Was die Cookie Banner Pflicht von deiner Website verlangt

Wann ein Cookie Banner Pflicht ist und wann nicht

Streng genommen gibt es keine Pflicht zu einem Banner. Es gibt eine Pflicht zur Einwilligung, und das Banner ist das Werkzeug, mit dem du sie einholst. Die Grundlage ist in Deutschland § 25 des TDDDG, das bis Mai 2024 noch TTDSG hieß. Der Paragraf verlangt eine Einwilligung, sobald deine Website Informationen auf dem Gerät des Besuchers speichert oder bereits gespeicherte Informationen ausliest. Das gilt unabhängig davon, ob dabei personenbezogene Daten entstehen. Werden zusätzlich personenbezogene Daten verarbeitet, kommt die DSGVO hinzu, was der Beitrag über die Anforderungen an eine DSGVO konforme Website im Zusammenhang beschreibt.

Daraus folgt der wichtigste Satz dieses Beitrags: Ob du ein Banner brauchst, entscheidet sich nicht an deinem Unternehmen, sondern an deinem Quelltext. Eine Website, die ausschließlich technisch notwendige Speicherungen nutzt, kommt ohne Einwilligungsabfrage aus. Sobald ein einziger Dienst dazukommt, der nicht dazugehört, ist die Einwilligung vor dem Laden Pflicht. Bei den meisten Unternehmenswebsites ist das der Fall, oft ohne dass jemand es bewusst eingebaut hat, etwa über ein Kartenmodul, eine Schriftart von einem fremden Server oder ein Video.

Welche Speicherungen ohne Einwilligung auskommen

Das Gesetz kennt zwei Ausnahmen. Die erste betrifft die reine Übertragung einer Nachricht über ein Netz. Die zweite ist für Websites wichtiger: Eine Einwilligung entfällt, wenn die Speicherung unbedingt erforderlich ist, damit ein Dienst funktioniert, den der Besucher ausdrücklich angefordert hat. Entscheidend ist das Wort unbedingt. Nützlich oder wirtschaftlich sinnvoll reicht nicht. Ohne Einwilligung bleiben in der Regel zulässig:

• Sitzungsdaten für Warenkorb, Login und Formulare, im notwendigen Umfang.

• Die Speicherung der Sprachauswahl, wenn der Besucher sie selbst getroffen hat.

• Funktionen für Lastverteilung und Sicherheit des Servers.

• Die Speicherung der Entscheidung zum Banner selbst.

Einwilligungspflichtig sind dagegen Reichweitenmessung, Werbepixel, Retargeting, Testverfahren, Pixel sozialer Netzwerke und Standardeinbettungen von Videoplattformen. Wie sich das bei eingebetteten Clips auswirkt, zeigt der Beitrag darüber, wann Video auf der Website die Conversion steigert. Auch wer Anzeigen schaltet, ist betroffen, denn das Tracking dort darf erst nach der Einwilligung starten. Wie sich Anfragen trotzdem sauber zuordnen lassen, steht im Beitrag über die Messung von Anfragen aus Google Ads.

Wann eine Einwilligung wirksam ist

Eine Einwilligung zählt nur, wenn sie bestimmte Bedingungen erfüllt. Der Europäische Gerichtshof hat 2019 im Verfahren Planet49 klargestellt, dass ein voreingestelltes Häkchen keine Einwilligung ist. Der Bundesgerichtshof hat das am 28. Mai 2020 im Verfahren Cookie Einwilligung II mit dem Aktenzeichen I ZR 7/16 für Deutschland übernommen. Wer Cookies setzen will, braucht seither eine aktive Handlung des Besuchers, das Verbergen hinter einer Voreinstellung genügt nicht. Aus den Entscheidungen und der DSGVO ergeben sich fünf Anforderungen:

• Die Einwilligung wird aktiv erteilt, also durch einen Klick. Weiterscrollen oder vorangekreuzte Felder zählen nicht.

• Informiert ist sie, wenn der Besucher vorab sieht, welche Dienste zu welchem Zweck laufen.

• Freiwillig ist sie, wenn sie sich je Zweck getrennt erteilen lässt.

• Widerrufen lässt sie sich ebenso leicht, wie sie erteilt wurde.

• Du kannst sie nachweisen, mit Zeitpunkt und Fassung der Abfrage.