Cookie Banner Pflicht: wann ist er nötig, wann nicht?

Zwei Gesetze greifen ineinander. § 25 TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, früher TTDSG) regelt, wann Informationen auf dem Gerät eines Nutzers gespeichert oder von dort ausgelesen werden dürfen. Das betrifft Cookies, aber auch andere Techniken wie den lokalen Speicher des Browsers. Grundsätzlich ist dafür eine Einwilligung nötig.

Die DSGVO gilt, sobald personenbezogene Daten verarbeitet werden, etwa IP-Adressen oder Nutzerkennungen. Sie verlangt eine Rechtsgrundlage, Transparenz in der Datenschutzerklärung und je nach Fall ebenfalls eine Einwilligung. Beide Regelungen ergänzen sich, deshalb ist die Frage nach dem Banner immer die Frage nach beiden.

Das TDDDG nimmt Speicherungen aus, die unbedingt erforderlich sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann (§ 25 Abs. 2 Nr. 2). Dazu gehören im Regelfall:

• Warenkorb und Bestellvorgang in einem Shop
• Login und Sitzungskennung für einen geschützten Bereich
• Sicherheitsfunktionen und Spamschutz von Formularen
• Speicherung einer Spracheinstellung, die der Nutzer selbst gewählt hat
• Merken der Cookie-Entscheidung selbst

In der Regel braucht es eine Einwilligung, sobald Dienste Daten erheben, die für den Betrieb der Seite nicht notwendig sind:

• Webanalyse mit Cookies oder Kennungen, je nach Tool und Einstellung
• Werbe- und Marketing-Pixel, zum Beispiel für Anzeigenabgleich
• eingebettete Inhalte von Dritten wie Videos, Karten oder Social-Media-Beiträge, wenn dabei Daten an den Anbieter fließen
• Schriften oder Skripte, die von fremden Servern geladen werden und dabei die IP-Adresse übertragen

Ein Kontaktformular verarbeitet personenbezogene Daten, braucht aber nicht automatisch eine Einwilligung per Banner. Die Daten werden verarbeitet, um die Anfrage zu beantworten, und das gehört in die Datenschutzerklärung. Auch die Server-Protokolle mit IP-Adressen, die beim Aufruf jeder Seite anfallen, werden dort beschrieben, samt Speicherdauer.

Diese Verarbeitungen greifen nicht in das Endgerät ein und unterliegen deshalb der DSGVO, nicht § 25 TDDDG. Als Rechtsgrundlage kommen häufig berechtigtes Interesse oder Vertragsanbahnung in Betracht, nicht die Einwilligung. Wichtig ist, dass Sie nur erheben, was Sie brauchen.

Die Einwilligung muss informiert, freiwillig und vorab erteilt werden. Die Datenschutzaufsichten verlangen deshalb:

• Gleichwertige Auswahl: „Ablehnen" muss auf der ersten Ebene genauso einfach und sichtbar sein wie „Zustimmen"
• Keine Voreinstellung: vorangekreuzte Felder gelten nicht als Einwilligung
• Erst nach Zustimmung laden: nicht notwendige Dienste dürfen vorher nicht starten, auch nicht „im Hintergrund"
• Verständliche Information: welche Dienste, zu welchem Zweck, von welchem Anbieter
• Widerruf jederzeit: ein Link zum Ändern der Entscheidung, etwa im Footer

• Öffnen Sie die Seite in einem frischen Browserfenster ohne gespeicherte Einstellungen und in den Entwicklerwerkzeugen den Bereich „Anwendung" (Chrome) oder „Speicher" (Firefox). Dort sehen Sie, welche Cookies und Einträge im lokalen Speicher gesetzt werden
• Schauen Sie im Reiter „Netzwerk", welche Server beim Laden angesprochen werden. Taucht dort ein Fremdanbieter auf, bevor jemand zugestimmt hat, ist das ein Prüfpunkt
• Gehen Sie Ihre Seiten durch: eingebettete Videos, Karten, Social-Media-Beiträge, Chat-Widgets, Newsletter-Anmeldungen
• Vergleichen Sie das Ergebnis mit der Datenschutzerklärung. Alles, was passiert, sollte dort stehen

Unsere Website creative-digital.net setzt keine Cookies und hat deshalb keinen Banner. Die Schriften liegen lokal auf dem eigenen Server, und es werden keine Google-Dienste vor einer Einwilligung geladen. Sinnvoll ist das, weil ein Banner Besucher nicht gerade begeistert und weniger Technik von Dritten auch weniger Datenschutzaufwand bedeutet.

Das geht nicht bei jeder Website. Wer Werbung schaltet oder die Herkunft von Besuchern genau auswerten will, kommt um eine Einwilligungslösung oft nicht herum. Bei der Planung eines neuen Auftritts lässt sich aber vieles vermeiden, siehe Website erstellen lassen.

Impressum und Datenschutzerklärung brauchen Sie auf jeder geschäftlich genutzten Website, mit oder ohne Banner. In der Datenschutzerklärung nennen Sie, welche Daten beim Besuch anfallen (etwa Server-Protokolle), wofür das Kontaktformular genutzt wird und welche Rechte Besucher haben. Prüfen Sie nach jeder Änderung an der Website, ob neue Dienste hinzugekommen sind, denn schon ein eingebettetes Video kann die Lage verändern. Dabei hilft eine laufende Website-Betreuung.

Hinweis: Dieser Beitrag erklärt die Rechtslage allgemein und ist keine Rechtsberatung. Für Ihren konkreten Fall, vor allem bei Werbung, Tracking oder besonderen Daten, fragen Sie eine Anwältin oder einen Anwalt mit Datenschutzerfahrung.