Wann ein Cookie Banner Pflicht ist und wie er richtig aussieht
Ein Cookie Banner ist Pflicht, sobald Ihre Seite auf dem Gerät der Besucher etwas speichert oder ausliest, das nicht nötig ist. Typisch sind Statistik, Werbung und eingebettete Inhalte anderer Anbieter. Nutzt die Seite nur Technik, die der Besucher selbst angestoßen hat, etwa einen Warenkorb, braucht sie keinen.
Viele kleine Seiten zeigen trotzdem einen Banner, oft nur, weil ein Plugin ihn mitgebracht hat. Manche könnten mit wenigen Änderungen ganz darauf verzichten. Ob Ihre Seite dazugehört, lässt sich meist in wenigen Minuten prüfen. Eine Rechtsberatung ersetzt das nicht.
Zwei Gesetze, zwei Fragen
Für den Cookie Banner sind zwei Gesetze zuständig. Das erste regelt, ob Sie etwas auf dem Gerät speichern dürfen. Das zweite regelt, was Sie danach mit den Daten tun dürfen.
Das TDDDG, früher TTDSG, verlangt in § 25 eine Einwilligung, bevor eine Seite etwas auf dem Gerät speichert oder ausliest. Ausgenommen ist nur, was für den Dienst unbedingt erforderlich ist, den der Besucher ausdrücklich will. Das gilt für Cookies, für den Local Storage, einen weiteren Speicher im Browser, und für andere Techniken zur Wiedererkennung. Ob dabei personenbezogene Daten anfallen, spielt keine Rolle.
Die DSGVO greift danach: Werden die Daten einer Person zugeordnet oder weitergegeben, braucht auch das eine Rechtsgrundlage. Für Werbung und die meisten Statistikdienste ist das wieder die Einwilligung. Nach Artikel 7 DSGVO muss sie freiwillig und informiert sein und durch eine aktive Handlung erteilt werden. Der Widerruf muss so einfach sein wie die Zustimmung.
Wann ein Cookie Banner Pflicht ist
Zwei Prüfschritte reichen in den meisten Fällen für eine klare Antwort.
Der Knackpunkt ist das Wort „nötig“. Gemeint ist nicht nötig für Ihr Geschäft, sondern nötig für das, was der Besucher gerade tun möchte. Ein Login-Cookie ist nötig, weil der Besucher angemeldet bleiben will. Ein Statistik-Cookie hilft Ihnen, aber der Besucher braucht es nicht, um Ihre Seite zu lesen. Deshalb fällt Statistik fast immer unter die Einwilligung, auch wenn sie harmlos gemeint ist.
Anders ist es, wenn Sie messen, ohne etwas auf dem Gerät zu speichern oder auszulesen. Für die Auswertung stützen Sie sich dann meist auf Ihr berechtigtes Interesse nach Artikel 6 Absatz 1 Buchstabe f DSGVO. Für diese Messung allein braucht es keinen Cookie Banner, wie Statistik ohne Cookies zeigt.
Was ohne Einwilligung erlaubt ist
Viele Funktionen kleiner Seiten kommen ohne Banner aus. Die Übersicht zeigt die häufigsten.
Auch ohne Banner gilt: Die Datenschutzerklärung muss die notwendigen Cookies nennen und erklären, wozu sie dienen. Ein Hinweisbalken mit „Diese Seite verwendet Cookies“ und einem OK-Knopf bringt dagegen nichts. Er ist keine Einwilligung, und wo keine nötig ist, verlangt das Gesetz auch keinen Hinweis im Banner.
Die Website, auf der Sie gerade lesen, ist ein Beispiel für den einfachsten Fall: Sie setzt keine Cookies, lädt keine fremden Skripte und zeigt deshalb keinen Banner.
Die versteckten Fälle
Die meisten Betreiber wissen, dass ein Statistikdienst eine Einwilligung braucht. Übersehen werden die Dinge, die nicht nach Tracking aussehen.
- Eingebettete Videos. Ein Video von YouTube oder einer ähnlichen Plattform lädt schon beim Seitenaufruf Inhalte vom Anbieter. Dabei kann es Cookies setzen, bevor jemand auf Abspielen drückt.
