Wie gestalten Sie einen Cookie-Banner rechtssicher?

Welche Vorschrift regelt den Einwilligungsdialog überhaupt?

Zwei Regelwerke greifen nacheinander. § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, zuvor TTDSG) betrifft den technischen Vorgang: das Speichern von Informationen auf der Endeinrichtung und den Zugriff darauf. Gemeint sind nicht nur Cookies, sondern ebenso Einträge im lokalen Browserspeicher oder Kennungen aus einem Geräte-Fingerabdruck.

Was anschließend mit den Daten geschieht, richtet sich nach der DSGVO: Rechtsgrundlage, Zweckbindung, Informationspflichten, Betroffenenrechte, Übermittlung in Drittländer. Beide Ebenen sind getrennt zu prüfen. Eine wirksame Einwilligung nach § 25 macht die spätere Verarbeitung nicht automatisch zulässig — und ein berechtigtes Interesse nach der DSGVO rechtfertigt umgekehrt keinen Zugriff auf das Endgerät.

Aus dieser Zweistufigkeit folgt eine praktische Konsequenz: Der Dialog ist nur der sichtbare Teil. Dahinter braucht es eine Aufstellung, welcher Dienst welche Kennung setzt, wie lange sie gilt, wer sie empfängt und wo die Daten liegen.

Welche Cookies dürfen ohne Zustimmung gesetzt werden?

„Erforderlich“ ist eng gemeint: unbedingt nötig, damit der ausdrücklich gewünschte Dienst funktioniert. Maßstab ist die Erwartung der aufrufenden Person, nicht das Interesse des Anbieters.

• Sitzungskennung, Anmeldestatus, Warenkorb und Formular-Zwischenstand: einwilligungsfrei.
• Sicherheitsfunktionen wie Schutz vor Formularmissbrauch und Lastverteilung im Rechenzentrum: einwilligungsfrei.
• Die Speicherung der im Dialog getroffenen Auswahl selbst: einwilligungsfrei, sonst fragt die Seite bei jedem Aufruf erneut.
• Eine selbst gewählte Sprach- oder Regionseinstellung: in aller Regel einwilligungsfrei.
• Reichweitenmessung, Testvarianten, Werbekennungen, nachgeladene Karten und Videoeinbettungen fremder Portale: einwilligungspflichtig.

Grenzfälle klärt man am besten schriftlich: Notieren Sie zu jedem Dienst, warum er als erforderlich gilt. Diese Begründung ist im Zweifel die einzige Verteidigung — ein Haken in der Verwaltungsoberfläche der Consent-Software ist keine.

Wie muss der Dialog gestaltet sein?

Freiwillig, informiert, unmissverständlich und für jeden Zweck einzeln — so beschreibt die DSGVO eine Einwilligung. Übersetzt in Gestaltung heißt das vor allem: Der Weg zum Nein darf nicht länger sein als der Weg zum Ja.

• Auf der ersten Ebene stehen gleichwertige Schaltflächen für Zustimmen und Ablehnen — gleiche Größe, gleiche Form, gleiche Auffälligkeit.
• Kein Kästchen ist vorangekreuzt, kein Schalter steht auf Ein, ausgenommen die technisch erforderlichen Dienste ohne Wahlmöglichkeit.
• Kein Farbspiel schiebt die Ablehnung in ein blasses Grau, kein Text inszeniert Zustimmung als Höflichkeit.
• Zwecke sind verständlich benannt, Anbieter und Speicherdauer einsehbar, die Datenschutzerklärung verlinkt.
• Der Widerruf bleibt dauerhaft erreichbar und ebenso einfach wie die Erteilung — üblicherweise über einen Eintrag in der Fußzeile.

Wer das Fenster schließt oder weiterscrollt, hat nicht eingewilligt. Ein Dialog, den man nur über den Umweg „Einstellungen, alles abwählen, speichern“ verlassen kann, gilt als unzulässige Erschwerung. Bezahlmodelle als Alternative zur Einwilligung werden juristisch weiterhin diskutiert; wer damit arbeitet, sollte die Ausgestaltung eng begleiten lassen.

