Cookie-Consent FAQ: Die häufigsten Fragen auf einen Blick

Cookie-Consent ist eines der meistdiskutierten Themen im Bereich Webentwicklung und Datenschutz. Die rechtlichen Anforderungen haben sich in den letzten Jahren verschärft, und viele Website-Betreiber sind unsicher, was genau von ihnen erwartet wird.

Dieser Artikel fasst die häufigsten Fragen zusammen, die beim Thema Cookie-Banner auftauchen, und gibt klare, praxisnahe Antworten. Er ersetzt keine rechtliche Beratung, bietet aber einen soliden Überblick für den Einstieg.

Was sind Cookies und warum braucht man eine Einwilligung?

Cookies sind kleine Textdateien, die ein Webserver im Browser des Nutzers speichert. Sie ermöglichen es, Nutzer über mehrere Seitenaufrufe hinweg zu erkennen und Zustände wie Login-Status oder Warenkorbinhalte zu erhalten.

Eine Einwilligung ist erforderlich, wenn Cookies oder vergleichbare Technologien für Zwecke eingesetzt werden, die über den technischen Betrieb der Website hinausgehen. Das TDDDG (früher TTDSG) verbietet den Zugriff auf und die Speicherung von Informationen im Endgerät des Nutzers ohne Einwilligung, sofern dies nicht technisch zwingend notwendig ist.

Welche Cookies sind einwilligungspflichtig?

Eine grobe Einteilung:

Nicht einwilligungspflichtig (technisch notwendig):

• Session-Cookies für Login und Warenkorb
• CSRF-Token zur Formular-Absicherung
• Spracheinstellungs-Cookies, die der Nutzer selbst gesetzt hat
• Load-Balancing-Cookies des Servers

Einwilligungspflichtig:

• Analyse-Cookies (Google Analytics, Matomo mit Tracking)
• Marketing- und Retargeting-Cookies
• Social-Media-Widgets, die Cookies setzen
• Affiliate-Tracking
• Eingebettete Inhalte von Drittanbietern mit Tracking-Funktionalität

Kann ich Google Fonts ohne Einwilligung laden?

Das ist eine häufig gestellte Frage. Google Fonts überträgt bei jedem Aufruf die IP-Adresse des Nutzers an Google-Server. Das Landgericht München I hat im Januar 2022 entschieden, dass das Einbinden von Google Fonts ohne Einwilligung einen DSGVO-Verstoß darstellt.

Die einfache Lösung: Google Fonts lokal hosten. Dann findet keine Datenübertragung an Google statt, und eine Einwilligung ist nicht erforderlich.

Was muss in der Cookie-Erklärung stehen?

Die Cookie-Erklärung ist meist Teil der Datenschutzerklärung und sollte folgende Informationen enthalten:

• Name des Cookies
• Anbieter (eigener Server oder Drittanbieter)
• Zweck
• Speicherdauer
• Ob der Cookie einwilligungspflichtig ist

Der Cookie-Generator auf dieser Website erstellt diese Tabelle automatisch auf Basis der eingetragenen Dienste. Die Ergebnisse können direkt in die Datenschutzerklärung übernommen werden.

Wie speichere ich die Einwilligung technisch?

Die Einwilligung muss gespeichert werden, damit der Banner nicht bei jedem Seitenaufruf neu erscheint. Die gängigsten Methoden:

Cookie mit Einwilligungsstatus: Ein Cookie speichert, welche Kategorien der Nutzer akzeptiert oder abgelehnt hat. Der Ablaufzeitraum des Cookies entspricht dem Einwilligungszeitraum.

Local Storage: Alternativ kann der Einwilligungsstatus im Local Storage gespeichert werden. Das ist technisch einfacher, hat aber den Nachteil, dass kein automatisches Ablaufdatum gesetzt werden kann.

Wichtig: Der Cookie oder Eintrag im Local Storage, der die Einwilligung speichert, ist selbst ein technisch notwendiger Mechanismus und benötigt keine separate Einwilligung.

Was ist ein “berechtigtes Interesse” und reicht das statt einer Einwilligung?

Das berechtigte Interesse aus Artikel 6 Abs. 1 lit. f DSGVO ist ein Erlaubnistatbestand für die allgemeine Datenverarbeitung. Für das Setzen von Cookies auf dem Endgerät des Nutzers reicht es jedoch nicht aus.

Das TDDDG verlangt für den Zugriff auf das Endgerät des Nutzers grundsätzlich eine Einwilligung, sofern es sich nicht um technisch notwendige Vorgänge handelt. Das berechtigte Interesse kann diese spezifische Anforderung nicht ersetzen.

Was passiert, wenn ein Nutzer die Einwilligung widerruft?

Die DSGVO gibt Nutzern das Recht, eine einmal erteilte Einwilligung jederzeit zu widerrufen. Nach dem Widerruf:

• Dürfen keine neuen Daten mehr erhoben werden
• Bereits erhobene Daten müssen nicht zwingend gelöscht werden, sofern kein separater Löschantrag gestellt wird
• Das Widerrufen muss technisch so einfach sein wie die Einwilligung selbst

Technisch bedeutet das: Der Einwilligungsstatus muss zurückgesetzt werden, und die entsprechenden Skripte dürfen nicht mehr geladen werden. Ein Link im Footer, der den Banner erneut öffnet, ist eine einfache und verbreitete Lösung.

Fazit

Cookie-Consent ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Dienste ändern sich, Rechtsprechung entwickelt sich weiter, und neue Technologien entstehen. Regelmäßige Überprüfung des eigenen Setups ist daher empfehlenswert. Wer die Grundlagen versteht, kann die meisten Anforderungen ohne externe Beratung umsetzen. Für komplexe Setups mit vielen Drittanbietern empfiehlt sich die Beratung durch einen Datenschutzbeauftragten.