Cookie-Banner: wann er Pflicht ist

Wann ein Cookie-Banner Pflicht ist

„Cookie banner pflicht“ wird in Deutschland 140-mal im Monat gesucht. Die Rechtsgrundlage ist § 25 TDDDG (früher TTDSG). Das Gesetz spricht nicht von Cookies, sondern von jeder Speicherung von Informationen auf dem Endgerät und jedem Zugriff darauf: Cookies, Local Storage und ähnliche Techniken fallen gleichermaßen darunter. Für all das gilt der Grundsatz: Einwilligung vorher, und zwar gemäß der Verordnung (EU) 2016/679, also nach den Regeln der DSGVO für eine wirksame Einwilligung.

Das Banner selbst ist keine gesetzliche Pflicht, sondern das übliche Werkzeug, um diese Einwilligung einzuholen. Die Datenschutzkonferenz (DSK), das Gremium der deutschen Datenschutzaufsichtsbehörden, stellt in ihrer Orientierungshilfe klar: „Nicht jeder Einsatz von Cookies oder das anschließende Tracking ist per se einwilligungsbedürftig.“ Sie rät, ein Banner nur einzusetzen, wenn wirklich eine Einwilligung nötig ist: Sonst entsteht der Eindruck einer Wahl, die es gar nicht gibt.

Nach § 28 TDDDG handelt ordnungswidrig, wer vorsätzlich oder fahrlässig entgegen § 25 Absatz 1 Satz 1 eine Information speichert oder auf eine Information zugreift; der Rahmen liegt bei bis zu 300.000 €. Werden danach personenbezogene Daten verarbeitet, etwa durch ein Analyse-Tool, greift zusätzlich die DSGVO mit ihren eigenen Bußgeldern.

Die Ausnahmen: welche Cookies keine Einwilligung brauchen

§ 25 Abs. 2 TDDDG kennt genau zwei Ausnahmen. Die erste betrifft Zugriffe, deren alleiniger Zweck die Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist; sie spielt für eine normale Unternehmenswebsite kaum eine Rolle. Die zweite ist die wichtige: der Zugriff ist unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.

Die DSK legt „unbedingt erforderlich“ streng aus, im Sinne einer technischen Notwendigkeit. Eine Ausnahme kann ausdrücklich nicht dadurch begründet werden, dass das Speichern von oder der Zugriff auf Informationen im Endgerät wirtschaftlich für das Geschäftsmodell erforderlich ist. Und „gewünscht“ ist ein Dienst erst, wenn der Besucher ihn nutzt: Ein Warenkorb-Cookie kann erst dann als unbedingt erforderlich betrachtet werden, wenn eine entsprechende Nutzerinteraktion stattgefunden hat, also wenn wirklich ein Artikel im Warenkorb liegt.

• In der Regel ohne Einwilligung: der Warenkorb und die Zahlung, sobald der Kunde sie nutzt, der Login-Bereich, wenn der Besucher sich anmeldet, nutzerorientierte Sicherheitscookies (etwa gegen wiederholte fehlgeschlagene Anmeldeversuche), eine gespeicherte Spracheinstellung wie „language: de“ ohne Nutzer-ID und das Cookie, das die Entscheidung im Banner speichert. Für Letzteres braucht es laut DSK keine langlebigen UID-Cookies.
• Mit Einwilligung: Werbe- und Remarketing-Cookies, Pixel sozialer Netzwerke, eingebundene Videos, Karten und Schriften von fremden Servern, soweit sie auf das Endgerät zugreifen, und Analyse-Tools von Drittanbietern in der üblichen Konfiguration.
• Im Einzelfall zu prüfen: Analyse und Tests. Die DSK nennt die Messung und/oder Analyse von Besucherzahlen oder A/B-Tests. Diese sind nicht per se dem Basisdienst zuzurechnen. Ob eine Reichweitenmessung ohne Einwilligung zulässig ist, lässt sich nach der DSK allenfalls für eine genau definierte Konfiguration und Zweckbestimmung festlegen; eine Pauschalfreigabe gibt es nicht.

Was das Banner zeigen muss

Die DSK beschreibt in ihrer Orientierungshilfe, wie ein Einwilligungsbanner aussehen muss, damit die Einwilligung wirksam ist. Auf der ersten Ebene, also ohne weiteren Klick, gehören im Regelfall dazu: konkrete Zwecke der Verarbeitung; ob individuelle Profile angelegt und mit Daten von anderen Webseiten angereichert werden; ob Daten außerhalb des EWR verarbeitet werden; an wie viele Verantwortliche die Daten offengelegt werden. Ein allgemeiner Hinweis auf „Partner“ reicht nicht: „Werden Drittdienstleister eingebunden, sind diese einzeln zu benennen.“

