Cookie Consent

Was bedeutet Cookie Consent?

Cookie Consent bedeutet wörtlich „Cookie-Einwilligung“. Gemeint ist die Entscheidung eines Besuchers, ob bestimmte Technologien auf seinem Gerät verwendet werden dürfen. Der Begriff ist im Alltag verbreitet, rechtlich aber etwas zu eng: Es geht nicht nur um klassische Cookies. Auch andere Techniken können Informationen auf einem Endgerät speichern oder auslesen, beispielsweise der lokale Browserspeicher, der Sitzungsspeicher oder bestimmte Kennungen, die von Skripten verarbeitet werden.

Für Website-Betreiber ist deshalb eine einfache Frage besonders wichtig: Was passiert technisch, bevor ein Besucher zugestimmt hat? Wenn bereits beim ersten Seitenaufruf Analyse-, Werbe- oder externe Mediendienste gestartet werden, hilft ein schön gestalteter Banner allein nicht. Eine Einwilligungslösung muss die Auswahl des Besuchers in einen tatsächlichen technischen Zustand übersetzen.

Cookie Consent besteht aus mehr als einem Banner

Ein Banner ist nur die sichtbare Oberfläche. Dahinter muss eine Einwilligungsverwaltung entscheiden, welche Dienste sofort verwendet werden dürfen und welche zunächst warten müssen. Ein brauchbares System verbindet daher Information, Auswahl, technische Steuerung und Dokumentation.

1. InformierenDer Besucher muss verstehen können, welche Dienste oder Zwecke betroffen sind und wofür eine Einwilligung verlangt wird.

2. EntscheidenDie Auswahl muss aktiv erfolgen. Zustimmen, ablehnen und – wenn Kategorien verwendet werden – eine gezielte Auswahl müssen nachvollziehbar möglich sein.

3. Technisch umsetzenOptionale Skripte, eingebettete Inhalte oder andere Datenverbindungen dürfen nicht einfach ungeachtet der Auswahl starten.

4. Später ändernEine erteilte Einwilligung muss widerrufbar sein. Die Website sollte die geänderte Entscheidung anschließend auch technisch beachten.

Was regelt § 25 TDDDG?

Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) schützt unter anderem die Privatsphäre von Endeinrichtungen wie Computer, Smartphone oder Tablet. § 25 TDDDG betrifft das Speichern von Informationen auf einer Endeinrichtung und den Zugriff auf Informationen, die dort bereits gespeichert sind.

Grundsätzlich verlangt § 25 Abs. 1 TDDDG hierfür eine Einwilligung auf Grundlage klarer und umfassender Informationen. § 25 Abs. 2 nennt Ausnahmen. Eine Einwilligung ist insbesondere dann nicht erforderlich, wenn der Vorgang ausschließlich der Übertragung einer Nachricht dient oder unbedingt erforderlich ist, damit ein ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann.

Wichtig: „Technisch möglich“, „für uns nützlich“ oder „üblich auf Websites“ bedeutet nicht automatisch „unbedingt erforderlich“. Die Ausnahme muss sich auf die konkrete Funktion beziehen, die der Nutzer ausdrücklich angefordert hat.

Welche Rolle spielt die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) betrifft die Verarbeitung personenbezogener Daten. Das kann beispielsweise eine IP-Adresse, eine Online-Kennung, ein Nutzerkonto oder eine Information sein, die einem Menschen direkt oder indirekt zugeordnet werden kann.

Art. 6 DSGVO enthält die möglichen Rechtsgrundlagen für eine Verarbeitung. Die Einwilligung nach Art. 6 Abs. 1 Buchstabe a ist nur eine davon. Je nach Verarbeitung können beispielsweise auch ein Vertrag, eine rechtliche Verpflichtung oder ein berechtigtes Interesse relevant sein. Bei vielen optionalen Analyse- oder Werbediensten wird jedoch zusätzlich genau geprüft werden müssen, ob eine wirksame Einwilligung erforderlich ist.

