Blog

Cookie-Banner Pflicht: wann du wirklich einen brauchst

Die Cookie-Banner Pflicht hängt nicht an deiner Website, sondern daran, was sie lädt: Ohne Cookies und Skripte jenseits des Nötigen brauchst du keine Abfrage, mit Messung, Karte oder Werbepixel schon. Welche Pflichten sonst auf einer Seite liegen, ordnet [Rechtssichere Website: was Pflicht ist und was nur Vorsicht](/blog/rechtssichere-website) ein.

· Von Melta

Sobald deine Seite etwas im Gerät der Besucherin speichert oder von dort ausliest, das für den gewünschten Dienst nicht unbedingt nötig ist. In Deutschland steht dieser Satz in § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes: Speichern und Zugreifen sind nur zulässig, wenn vorher klar und umfassend informiert wurde und die Person eingewilligt hat.

Im Gesetzestext kommt das Wort Cookie nicht vor. Dort steht Endeinrichtung. Darunter fällt der Cookie genauso wie Local Storage, ein Zählpixel, ein Skript von einem fremden Server oder eine Kennung, die beim ersten Aufruf vergeben wird. Wer die Pflicht am Wort Cookie festmacht, sucht an der falschen Stelle und übersieht die Hälfte.

Die Pflicht hängt damit nicht an der Grösse deiner Seite, nicht am Umsatz und nicht an der Rechtsform. Sie hängt an deiner Technik. Eine Handwerkerseite mit eingebetteter Karte und Reichweitenmessung braucht eine Abfrage. Eine Seite, die nichts nachlädt und nichts misst, braucht keine.

Welche Cookies ohne Einwilligung laufen

Absatz 2 derselben Vorschrift nimmt zwei Fälle aus: die reine Übertragung einer Nachricht und alles, was unbedingt erforderlich ist, damit der ausdrücklich gewünschte Dienst funktioniert. Das ist enger, als die meisten Banner es auslegen. Die Trennlinie verläuft entlang der Frage, wer den Dienst wollte. Den Warenkorb will die Kundin. Die Messung willst du.

Läuft ohne Abfrage Braucht eine Einwilligung
Sitzungskennung für Login und Warenkorb Reichweitenmessung und Statistik
die Sprache, die jemand selbst gewählt hat Werbe- und Retargeting-Pixel
Schutz vor massenhaften Anfragen Karten, Videos und Schriften von fremden Servern
die gespeicherte Cookie-Entscheidung selbst Tests mit zwei Varianten und Personalisierung

Die rechte Spalte fällt auf kleinen Seiten meist kürzer aus, als man denkt. Oft stehen dort ein Statistikwerkzeug, eine eingebettete Karte und ein Schriftpaket, das vom Server eines Anbieters kommt statt vom eigenen.

Österreich regelt dieselbe Sache im Telekommunikationsgesetz, in § 165 Absatz 3. Die Datenschutzbehörde legt die Ausnahme eng aus: ohne Einwilligung darf nur gesetzt oder ausgelesen werden, was für den ausdrücklich gewünschten Dienst unbedingt erforderlich ist. Die Schweiz steht daneben, weil sie mit dem Ablehnen arbeitet statt mit dem Zustimmen.

Land Woran die Pflicht hängt Was die Besucherin sieht
Deutschland § 25 TDDDG, daneben die DSGVO für die Daten selbst Einwilligung vor dem ersten nicht notwendigen Zugriff
Österreich § 165 Absatz 3 TKG 2021 dieselbe Einwilligung, dieselbe enge Ausnahme
Schweiz Art. 45c FMG, daneben das Datenschutzgesetz Information über den Zweck und ein Hinweis auf das Ablehnen

Ein Schweizer Betrieb sitzt deshalb nicht automatisch ausserhalb der strengeren Regel. Wer aus der Schweiz gezielt Kundschaft in der EU anspricht, wird für diese Daten zusätzlich an der DSGVO gemessen. Die Frage ist nicht, wo dein Server steht, sondern wen du ansprichst.

Ist ein Ablehnen-Button Pflicht?

Die deutschen Aufsichtsbehörden schreiben, dass die Möglichkeit, nicht einzuwilligen, deutlich als gleichwertige Alternative zur Zustimmung dargestellt sein muss. Ein grauer Textlink neben einem grünen Knopf ist das nicht. Praktisch heisst es: Wer auf der ersten Ebene zustimmen kann, muss dort auch ablehnen können.

Dazu kommt das Urteil im Fall Planet49. Der Europäische Gerichtshof hat entschieden, dass keine wirksame Einwilligung vorliegt, wenn jemand zur Verweigerung ein bereits angekreuztes Kästchen abwählen muss. Voreinstellungen zählen nicht als Entscheidung, auch dann nicht, wenn der Schalter hübsch gestaltet ist.

In der Schweiz ist die Richtung umgekehrt und das Ergebnis ähnlich. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte verlangt in seinem Leitfaden, dass du über den Einsatz solcher Technologien und deren Zwecke informierst und dabei sagst, dass und wie sich die Bearbeitung ablehnen lässt.

Ja, und auf kleinen Seiten ist das der kürzere Weg. Du kommst ohne Abfrage aus, wenn nichts im Gerät landet, das über den gewünschten Dienst hinausgeht. Schriften liegen dann auf dem eigenen Server, die Karte ist ein Bild mit Link zum Kartendienst, das Video startet erst nach einem Klick, und die Statistik arbeitet ohne Cookie und ohne Kennung.