- Eingebettete Karten. Die Anfahrtskarte auf der Kontaktseite ist bei vielen Firmenseiten der einzige Grund für einen Banner.
- Schriften von fremden Servern. Sie setzen meist keine Cookies, übertragen aber die IP-Adresse an den Anbieter. Das ist eine Frage der DSGVO, die ein Banner nicht sauber löst. Besser ist es, die Schriften auf dem eigenen Webspace abzulegen, wie unter Google Fonts lokal einbinden beschrieben.
- Teilen-Knöpfe, Chat-Fenster und Terminbuchung. Viele laden Skripte des Anbieters, sobald die Seite offen ist.
- Plugins mit eingebauter Statistik. Gerade bei WordPress bringen manche Erweiterungen eigene Auswertungen mit, die Cookies setzen. Ein Blick in die Einstellungen jedes Plugins lohnt sich.
So muss ein Cookie Banner aussehen
Ein Banner, der die Einwilligung nur scheinbar einholt, ist rechtlich so viel wert wie gar keiner. Gerichte und Datenschutzbehörden haben die typischen Tricks klar benannt.
Vorausgewählte Häkchen sind seit dem Planet49-Urteil des Europäischen Gerichtshofs von 2019 keine wirksame Einwilligung mehr (Az. C-673/17). Der Bundesgerichtshof hat das 2020 für Deutschland übernommen (Az. I ZR 7/16). Auch Weiterlesen oder Scrollen zählt nicht als Zustimmung.
Der zweite Punkt betrifft die Gestaltung. Steht „Alle akzeptieren“ groß auf der ersten Ebene und „Ablehnen“ erst zwei Klicks tiefer, ist die Entscheidung nicht frei. So sehen es die Datenschutzbehörden. Beide Möglichkeiten gehören auf dieselbe Ebene und sollten gleich gut zu erkennen sein.
Der dritte Punkt wird am häufigsten falsch gemacht: Der Banner darf nicht nur fragen, er muss auch steuern. Solange niemand zugestimmt hat, dürfen die betroffenen Skripte gar nicht geladen werden. Läuft die Seite über einen Tag Manager, gehört die Einwilligung dort als Bedingung in jede Regel, die ein Skript auslöst.
Ein Banner muss sich außerdem ohne Maus bedienen lassen. Mit der Tabulatortaste sollte der Fokus direkt in den Banner springen. Beide Knöpfe brauchen eine Beschriftung, die ein Screenreader sinnvoll vorliest. Ein Banner, den blinde Besucher nicht schließen können, sperrt sie von der ganzen Seite aus. Was sonst zur Bedienbarkeit gehört, zeigt Barrierefreie Webseite.
Schließlich muss sich die Entscheidung jederzeit ändern lassen, meist über einen Link im Fußbereich jeder Seite. Gängige Banner-Lösungen speichern außerdem die Auswahl mit Zeitpunkt. So können Sie nachweisen, dass eine Einwilligung erteilt wurde.
Selbst prüfen: was Ihre Seite wirklich setzt
Ob Ihre Seite einen Cookie Banner braucht, sehen Sie im eigenen Browser. Dafür reichen die Entwicklerwerkzeuge, die jeder gängige Browser mitbringt.
- Privates Fenster öffnen. So starten Sie ohne alte Cookies und ohne gespeicherte Banner-Auswahl.
- Seite aufrufen, nichts anklicken. Auch nicht im Banner, falls einer erscheint.
- Entwicklerwerkzeuge öffnen. Meist mit der Taste F12. Im Bereich für Speicher oder Anwendung finden Sie die Cookies und den Local Storage der Seite.
- Netzwerk ansehen. Laden Sie die Seite mit offenem Netzwerk-Reiter neu. Jede Anfrage an eine fremde Adresse zeigt, dass ein anderer Anbieter beteiligt ist.
- Unterseiten mitprüfen. Die Kontaktseite mit Karte oder der Blogbeitrag mit Video verhalten sich oft anders als die Startseite.
