Cookie-Banner richtig einsetzen
Key takeaways
- Rechtsgrundlage ist § 25 TDDDG. Er gilt unabhängig davon, ob personenbezogene Daten verarbeitet werden.
- Ablehnen muss genauso einfach sein wie Zustimmen, auf derselben Ebene und mit gleicher Gestaltung.
- Technisch notwendige Cookies brauchen keine Einwilligung, Statistik und Marketing immer.
- Das beste Banner ist das, das man nicht braucht, weil man die Dienste nicht einsetzt.
Die Rechtsgrundlage, die oft verwechselt wird
Cookie-Banner werden meist mit der DSGVO begründet. Die maßgebliche Norm in Deutschland ist aber § 25 TDDDG, das Digitale-Dienste-Datenschutz-Gesetz, das 2024 das TTDSG abgelöst hat.
Der Unterschied ist praktisch relevant: § 25 verlangt eine Einwilligung für jeden Zugriff auf Informationen im Endgerät des Nutzers, unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden. Das betrifft Cookies, aber auch Local Storage, Fingerprinting und das Nachladen von Skripten, die Informationen auslesen.
Die DSGVO greift danach: Sie regelt, was mit den erhobenen Daten geschehen darf.
Daraus folgt ein häufiger Irrtum: Ein Dienst, der angeblich keine personenbezogenen Daten erhebt, ist damit nicht automatisch einwilligungsfrei. Entscheidend ist, ob er auf das Endgerät zugreift.
Die Ausnahme nennt § 25 Abs. 2: technisch unbedingt erforderlich, um den vom Nutzer gewünschten Dienst bereitzustellen.
Das beste Banner
Cookie-Banner werden meist mit der DSGVO begründet. Die maßgebliche Norm in Deutschland ist aber § 25 TDDDG, das Digitale-Dienste-Datenschutz-Gesetz, das 2024 das TTDSG abgelöst hat.
Der Unterschied ist praktisch relevant: § 25 verlangt eine Einwilligung für jeden Zugriff auf Informationen im Endgerät des Nutzers, unabhängig davon, ob dabei personenbezogene Daten verarbeitet werden. Das betrifft Cookies, aber auch Local Storage, Fingerprinting und das Nachladen von Skripten, die Informationen auslesen.
Die DSGVO greift danach: Sie regelt, was mit den erhobenen Daten geschehen darf.
Daraus folgt ein häufiger Irrtum: Ein Dienst, der angeblich keine personenbezogenen Daten erhebt, ist damit nicht automatisch einwilligungsfrei. Entscheidend ist, ob er auf das Endgerät zugreift.
Die Ausnahme nennt § 25 Abs. 2: technisch unbedingt erforderlich, um den vom Nutzer gewünschten Dienst bereitzustellen.
Was ohne Einwilligung erlaubt ist
Technisch notwendig sind Cookies und vergleichbare Techniken, ohne die der Dienst nicht funktioniert. Dazu zählen in der Regel:
Sitzungs-Cookies, die einen Login oder einen Warenkorb halten.
Der Cookie, der die Einwilligungsentscheidung speichert, sonst müsste bei jedem Seitenaufruf neu gefragt werden.
Spracheinstellungen, die der Nutzer selbst gewählt hat.
Sicherheitsfunktionen wie Schutz vor Formularmissbrauch.
Lastverteilung auf dem Server.
Nicht technisch notwendig sind: Statistik und Reichweitenmessung, Marketing und Werbung, eingebettete Videos von Drittanbietern, Kartendienste, Schriften von externen Servern, Chatfenster, Social-Media-Einbindungen und A/B-Test-Werkzeuge.
Der häufigste Fehler in der Praxis: Statistikdienste werden als notwendig eingestuft, weil sie dem Betreiber wichtig sind. Notwendig bezieht sich aber auf den Dienst, den der Nutzer angefordert hat, nicht auf das Interesse des Betreibers.
Wie ein zulässiges Banner aussieht
Die Anforderungen ergeben sich aus DSGVO und Rechtsprechung. Sechs Punkte:
Gleichrangige Auswahl. Alle ablehnen muss auf derselben Ebene stehen wie Alle akzeptieren, nicht erst nach einem Klick auf Einstellungen.
