Cookie-Einwilligung: Was die ePrivacy-Regeln verlangen

Cookie-Banner sind der sichtbarste Teil des EU-Datenschutzrechts und der Teil, der am häufigsten falsch umgesetzt wird. Die Regeln stammen aus zwei Rechtsakten, die zusammenwirken: Die ePrivacy-Richtlinie 2002/58/EG entscheidet, wann eine Einwilligung nötig ist, und die DSGVO legt fest, was als Einwilligung gilt.

Die Regel in einem Satz

Art. 5 Abs. 3 der ePrivacy-Richtlinie in der 2009 geänderten Fassung erlaubt die Speicherung von Informationen auf dem Endgerät eines Nutzers oder den Zugriff auf dort bereits gespeicherte Informationen nur, wenn der Nutzer nach klarer und umfassender Information eingewilligt hat, es sei denn, die Speicherung oder der Zugriff dient allein der Übertragung einer Nachricht oder ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. In Deutschland ist diese Regel in § 25 TDDDG umgesetzt.

Daraus folgen drei Konsequenzen:

• Sie ist nicht auf eine bestimmte Technik beschränkt. Cookies, Local Storage, Tracking-Pixel, Device-Fingerprinting und ähnliche Verfahren sind alle erfasst. Die EDSA-Leitlinien 2/2023 erläutern, wie weit „Speicherung“ und „Zugriff“ zu verstehen sind.
• Sie ist nicht auf personenbezogene Daten beschränkt. In Planet49 (C-673/17) hat der EuGH bestätigt, dass Art. 5 Abs. 3 gilt, gleichgültig ob die gespeicherten Informationen personenbezogene Daten sind.
• Die Einwilligung kommt zuerst. Nicht notwendige Skripte dürfen nicht laufen, bevor der Besucher entschieden hat.

Was eine Einwilligung wirksam macht

Weil die ePrivacy-Richtlinie die Definition der Einwilligung aus dem Datenschutzrecht übernimmt, gilt der Maßstab der DSGVO (Art. 4 Nr. 11, Art. 7 sowie Art. 94 Abs. 2, der Verweise auf die alte Richtlinie 95/46/EG auf die DSGVO umleitet). Die Einwilligung muss sein:

1. Freiwillig: Wer ablehnt, darf über das unbedingt Erforderliche hinaus nicht schlechter gestellt werden als wer akzeptiert. Cookie-Walls, die den Zugang sperren, solange der Besucher nicht akzeptiert, werden von den EU-Aufsichtsbehörden weithin als damit unvereinbar angesehen.
2. Für den bestimmten Fall: Getrennte Zwecke (Analyse, Werbung, Personalisierung) brauchen getrennte Wahlmöglichkeiten.
3. In informierter Weise: Der Besucher muss wissen, wer was zu welchem Zweck und wie lange erhebt. Planet49 hat entschieden, dass Angaben zur Funktionsdauer der Cookies und dazu, ob Dritte Zugriff erhalten, dazugehören.
4. Unmissverständlich: eine eindeutige bestätigende Handlung. Planet49 hat vorangekreuzte Kästchen ausgeschlossen; Scrollen oder „Weitersurfen“ ist ebenfalls keine Einwilligung (EDSA-Leitlinien 05/2020).

Die DSGVO ergänzt zwei operative Pflichten: Der Verantwortliche muss die Einwilligung nachweisen können (Art. 7 Abs. 1), und der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3). In der Praxis bedeutet das einen gespeicherten Einwilligungsnachweis und einen dauerhaft verfügbaren Weg, das Banner erneut zu öffnen.