Das ist keine Nische mehr. Melta liefert seine Produkte zum Beispiel mit cookieloser Analytics mit Trichter und Live-Ansicht, die ohne Cookie im Browser auskommt. Ob du am Ende wirklich ohne Abfrage dastehst, entscheidet trotzdem nicht der Name des Werkzeugs, sondern die Frage, ob es etwas im Gerät speichert oder ausliest. Das prüfst du selbst, einmal, in wenigen Minuten.

Vier Angaben braucht jemand, bevor er zustimmen kann: wozu die Cookies da sind, wie lange sie liegen bleiben, ob Dritte darauf zugreifen und wie sich die Einwilligung wieder zurücknehmen lässt. Funktionsdauer und Zugriff Dritter stehen genau so im Planet49-Urteil.

Die Einzelheiten gehören nicht in das Banner, sondern in die Datenschutzerklärung, und das Banner verlinkt sie. Was dort hineingehört, steht in Datenschutzerklärung Website: was drinstehen muss. Wer ohnehin gerade die Pflichtseiten durchgeht, prüft am selben Nachmittag auch die Angaben zum Betreiber, nachzulesen in Impressum Pflicht: wer eins braucht und was reingehört.

Zuerst schauen, dann bauen. Öffne deine Seite in einem frischen Browserfenster und sieh in den Entwicklerwerkzeugen unter Speicher und Netzwerk nach, was beim ersten Aufruf gesetzt und geladen wird, bevor irgendjemand irgendwo geklickt hat. Diese Liste ist deine Aufgabenliste.

Streich daraus, was du nicht mehr brauchst. Das alte Statistikwerkzeug, den Schriftaufruf von fremden Servern, das Video, das niemand startet. Für den Rest gilt eine einzige Regel: Es lädt erst, wenn jemand zugestimmt hat. Halte fest, wer wann was gewählt hat, und beschreibe im Datenschutztext, was du misst.

So schrumpft die Cookie-Banner Pflicht auf das, was du wirklich einsetzt, und bei manchen Seiten bleibt am Ende gar nichts übrig. Den Überblick über die übrigen Pflichten einer Website gibt Rechtssichere Website: was Pflicht ist und was nur Vorsicht.

FAQ

Nein. Eine Abfrage brauchst du erst, wenn deine Seite etwas im Gerät speichert oder ausliest, das für den gewünschten Dienst nicht unbedingt erforderlich ist.

Das Fernmeldegesetz verlangt keine Einwilligung, aber Information über die Bearbeitung und ihren Zweck sowie einen Hinweis, dass man sie ablehnen kann. Wer gezielt Kundschaft in der EU anspricht, wird zusätzlich an der DSGVO gemessen.

Reicht der Hinweis, dass die Seite Cookies verwendet?

Nein, sobald nicht notwendige Cookies im Spiel sind. Verlangt ist eine Einwilligung auf Grundlage klarer und umfassender Informationen, und die setzt eine aktive Entscheidung voraus.

Muss der Ablehnen-Knopf so auffällig sein wie der Zustimmen-Knopf?

Die deutschen Aufsichtsbehörden verlangen, dass die Ablehnung deutlich als gleichwertige Alternative zur Einwilligung dargestellt wird. Ein versteckter Link erfüllt das nicht.

Ja, sobald die Messung ein Cookie setzt oder eine Kennung im Gerät ablegt. Statistik ist kein Dienst, den die Besucherin ausdrücklich gewünscht hat.

Themen: Cookie-Banner, Datenschutz, DSGVO, Rechtssichere Website, Einwilligung

Quellen

  1. § 25 Absatz 1 TDDDG: Speichern und Auslesen im Endgerät nur nach Einwilligung gesetze-im-internet.de
  2. Datenschutzbehörde Österreich zu Cookies und § 165 Absatz 3 TKG 2021: ohne Einwilligung nur technisch notwendige Cookies dsb.gv.at
  3. Art. 45c Fernmeldegesetz Schweiz: Information über Zweck und Hinweis auf das Ablehnen statt Einwilligung fedlex.admin.ch
  4. Leitfaden des EDÖB zu Cookies: informieren, Zwecke nennen und sagen, wie sich die Bearbeitung ablehnen lässt edoeb.admin.ch
  5. Orientierungshilfe der deutschen Datenschutzaufsichtsbehörden zu digitalen Diensten: Ablehnen als gleichwertige Alternative datenschutzkonferenz-online.de
  6. EuGH-Urteil Planet49 (C-673/17) vom 1. Oktober 2019 zur Einwilligung in Cookies datenschutzkanzlei.de
  7. Planet49: ein bereits angekreuztes Kästchen ist keine wirksame Einwilligung ihk.de
  8. Art. 3 Absatz 2 DSGVO: wann die Verordnung für Anbieter ausserhalb der EU gilt dsgvo-gesetz.de

Weiterlesen

Zur Themenseite

Weiterlesen

Beschreib dein Produkt - den Rest übernimmt Melta.

Ein Konzept kostet nur wenige Credits. Gebaut, online gestellt und betrieben wird es, sobald du es freigibst.

Frühzugang sichern