

In Shopifys eigener Dokumentation steht, dass in den konfigurierten Banner-Regionen nicht essenzielle Daten erst nach Zustimmung erhoben werden. Unsere Messung passt dazu nicht.

Seit Mitte 2026 ist das Consent-Signal die entscheidende Steuerung dafür, welche Werbedaten aus GA4 in ein verknüpftes Google-Ads-Konto fliessen. Ein Schalter in den Property-Einstellungen, der das früher zusätzlich beeinflusst hat, tut das nicht mehr.

Damit hängt mehr am Banner als noch vor einem halben Jahr. Und das Unangenehme daran: Wenn die Signalisierung nicht stimmt, gibt es keine Fehlermeldung. Kein Konto zeigt eine Warnung, kein Report bricht ein. Es sieht einfach weiter gut aus.

Das gilt in beide Richtungen. Ein Banner, das zu viel durchlässt, ist ein Datenschutzthema. Ein Banner, das zu viel blockiert, kostet dich Signale, die deine Kampagnen brauchen. Beides merkst du ohne Nachmessen nicht.

Nachgelagert hängt daran mehr, als die meisten erwarten. Ob Enhanced Conversions Daten übergeben dürfen, ob GA4 fehlende Daten überhaupt modellieren darf, ob sich Zielgruppen bilden lassen: All das entscheidet sich an denselben Signalen. Und weil Google Analytics- und Ads-Zwecke inzwischen getrennt steuert, reicht es nicht, Consent pauschal als erledigt zu betrachten. ad_storage, ad_user_data und ad_personalization gehören einzeln geprüft.

Es könnte am spezifischen Shop liegen, an einer weiteren App oder an einer Einstellung, die wir übersehen haben. Ein Shop ist kein Muster.

Es könnte gewolltes Verhalten für Opt-out-Regionen sein. Die Schweiz verlangt unter revDSG keine vorgängige Einwilligung wie die EU, das Banner dient hier eher als Widerspruchsmöglichkeit. Ob ein Widerspruch dann trotzdem ohne Wirkung bleiben darf, ist allerdings genau die offene Frage.

Getestet haben wir bisher nur aus der Schweiz. Wie sich derselbe Shop für Besucher aus dem EWR verhält, wissen wir noch nicht. Das holen wir nach, bevor jemand von einem Problem spricht.

Verwandtes ist dokumentiert: Im Tracking-Umfeld ist seit längerem beschrieben, dass Shopifys internes Skript sehr früh einen Consent-Status an Google meldet, bevor eine Consent-Lösung überhaupt geladen ist. Spätere Korrekturen kommen dadurch zu spät. Eine ausführliche technische Aufarbeitung findest du bei gtm-gear.com. Unsere Konstellation haben wir dagegen nirgends sauber beschrieben gefunden: natives Shopify-Banner plus offizielle Google-App, ohne Drittanbieter-CMP, mit dem Ergebnis, dass Shopify die Ablehnung befolgt und Google nicht. Falls du dazu eine Quelle kennst, bin ich dankbar.

Stand August 2026. Ändert sich die Einschätzung durch weitere Tests, aktualisiere ich diesen Artikel und vermerke es hier.

Shopify Help Center, Understanding customer privacy settings: https://help.shopify.com/en/manual/privacy-and-security/privacy/customer-privacy-settings/understanding-customer-privacy-settings. Von dort stammen die Punkte, dass in Banner-Regionen erst nach Zustimmung erhoben wird und dass Google Consent Mode v2 aktiviert und eingebunden werden muss.

Shopify Developers, Customer Privacy API: https://shopify.dev/docs/api/customer-privacy. Dort stehen die vier Kategorien und die Aussage, dass die Schnittstelle Consent-Entscheidungen auf von Shopify verwaltete Flächen anwendet. Welche Tracker das native Banner im Einzelnen steuert, ist dort nicht abschliessend beschrieben.

Google, EU-Nutzereinwilligungsrichtlinie: https://www.google.com/about/company/user-consent-policy/. Sie nennt den EWR, das Vereinigte Königreich und die Schweiz. Google Ad Manager-Hilfe zur Anforderung einer zertifizierten Consent-Lösung: https://support.google.com/admanager/answer/13554020, mit den Daten 16. Januar 2024 für EWR und UK und 31. Juli 2024 für die Schweiz.

Google Analytics-Hilfe zu den Datenkontrollen, Stand 2026: https://support.google.com/analytics/answer/17016975. Grundlage für den Punkt, dass seit Mitte 2026 die Consent-Mode-Einstellungen im Ads-Kontext die zentrale Steuerung sind.

Zur Lesart des gcs-Parameters gibt es keine eigene Google-Referenzseite. Die Form G1xy mit ad_storage an erster und analytics_storage an zweiter Stelle ist in den gängigen Debugging-Anleitungen übereinstimmend beschrieben und deckt sich mit dem, was wir im Tag Assistant gesehen haben. Wir führen sie als etablierte Lesart, nicht als Herstellerangabe.

Zur früh gemeldeten Consent-Signalisierung in Shopify: https://gtm-gear.com/posts/shopify-consent/.

Stand der Angaben: August 2026. Der Test aus dem EWR steht noch aus.