Gleiche Gestaltung. Beide Schaltflächen in vergleichbarer Größe, Farbe und Auffälligkeit. Ein grauer Ablehnen-Link neben einem grünen Akzeptieren-Knopf ist angreifbar.
Keine Vorauswahl. Kästchen für nicht notwendige Zwecke sind standardmäßig leer.
Kein Weiterklicken als Zustimmung. Scrollen oder Weiternavigieren ist keine Einwilligung.
Widerruf jederzeit möglich, genauso einfach wie die Erteilung. Üblich ist ein dauerhafter Link im Footer.
Information vor der Entscheidung. Welche Zwecke, welche Anbieter, welche Speicherdauer, Drittlandtransfer ja oder nein.
Was nicht zulässig ist: das Banner erst zeigen, nachdem Skripte bereits geladen wurden. Das kommt häufiger vor, als man denkt, und ist der Fehler mit der größten Angriffsfläche.
Der Weg, der die meisten Probleme löst
Die wirksamste Maßnahme ist keine bessere Bannergestaltung, sondern weniger einwilligungspflichtige Dienste.
Drei Schritte:
1. Bestandsaufnahme. Öffnet die Entwicklerwerkzeuge im Browser, Reiter Netzwerk, und schaut, welche externen Verbindungen eure Seite aufbaut. Die Liste ist bei den meisten Websites länger als erwartet: Schriften, Karten, Videos, Symbole, Analysewerkzeuge, ein vergessenes Chat-Tool.
2. Streichen. Für jeden Dienst die Frage: Brauchen wir das wirklich? Ein Kartendienst auf der Kontaktseite lässt sich durch ein Bild mit Link ersetzen. Ein eingebettetes Video durch ein Vorschaubild, das erst nach Klick lädt.
3. Ersetzen. Schriften lokal einbinden statt vom externen Server. Statistik durch ein Werkzeug ersetzen, das ohne Endgerätzugriff auskommt. Bei manchen Anbietern ist das möglich und dann einwilligungsfrei nutzbar.
Wer nur noch technisch notwendige Techniken einsetzt, braucht kein Einwilligungsbanner. Das ist die schnellste Website, die beste Nutzererfahrung und die geringste Angriffsfläche.
Was ein Banner kostet
Der rechtliche Blickwinkel überdeckt oft den wirtschaftlichen. Ein Banner hat messbare Kosten.
Absprünge. Ein Banner, das beim ersten Besuch die halbe Seite verdeckt, führt zu Abbrüchen, besonders auf dem Smartphone und besonders bei Besuchern aus Anzeigen, für die ihr bezahlt habt.
Datenlücken. Wer ablehnt, wird nicht gezählt. Je nach Branche liegen die Ablehnungsquoten deutlich im zweistelligen Bereich. Eure Statistik bildet dann nur einen Ausschnitt ab, was bei Entscheidungen auf Basis dieser Zahlen zu bedenken ist.
Ladezeit. Viele Einwilligungswerkzeuge werden früh geladen und blockieren die Darstellung.
Daraus folgt derselbe Rat wie oben: Je weniger einwilligungspflichtige Dienste, desto kleiner das Banner, desto geringer der Verlust. Ein Banner, das nur drei Zwecke abfragt, wird häufiger akzeptiert als eines mit vierzig Anbietern in einer Liste.
Was regelmäßig geprüft werden sollte
Ein Einwilligungsbanner ist keine einmalige Einrichtung.
Bei jeder Änderung an der Website prüfen, ob neue externe Dienste dazugekommen sind. Ein eingebundenes Video, ein neues Formularwerkzeug, ein Schriftartenwechsel: Jedes davon kann die Pflichtenlage ändern.
Einmal im Quartal die tatsächlich geladenen Verbindungen prüfen, vor und nach der Einwilligung. Der häufigste Befund: Etwas lädt bereits vor der Zustimmung.
Die Speicherdauer der Einwilligung prüfen. Üblich sind sechs bis zwölf Monate, danach wird erneut gefragt.
Die Dokumentation. Einwilligungen müssen nachweisbar sein: welche Version des Banners, welche Zwecke, wann.
Für die Bewertung im Einzelfall, besonders bei Drittlandtransfer und bei der Einstufung einzelner Dienste, ist eine fachanwaltliche Prüfung sinnvoll. Dieser Beitrag ersetzt sie nicht.
More articles
