Sie kennen das: Sie rufen eine Webseite auf, und noch bevor Sie irgendetwas lesen können, schiebt sich ein Fenster ins Bild. „Wir verwenden Cookies …“ Meistens klicken wir genervt auf „Alle akzeptieren“ und sind froh, dass es weitergeht. Als Betreiberin oder Betreiber einer eigenen Webseite sieht man die Sache plötzlich von der anderen Seite: Muss ich das auch haben? Und was hat es mit diesen Cookies überhaupt auf sich?
Diesen Beitrag habe ich in zwei Teile aufgeteilt, damit er nicht zur Textwüste wird. Hier in Teil 1 geht es um die Grundlagen: Was sind Cookies, warum gibt es rechtliche Vorgaben und wann brauchen Sie gar kein Banner? In Teil 2 zeige ich Ihnen dann demnächst, wie Sie ein Cookie-Banner richtig umsetzen. Die Kurzdefinition steht im Webseiten-Glossar, hier gibt es die ausführliche Version.
Was sind Cookies überhaupt?
Cookies heißen auf Deutsch „Kekse“ und das Bild ist gar nicht schlecht: Es sind kleine Textdateien, die Ihre Webseite im Browser der Besucherinnen und Besucher ablegt. Denken Sie an Hänsel und Gretel, die eine Spur aus Krümeln legen, um den Rückweg zu finden. Genau das tun Cookies: Sie legen eine kleine Spur und merken sich so etwas über den Besuch.
Das kann ganz harmlos und nützlich sein. Ein Cookie merkt sich, dass jemand eingeloggt ist, was im Warenkorb liegt oder welche Sprache gewählt wurde. Es kann aber auch dazu dienen, das Verhalten von Menschen über mehrere Seiten hinweg zu verfolgen, um daraus Profile für Werbung zu bilden. Und genau hier liegt der Grund, warum Cookies so ein Thema geworden sind: Dieselbe Technik kann dem Komfort dienen oder der Beobachtung.
Ein paar Begriffe helfen beim Einordnen. Session-Cookies verschwinden, sobald der Browser geschlossen wird. Dauerhafte Cookies bleiben Tage, Monate oder Jahre gespeichert. Eigene Cookies (First-Party) setzt Ihre Webseite selbst. Cookies von Dritten (Third-Party) stammen von anderen Anbietern, die in Ihre Seite eingebunden sind, etwa von einem Statistik-Dienst oder einem Video-Portal. Und weil es nicht nur Cookies gibt, sprechen Juristen gern von „ähnlichen Technologien“: Tracking-Pixel, der lokale Speicher im Browser oder das Wiedererkennen über technische Merkmale des Geräts. Für die rechtliche Beurteilung wird das alles im Wesentlichen gleich behandelt.
Warum brauche ich einen Cookie-Hinweis?
Die Antwort steckt in zwei Regelwerken, die zusammenspielen. Das eine ist das deutsche Gesetz über den Datenschutz bei digitalen Diensten, kurz TDDDG (früher TTDSG; die Umbenennung habe ich im Beitrag TMG wurde DDG beschrieben). Dessen Paragraf 25 besagt sinngemäß, dass jemand, der oder die Informationen auf dem Gerät einer Besucherin, eines Benutzers speichern oder dort auslesen will, dazu deren Einwilligung benötigt. Das gilt unabhängig davon, ob dabei personenbezogene Daten im Spiel sind. Das andere ist die DSGVO, die verlangt, dass die Einwilligung freiwillig, informiert, eindeutig und aktiv erteilt wird und dass die anschließende Verarbeitung der Daten rechtmäßig ist.
Wichtig ist der folgende Gedanke dahinter: Ihre Besucherinnen und Besucher sollen entscheiden können, ob sie beobachtet werden möchten, bevor es passiert. Ein Hinweis nach dem Motto „Wenn Sie weiter surfen, stimmen Sie zu“ reicht deshalb nicht. Auch ein vorab angekreuztes Kästchen zählt nicht als Zustimmung. Das ist inzwischen durch Gerichte bis hinauf zum Bundesgerichtshof und zum Europäischen Gerichtshof, klargestellt.
Brauche ich überhaupt ein Cookie-Banner?
Hier habe ich eine gute Nachricht: Nicht jede Webseite braucht eines. Das Gesetz unterscheidet zwischen Cookies, die technisch unbedingt erforderlich sind und allen anderen. Technisch notwendige Cookies dürfen ohne Einwilligung gesetzt werden. Dazu gehören zum Beispiel Cookies, die den Warenkorb im Shop speichern, den Login-Status halten, die Spracheinstellung merken, für die Sicherheit der Seite sorgen oder die Cookie-Entscheidung selbst speichern. Allerdings sollten sie auch diesen Cookie-Einsatz trotzdem in Ihrer Datenschutzerklärung erwähnen.