Banner-Gestaltung: Was die Aufsichtsbehörden beanstandet haben

Im Januar 2023 veröffentlichte der EDSA den Bericht seiner Cookie-Banner-Taskforce, der die gemeinsamen Positionen der nationalen Behörden zusammenfasst. Zu den Praktiken, die die meisten Behörden als problematisch ansahen, gehören:

• keine Schaltfläche „Ablehnen“ auf der ersten Ebene, obwohl dort eine Schaltfläche „Akzeptieren“ steht;
• vorangekreuzte Zweck- oder Anbieterkästchen auf der zweiten Ebene;
• irreführende Linkgestaltung statt einer Schaltfläche für die Ablehnoption;
• irreführende Farben und Kontraste der Schaltflächen, die „Akzeptieren“ zur einzig offensichtlichen Wahl machen;
• Berufung auf „berechtigtes Interesse“ für Tracking, das eine Einwilligung erfordert;
• Einstufung nicht notwendiger Cookies als „notwendig“;
• keine einfache Möglichkeit, die Einwilligung später zu widerrufen.

Die nationale Durchsetzung folgt denselben Linien. Die französische CNIL etwa verhängte Ende 2021 (bekannt gegeben im Januar 2022) Bußgelder gegen Google und Facebook, weil das Ablehnen von Cookies mehr Klicks erforderte als das Akzeptieren.

Was ausgenommen ist

Die Ausnahme „unbedingt erforderlich“ ist eng und wird aus der Sicht des Besuchers beurteilt: Speicherung, ohne die der Dienst nicht funktionieren kann. Typische Beispiele sind ein Warenkorb-Cookie, ein Session-Cookie nach dem Login, ein Load-Balancing-Cookie oder das Cookie, das die Einwilligungsentscheidung selbst speichert. Analyse, A/B-Tests, Werbung und Social-Media-Pixel sind in der Regel nicht unbedingt erforderlich, auch wenn sie First-Party sind oder als „anonymisiert“ bezeichnet werden. Einige nationale Behörden akzeptieren eng konfigurierte Reichweitenmessung ohne Einwilligung; prüfen Sie die Regeln des Landes, auf das Sie zielen, bevor Sie sich darauf verlassen.

Einwilligungs-Frameworks und Tag-Manager

Consent-Management-Plattformen (CMPs) und das IAB Transparency & Consent Framework standardisieren, wie Entscheidungen an Werbetreibende weitergegeben werden. In IAB Europe (C-604/22) hat der EuGH entschieden, dass der „TC String“, der die Präferenzen eines Nutzers kodiert, ein personenbezogenes Datum sein kann und dass die Organisation, die ein solches Framework betreibt, gemeinsam Verantwortliche sein kann. Eine CMP ist ein Werkzeug, keine Garantie: Eine falsch konfigurierte CMP lädt Tracker weiterhin zu früh. Ebenso ersetzen browserseitige „Consent Modes“, die das Verhalten von Tags anpassen, keine Einwilligung; sie ändern nur, was nach der Entscheidung gesendet wird.

So testen Sie Ihr eigenes Banner in zehn Minuten

1. Öffnen Sie ein privates Fenster, öffnen Sie die Entwicklerwerkzeuge auf den Reitern „Netzwerk“ und „Anwendung“ und laden Sie die Startseite. Klicken Sie nichts an.
2. Notieren Sie jedes Cookie, jeden Speichereintrag und jede Drittanfrage. Alles, was über das unbedingt Erforderliche hinausgeht, ist ein Befund.
3. Klicken Sie auf „Ablehnen“. Navigieren Sie zu zwei weiteren Seiten. Nicht notwendige Anfragen müssen ausbleiben.
4. Löschen Sie alles, laden Sie neu und klicken Sie auf „Akzeptieren“. Vergleichen Sie: Die Differenz ist das, was Ihr Banner tatsächlich steuert.
5. Suchen Sie den Weg zurück: einen Link oder ein Symbol, das das Banner auf jeder Seite erneut öffnet.

Automatisierte Scanner tun genau das in großem Maßstab und wiederholen es nach jedem Release; dort verdienen sie ihren Preis. Vergleichen Sie die von uns bewerteten Dienste auf der Vergleichsseite.