Wird eine Verarbeitung auf eine Einwilligung gestützt, ist außerdem Art. 7 DSGVO wichtig. Er regelt unter anderem die Nachweisbarkeit der Einwilligung und verlangt, dass ein Widerruf so einfach sein muss wie die Erteilung. Die allgemeinen Anforderungen an eine Einwilligung ergeben sich außerdem aus der Definition in Art. 4 Nr. 11 DSGVO und den Grundsätzen der DSGVO.

Notwendige und optionale Dienste unterscheiden

Eine Website muss nicht für jede technische Funktion eine Einwilligung verlangen. Entscheidend ist die konkrete Aufgabe des Dienstes und die eingesetzte Technik.

Beispiel: WarenkorbEin Cookie, das sich die Produkte im Warenkorb merkt, kann für einen vom Nutzer gewünschten Onlineshop erforderlich sein. Ohne diese Funktion könnte der Warenkorb nicht zuverlässig bereitgestellt werden.

Beispiel: ReichweitenanalyseEin Analysedienst misst Seitenaufrufe, wiederkehrende Besucher oder Kampagnenerfolge. Diese Auswertung ist normalerweise nicht erforderlich, damit der Besucher die eigentliche Webseite lesen oder eine Bestellung aufgeben kann.

Beispiel: YouTube-VideoWird ein Video direkt von YouTube eingebettet, können bereits beim Laden Verbindungen zu Google entstehen. Eine Alternative ist ein lokaler Platzhalter, der den externen Inhalt erst nach einer bewussten Freigabe lädt.

Beispiel: SpracheinstellungEine gespeicherte Sprachauswahl kann erforderlich sein, damit die Website die vom Besucher gewünschte Sprache beibehält. Die konkrete Beurteilung hängt von der technischen Umsetzung ab.

Wie funktioniert Cookie Consent technisch?

Beim ersten Seitenaufruf sollte die Einwilligungsverwaltung möglichst früh wissen, welche Regeln gelten. Sie setzt zunächst einen Ausgangszustand. Dienste, die eine Einwilligung benötigen, bleiben dabei zurückgehalten. Erst nach der Entscheidung werden die passenden Funktionen freigegeben.

Website startet: Die Einwilligungsverwaltung wird geladen, bevor davon abhängige optionale Dienste ausgeführt werden.
Ausgangszustand: Noch nicht freigegebene Analyse-, Marketing- oder Mediendienste bleiben deaktiviert.
Besucher entscheidet: Er kann beispielsweise nur notwendige Funktionen zulassen oder zusätzliche Kategorien auswählen.
Freigabe: Nur die zur Auswahl passenden Dienste werden gestartet.
Speicherung der Entscheidung: Die Auswahl wird so gespeichert, dass die Website sie beim nächsten Seitenaufruf berücksichtigen kann.
Widerruf: Ändert der Besucher seine Entscheidung, müssen die betroffenen Dienste entsprechend neu gesteuert werden.

Praxisbeispiel: Unternehmenswebsite

Eine Unternehmenswebsite verwendet ein Kontaktformular, eine eingebettete Karte, ein YouTube-Video und eine Reichweitenanalyse.

Das Kontaktformular kann grundsätzlich unabhängig von einer Marketing-Einwilligung funktionieren.
Die Karte wird zunächst durch einen lokalen Hinweis ersetzt und erst nach Freigabe geladen.
Das YouTube-Video wird ebenfalls nicht sofort eingebettet, sondern erst nach der Entscheidung des Besuchers.
Die Reichweitenanalyse startet nur in dem Zustand, für den sie konfiguriert wurde.

Der Nutzen einer Einwilligungsverwaltung liegt hier darin, dass nicht jede Unterseite eigene Sonderlösungen benötigt. Die Regeln werden zentral festgelegt und anschließend auf die jeweiligen Dienste angewendet.

Praxisbeispiel: Onlineshop

In einem Shop ist die Trennung besonders anschaulich. Warenkorb, Anmeldung und Bestellabwicklung gehören zur eigentlichen Shopfunktion. Werbemessung, Wiederansprache oder externe Empfehlungsdienste verfolgen dagegen zusätzliche Zwecke.

