CookieYes

Was ist CookieYes?

CookieYes ist eine Consent-Management-Plattform, kurz CMP. Du bindest eine Codezeile in deine Website ein, und CookieYes zeigt das Cookie-Banner, blockiert Drittanbieter-Skripte wie Google Analytics oder das Facebook Pixel bis zur Einwilligung und speichert jede Entscheidung als Nachweis. Ein Scanner sucht die Cookies deiner Website und ordnet sie Kategorien zu, aus dem Ergebnis entsteht eine Cookie-Richtlinie. Neben der Web-App gibt es ein WordPress-Plugin sowie Apps für Shopify, Wix und HubSpot.

Vertragspartner ist laut AGB die CookieYes Limited in Milton Keynes, Großbritannien, Company No. 13074037, Umsatzsteuernummer GB381305513. Der Vertrag unterliegt englischem Recht, zuständig sind ausschließlich die Gerichte Englands. Für die Daten, die über das Banner auf deiner Website anfallen, ist die CookieYes Limited laut AGB und DPA Auftragsverarbeiterin, für deine Konto- und Vertragsdaten laut Datenschutzerklärung Verantwortliche. Die Datei llms.txt der Website beschreibt CookieYes als „Part of Mozilor Technologies“. Eine Mozilor Technologies Pvt Ltd in Kozhikode, Indien, führt die Liste der Unterauftragsverarbeiter für den Kundensupport, ob sie die Muttergesellschaft ist, sagt die Website nicht. Das Team arbeitet laut About-Seite aus Großbritannien und Indien, die Seite nennt 48 Mitarbeitende und 2018 als Gründungsjahr, damals als WordPress-Plugin. Das Organisations-Markup der Startseite gibt für die CookieYes Limited den 09.12.2020 als Gründungsdatum an.

Abgerechnet wird nach Seitenaufrufen je Domain. CookieYes nennt sich eine Google-zertifizierte CMP mit dem Status „Gold“ und von IAB Europe für das Transparency and Consent Framework (TCF) zugelassen. Die Zulassung bezieht die Plan-Seite auf TCF-Version 2.2, Funktions- und Preisseite bieten v2.4 an. Die Reichweite gibt der Anbieter mit 1,5 Millionen an, mal als Websites, mal als Unternehmen, auf der Plugin-Seite als aktive Installationen des WordPress-Plugins.

Für wen eignet sich CookieYes?

Die Tarifnamen sagen es selbst: Free für Blogs und private Websites, Basic für kleine Unternehmen und Startups, Pro für mittlere Unternehmen mit wachsendem Traffic, Ultimate für große Unternehmen mit viel Traffic. Für Agenturen, die viele Kundenseiten betreuen, gibt es ein Partnerprogramm mit gestaffelten Rabatten und einem gemeinsamen Dashboard. Große Organisationen, die eigene NDAs, DPAs und Rahmenverträge, Sicherheitsfragebögen oder RFP-Unterstützung brauchen, verweist CookieYes auf Enterprise-Pläne.

Weniger passend ist CookieYes in drei Fällen. Wer Werbung über das IAB-Ökosystem ausspielt und deshalb ein TCF-Banner braucht, kommt am Pro-Plan nicht vorbei. Wer den Speicherort der Einwilligungsdaten vertraglich festgeschrieben braucht, findet ihn nicht im DPA, sondern nur in der Liste der Unterauftragsverarbeiter, die CookieYes mit 30 Tagen Vorankündigung ändern darf. Und wer eine Website mit spürbarem Traffic im Free-Plan betreibt, riskiert, dass das Banner mitten im Monat verschwindet (siehe Preise).

CookieYes im Arbeitsalltag

Die Einrichtung beschreibt CookieYes in drei Schritten: kostenlos registrieren, ein Banner-Layout wählen, den Installationscode kopieren und in die Website einfügen. Auf WordPress geht es alternativ über das Plugin, auf Shopify, Wix und HubSpot über die jeweilige App. Die Plattformseite listet Anleitungen für Systeme von Angular und Drupal über Magento und Next.js bis Webflow und WordPress.

Danach scannt CookieYes die Website gegen eine Datenbank mit über 100.000 vorkategorisierten Cookies und Trackern und erstellt einen Audit-Bericht. Wie viele Unterseiten ein Scan erfasst, hängt vom Plan ab, ebenso, ob er monatlich oder wöchentlich automatisch wiederholt wird. Bis der Besucher zustimmt, blockiert das Banner die erkannten Skripte. Für Google Tag Manager und Microsoft UET legst du Trigger an, die Tags erst nach der Einwilligung auslösen, und Google Consent Mode v2 überträgt die Entscheidung an Google-Dienste. Die Browsersignale Do Not Track und, ab Pro, Global Privacy Control werden berücksichtigt.

