Cookies und Einwilligung: Was die Vorschriften verlangen und die häufigsten Fehler auf Websites

Das Cookie-Banner ist wohl das sichtbarste rechtliche Element einer Website – und eines der am schlechtesten umgesetzten. Dahinter stehen zwei Regelwerke, die zusammenwirken: Artikel 22 Absatz 2 des spanischen Gesetzes 34/2002 (LSSI-CE), der den Einsatz von Cookies und ähnlichen Technologien regelt (in Deutschland § 25 TDDDG), und die Verordnung (EU) 2016/679 (DSGVO), die festlegt, wie eine wirksame Einwilligung aussieht.

Was rechtlich als „Cookie“ gilt

Die Regeln beschränken sich nicht auf klassische Cookies: Sie erfassen jede Technik, die Informationen auf dem Endgerät des Nutzers speichert oder ausliest, etwa Local Storage, Tracking-Pixel, Geräte-Kennungen oder Browser-Fingerprints. Speichert oder liest Ihre Website irgendetwas auf dem Endgerät eines Besuchers, ist zu prüfen, ob eine Einwilligung erforderlich ist.

Welche Cookies eine Einwilligung brauchen und welche nicht

• Ausgenommen (unbedingt erforderlich): Cookies, die der Übertragung einer Nachricht dienen oder unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen: Sitzung, Authentifizierung, Sicherheit, Warenkorb, Lastverteilung oder das Merken der Sprachauswahl während der Sitzung.
• Vorherige Einwilligung erforderlich: Analyse, nicht notwendige Personalisierung, verhaltensbasierte Werbung, soziale Netzwerke und eingebettete Videos, die Cookies von Dritten setzen.

Die Ausnahme wird eng ausgelegt: Dass ein Cookie für Sie nützlich ist, macht es nicht für den Nutzer erforderlich. Und Analyse-Tools von Drittanbietern erfordern in der Regel eine Einwilligung.

Wie eine wirksame Einwilligung aussieht

Die DSGVO verlangt eine freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung in Form einer Erklärung oder einer eindeutigen bestätigenden Handlung (Art. 4 Nr. 11). Artikel 7 ergänzt, dass Sie sie nachweisen können müssen und dass der Widerruf so einfach wie die Erteilung sein muss.

Die häufigsten Fehler

1. Cookies laden, bevor der Nutzer entscheidet. Laufen Analyse- oder Werbeskripte schon beim Öffnen der Seite, ist das Banner reine Dekoration.
2. Vorausgewählte Kästchen oder standardmäßig aktivierte Schalter. Schweigen oder Untätigkeit sind keine Einwilligung.
3. „Weitersurfen“ oder Scrollen als Zustimmung werten. Das ist keine eindeutige bestätigende Handlung.
4. Ein auffälliger „Akzeptieren“-Button und eine versteckte Ablehnung hinter mehreren Klicks oder einem winzigen Link. Ablehnen muss so einfach sein wie Akzeptieren.
5. Allgemeine oder fehlende Informationen: nicht angeben, welche Cookies zu welchem Zweck, von wem und wie lange gesetzt werden.
6. Alle Zwecke in einem einzigen „Alle akzeptieren“ bündeln, ohne Auswahl nach Kategorien.
7. Den Zugang zur Website von der Zustimmung abhängig machen, ohne gleichwertige Alternative – das kann die Freiwilligkeit der Einwilligung infrage stellen.
8. Keine Möglichkeit, es sich anders zu überlegen. Die Einstellungen müssen jederzeit erreichbar sein, zum Beispiel über einen dauerhaften Link im Footer.
9. Keinen Nachweis aufbewahren (wann, welche Textversion, welche Auswahl).
10. Eine veraltete Cookie-Richtlinie, die nicht zu den tatsächlich gesetzten Cookies passt.

Was Ihre Cookie-Richtlinie enthalten sollte

• Was Cookies sind und welche Arten Ihre Website nutzt.
• Für jedes Cookie (oder jede Gruppe): Name, Anbieter (eigen oder Dritter), Zweck und Laufzeit.
• Wie man jederzeit akzeptiert, ablehnt oder die Einstellungen ändert.
• Wie man sie im Browser löscht.
• Den Bezug zur Datenschutzerklärung, wenn Cookies mit der Verarbeitung personenbezogener Daten verbunden sind.

Ein schneller Check Ihrer Website

1. Öffnen Sie die Seite in einem privaten Fenster und prüfen Sie ohne etwas zu akzeptieren in den Entwicklerwerkzeugen des Browsers, welche Cookies und Drittanbieter-Anfragen entstehen.
2. Prüfen Sie, ob der Ablehnen-Button genauso sichtbar ist wie der Akzeptieren-Button.
3. Lehnen Sie ab und prüfen Sie, dass nach dem Neuladen keine nicht ausgenommenen Cookies gesetzt werden.
4. Suchen Sie den Zugang zum Ändern der Auswahl und testen Sie, ob er funktioniert.
5. Vergleichen Sie die tatsächliche Cookie-Liste mit den Angaben Ihrer Richtlinie.

Den Text an der Realität ausrichten

Eine Cookie-Richtlinie ändert sich, sobald Sie ein Tool oder einen Anbieter hinzufügen. Sie als versioniertes Dokument mit Verlauf zu verwalten und von einer einzigen Stelle zu veröffentlichen – zum Beispiel mit LegalCloud – verhindert, dass der Website-Text hinter dem tatsächlichen Geschehen zurückbleibt.

Die AEPD veröffentlicht einen eigenen Leitfaden zum Einsatz von Cookies unter aepd.es, und der Europäische Datenschutzausschuss hat Leitlinien zur Einwilligung herausgegeben, abrufbar unter edpb.europa.eu. Dieser Artikel dient nur der Information und ersetzt keine Rechtsberatung für Ihren Fall.