Kaum ein Thema hat so viel Aufwand bei so wenig Klarheit erzeugt wie der Cookie-Hinweis. Der Grund ist, dass zwei Regelwerke ineinandergreifen: Die Frage, ob überhaupt eine Einwilligung nötig ist, beantwortet nicht die DSGVO, sondern das Recht der elektronischen Kommunikation. Die Frage, wie eine Einwilligung aussehen muss, beantwortet die DSGVO.
Wer diese Trennung nicht macht, landet bei einem Banner, das für alles eine Einwilligung einholt — was rechtlich nicht nötig ist und die Zustimmungsquote unnötig drückt.
Wann eine Einwilligung nötig ist
Für das Speichern von Informationen auf dem Endgerät und den Zugriff darauf gilt der Grundsatz: Es braucht eine Einwilligung, ausser der Zugriff ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, oder er dient allein der Übertragung einer Nachricht.
Unbedingt erforderlich sind typischerweise Sitzungs-Cookies für einen Warenkorb, Cookies zur Lastverteilung, Sicherheitsmerkmale zur Missbrauchsabwehr und die Speicherung der Einwilligungsentscheidung selbst. Für diese braucht es keine Einwilligung, wohl aber Transparenz.
Nicht unbedingt erforderlich sind Reichweitenmessung, Werbe- und Marketing-Cookies, eingebettete Inhalte von Drittanbietern und personalisierte Empfehlungen. Für sie ist eine Einwilligung erforderlich, und zwar vor dem Setzen.
Ein häufiges Missverständnis betrifft die Reichweitenmessung. Die Einordnung ist je nach Land und Ausgestaltung unterschiedlich; einzelne Aufsichtsbehörden haben eng gefasste Ausnahmen für rein statistische, anbieterseitig betriebene Messung formuliert. Wer sich darauf stützt, sollte die konkreten Bedingungen prüfen statt sich auf eine allgemeine Aussage zu verlassen.
Woran Banner in der Praxis scheitern
Die Anforderungen an eine wirksame Einwilligung sind nicht neu, werden aber regelmässig verfehlt. Vier Punkte tauchen in Beanstandungen immer wieder auf.
Erstens: Ablehnen muss ebenso einfach sein wie Zustimmen. Ein prominenter Zustimmungsknopf neben einem Link, der erst in eine Detailebene führt, erfüllt das nicht.
Zweitens: Vorangekreuzte Kästchen oder voreingestellte Schalter in der Stellung Ein sind keine Einwilligung. Das gilt auch für die Detailebene, die viele Banner mit aktivierten Kategorien öffnen.
Drittens: Weiterscrollen oder Weiternutzen der Seite ist keine Einwilligung. Ein Banner, das nach einigen Sekunden verschwindet und die Zustimmung annimmt, ist unwirksam.
Viertens: Der Widerruf muss so einfach möglich sein wie die Erteilung. Praktisch heisst das ein dauerhaft erreichbarer Zugang zu den Einstellungen, nicht ein Hinweis in der Datenschutzerklärung.
Der technische Punkt, der am häufigsten übersehen wird
Das rechtlich sauberste Banner nützt nichts, wenn die Skripte trotzdem laden. In der Praxis ist genau das der häufigste Mangel: Das Einwilligungswerkzeug ist korrekt konfiguriert, aber ein Drittanbieter-Skript ist fest in der Seite eingebunden und feuert vor der Entscheidung.
Prüfen lässt sich das ohne Werkzeuge: Seite in einem frischen Browserprofil öffnen, ohne eine Wahl zu treffen die Netzwerkanfragen ansehen. Alles, was in diesem Zustand an Dritte geht, läuft ohne Einwilligung.
Der zweite technische Punkt betrifft die Speicherung der Entscheidung. Sie muss nachweisbar sein — Zeitpunkt, Umfang und Version des Hinweistexts. Ohne diesen Nachweis lässt sich eine erteilte Einwilligung im Streitfall nicht belegen.
Der Zusammenhang mit Drittstaatentransfers
Viele Analyse- und Werbedienste übermitteln Daten in Drittstaaten. Die Einwilligung im Banner deckt diese Übermittlung nicht automatisch ab; dafür gelten eigene Anforderungen an die Übermittlungsgrundlage.
Für Schweizer Betreiber kommt hinzu, dass das revidierte Datenschutzgesetz eine eigene Systematik für die Bekanntgabe ins Ausland kennt. Wer eine Website für beide Rechtsräume betreibt, sollte beide Stränge beantworten können.
Was jetzt sinnvoll ist
Erstens: Eine vollständige Liste dessen erstellen, was die Seite tatsächlich lädt — nicht was im Einwilligungswerkzeug konfiguriert ist. Die beiden Listen weichen erfahrungsgemäss voneinander ab.
Zweitens: Konsequent trennen zwischen unbedingt erforderlich und einwilligungspflichtig. Diese Trennung reduziert den Umfang des Banners und verbessert die Zustimmungsquote, ohne rechtlich etwas zu opfern.
Drittens: Den Ablehnen-Weg genauso kurz gestalten wie den Zustimmen-Weg. Das ist die Anforderung, an der die meisten Beanstandungen ansetzen, und sie ist mit geringem Aufwand zu erfüllen.
Was offen bleibt
Die Bewertung einzelner Konstellationen unterscheidet sich zwischen den Aufsichtsbehörden weiterhin, und die Diskussion um Modelle mit Bezahlalternative ist nicht abgeschlossen. Wer eine Lösung wählt, die an den Rand des Zulässigen geht, sollte einplanen, sie anpassen zu müssen.