Wie weisen Sie eine erteilte Einwilligung nach?

Die Nachweispflicht liegt bei Ihnen. Protokolliert gehören mindestens: Zeitpunkt, gewählte Zwecke, Fassung des Dialogtextes, Version der Dienstliste und eine Kennung, die den Datensatz der Sitzung zuordnet — ohne mehr Personenbezug aufzubauen, als dafür nötig ist.

Ebenso wichtig sind Widerrufe. Wird eine Einwilligung zurückgenommen, muss die zugehörige Verarbeitung enden und die gesetzte Kennung verschwinden. Ein Großhändler, der seine Kundenansprache über mehrere angebundene Werkzeuge steuert, sollte prüfen, ob der Widerruf wirklich bis ins letzte dieser Systeme durchschlägt.

Bewahren Sie die Protokolle so lange auf, wie Sie sich auf die Einwilligung stützen, und dokumentieren Sie jede Änderung am Dialog mit Datum. Ein Nachweis, der nur den heutigen Stand kennt, hilft bei einer Beschwerde über einen zwei Jahre alten Vorgang wenig.

Was leisten Consent-Management-Plattformen — und wo klemmt es?

Eine Consent-Management-Plattform übernimmt Dialog, Speicherung, Protokoll und häufig auch das Blockieren. Sinnvoll ist das durchaus — die Verantwortung nimmt sie Ihnen jedoch nicht ab. Sie bleiben verantwortlich, auch für die Voreinstellungen, die der Anbieter mitliefert.

• Die automatische Erkennung neuer Dienste greift meist nur bei bekannten Anbietern; selbst gebaute Einbindungen laufen unbemerkt durch.
• Skripte, die serverseitig eingebunden werden, und Kennungen aus der Serverantwort sieht eine clientseitige Blockade nicht.
• Kategorien werden großzügig vergeben; ein Werbedienst landet in „funktional“ und läuft damit ohne Zustimmung.
• Standardtexte beschreiben Zwecke oft so allgemein, dass die Informationspflicht nicht erfüllt ist.
• Die Dienstliste veraltet mit jedem Ausbau der Website, wenn niemand die Pflege ausdrücklich übernimmt.

Der Dialog kostet Ladezeit

Das Consent-Skript lädt früh, blockiert häufig das Rendern und verschiebt das größte sichtbare Element — mit messbarer Wirkung auf die Core Web Vitals. Es hilft, das Skript aus der eigenen Domain auszuliefern, den Dialog als schlankes HTML mitzuliefern statt ihn nachträglich per JavaScript aufzubauen, und auf Animationen zu verzichten, die den Seiteninhalt springen lassen.

Wie stellen Sie sicher, dass vor der Zustimmung wirklich nichts lädt?

Diese Frage entscheidet über die Rechtmäßigkeit stärker als jede Formulierung im Fenster. Prüfen lässt sie sich in fünf Minuten: privates Browserfenster öffnen, Entwicklerwerkzeuge starten, Seite aufrufen und ohne jeden Klick den Netzwerkverkehr sowie den Anwendungsspeicher durchsehen.

• Fremde Domains im Netzwerkprotokoll vor der Zustimmung sind ein Befund — auch dann, wenn nur eine Schriftart oder ein Symbolsatz geladen wird.
• Skripte, die erst nach Einwilligung laufen dürfen, werden als inaktiver Typ eingebunden und erst danach aktiviert.
• Karten, Videos und Einbettungen aus sozialen Netzwerken bekommen eine Vorschaufläche mit Hinweis; geladen wird auf Klick.
• Schriften, Symbolsätze und Programmbibliotheken hosten Sie selbst — dann stellt sich die Frage gar nicht erst.
• Ein Tag-Manager ist selbst ein Dienst: Auch sein Ladeverhalten und seine Auslöser gehören in die Prüfung.

