Anmelden Kostenlos starten
DSGVO

Cookie-Banner: wann er Pflicht ist

· 4 Min. Lesezeit

Der Cookie-Banner steht auf fast jeder deutschen Website, und fast überall steht er aus dem falschen Grund dort. Die DSGVO verlangt ihn nicht. Sie kommt erst ins Spiel, wenn schon feststeht, dass etwas verarbeitet wird.

Verlangt wird die Einwilligung von § 25 TDDDG — und der stellt eine andere Frage, als die meisten Banner beantworten.

Die Frage lautet nicht „setzt du Cookies"#

§ 25 TDDDG erfasst das Speichern von Informationen auf dem Endgerät und den Zugriff darauf. Ein Cookie ist der bekannteste Fall, aber nur einer:

  • Local Storage und Session Storage sind dasselbe in Grün.
  • Ein Skript, das Bildschirmgröße, Schriftenliste und Zeitzone ausliest, um daraus einen Wiedererkennungswert zu bilden, greift auf das Endgerät zu — ohne ein einziges Cookie.
  • Eine Schriftart, die von einem fremden Server geladen wird, speichert nichts. Sie überträgt aber die IP-Adresse, und das ist wieder eine Frage für die DSGVO.

Deshalb reicht „wir setzen keine Cookies" als Begründung nicht. Und deshalb sind Werkzeuge, die mit „cookiefrei" werben, nicht automatisch einwilligungsfrei — siehe Matomo ohne Cookie-Banner.

Wann du keinen Banner brauchst#

Es gibt eine Ausnahme, und sie ist enger, als sie klingt: technisch notwendig. Notwendig heißt, dass der vom Nutzer gewünschte Dienst ohne die Speicherung nicht funktioniert.

Darunter fallen:

  • Der Warenkorb eines Shops.
  • Die Anmeldung an einem Konto.
  • Die Sprachauswahl, die jemand selbst getroffen hat.
  • Ein Sicherheitsmechanismus gegen Missbrauch des Formulars.

Nicht darunter fällt alles, was der Betreiber will und der Besucher nicht: Reichweitenmessung, Marketing, eingebettete Videos, A/B-Tests, Chat-Fenster, Kartendienste. Auch nicht, wenn sie „für die Verbesserung der Nutzererfahrung" laufen.

Eine Website ohne einen einzigen nicht-notwendigen Dienst braucht keinen Banner. Das ist selten, aber es kommt vor — und es ist der Grund, warum die nächste Überschrift die wichtigste dieser Seite ist.

Der Banner ist ein Symptom, keine Lösung#

Fast jede Beratung zu diesem Thema endet mit „nimm dieses Werkzeug". Die Frage davor wird kaum gestellt: Warum brauchst du überhaupt eine Einwilligung?

Ein Banner entsteht nicht aus dem Nichts. Er entsteht, weil jemand etwas eingebunden hat — Google Fonts von Googles Servern statt aus dem eigenen Verzeichnis, ein YouTube-Video im Normalmodus statt im erweiterten Datenschutzmodus, einen Tag Manager, der fünf weitere Dienste nachlädt.

Jeder dieser Fälle ist einzeln entscheidbar, und viele lassen sich abstellen, ohne dass die Website etwas verliert:

  • Schriften lokal ausliefern — kostet zehn Minuten und entfernt einen Verarbeiter.
  • Karten durch ein statisches Bild mit Link ersetzen, wenn niemand hineinzoomt.
  • Videos erst auf Klick laden, statt beim Seitenaufruf.

Was danach übrig bleibt, ist der ehrliche Umfang deines Banners. Welche Dienste dabei welche Frage aufwerfen, steht Dienst für Dienst in unserer Übersicht zur DSGVO-Serie — zwanzig Einzelfälle, jeder mit dem, was er überträgt und was zu tun ist.

Was ein Banner können muss, wenn du einen brauchst#

Vier Anforderungen, an denen die meisten Banner scheitern:

  1. Ablehnen muss so einfach sein wie Zustimmen. Ein „Alle akzeptieren" in Farbe neben einem grauen „Einstellungen" ist keine freie Entscheidung. Das ist der am häufigsten beanstandete Punkt überhaupt.
  2. Nichts läuft vor der Entscheidung. Ein Banner, der nur eine Meldung zeigt, während die Skripte längst geladen sind, erfüllt gar nichts. Das ist kein Rechtsproblem, sondern ein technisches — und es lässt sich messen.
  3. Der Widerruf muss so leicht sein wie die Erteilung. In der Praxis: eine dauerhaft erreichbare Schaltfläche, nicht ein Link im Impressum.
  4. Die Entscheidung muss dokumentiert sein. Wer nachweisen soll, dass eingewilligt wurde, braucht ein Protokoll mit Zeitpunkt und Fassung des Textes.

Punkt 2 ist der, der am häufigsten übersehen wird und am leichtesten zu prüfen ist: Unser Datenschutz-Check lädt die Seite wie ein Browser und protokolliert jede Verbindung, die vor einer Zustimmung entsteht.

Wie es weitergeht#

Der ehrliche Schluss#

Das ist keine Rechtsberatung. Die Einordnung von § 25 TDDDG und der Ausnahme „technisch notwendig" ist in Randbereichen umstritten, und Aufsichtsbehörden legen sie unterschiedlich streng aus. Was hier steht, ist der Rahmen — die Bewertung deines konkreten Falls gehört zu jemandem, der ihn kennt.

Was dagegen nicht Auslegung ist: welche Dienste deine Seite lädt und wann sie das tun. Das ist messbar, und dort fängt jede sinnvolle Entscheidung an.