Ein praktischer Leitfaden zu DSGVO-Cookie-Banner

Ob ein Cookie-Banner DSGVO-konform verpflichtend ist, hängt nicht daran, dass Ihre Website Besucher aus Europa hat. Erforderlich wird es, wenn Ihre Website nicht wesentliche Informationen auf dem Gerät eines Nutzers speichert oder ausliest, oder wenn die zugehörige Verarbeitung personenbezogener Daten eine Einwilligung braucht. Analyse-Cookies, Werbepixel, Tracking-Skripte, Heatmaps und A/B-Test-Tools fallen häufig darunter.

Ein GDPR-Cookie-Banner ist nicht erforderlich, da eine Website Besucher aus Europa hat. Dies ist erforderlich, wenn Ihre Website nicht wesentliche Informationen auf dem Gerät eines Benutzers speichert oder darauf zugreift oder wenn für die entsprechende Verarbeitung personenbezogener Daten eine Einwilligung erforderlich ist. Analyse-Cookies, Werbepixel, Tracking-Skripte, Heatmaps und A/B-Testtools fallen häufig in diese Kategorie.

Die praktische Regel ist einfach: Bitten Sie nicht um Einwilligung, es sei denn, Sie benötigen sie, und wenn Sie sie benötigen, treffen Sie Ihre Entscheidung.

GDPR, ePrivacy und warum Banner existieren

Cookie-Banner stehen an der Schnittstelle zweier Rechtsordnungen. GDPR regelt die Verarbeitung personenbezogener Daten. Die ePrivacy-Regeln, die durch nationale Gesetze umgesetzt werden, regeln die Speicherung oder den Zugriff auf Informationen auf dem Gerät eines Benutzers. Der Bericht der EDPB-Cookie-Banner-Taskforce erklärt diese Aufteilung: Die Platzierung und das Lesen von Cookies werden unter ePrivacy bewertet, während die spätere Verarbeitung unter GDPR (EDPB-Cookie-Banner-Taskforce) bewertet werden kann.

Das bedeutet, dass ein Cookie bereits eine Einwilligung erfordern kann, bevor es zu der Frage kommt, ob es sich bei den resultierenden Daten um personenbezogene Daten handelt. Dies bedeutet auch, dass eine Implementierung ohne Cookies dennoch eine GDPR-Analyse erfordern kann, wenn personenbezogene Daten auf andere Weise erfasst werden.

Was eine gültige Einwilligung erfordert

GDPR Die Einwilligung muss freiwillig, spezifisch, informiert und eindeutig erfolgen. In den Einwilligungsrichtlinien des EDPB wird betont, dass die Einwilligung ungültig ist, wenn die Person keine echte Wahl hat oder durch ihre Ablehnung Nachteile erleidet (EDPB-Einwilligungsrichtlinien).

Ein konformes Banner sollte im Allgemeinen:

• Nicht unbedingt erforderliche Cookies standardmäßig ablehnen, bis die Einwilligung erteilt wird.
• Bieten Sie eine Ablehnungsoption genauso einfach an wie eine Annahmeoption.
• Vermeiden Sie vorab angekreuzte Kästchen.
• Erklären Sie die Zwecke in einfacher Sprache.
• Separate Analyse-, Werbe-, Personalisierungs- und Funktionszwecke.
• Ermöglichen Sie den Widerruf genauso einfach wie die Einwilligung.
• Einwilligungsentscheidungen aufzeichnen, ohne unnötige Daten zu sammeln.

Das Planet49-Urteil des EuGH stellte klar, dass vorab angekreuzte Einwilligungskästchen für Cookies keine gültige Einwilligung darstellen (EuGH Planet49).

Häufige Bannerprobleme

Viele Banner scheitern, weil sie die Akzeptanz maximieren und nicht die Auswahl respektieren. Achten Sie auf:

• „Alle akzeptieren“ auf der ersten Ebene, aber „Ablehnen“ in den Einstellungen ausgeblendet.
• Verwirrende Tastenfarben oder Beschriftungen.
• Bündelung von Analytics mit Werbung.
• Auslösen von Tags, bevor der Benutzer eine Auswahl trifft.
• Keine einfache Möglichkeit, die Einwilligung zu widerrufen.
• Unverständliche Lieferantenlisten.
• Zustimmungsbarrieren, die den Zugang zu Diensten ohne gültige Alternative blockieren.

Ein irreführendes Banner kann schlimmer sein als gar kein Banner, da es den Beweis liefert, dass die Website wusste, dass die Einwilligung wichtig ist, diese aber schlecht umgesetzt hat.

Wenn Sie möglicherweise kein Banner benötigen

Für unbedingt notwendige Cookies wie Sitzungsauthentifizierung, Warenkorbstatus, Sicherheit, Lastausgleich oder vom Benutzer angeforderte Präferenzen benötigen Sie möglicherweise kein Cookie-Banner. Die Analyse hängt vom Zweck und den örtlichen Gesetzen ab.

