Kaum ein Datenschutzthema ist so sichtbar wie das Cookie-Banner — und kaum eines wird so oft falsch umgesetzt. Für Anbieter mit Kunden in der Schweiz und der EU kommt hinzu, dass die Regeln sich unterscheiden. Dieser Beitrag beschreibt die Rechtslage und eine Umsetzung, die rechtlich trägt, ohne die Website zu verstümmeln.
Die Regel in der EU
Massgeblich ist nicht in erster Linie die DSGVO, sondern die ePrivacy-Richtlinie: Das Speichern von Informationen auf dem Endgerät und der Zugriff darauf sind nur mit Einwilligung zulässig, es sei denn, sie sind für einen vom Nutzer ausdrücklich gewünschten Dienst unbedingt erforderlich. Das betrifft nicht nur Cookies, sondern auch vergleichbare Techniken wie Local Storage oder Fingerprinting. Für die Wirksamkeit der Einwilligung gelten die Massstäbe der DSGVO: freiwillig, informiert, für den konkreten Fall und durch eine eindeutige aktive Handlung. Vorausgefüllte Kästchen genügen nicht; das hat der Europäische Gerichtshof 2019 entschieden.
Deutschland
In Deutschland setzt § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis 2024 TTDSG) die Regel um. Die Aufsichtsbehörden achten besonders darauf, dass die Ablehnung so einfach ist wie die Zustimmung, dass keine irreführende Gestaltung verwendet wird und dass vor der Einwilligung keine einwilligungspflichtigen Skripte laden.
Die Schweiz
Die Schweiz kennt keine allgemeine Einwilligungspflicht für Cookies. Nach dem Fernmeldegesetz müssen Website-Betreiber über die Verwendung von Cookies und den Zweck informieren und darauf hinweisen, wie die Bearbeitung abgelehnt werden kann. Dazu kommen die Informationspflichten des revidierten DSG, die in der Datenschutzerklärung erfüllt werden. Eine Einwilligung kann aber nötig werden, etwa für die Bearbeitung besonders schützenswerter Daten oder für ein Profiling mit hohem Risiko. Wer Besucher aus der EU anspricht, muss zudem die EU-Regeln beachten.
Was ein sauberes Banner ausmacht
- Gleichwertige Wahl: „Alle akzeptieren“ und „Alle ablehnen“ auf derselben Ebene und gleich gut sichtbar.
- Nichts vorher laden: einwilligungspflichtige Skripte erst nach der Zustimmung.
- Verständliche Zwecke: Kategorien in klarer Sprache, nicht Dutzende Anbieter ohne Erklärung.
- Widerruf jederzeit: ein dauerhaft erreichbarer Link, etwa in der Fusszeile.
- Nachweis: die Einwilligung mit Zeitpunkt und Version des Banners dokumentieren.
Weniger ist mehr
Die beste Banner-Strategie ist, weniger einwilligungspflichtige Technik zu verwenden. Viele Websites laden Werkzeuge, die niemand auswertet. Für die Messung von Auffindbarkeit genügt oft die Search Console; für Besucherstatistiken gibt es Lösungen, die ohne Speicherung auf dem Endgerät auskommen und Daten in der EU oder der Schweiz verarbeiten — wobei auch sie datenschutzrechtlich zu prüfen sind. Jedes eingesparte Skript ist ein Skript weniger im Banner, in der Datenschutzerklärung und bei den Core Web Vitals.
Werbung und Messung
Wer Werbeplattformen nutzt und Konversionen in der EU messen will, kommt um eine Einwilligungslösung kaum herum. Die grossen Plattformen verlangen inzwischen, dass Einwilligungssignale korrekt übermittelt werden. Hier lohnt eine saubere technische Integration, die Einwilligungen respektiert und dennoch die nötigen Daten für Kampagnen liefert, soweit zulässig.
In SaaS-Produkten
In der eingeloggten Anwendung sind viele Speicherungen technisch notwendig, etwa für die Anmeldung, und brauchen keine Einwilligung. Produktanalysen, die das Verhalten von Nutzern auswerten, sind dagegen genauer zu prüfen. Bewährt hat sich, sie auf das Nötige zu beschränken, pseudonymisiert zu erfassen und in der Datenschutzerklärung klar zu beschreiben. Für Auslandbekanntgaben an Analyse-Anbieter gelten die Regeln, die der Beitrag zu Datentransfers beschreibt.
Die Prüfung von Banner, Skripten und Datenschutzerklärung gehört zu unserem DSGVO-Audit für SaaS und zur revDSG-Umsetzung für KMU.