Die meisten Popup-Tools zwingen vor jeder Newsletter- oder Rabatt-Einblendung noch einen eigenen Cookie-Consent-Layer dazwischen, weil sie auf Drittanbieter-Skripten, Cross-Site-Tracking und persistentem Profiling aufgebaut sind. Für den Shop-Betreiber entstehen so zwei Hürden vor dem Lead: erst der Consent-Banner, dann das eigentliche Popup.
Das kostet Conversion, trainiert Besucher auf reflexhaftes Wegklicken und bringt in vielen Fällen keinen zusätzlichen rechtlichen Schutz. Die relevante Frage ist deshalb nicht „wie baue ich den perfekten Cookie-Banner?", sondern „wie zeige ich mein Popup, ohne vorher überhaupt einen Cookie-Banner nachschalten zu müssen?" — und genau das löst PopKit mit datensparsamen Triggern und First-Party-Auslieferung.
Welche Signale ohne Cookies bleiben
Die folgenden Signale reichen für ein gutes Popup-Timing in den meisten Fällen aus, und sie lassen sich ohne persistenten Speicher auf dem Endgerät auswerten. Alle bleiben im laufenden Browser-Tab und werden beim Verlassen der Seite verworfen.
Scrolltiefe
Ein prozentualer Wert aus Viewport und Dokumenthöhe, der Aufschluss darüber gibt, wie weit jemand gelesen hat. Weiterführend zur Wahl sinnvoller Schwellen der Leitfaden zu Popup Timing optimieren.
Verweildauer in der Session
Nur die aktive Lesezeit auf der aktuellen Seite, nicht über Sitzungen hinweg. Wird nie im Local Storage abgelegt. Kombiniert mit Kontextsignalen entsteht ein stabiler Trigger, wie ihn die AI Popup Timing Checkliste im Detail beschreibt.
Seitenkontext
URL-Pfad, Seitentyp oder Kategorie werden auf dem Server oder direkt im Template bestimmt. Das ist kein Zugriff auf das Endgerät, sondern eine Auswertung der aufgerufenen Ressource — und rechtlich daher unkritisch.
Exit-Signale
Mausbewegung Richtung Browser-Leiste auf Desktop, Rückkehr-Muster in der History oder längere Inaktivität. Alles messbar ohne Cookie-Lookup. Wie sich diese Signale sauber dosieren lassen, zeigt der Artikel Exit-Intent richtig einsetzen.
Inaktivität
Kein Scrollen, keine Eingaben, kein Fenster-Fokus über eine definierte Zeitspanne. Auf SaaS-Seiten oder langen Pricing-Tabellen ein guter Hinweis auf Entscheidungspausen, auswertbar ohne persistente Daten.
Was gilt als „Cookie" nach TTDSG und DSGVO
Der Begriff wird in der Diskussion oft verkürzt. Rechtlich relevant ist seit dem TTDSG nicht der Cookie als Technologie, sondern jede Form von Speicherung und Auslesen von Informationen auf dem Endgerät. Das schließt Local Storage, Session Storage und IndexedDB mit ein.
Ausgenommen sind nach § 25 Abs. 2 TTDSG Speicherungen, die unbedingt erforderlich sind, damit ein vom Nutzer ausdrücklich gewünschter Dienst bereitgestellt werden kann. Ein Popup, das einmal geschlossen wurde, darf sich diesen Zustand technisch notwendig merken — beispielsweise für die aktuelle Session. Was das Endgerät langfristig mit Profilen belastet, fällt nicht mehr unter diese Ausnahme.
First-Party vs. Drittanbieter-Auslieferung
Ein Großteil der DSGVO-Diskussion entsteht, weil das Popup-Skript von einer fremden Domain geladen wird. Damit wandern IP-Adresse, User-Agent und Referrer in die Hände eines Drittanbieters, der je nach Vertrag als Auftragsverarbeiter oder sogar als eigener Verantwortlicher auftritt.
First-Party-Auslieferung dreht diese Logik um. Das Skript wird über dieselbe Domain ausgeliefert wie die Website selbst, Konfigurationen werden serverseitig eingebettet, und es wandern keine Rohdaten zu einem externen Host. Typische Auftragsverarbeitungs- und Drittland-Themen entfallen damit. Wie diese Zustellform zusätzlich gegen AdBlocker absichert, behandelt der separate Leitfaden zu AdBlocker-resistenten Popups.
Wann Sie doch einen Consent brauchen
Cookie-frei ist kein Freifahrtschein. Ein klassischer Consent bleibt erforderlich, sobald eine der folgenden Situationen eintritt:
- Retargeting-Pixel oder Werbe-Tags werden direkt aus dem Popup oder über dessen Conversion ausgelöst.
- Analytics-Werkzeuge, die Besucher über Sessions hinweg verketten, werden mit Popup-Events gefüttert.
- Personenbezogene Daten wie Name und E-Mail werden vor dem Absenden in Drittsysteme repliziert, etwa für Live-Scoring oder Enrichment.
- Inhalte oder Incentives variieren auf Basis persistenter Besucherprofile, nicht nur anhand des aktuellen Seitenkontexts.
In diesen Fällen ist der Consent nicht lästig, sondern die eigentliche Rechtsgrundlage. Der Fehler liegt oft darin, ihn auch für Szenarien zu ziehen, in denen er gar nicht nötig wäre. Wie weit datensparsame Popups die SEO-Signale stabilisieren, statt sie zu belasten, beleuchtet Schaden Popups der SEO?.
Umsetzung mit PopKit: Default-Stack ohne Cookies
Die Standardauslieferung von PopKit setzt keine Third-Party-Cookies. Trigger werden aus den oben beschriebenen Signalen zusammengesetzt, die Kampagnen-Konfiguration kommt in serialisierter Form direkt mit dem First-Party-Skript mit, und die Conversion wird als einzelnes POST-Ereignis an die eigene Domain gesendet.
Ein einfacher Sessionspeicher merkt sich, dass ein Popup bereits geschlossen wurde. Dieser Eintrag erfüllt die Ausnahme der technischen Erforderlichkeit aus § 25 Abs. 2 TTDSG, weil er ausschließlich den gewünschten Dienst bereitstellt, nämlich das nicht erneute Ausspielen.
Wer datensparsam denkt, reduziert nicht nur den rechtlichen Aufwand, sondern gewinnt auch Geschwindigkeit und Conversion zurück. Den technischen Tiefgang rund um First-Party-Auslieferung liefern die Artikel zu AdBlocker-resistenten Popups und den Popup Conversion Rate Benchmarks.