Bei der Analyse hängt die Antwort von der Implementierung ab. Einige EU-Behörden haben unter strengen Auflagen enge Ausnahmen für die Zuschauermessung zugelassen, nicht jedoch für Werbeanalysen oder umfassendes Tracking durch Dritte. Wenn Sie ein Cookie-freies Analysetool verwenden, das Gerätespeicher vermeidet, keine Profile erstellt, personenbezogene Daten minimiert und nur aggregierte Website-Messungen liefert, ist die Banneranalyse viel einfacher. Dokumentieren Sie dennoch die Entscheidung.

Die Alternative ohne Cookies

Die Cookie-lose Analyse ändert die Gleichung, da sie ohne Analyse-Cookies oder Cross-Site-Identifikatoren messen kann. Bei einer Einrichtung, bei der der Datenschutz an erster Stelle steht, werden Seitenaufrufe, Referrer, Kampagnen, Geräteklasse, ungefähre Geografie und Zielereignisse erfasst, während dauerhafte IDs-, Fingerabdruck- und Werbeprofile vermieden werden.

Das bedeutet nicht „keine Datenschutzerklärung“. Den Nutzern soll weiterhin mitgeteilt werden, welche Daten erhoben werden und warum. Aber ein klarer Hinweis unterscheidet sich stark von einem Einwilligungsbanner voller Ad-Tech-Drittanbieter.

Checkliste für die Umsetzung

Überprüfen Sie jedes Skript auf der Website:

1. Listen Sie Cookies, lokalen Speicher, Sitzungsspeicher, Pixel und Tags auf.
2. Klassifizieren Sie jeden Zweck: notwendig, Analyse, Werbung, Personalisierung, funktional.
3. Entfernen Sie nicht verwendete Tags, bevor Sie Einwilligungsflüsse entwerfen.
4. Blockieren Sie nicht wesentliche Skripte bis zur Einwilligung.
5. Testen Sie mit einem neuen Browserprofil, um sicherzustellen, dass keine vorzeitigen Cookies gesetzt werden.
6. Machen Sie Ablehnen und Akzeptieren gleichermaßen einfach.
7. Protokollieren Sie die Zustimmung, ohne zu viel zu sammeln.
8. Erneutes Audit nach Marketingänderungen.

Fragen Sie sich speziell für Analysen, ob dieselbe Entscheidung mit weniger Daten gestützt werden kann. Wenn Sie nur aggregierten Datenverkehr und Konvertierungen benötigen, kann ein Cookie-freies Analysetool den betrieblichen Aufwand des Consent Gating reduzieren, wenn es nicht unbedingt erforderliche Speicherung oder Zugriffe vermeidet und die lokale Gesetzgebung dies zulässt.

Ein gutes Cookie-Banner ist ein Ersatz, kein Zeichen für Compliance. Das beste Datenschutzerlebnis ist oft das, bei dem die Website die Besucher nicht unterbrechen muss, weil sie sich von vornherein dafür entschieden hat, kein invasives Tracking durchzuführen.

Checkliste für Einwilligungstests

Testen Sie das Banner als Benutzer, nicht nur als Administrator. Öffnen Sie einen sauberen Browser, laden Sie die Seite, lehnen Sie optionale Cookies ab, navigieren Sie zu zwei oder drei Seiten und senden Sie eine nicht sensible Testkonvertierung. Optionale Analyse- und Werbe-Tags sollten blockiert bleiben. Anschließend widerrufen Sie die Einwilligung, nachdem Sie sie akzeptiert haben, und bestätigen, dass zukünftige Seitenladevorgänge die Änderung berücksichtigen.

Testen Sie auch regionales Verhalten. Eine Website kann in EU, UK, Kalifornien und dem Rest der Welt unterschiedliche Banner anzeigen. Das ist in Ordnung, wenn es beabsichtigt ist, aber das Tag-Verhalten muss mit der angezeigten Auswahl übereinstimmen. Halten Sie für jede größere Einwilligungsfreigabe aktuelle Screenshots und Netzwerkprotokolle bereit. Sie helfen zu beweisen, dass das Banner mit echten Kontrollen und nicht nur mit rechtlichem Text in Verbindung steht.

Checkliste zur Bannerreduzierung

Um die Abhängigkeit von Bannern zu verringern, entfernen Sie zunächst nicht verwendete Tags von Drittanbietern und stellen Sie dann sicher, dass die Basisanalyse keinen unnötigen Browserspeicher festlegt oder liest, persistente IDs erstellt, Besucher per Fingerabdruck erfasst, Werbesysteme einspeist oder sensible URLs sammelt. Dokumentieren Sie die Analyse des örtlichen Rechts, anstatt sich auf das Wort „ohne Cookies“ zu verlassen.

Wenn ein Banner weiterhin erforderlich ist, testen Sie es wie bei der Produktion: Keine optionalen Tags vor der Auswahl, Ablehnung so einfach wie Akzeptieren, Entfernung funktioniert und die Netzwerk-/Speicherbeweise stimmen mit dem Text überein, den Benutzer sehen.

Häufig gestellte Fragen

Brauche ich ein Cookie-Banner, nur weil ich Besucher aus Europa habe?