Ist Ihnen diese Prüfung zu technisch, bitten Sie Ihren Webdesigner um eine Liste aller Cookies und fremden Dienste der Seite. Die Liste brauchen Sie für die Datenschutzerklärung ohnehin.
Stehen nach dem ersten Aufruf schon Cookies fremder Anbieter in der Liste, lädt die Seite etwas vor der Einwilligung. Dann stimmt entweder die Einstellung des Banners nicht, oder ein Plugin umgeht ihn.
Ganz ohne Cookie Banner auskommen
Für viele kleine Seiten ist der einfachste Weg, die Gründe für den Banner zu entfernen. Das macht die Seite oft auch schneller, weil ein Banner-Dienst selbst Skripte nachlädt. Was die Ladezeit sonst bremst, steht unter Ladezeit verbessern.
- Video: ein Vorschaubild mit Link zur Plattform oder eine Zwei-Klick-Lösung, bei der das Video erst nach einem Klick geladen wird.
- Anfahrt: ein Bild mit der Adresse und ein Link „Route planen“, der den Kartendienst in einem neuen Fenster öffnet.
- Statistik: die Logfile-Auswertung des Hosters nutzen oder ein Werkzeug, das sich ohne Cookies betreiben lässt. Ob dann wirklich keine Einwilligung nötig ist, hängt von der Einstellung ab.
Bei WordPress gilt außerdem: Jedes Plugin weniger, das Inhalte von außen lädt, ist ein Grund weniger für den Banner. Was ein Tarif für WordPress sonst können sollte, zeigt WordPress Hosting.
Was Seitenbetreiber zum Cookie Banner häufig fragen
Zwei der Antworten überraschen viele: Der Serverstandort ändert nichts, und auch private Seiten sind betroffen.
Brauche ich einen Banner, wenn mein Server in Deutschland steht?
Ja, wenn die Seite einwilligungspflichtige Dienste nutzt. Der Serverstandort betrifft, wo Ihre Daten liegen. Der Banner betrifft, was der Browser des Besuchers lädt und speichert. Warum der Standort trotzdem zählt, erklärt Serverstandort Deutschland.
Reicht ein Banner, wenn Besucher nur auf OK klicken können?
Nein. Ohne eine gleichwertige Möglichkeit abzulehnen gibt es keine freie Entscheidung und damit keine wirksame Einwilligung.
Darf ich Besucher aussperren, die nicht zustimmen?
Das ist umstritten und für eine normale Firmen- oder Vereinsseite keine gute Idee. Wer Inhalte nur gegen Zustimmung zeigt, sollte sich vorher rechtlich beraten lassen.
Gilt das auch für eine private Homepage?
Ja. Die Regel zum Zugriff auf das Endgerät gilt für jede Website. Die Ausnahme der DSGVO für rein persönliche Tätigkeiten greift bei einer öffentlich erreichbaren Seite meist nicht. Gerade bei einer privaten Homepage ist es aber leicht, ganz ohne Banner auszukommen.
Muss ich die Einwilligung irgendwann neu einholen?
Ja, wenn neue Dienste dazukommen, für die noch niemand zugestimmt hat. Gute Banner-Lösungen fragen dann automatisch erneut.
Was der Banner nicht ersetzt
Ein sauber eingestellter Banner deckt nur einen Teil des Datenschutzes einer Website ab. Drei Dinge brauchen Sie zusätzlich, ob mit oder ohne Banner:
- eine Datenschutzerklärung, die alle eingesetzten Dienste und Cookies nennt,
- einen Vertrag zur Auftragsverarbeitung mit Ihrem Hoster, weil dessen Server Daten Ihrer Besucher verarbeiten,
- ein vollständiges Impressum, wenn die Seite geschäftsmäßig betrieben wird.
Für Firmen kommt dazu: Nach jeder Änderung an der Seite, etwa einem neuen Plugin oder Video, muss der Banner noch stimmen. Was ein Hoster für Firmen sonst mitbringen sollte, lesen Sie unter Hosting für kleine Unternehmen jetzt vergleichen.