Nehmen Sie diesen Test in die Abnahme jeder Änderung auf. Ein einziger neu eingebauter Einbettungscode genügt, um einen zuvor sauberen Zustand zu kippen.

Ein Dialog, der lädt, was er zu blockieren verspricht, dokumentiert den Verstoß, statt ihn zu verhindern.

Wie behandeln Sie mehrere Domains und Sprachversionen?

Eine Einwilligung wirkt zunächst nur für die Domain, auf der sie erteilt wurde. Wer mehrere Länderdomains, eine getrennte Shop-Domain oder ein Portal auf einer Unterdomain betreibt, muss entscheiden, ob die Zustimmung geteilt wird — und darf das nur, wenn im Dialog erkennbar ist, für welche Angebote sie gilt.

Technisch scheitert die gemeinsame Nutzung häufig an Browserbeschränkungen für domainübergreifende Speicherung. Die saubere Lösung ist meist die unbequemere: je Domain ein eigener Dialog, dafür identische Zwecke, identische Dienstliste und ein gemeinsames Protokoll im Hintergrund.

Übersetzen Sie den Dialog vollständig, nicht nur die Schaltflächen. Ein englischsprachiger Zwecktext auf einer deutschen Seite genügt der Anforderung an verständliche Information ebenso wenig wie umgekehrt — und die Dienstliste muss in jeder Fassung denselben Stand abbilden.

Welche Alternativen gibt es zum Banner?

Wer keine Kennung auf dem Endgerät ablegt und keine ausliest, braucht keine Einwilligung. Messung ist damit nicht ausgeschlossen: Eine serverseitige Auswertung der Zugriffsprotokolle liefert Seitenaufrufe, Verweisquellen, Statuscodes und Ladezeiten. Datenschutzfreundliche Messwerkzeuge arbeiten ohne dauerhafte Wiedererkennung, mit gekürzter IP-Adresse und aggregierten Kennzahlen.

Verloren geht dabei die Wiedererkennung über Sitzungen und Geräte hinweg — also die Kanalzuordnung über Wochen und der detaillierte Nutzerpfad. Gewonnen ist eine vollständige Datenbasis ohne Zustimmungslücke und ein Auftritt ohne Vorschaltfenster. Für ein Immobilienunternehmen, dessen Kontakte ohnehin telefonisch und über Formulare entstehen, ist dieser Tausch häufig der bessere.

Prüfen Sie außerdem, was Sie überhaupt messen müssen. Anfragen, Besichtigungstermine und Abschlüsse stehen im Vertriebssystem, nicht im Messwerkzeug. Wer die Kennzahlen dort verankert, wird von der Zustimmungsquote spürbar unabhängiger.

Was tun, wenn kaum jemand zustimmt?

Dann fehlt ein Teil der Daten, und das ist auszuhalten, solange Sie es einkalkulieren. Zwei Fehler sind verbreitet: die Lücke verschweigen und Absolutwerte melden, als wären sie vollständig — oder hochrechnen, ohne die Verzerrung zu benennen, denn wer ablehnt, verhält sich nicht wie wer zustimmt.

Tragfähiger ist ein zweigleisiges Berichtswesen: Trends aus einwilligungsfreier Messung für die Entwicklung über die Zeit, Zustimmungsdaten für Detailfragen mit ausgewiesener Grundgesamtheit. Und lassen Sie die Finger von Gestaltungstricks, die die Quote heben — die Grenze zur unwirksamen Einwilligung ist schnell überschritten, und eine unwirksame Zustimmung ist wertloser als eine ehrliche Ablehnung.

Eine Anmerkung in eigener Sache: Was hier steht, ist die Sicht aus der Umsetzung, keine anwaltliche Prüfung Ihres konkreten Dialogs. Die Bewertung einzelner Dienste, Zwecke und Gestaltungsdetails gehört in die Hände einer im Datenschutzrecht spezialisierten Kanzlei — am besten, bevor der Banner live geht.