Einwilligungspflichtig sind dagegen alle Cookies und Techniken, die für den Betrieb der Seite nicht zwingend nötig sind. Und hier geht es in der Regel um reines Marketing: Statistik- und Analysewerkzeuge wie Google Analytics, Werbe- und Tracking-Pixel von sozialen Netzwerken, eingebettete Inhalte wie YouTube-Videos oder Straßenkarten, die beim Laden Daten an die Anbieter senden, sowie Dienste, die Besucherinnen und Besucher seitenübergreifend wieder erkennen.
Daraus folgt eine Faustregel, die ich meinen Kundinnen und Kunden gern mitgebe:
Jedes Werkzeug, das Sie nicht einbauen, müssen Sie nicht abfragen!
Wenn Ihre Seite schlank gebaut ist, nur technisch notwendige Cookies nutzt und Schriften lokal einbindet, braucht diese unter Umständen gar keinen Cookie-Hinweis. Das spart Ihren Besucherinnen und Besuchern nervige Klicks und Ihnen Wartungsaufwand. Ob das bei Ihnen zutrifft, kann nur anhand Ihrer konkreten Seite geprüft werden.
Dies ist allerdings kein Einmal-gemacht-für-immer-in-Ordnung-Zustand! Seien Sie aufmerksam beim Erstellen weiterer Seiten oder Blogbeiträge: Bereits ein einziges eingebettetes Video kann die Sache ändern.
Fazit
Cookies sind weder „Teufelszeug“ noch egal. Sie sind kleine Krümel-Spuren, bei denen Ihre Besucherinnen und Besucher ein Mitspracherecht haben. Wer nur technisch notwendige Cookies einsetzt, kommt oft ohne Banner aus. Sobald Statistik, Tracking oder eingebettete Inhalte im Spiel sind, wird eine Einwilligung nötig und dann kommt es darauf an, wie das Banner funktioniert. Genau darum wird es dann in Teil 2 gehen.
Sind Sie unsicher, welche Cookies Ihre Seite setzt und ob Sie eine Einwilligung brauchen?
Schreiben Sie mir oder rufen Sie einfach an.
Wir schauen gemeinsam, welche Dienste auf Ihrer Seite laufen und was wirklich nötig ist.
FAQ: Häufige Fragen zu Cookies
Nicht unbedingt. Ein Banner ist nur nötig, wenn Ihre Seite Cookies oder ähnliche Techniken einsetzt, die nicht technisch unbedingt erforderlich sind, etwa Statistik-Tools, Tracking-Pixel oder eingebettete Videos und Karten von Drittanbietern. Nutzt Ihre Seite nur notwendige Cookies, genügt in der Regel die Erwähnung in der Datenschutzerklärung. Das sollte allerdings anhand der konkreten Seite geprüft werden.
Cookies, die für den vom Besucher oder der Besucherin ausdrücklich gewünschten Dienst technisch unbedingt erforderlich sind. Beispiele sind Warenkorb, Login, Sicherheitsfunktionen, die Speicherung der Spracheinstellung oder der Cookie-Entscheidung selbst. Statistik, Marketing und Tracking gehören nicht dazu.
Session-Cookies gelten nur für einen Besuch und werden gelöscht, sobald der Browser geschlossen wird. Dauerhafte Cookies bleiben für eine festgelegte Zeit gespeichert und erkennen Besucherinnen und Besucher beim nächsten Mal wieder. Ob ein Cookie einwilligungspflichtig ist, hängt aber nicht von seiner Dauer ab, sondern davon, ob es technisch unbedingt erforderlich ist.
Cookies sind keine Programme und können keine Viren verbreiten. Es handelt sich um kleine Textdateien. Das Problem ist ein anderes: Mit bestimmten Cookies lässt sich das Surfverhalten verfolgen und zu Profilen zusammenführen. Deshalb hat der Gesetzgeber hier eine Einwilligung vorgeschrieben.
© Foto: H. Anna Mews
Auch dieser Beitrag ersetzt keine Rechtsberatung. Er soll Ihnen helfen, die richtigen Fragen zu stellen.
Eine Antwort auf „Cookies auf Ihrer Webseite, Teil 1: Was sie sind und warum es Regeln gibt“