Cookie-Banner

Was ein Cookie-Banner leisten muss

Ein Cookie-Banner, oft auch Consent-Banner genannt, ist das Werkzeug, mit dem eine Website die Einwilligung der Besucher einholt, bevor sie Cookies und ähnliche Techniken einsetzt, die nicht technisch notwendig sind. Dazu zählen vor allem Analyse-, Marketing- und Tracking-Werkzeuge.

Der entscheidende Punkt ist das Timing: Die Einwilligung muss vorliegen, bevor der jeweilige Dienst Daten sendet. Ein Banner, das zwar erscheint, während im Hintergrund längst ein Analyse-Skript geladen hat, erfüllt seinen Zweck nicht.

Technisch notwendige Cookies, etwa für den Warenkorb, die Anmeldung oder das Speichern der Cookie-Entscheidung selbst, brauchen keine Einwilligung. Für alles andere gilt: erst fragen, dann laden.

Die Rechtsgrundlage: § 25 TDDDG und die DSGVO

Rechtlich ruht der Cookie-Banner auf zwei Säulen. Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf regelt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG), das die europäische ePrivacy-Richtlinie umsetzt. Die anschließende Verarbeitung der so gewonnenen Daten unterliegt zusätzlich der DSGVO.

Nur für technisch unbedingt erforderliche Cookies verzichtet § 25 auf die Einwilligung. Für jeden anderen Zweck, insbesondere Analyse und Werbung, ist die vorherige, informierte Einwilligung des Nutzers nötig. Diese Rechtslage geht auf mehrere Urteile zurück, unter anderem die Entscheidung Planet49 des Europäischen Gerichtshofs.

Was eine wirksame Einwilligung ausmacht

Eine wirksame Einwilligung ist freiwillig, informiert, für den konkreten Zweck erteilt und eindeutig. Freiwillig heißt, dass Ablehnen genauso einfach möglich sein muss wie Zustimmen; ein prominenter Alles-akzeptieren-Knopf neben einem versteckten Ablehnen-Link genügt nicht. Informiert heißt, dass der Nutzer erfährt, welche Dienste welche Daten zu welchem Zweck verarbeiten.

Voreingestellte Häkchen sind unzulässig: Die Einwilligung muss eine aktive Handlung sein. Ebenso wenig darf das Weitersurfen oder Scrollen als Zustimmung gewertet werden. Und die einmal getroffene Entscheidung muss sich später ebenso leicht widerrufen lassen, üblicherweise über einen dauerhaft erreichbaren Link zu den Cookie-Einstellungen.

Dark Patterns: der häufigste Fehler

Die meisten Beanstandungen betreffen nicht das Fehlen eines Banners, sondern seine Gestaltung. Ein grün leuchtender Zustimmen-Knopf neben einem grauen, kleinen Ablehnen-Link, ein fehlender Ablehnen-Knopf auf der ersten Ebene oder ein Banner, das trotz Ablehnung Tracker lädt, sind typische Stolperfallen. Solche Muster gelten als unzulässige Beeinflussung der freien Entscheidung.

Kosmetische Banner: viel Anzeige, keine Wirkung

Ein verbreiteter Irrtum ist, dass ein sichtbarer Banner allein genügt. Viele Banner sind rein kosmetisch: Sie fragen zwar nach Zustimmung, blockieren die Dienste aber nicht wirklich, sodass Tracker unabhängig von der Antwort laufen. Rechtlich ist das der schlechteste Fall, denn er verbindet den Anschein von Rechtstreue mit einem tatsächlichen Verstoß.

Ein wirksames Consent-Management muss die einwilligungspflichtigen Dienste technisch zurückhalten, bis die Einwilligung vorliegt, und die Entscheidung des Nutzers nachvollziehbar dokumentieren. Der Banner ist nur die sichtbare Spitze; entscheidend ist, was im Hintergrund wirklich geladen wird.

Die Rechtslage: § 25 TDDDG und DSGVO

Rechtlich verlangt § 25 TDDDG die vorherige Einwilligung für das Speichern und Auslesen von Informationen auf dem Endgerät, soweit sie nicht technisch unbedingt erforderlich sind. Die daran anschließende Datenverarbeitung unterliegt der DSGVO, die dieselbe Einwilligung an ihre Wirksamkeits-Kriterien bindet: freiwillig, informiert, spezifisch, eindeutig.

Für die Praxis heißt das: Der Banner muss vor dem Laden fragen, gleichrangig ablehnen lassen, verständlich informieren und die Dienste bis zur Einwilligung technisch zurückhalten. Fehlt einer dieser Punkte, ist der Einsatz der betroffenen Dienste angreifbar.

So prüft der AppCore Audit den Cookie-Banner

Der AppCore Audit prüft mit der Lösung CookieGuard, welche Dienste eine Seite lädt und ob sie das vor oder nach der Einwilligung tun. So wird sichtbar, ob ein Banner wirklich blockt oder nur kosmetisch ist und ob die Ablehnung gleichrangig angeboten wird.

Abmahnung und Bußgeld: die Folgen

Ein fehlerhafter Cookie-Banner ist doppelt riskant. Datenschutzrechtlich können Aufsichtsbehörden den Einsatz nicht eingewilligter Dienste als Verstoß mit einem Bußgeld ahnden. Wettbewerbsrechtlich mahnen Mitbewerber und Verbände das Vorab-Laden von Trackern und irreführende Banner-Gestaltungen ab.

Besonders im Blick der Aufsicht stehen die Dark Patterns: ungleich gestaltete Knöpfe, fehlende Ablehnung auf der ersten Ebene und Banner, die trotz Ablehnung laden. Wer den Banner korrekt aufsetzt und regelmäßig gegen die tatsächlich geladenen Dienste prüft, nimmt beiden Risiken den Anlass.

Den eigenen Cookie-Banner richtig aufsetzen

Die meisten Banner-Probleme entstehen nicht aus Absicht, sondern aus der Lücke zwischen Anzeige und Technik: Der Banner fragt, aber blockt nicht, oder ein neues Tool wird eingebunden, ohne es in den Banner aufzunehmen. Drei Fragen helfen bei der Einordnung. Erstens: Laden alle nicht notwendigen Dienste wirklich erst nach der Einwilligung? Zweitens: Ist Ablehnen genauso leicht wie Zustimmen? Drittens: Lässt sich die Entscheidung jederzeit widerrufen?

Wer diese Fragen ehrlich beantwortet, erkennt die typischen Stolperfallen. Vorab geladene Analyse- und Marketing-Dienste, ein versteckter Ablehnen-Knopf und ein Banner, der die Dienste nicht wirklich blockt, gehören zu den häufigsten Fundstellen.

Für Seiten mit vielen eingebundenen Diensten ist schwer im Blick zu behalten, was wann lädt. Genau hier setzt der AppCore Audit an: Er beobachtet, welche Dienste vor und nach der Einwilligung starten, und macht sichtbar, wo der Banner seine Aufgabe nicht erfüllt. Aus einem diffusen Verdacht wird eine konkrete Liste.

Ein guter Cookie-Banner ist kein lästiges Hindernis, sondern ein sichtbares Zeichen, dass eine Seite die Entscheidung ihrer Besucher ernst nimmt. Wer ihn korrekt aufsetzt, senkt nicht nur sein Compliance-Risiko, sondern respektiert auch die Wahl der eigenen Nutzer.