Jede Entscheidung landet im Einwilligungsprotokoll mit anonymisierter IP-Adresse, Land, Einwilligungsstatus, Datum und Uhrzeit. Laut Liste der Unterauftragsverarbeiter liegen diese Protokolle bei Amazon Web Services in Irland und bei Cloudways in Malta. Das Protokoll exportierst du bei Bedarf als CSV, etwa als Nachweis bei einem Audit. Ein Widerrufs-Button auf der Website ruft das Banner erneut auf.

Im Dashboard siehst du die Seitenaufrufe, nach denen CookieYes abrechnet. Gezählt wird jedes Laden einer Seite mit dem CookieYes-Skript, egal ob der Besucher mit dem Banner interagiert, bekannte Bots filtert CookieYes heraus. Deshalb zeigt CookieYes laut Hilfe meist mehr Aufrufe als Google Analytics, das nur Besuche nach Einwilligung zählt. Sind Zusatz-Seitenaufrufe abgeschaltet, kommen Warnungen bei 80, 95 und 100 Prozent des Kontingents. Bei 100 Prozent wird das Banner nicht mehr angezeigt. Wenn du Banner, Tag Manager und Consent Mode sauber in deine Seite einbauen lassen willst, hilft dir unsere Webentwicklung.

Preise und Pläne

Die Preisseite zeigt vier Pläne, abgerechnet je Domain. Bei aktiver Monatsansicht kosten sie:

• Free: 0 USD. 5.000 Seitenaufrufe im Monat, 100 Seiten je Scan, 5 Scans im Monat, Grundanpassungen. Nur ein Free-Plan pro Konto.
• Basic: 10 USD pro Monat und Domain. 100.000 Seitenaufrufe im Monat, 600 Seiten je Scan, unbegrenzte Scans, erweiterte Anpassungen, Mehrsprachigkeit, eigenes CSS, Staging-Seite, Mehrbenutzerzugang und Chat-Support.
• Pro: 25 USD pro Monat und Domain. 300.000 Seitenaufrufe, 4.000 Seiten je Scan, Geotargeting, monatlicher Scan, IAB TCF v2.4, Google Additional Consent Mode, Global Privacy Control, Teilen der Einwilligung über Subdomains.
• Ultimate: 55 USD pro Monat und Domain. Unbegrenzte Seitenaufrufe nach Fair-Use-Regel, 8.000 Seiten je Scan, wöchentlicher Scan, Scan hinter dem Login, Scan von statischer IP, ohne CookieYes-Branding.

Lokale Steuern wie die Mehrwertsteuer kommen hinzu. Wer jährlich zahlt, bekommt laut Preisseite zwei Monate gratis. Die Preisseite hat eine Währungsauswahl, die Plan-Landingpage führt Preisblöcke für US-Dollar, Euro und Pfund. Auch die deutsche Preisseite zeigt die Beträge in US-Dollar.

Was eine Domain ist, regeln vier Stellen unterschiedlich. Die AGB zählen Subdomains wie app.example.com als eigene Websites. Die Plan-Landingpage und die Hilfe zu WordPress-Multisite sagen, Subdomains seien im Plan der Hauptdomain enthalten. Die Hilfe zu Subdomains wiederum sagt, ohne eigenen Plan gehe das nur in Pro und Ultimate, in Free und Basic brauchst du ein Upgrade.

Ein Posten steht nicht in der Tabelle, sondern in der Hilfe zur Seitenaufruf-Abrechnung. In Basic und Pro kosten Aufrufe über dem Kontingent 0,30 USD je 1.000, abgerechnet in angefangenen 1.000er-Blöcken. Für Konten, die nach dem 23.12.2025 angelegt wurden, ist diese Zusatzabrechnung standardmäßig eingeschaltet, ältere Konten müssen sie selbst aktivieren. Im Free-Plan gibt es keine Zusatz-Seitenaufrufe: Ist das Kontingent voll, wird das Banner bis zum nächsten Abrechnungszyklus nicht mehr angezeigt. Das Free-Kontingent lag früher bei 15.000 Aufrufen. Seit dem 01.07.2025 gelten 5.000 für neue Websites und für solche, die nach dem Test oder einer Kündigung in den Free-Plan fallen, ältere Free-Websites behalten 15.000. Bei Jahresplänen rechnet CookieYes Zusatzaufrufe erst ab 10 USD Summe ab.

Alle Bezahlpläne lassen sich 14 Tage testen. Laut Erstattungsrichtlinie erfasst CookieYes die Zahlungsdaten schon bei der Anmeldung zum Test, die deutsche Preisseite verspricht dagegen einen Test „ohne Angabe von Kreditkartendaten“ und schreibt einen Absatz später, nach dem Test werde die Kreditkarte automatisch belastet. Kündigst du nicht vor Testende, wird daraus ein bezahltes Abo. Als Zahlungswege nennt die Preisseite Kredit- und Debitkarten, PayPal und Überweisung, die Plan-Landingpage dagegen nur Karten über Stripe.

