Cookie-Banner: worauf es tatsächlich ankommt
Ein Banner ist kein Nachweis. Vor der Einwilligung darf nichts geladen werden, Ablehnen muss so leicht sein wie Zustimmen, beides ist zu dokumentieren.
Die meisten Banner scheitern an der Umsetzung. Sie fragen korrekt und laden trotzdem vorher, oder sie machen das Zustimmen bequem und das Ablehnen mühsam.
Verbreitete Gestaltungsfehler
Trägt
- Vor der Einwilligung wird nichts geladen, auch keine externen Schriften
- Ablehnen ist auf derselben Ebene und ebenso leicht wie Zustimmen
- Zwecke sind benannt, nicht nur Kategorien wie Komfort
- Der Widerruf ist jederzeit erreichbar und wirkt
Trägt nicht
- Vorangekreuzte Schalter oder ein Weiternutzen als Zustimmung
- Ablehnen erst hinter einer Einstellungsebene
- Ein Banner ohne Schließmöglichkeit, das die Seite blockiert
- Einwilligungen ohne Zeitstempel und Versionsstand der Hinweise
Was ohne Einwilligung laufen darf
§ 25 Abs. 2 TDDDG kennt zwei Ausnahmen, beide sind eng. Zulässig ist der Zugriff, wenn er allein der Übertragung einer Nachricht dient, sowie dann, wenn er unbedingt erforderlich ist, damit ein ausdrücklich gewünschter Dienst bereitgestellt werden kann.
Darunter fallen der Warenkorb, die Anmeldesitzung, die Sprachwahl innerhalb der Sitzung, Lastverteilung und Funktionen der Sicherheit. Nicht darunter fallen Reichweitenmessung, Tests verschiedener Seitenfassungen und alles, was der Werbung dient, auch wenn es selbst betrieben wird. Maßstab ist der Dienst, den die aufrufende Person angefordert hat, nicht das Interesse des Anbieters.
Zwei Punkte werden dabei häufig verwechselt. Erstens hängt die Ausnahme nicht am Cookie: Sie gilt für jeden Zugriff auf das Endgerät, auch für Fingerprinting und für das Auslesen im lokalen Speicher. Zweitens erlaubt sie nur den Zugriff. Für alles, was danach mit den Daten geschieht, braucht es weiterhin eine eigene Grundlage nach der DSGVO.
Was wir prüfen
- Welche Dienste vor der Einwilligung tatsächlich laden
- Ob die Ablehnung technisch wirkt und nicht nur angezeigt wird
- Gestaltung, Beschriftung und Gleichwertigkeit der Schaltflächen
- Vollständigkeit und Verständlichkeit der Zweckangaben
- Protokollierung der Einwilligungen und Widerrufe
- Zusammenspiel mit der Datenschutzinformation
Wie wir unterstützen
Wir sehen uns die Seite im Betrieb an, nicht nur die Konfiguration der Einwilligungsplattform. Danach bekommen Sie eine Liste mit dem, was zu ändern ist, sortiert nach Risiko und Aufwand.
Banner steht, Dienste laden trotzdem vorher?
Wir prüfen, ob er hält, was er anzeigt.
Banner prüfen lassenHäufige Fragen
Können wir Tracking auf berechtigtes Interesse stützen?
Für den Zugriff auf das Endgerät nicht. Das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz verlangt eine Einwilligung und kennt nur enge Ausnahmen für das, was für den Dienst unbedingt erforderlich ist. Reichweitenmessung und Werbenetzwerke gehören nicht dazu. Erst die anschließende Verarbeitung kann sich auf andere Grundlagen stützen.
Muss der Ablehnen-Button auf der ersten Ebene stehen?
Die Aufsichtsbehörden verlangen, dass Ablehnen nicht schwerer sein darf als Zustimmen. Ein Ablehnen, das erst über zwei Klicks in einer Einstellungsebene erreichbar ist, während Zustimmen einen Klick kostet, genügt dem regelmäßig nicht. Gestaltung, Farbe und Beschriftung zählen dabei mit.
Wie lange gilt eine erteilte Einwilligung?
Eine gesetzliche Frist gibt es nicht. Die Aufsichtsbehörden halten eine erneute Abfrage nach einiger Zeit für geboten, verbreitet sind sechs bis zwölf Monate. Unabhängig davon ist neu zu fragen, sobald sich die eingesetzten Dienste, die Zwecke oder die Empfänger ändern, denn die alte Einwilligung deckt den neuen Umfang nicht. Der Widerruf muss dabei jederzeit so leicht möglich sein wie die Erteilung.
Dürfen wir statt der Einwilligung ein Bezahlmodell anbieten?
Ob ein solches Modell die Freiwilligkeit der Einwilligung erhält, ist nicht abschließend geklärt. Der Europäische Datenschutzausschuss hat sich 2024 kritisch geäußert, insbesondere für große Plattformen. Auf diesem Weg sind ein angemessenes Verhältnis von Preis und Leistung, eine echte gleichwertige Alternative und eine dokumentierte Entscheidung das Mindeste. Als sicherer Weg taugt das Modell derzeit nicht.
Wie weisen wir eine Einwilligung nach?
Erforderlich ist ein Nachweis, wer wann worin eingewilligt hat und in welcher Fassung der Hinweise. Eine bloße Zählung genügt nicht. Praktisch heißt das, die Einwilligungen mit Zeitstempel und Versionsstand zu protokollieren und beim Widerruf ebenso zu verfahren.