1. 1
   Nichts vorab laden: Solange das Banner angezeigt wird, werden keine weitergehenden Skripte einer Webseite oder einer App, die potenziell auf die Endgeräte der Nutzenden zugreifen (TDDDG) oder durch die personenbezogene Daten verarbeitet werden (DS-GVO) und insbesondere auch keine Inhalte von fremden Servern geladen, soweit dafür eine Einwilligung nötig ist.
2. 2
   Aktive Zustimmung: „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der Nutzenden können demgegenüber keine Einwilligung darstellen.“ Die DSK verlangt, dass die Auswahlmöglichkeiten nicht „aktiv“ voreingestellt sein dürfen. Klickt der Besucher in einem Banner, das lediglich eine „Okay“-Schaltfläche enthält, ist das nach der DSK keine unmissverständliche Erklärung.
3. 3
   Ablehnen so einfach wie Zustimmen: Eine Ablehnen-Schaltfläche auf der ersten Ebene ist nach der DSK Pflicht, wenn Nutzer:innen mit dem Einwilligungsbanner interagieren müssen, um den Besuch der Webseite fortzusetzen, und bei gängigen Bannern sind sehr häufig die Voraussetzungen erfüllt, die eine Ablehnfunktion auf erster Ebene erfordern. Gleichwertig ist sie zum Beispiel, wenn neben „Einwilligung erteilen“ ein insbesondere in Größe, Farbe, Kontrast und Schriftbild vergleichbarer Button „Weiter ohne Einwilligung“ steht.
4. 4
   Widerruf jederzeit möglich: Art. 7 Abs. 3 DSGVO verlangt: „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.“ Es ist laut DSK unzulässig, wenn zunächst eine Datenschutzerklärung aufgerufen und dann in dieser zu der richtigen Stelle gescrollt werden muss, um den Widerruf zu finden; viele Websites zeigen dafür einen stets sichtbaren Direktlink oder ein Icon zu den Einstellungen.
5. 5
   Impressum und Datenschutzerklärung erreichbar lassen: „Der Zugriff auf Impressum und Datenschutzerklärung darf durch das Einwilligungsbanner nicht behindert werden“, auch nicht auf dem Handy.
6. 6
   Einwilligungen belegen können: Wer sich auf eine Einwilligung stützt, muss nach Art. 7 Abs. 1 DSGVO nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat. Dokumentieren Sie dafür, wie Ihr Banner konfiguriert ist und welche Fassung wann lief.

Was das Banner für Ihre Analytics bedeutet

Die direkte Folge eines korrekten Banners: Wer ablehnt oder das Banner ignoriert, wird von einwilligungspflichtigen Tools nicht erfasst. Ihre Berichte zeigen dann nur noch die Besucher, die zugestimmt haben, und die Zahlen sinken gegenüber einer Website ohne Banner, ohne dass sich am Traffic etwas geändert hat. Vergleiche über den Zeitpunkt der Einführung hinweg sind deshalb nicht aussagekräftig.

Für Google Analytics und Google Ads gibt es den Einwilligungsmodus von Google. In der einfachen Version werden Google-Tags erst geladen, wenn ein Nutzer mit einem Einwilligungsbanner interagiert, und Google schreibt: „Wenn der Nutzer die Einwilligung nicht erteilt, werden keine Daten an Google übertragen.“ In der erweiterten Version laden die Tags sofort; Google dazu: „Auch wenn die Einwilligung denied wird, werden über die Google-Tags Messungen ohne Cookies gesendet.“ Laut Google: „So können Conversions und Schlüsselereignisse in Google Ads- und Google Analytics-Properties modelliert werden.“

Ob die erweiterte Version in Deutschland ohne Einwilligung zulässig ist, sagt Google nicht. Auch eine Messung ohne Cookies kann auf das Endgerät zugreifen, und die DSK hält eine Festlegung allenfalls für eine genau definierte Konfiguration und Zweckbestimmung für möglich. Wer auf der sicheren Seite bleiben will, nutzt die einfache Version. Für eine reine Zählung der Seitenaufrufe nennt die DSK Wege, die mit wenig Daten auskommen: Es reiche aus, bei jedem Abruf einer Seite den Zähler für diese Seite um Eins zu erhöhen, auf der Basis von Logfiles ohne personenbezogene Daten die Zahl der jeweiligen Seitenabrufe zu ermitteln oder ein einfaches Zählpixel (des direkt aufgerufenen digitalen Dienstes) auf der Webseite zu implementieren.

Die verlässlichen Zahlen zu Umsatz und Bestellungen liefern ohnehin Ihr Shop-System und Ihr Zahlungsanbieter. Analytics liefert mit Banner vor allem Anteile und Wege: welche Seiten, welche Kanäle, wo Besucher abbrechen.

Unsere Einschätzung

Fangen Sie nicht beim Banner an, sondern bei der Frage, was Ihre Website überhaupt lädt: Öffnen Sie sie in einem privaten Browserfenster, schauen Sie in den Entwicklerwerkzeugen nach Cookies und Anfragen an fremde Server, und streichen Sie jedes Tool, das Sie nicht wirklich auswerten. Für eine kleine Unternehmenswebsite ist das Ziel oft erreichbar, mit nur technisch notwendigen Cookies ganz ohne Banner auszukommen: Schriften vom eigenen Server, Karte als Bild mit Link, kein Pixel, das niemand nutzt. Wer ein Banner braucht, sollte den Ablehnen-Knopf so sichtbar machen wie den Zustimmen-Knopf und die Zahlen danach nicht mit den alten vergleichen.

Die Redaktion von FindMyCompany