Erstattungen schließt die Richtlinie nach der Umwandlung des Tests grundsätzlich aus, ebenso bei vorzeitiger Kündigung und bei Unzufriedenheit mit den Funktionen. Bei der Anmeldung bestätigst du ausdrücklich, dass dein 14-tägiges Widerrufsrecht entfällt, sobald der Test zum bezahlten Plan wird. Erstattet wird nur bei Abrechnungsfehlern, bei Kauf ohne Test innerhalb von 14 Tagen, bei einem Ausfall von mehr als 24 Stunden am Stück und unter Umständen anteilig, wenn neue Gesetze die Nutzung in deinem Land verhindern. Kündigen kannst du laut Hilfe jederzeit im Dashboard, die Website bleibt bis zum Ende des Abrechnungszeitraums aktiv. Die AGB verlangen dagegen eine Kündigung 30 Tage vor Ablauf der Laufzeit, sonst verlängert sich der Vertrag automatisch, und bei vorzeitigem Ende werden bereits gezahlte Gebühren nicht erstattet.

Enterprise-Pläne rechnet CookieYes jährlich je Domain im Voraus ab, Bestellscheine sind möglich. Einen Preis zeigt ein Online-Angebot, für das du keine Kontaktdaten angeben musst. Agenturen bekommen Rabatte nach Zahl der bezahlten Websites: 25 Prozent ab 5, 35 Prozent ab 25, 45 Prozent ab 50 und 50 Prozent ab 100 Websites. Unter 5 gilt der Standardpreis. Jede Agentur-Website hat eine Testphase von 30 Tagen, und Zusatz-Seitenaufrufe gibt es in Agenturplänen nicht, das Banner pausiert am Limit. Ein Rechenbeispiel der Hilfe setzt für Agentur-Basic 100 USD je Website und Jahr an, mit Bronze-Rabatt 75 USD. Stand: Oktober 2026.

Stärken und Schwächen

Stärken:

• Dauerhaft kostenloser Plan für eine Domain je Konto, Registrierung ohne Kreditkarte
• Öffentliche Preise je Domain und Monat, das Zählverfahren für Seitenaufrufe ist ausführlich dokumentiert
• Laut Anbieter Google-zertifizierte CMP (Gold) und im CMP-Compliance-Programm von IAB Europe zugelassen
• Einwilligungsprotokoll mit anonymisierter IP-Adresse und CSV-Export in allen Plänen
• Öffentliche Liste der Unterauftragsverarbeiter mit Standort, Datenarten und Übermittlungsgrundlage, die Einwilligungsprotokolle liegen danach bei Amazon Web Services in Irland und Cloudways in Malta
• Öffentlicher DPA mit Standardvertragsklauseln, Meldung von Datenpannen binnen 72 Stunden und 30 Tagen Vorankündigung neuer Unterauftragsverarbeiter mit Widerspruchsrecht
• EU-Vertreter nach DSGVO benannt: Euverify Ltd in Cork, Irland, zuständige EU-Aufsicht laut DPA die irische Data Protection Commission
• In den AGB zugesagt: 99,9 Prozent Verfügbarkeit rund um die Uhr und die kostenlose Rückgabe der Kundendaten in maschinenlesbarer Form, wenn du sie binnen 30 Tagen nach Vertragsende anforderst
• Anleitungen für über 22 CMS-Plattformen, dazu Plugin und Apps für WordPress, Shopify, Wix und HubSpot

Schwächen:

• Im Free-Plan verschwindet das Banner bei 5.000 Seitenaufrufen im Monat bis zum nächsten Zyklus, in Agenturplänen pausiert es ebenfalls am Limit
• Abrechnung je Domain, jede weitere Website braucht einen eigenen Bezahlplan. Ob Subdomains dazugehören, beantworten AGB, Landingpage und Hilfe unterschiedlich
• IAB TCF, Geotargeting und Global Privacy Control erst ab Pro. Die Vergleichstabelle der Preisseite führt „IAB TCF Certified CMP“ trotzdem in allen vier Plänen mit Yes
• Die Preisseite verspricht Speicherung „in GDPR-compliant data centers in the EU, as per our Data Processing Agreement“. Der DPA selbst nennt keinen Standort, spricht von Rechenzentren Dritter mit AWS-Zertifizierungen und erlaubt Übermittlungen in Drittländer sowie Konzerngesellschaften als Unterauftragsverarbeiter. Den Standort nennt erst die Liste, und die führt für Daten der Websitebesucher auch Cloudflare (USA) als CDN und Microsoft Clarity (USA) für Verhaltensanalyse
• Die Datenschutzerklärung nennt die Liste der Unterauftragsverarbeiter nur auf Anfrage, tatsächlich steht sie öffentlich auf einer eigenen Seite. Die Liste wirkt in Teilen verrutscht: Zendesk steht mit Standort Deutschland und Adresse in San Francisco unter Verhaltensanalyse, DigitalOcean mit Standort UK und Adresse in New York
• Den Kundensupport mit Kundenname, E-Mail, Abrechnungs-, Zahlungs- und Transaktionsdaten leistet laut Liste die Mozilor Technologies Pvt Ltd in Indien, Übermittlungsgrundlage sind Standardvertragsklauseln
• Keine Erstattung nach Testende, Verzicht auf das 14-tägige Widerrufsrecht schon bei der Anmeldung. Die AGB verlangen die Kündigung 30 Tage vor Laufzeitende, die Hilfe sagt „jederzeit“
• Für Neukunden sind kostenpflichtige Zusatz-Seitenaufrufe standardmäßig eingeschaltet
• Haftung laut AGB auf die Gebühren der letzten zwölf Monate begrenzt. Für Verluste, Bußgelder und Sanktionen aus Konfiguration oder Einsatz des Dienstes haftet CookieYes nicht, die AGB kann CookieYes mit 30 Tagen Ankündigung per E-Mail ändern
• Hilfe bei Betroffenenanfragen, Audits und Datenschutz-Folgenabschätzungen kann laut DPA zusätzlich kosten, Daten in Backups werden bis zu ein Jahr nach Vertragsende gelöscht
• Widersprüchliche Angaben: 170+ Sprachen und Übersetzung in 40+ Sprachen auf der Funktionsseite, „über 30 Sprachen“ auf der deutschen Funktionsseite und im Plugin. Die Agenturseite nennt 190+ CMS, die Plan-Landingpage 22+
• CookieYes teilt laut eigener Datenschutzerklärung pseudonymisierte Kundendaten mit Google Ads, um zahlenden Kunden keine Werbung zu zeigen, und nach Einwilligung Conversion-Daten mit OpenAI

Alternativen zu CookieYes

In derselben Kategorie führen wir Cookiebot, CCM19 und Complianz. CookieYes stellt sich auf eigenen Vergleichsseiten selbst gegen Cookiebot, Iubenda und Complianz. Vergleiche bei jedem Kandidaten drei Dinge: was am Kontingentende mit dem Banner passiert, ab welchem Plan TCF und Geotargeting dabei sind, und welchen Speicherort der Auftragsverarbeitungsvertrag tatsächlich festschreibt.

CookieYes im Vergleich

CookieYes nennt konkrete Preise. In der Kategorie tun das 219 von 516 Werkzeugen (42 Prozent).

Der Anbieter sitzt außerhalb der EU. In dieser Kategorie führt das Verzeichnis 226 Alternativen mit EU-Sitz, davon 134 aus Deutschland.

Überblick

Wir halten CookieYes für eine solide Wahl, wenn du für eine oder wenige Websites schnell ein sauberes Banner mit Consent Mode v2 brauchst und die Preise in US-Dollar kein Hindernis sind. Die Dokumentation ist ungewöhnlich offen, gerade zur Abrechnung der Seitenaufrufe und bei den Unterauftragsverarbeitern.

Den Free-Plan sehen wir nur für private Seiten. Ein Banner, das bei 5.000 Aufrufen abschaltet, ist für eine Geschäftswebsite ein Compliance-Risiko, das genau dann eintritt, wenn eine Kampagne läuft. Für Firmenseiten würden wir mit Basic starten und die standardmäßig eingeschaltete Zusatzabrechnung bewusst im Blick behalten.

Beim Speicherort ist das Bild besser als die Preisseite vermuten lässt, aber weniger fest, als sie behauptet. Die Einwilligungsprotokolle liegen laut Liste in Irland und Malta. Vertraglich fixiert ist das nicht, der DPA erlaubt Drittlandübermittlungen, und für Besucherdaten stehen auch US-Dienste auf der Liste. Wer das Werkzeug für Datenschutz einkauft, sollte sich den Speicherort schriftlich zusichern lassen. Lies vor dem Abschluss außerdem Erstattungsrichtlinie und AGB: Mit dem Verzicht auf das Widerrufsrecht, 30 Tagen Kündigungsfrist und widersprüchlichen Regeln zu Subdomains steht dort mehr als auf der Preisseite. Muss der Vertragspartner selbst in der EU sitzen, schau dir die europäischen Alternativen an. Welche Variante zu deinem Tracking-Setup passt, ordnen wir in SEO & Marketing ein.