Ein professionelles Cookie-Consent-Konzept versucht nicht, alle technischen Funktionen in dieselbe Kategorie zu drücken. Stattdessen wird dokumentiert, welche Funktion wofür benötigt wird, welche Datenflüsse entstehen und zu welchem Zeitpunkt ein Dienst starten darf.

Wie lässt sich die Umsetzung im Browser prüfen?

Die Kontrolle sollte nicht nur auf den Banner schauen. Entscheidend ist, was der Browser tatsächlich tut. Für eine einfache Prüfung können die Entwicklerwerkzeuge moderner Browser verwendet werden.

Öffnen Sie die Website in einem neuen privaten Browserfenster, damit keine alte Auswahl übernommen wird.
Öffnen Sie den Bereich Netzwerk und laden Sie die Seite neu.
Prüfen Sie vor jeder Auswahl, welche externen Domains angesprochen werden.
Kontrollieren Sie unter Speicher beziehungsweise Anwendung, welche Cookies und anderen Browserspeicher angelegt werden.
Wählen Sie „Ablehnen“ und prüfen Sie erneut, ob optionale Verbindungen weiterhin ausbleiben.
Erteilen Sie gezielt eine Einwilligung für eine Kategorie und kontrollieren Sie, ob nur die dazugehörigen Dienste starten.
Widerrufen Sie die Einwilligung und prüfen Sie, ob der geänderte Zustand bei weiteren Seitenaufrufen berücksichtigt wird.

Prüfziel: Nicht der Text des Banners entscheidet über die Qualität der Umsetzung, sondern die Übereinstimmung zwischen angezeigter Auswahl und tatsächlichem Datenfluss.

Cookie Consent mit PrivacyBox

PrivacyBox ist eine Einwilligungs-Management-Plattform (CMP). Sie wird zentral in die Website eingebunden und stellt den Einwilligungszustand früh zur Verfügung, damit nachgelagerte Dienste abhängig von der Auswahl des Besuchers gesteuert werden können.

Für die praktische Einrichtung wird zunächst ermittelt, welche Dienste auf der Website eingesetzt werden. Anschließend werden diese den passenden Zwecken oder Kategorien zugeordnet. Externe Medien, Analyse- und Marketingdienste können so gezielt zurückgehalten und erst nach der entsprechenden Auswahl freigegeben werden.

Gerade bei Websites mit mehreren eingebetteten Diensten hilft eine zentrale Verwaltung dabei, Änderungen nachvollziehbar zu halten. Trotzdem bleibt ein regelmäßiger technischer Test sinnvoll, denn neue Plugins, Vorlagen oder Marketingwerkzeuge können zusätzliche Datenverbindungen erzeugen.

Quellen und weiterführende Informationen

Hinweis: Die rechtliche Bewertung hängt von der konkreten technischen Umsetzung und dem jeweiligen Zweck ab. Dieser Fachartikel vermittelt Grundlagen und ersetzt keine Rechtsberatung im Einzelfall.

Glossar

Cookie ConsentEinwilligung eines Besuchers in bestimmte Speicher-, Zugriffs- oder damit verbundene Datenverarbeitungsvorgänge auf einer Website.

CookieKleine Information, die eine Website im Browser speichern und bei späteren Aufrufen wieder auslesen kann.

Einwilligungs-Management-Plattform (CMP)Software zur Einholung, Speicherung, Änderung und technischen Weitergabe von Einwilligungsentscheidungen.

EndeinrichtungGerät des Nutzers, beispielsweise Computer, Smartphone oder Tablet.

TDDDGTelekommunikation-Digitale-Dienste-Datenschutz-Gesetz. § 25 regelt insbesondere das Speichern und Auslesen von Informationen auf Endeinrichtungen.

DSGVODatenschutz-Grundverordnung. Sie regelt die Verarbeitung personenbezogener Daten und enthält unter anderem mögliche Rechtsgrundlagen und Anforderungen an Einwilligungen.

Personenbezogene DatenInformationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.

WiderrufRücknahme einer zuvor erteilten Einwilligung für die Zukunft.