Ein DSGVO-Cookie-Banner ist nicht allein deshalb nötig, weil eine Website Besucher aus Europa hat. Es wird erforderlich, wenn die Seite nicht notwendige Informationen auf einem Gerät speichert oder darauf zugreift, oder wenn die zugehörige Verarbeitung personenbezogener Daten eine Einwilligung braucht.

Was unterscheidet die DSGVO von den ePrivacy-Regeln bei Cookies?

Die DSGVO regelt die Verarbeitung personenbezogener Daten, während die ePrivacy-Regeln, umgesetzt durch nationale Gesetze, das Speichern und Auslesen von Informationen auf einem Gerät regeln. Der EDPB-Bericht der Cookie-Banner-Taskforce erklärt, dass das Setzen und Lesen von Cookies nach ePrivacy bewertet wird, während die spätere Verarbeitung unter die DSGVO fällt. Ein Cookie kann also schon eine Einwilligung brauchen, bevor überhaupt feststeht, ob die daraus entstehenden Daten personenbezogen sind.

Was macht eine Cookie-Einwilligung nach der DSGVO gültig?

Eine gültige Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein, sie ist also ungültig, wenn eine Person keine echte Wahl hat oder für eine Ablehnung Nachteile erleidet. Ein konformes Banner lehnt nicht notwendige Cookies standardmäßig ab, bietet eine Ablehnungsoption so leicht wie die Zustimmung an und verzichtet auf vorangekreuzte Kästchen. Zudem trennt es Zwecke wie Analyse, Werbung, Personalisierung und Funktion voneinander.

Warum war das Planet49-Urteil wichtig für Cookie-Banner?

Das Planet49-Urteil des EuGH stellte klar, dass vorangekreuzte Zustimmungskästchen für Cookies keine gültige Einwilligung darstellen. Nutzer müssen aktiv zustimmen, sodass jedes Banner, das Schweigen oder ein vorausgewähltes Kästchen als Zustimmung wertet, den Standard verfehlt.

Was sind die häufigsten Fehler bei Cookie-Bannern?

Viele Banner zeigen „Alle akzeptieren" auf der ersten Ebene, während „Ablehnen" in den Einstellungen versteckt ist, nutzen verwirrende Farben oder Beschriftungen, oder bündeln Analyse mit Werbung. Andere feuern Tracking-Tags, bevor der Nutzer eine Wahl getroffen hat, oder bauen Consent Walls, die den Zugang ohne echte Alternative blockieren. Ein irreführendes Banner kann schlimmer sein als gar kein Banner, weil es beweist, dass die Seite wusste, dass Einwilligung wichtig ist, und es trotzdem falsch umgesetzt hat.

Welche Cookies sind von der Bannerpflicht ausgenommen?

Unbedingt notwendige Cookies, etwa für Sitzungsauthentifizierung, Warenkorbstatus, Sicherheit, Lastverteilung und vom Nutzer angeforderte Einstellungen, brauchen in der Regel kein Banner. Die genaue Ausnahme hängt trotzdem vom Zweck des Cookies und vom jeweiligen nationalen Recht ab.

Kann Analytics jemals ohne Cookie-Banner laufen?

Manche EU-Behörden erlauben unter strengen Bedingungen enge Ausnahmen für die Reichweitenmessung, aber nicht für Werbeanalyse oder breites Tracking durch Dritte. Ein cookieloses Analyse-Tool, das keinen Gerätespeicher nutzt, keine Profile bildet, personenbezogene Daten minimiert und sich auf aggregierte Messung beschränkt, macht die Bannerprüfung deutlich einfacher, die Entscheidung sollte trotzdem dokumentiert werden.

Was erfasst cookieloses Analytics eigentlich?

Ein datenschutzfreundliches Setup erfasst Seitenaufrufe, Referrer, Kampagnen, Geräteklasse, ungefähre Geografie und Zielereignisse. Es verzichtet auf persistente IDs, Fingerprinting und Werbeprofile, genau das unterscheidet es von Analytics, das ein Einwilligungsbanner braucht.

Bedeutet der Wechsel zu cookielosem Analytics, dass ich auf den Datenschutzhinweis verzichten kann?

Cookieloses Analytics hebt die Pflicht nicht auf, Nutzern zu sagen, welche Daten erfasst werden und warum. Es macht diesen Hinweis nur einfacher, weil er nicht das Gewicht eines mit Drittanbieter-Adtech vollgepackten Einwilligungsbanners trägt.

Wie sollte ein Team ein Cookie-Banner vor dem Launch testen?

Die Seite in einem sauberen Browser laden, optionale Cookies ablehnen, ein paar Seiten besuchen und eine unsensible Test-Conversion abschicken, um zu bestätigen, dass optionale Tags blockiert bleiben. Danach zustimmen und die Einwilligung widerrufen, um zu prüfen, ob künftige Seitenaufrufe die Änderung respektieren, und datierte Screenshots sowie Netzwerk-Logs vom Release als Nachweis aufbewahren.