Datenschutzerklärung und Cookies: Was muss rein?

Eine Datenschutzerklärung und ein Cookie-Banner sind zwei verschiedene Dinge, die aber eng zusammenwirken müssen. Der Banner holt die Einwilligung ein, die Datenschutzerklärung informiert umfassend über alle Verarbeitungsvorgänge. Was viele Website-Betreiber nicht wissen: Auch ohne Cookie-Einwilligung müssen bestimmte Informationen über Cookies in der Datenschutzerklärung stehen.

Informationspflichten nach DSGVO

Die DSGVO schreibt in den Artikeln 13 und 14 vor, welche Informationen Betroffene über die Verarbeitung ihrer personenbezogenen Daten erhalten müssen. Für Cookies, die personenbezogene Daten verarbeiten, gelten folgende Pflichtangaben:

Verantwortliche Stelle: Name und Kontaktdaten des Website-Betreibers sowie gegebenenfalls eines Datenschutzbeauftragten.

Zweck und Rechtsgrundlage: Zu welchem Zweck werden die Cookies eingesetzt, und auf welcher rechtlichen Grundlage? Bei einwilligungspflichtigen Cookies ist das Artikel 6 Abs. 1 lit. a DSGVO. Bei technisch notwendigen Cookies kann berechtigtes Interesse nach Artikel 6 Abs. 1 lit. f DSGVO in Frage kommen.

Empfänger der Daten: Welche Dritten erhalten die durch Cookies erhobenen Daten? Wer zum Beispiel Google Analytics einsetzt, muss Google LLC als Empfänger nennen.

Speicherdauer: Wie lange werden die durch Cookies erfassten Daten gespeichert? Das gilt sowohl für die Cookie-Laufzeit selbst als auch für die Dauer der Datenspeicherung beim Anbieter.

Drittlandübertragung: Wenn Daten in Länder außerhalb der EU oder des EWR übertragen werden, müssen die Schutzmaßnahmen genannt werden, etwa Standardvertragsklauseln nach Artikel 46 DSGVO.

Aufbau des Cookie-Abschnitts

Ein gut strukturierter Cookie-Abschnitt in der Datenschutzerklärung gliedert sich nach Cookie-Kategorien. Die übliche Einteilung:

Notwendige Cookies: Diese ermöglichen grundlegende Funktionen der Website und sind ohne Einwilligung erlaubt. Trotzdem müssen sie in der Datenschutzerklärung erwähnt werden, mit Angabe von Zweck und Speicherdauer.

Analyse-Cookies: Dienste wie Google Analytics, Matomo oder Plausible erheben Nutzungsdaten. Für jeden genutzten Dienst müssen Anbieter, Zweck, verarbeitete Daten, Speicherdauer und Drittlandübertragung angegeben werden.

Marketing-Cookies: Werbe-Netzwerke und Retargeting-Dienste. Hier sind oft mehrere Anbieter beteiligt, die alle einzeln aufzuführen sind.

Präferenz-Cookies: Dienste, die Nutzereinstellungen speichern, etwa Sprachwahl oder Darstellungsoptionen.

Zusammenspiel mit dem Cookie-Banner

Der Cookie-Banner verweist auf die Datenschutzerklärung, aber er ersetzt sie nicht. Im Banner genügt eine Kurzinformation über die Zwecke der Cookie-Kategorien. Die vollständigen Informationen müssen in der Datenschutzerklärung stehen und dort klar auffindbar sein. Ein direkter Link vom Banner auf den Cookie-Abschnitt der Datenschutzerklärung ist empfehlenswert.

Nutzer, die mithilfe des Generators einen Cookie-Banner erstellen, sollten parallel prüfen, ob ihre Datenschutzerklärung alle verwendeten Dienste vollständig und korrekt beschreibt.

Besonderheiten bei Drittanbietern

Wer Drittanbieter-Dienste einbindet, muss beachten, dass diese oft eigene Datenschutzerklärungen mitbringen. Es genügt nicht, auf die Datenschutzerklärung des Drittanbieters zu verlinken. Der Website-Betreiber ist selbst informationspflichtig gegenüber seinen Besuchern. Das bedeutet, die eigene Datenschutzerklärung muss den Einsatz des Drittanbieter-Dienstes aktiv beschreiben.

Ein typisches Beispiel ist die Einbindung von YouTube-Videos. Wer Videos direkt einbettet, übermittelt Daten an Google, selbst wenn der Nutzer das Video nicht anspielt. Das muss in der Datenschutzerklärung stehen, ebenso wie Zweck, Empfänger und Drittlandübertragung in die USA.

Häufige Fehler

Veraltete Dienste: Dienste, die nicht mehr aktiv genutzt werden, stehen noch in der Datenschutzerklärung. Oder umgekehrt: Neue Dienste wurden eingebunden, aber nicht aufgenommen.

Fehlende Speicherdauern: Viele Datenschutzerklärungen nennen Zweck und Anbieter, aber keine konkreten Speicherdauern. Das ist eine häufige Beanstandung bei Behördenprüfungen.

Pauschale Formulierungen: Formulierungen wie “wir nutzen verschiedene Tracking-Dienste” ohne konkrete Nennung der Anbieter erfüllen die Informationspflichten nicht.

Fazit

Die Datenschutzerklärung ist das Rückgrat des Datenschutzes auf einer Website. Für jeden eingesetzten Cookie-Dienst müssen Zweck, Rechtsgrundlage, Empfänger, Speicherdauer und eventuelle Drittlandübertragungen klar und vollständig beschrieben sein. Die Datenschutzerklärung muss bei jeder Änderung der Cookie-Praxis aktualisiert werden. Nur wenn Banner und Datenschutzerklärung übereinstimmen und beide aktuell sind, ist die rechtliche Grundlage vollständig.