DSGVO und Cookies: Die Rechtsgrundlagen im Überblick

Cookies sind aus rechtlicher Sicht keine einheitliche Kategorie. Je nachdem, welchem Zweck ein Cookie dient, gelten unterschiedliche Anforderungen der Datenschutz-Grundverordnung. Dieser Ratgeber erklärt, welche Rechtsgrundlagen in der Praxis relevant sind und wie sie richtig angewendet werden.

Was die DSGVO zu Cookies sagt

Die DSGVO regelt nicht Cookies als solche, sondern die Verarbeitung personenbezogener Daten. Cookies, die personenbezogene Daten erheben oder übermitteln, fallen unter den Anwendungsbereich der Verordnung. Artikel 6 DSGVO listet die zulässigen Rechtsgrundlagen auf, auf die sich Verantwortliche stützen können.

Für Cookies kommen in der Praxis drei Rechtsgrundlagen in Betracht:

Einwilligung (Art. 6 Abs. 1 lit. a DSGVO): Die Einwilligung ist für nicht technisch notwendige Cookies die Standardrechtsgrundlage. Sie muss freiwillig, spezifisch, informiert und eindeutig sein. Ein vorab angehaktes Kästchen reicht nicht aus.

Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO): Diese Rechtsgrundlage greift, wenn die Datenverarbeitung zur Erfüllung eines Vertrags mit dem Nutzer erforderlich ist. Session-Cookies in einem Online-Shop, die den Warenkorb aufrechterhalten, können hierunter fallen. Cookies, die lediglich komfortabel, aber nicht vertraglich zwingend notwendig sind, zählen nicht dazu.

Berechtigtes Interesse (Art. 6 Abs. 1 lit. f DSGVO): Diese Rechtsgrundlage setzt eine Interessenabwägung voraus. Das Interesse des Verantwortlichen muss die Interessen und Grundrechte der betroffenen Personen überwiegen. Für nicht notwendige Tracking- und Analyse-Cookies wird dies von Datenschutzbehörden regelmäßig verneint.

Die Einwilligung richtig einholen

Artikel 7 DSGVO konkretisiert die Anforderungen an eine wirksame Einwilligung. Drei Punkte sind besonders wichtig:

Nachweis: Wer eine Einwilligung einholt, muss nachweisen können, dass sie erteilt wurde. Das bedeutet, dass Zeitpunkt, Art und Umfang der Einwilligung dokumentiert werden sollten.

Widerruf: Nutzer müssen ihre Einwilligung jederzeit widerrufen können. Der Widerruf darf nicht komplizierter sein als die ursprüngliche Zustimmung.

Granularität: Eine pauschale Einwilligung für alle Cookies genügt nicht. Nutzer müssen entscheiden können, welchen Cookie-Kategorien sie zustimmen und welchen nicht.

Dark Patterns und ihre Unzulässigkeit

Der Europäische Gerichtshof hat im Planet49-Urteil klargemacht, dass die Einwilligung aktiv und bewusst erfolgen muss. Gestaltungen, die Nutzer zur Zustimmung drängen oder die Ablehnung erschweren, gelten als unzulässige Dark Patterns. Dazu zählen:

Buttons mit starkem visuellen Kontrast nur für die Zustimmung, während der Ablehnungsbutton kaum sichtbar ist. Formulierungen, die den Eindruck erwecken, eine Ablehnung führe zu Einschränkungen, die tatsächlich nicht eintreten. Unnötig viele Klickschritte, um alle Cookies abzulehnen.

Verhältnis zwischen DSGVO und TDDDG

Die DSGVO und das TDDDG ergänzen sich. Das TDDDG regelt in Paragraph 25, ob auf einem Endgerät gespeichert werden darf. Die DSGVO regelt, wie mit den dabei erhobenen personenbezogenen Daten umgegangen werden darf. Beide Anforderungen müssen gleichzeitig erfüllt sein.

Praktisch bedeutet das: Selbst wenn das Speichern eines Cookies nach TDDDG technisch gerechtfertigt wäre, kann eine zusätzliche Einwilligung nach DSGVO erforderlich sein, wenn dabei personenbezogene Daten verarbeitet werden.

Umgang mit Cookie-Consent-Tools

Technische Lösungen wie ein korrekt konfigurierter Cookie-Banner helfen dabei, die DSGVO-Anforderungen umzusetzen. Der Generator auf cookie-consent-generator.de unterstützt dabei, den Banner so zu konfigurieren, dass die Einwilligungen granular, nachvollziehbar und widerrufbar gestaltet werden. Die technische Umsetzung allein schafft jedoch keine Rechtskonformität: Der Banner muss auch inhaltlich korrekt beschreiben, welche Daten verarbeitet werden und zu welchem Zweck.

Fazit

Wer Cookies auf seiner Website einsetzt, muss die richtige Rechtsgrundlage identifizieren. Für nicht technisch notwendige Cookies ist die Einwilligung nach Artikel 6 Abs. 1 lit. a DSGVO der Regelfall. Sie muss informiert, freiwillig und granular sein und darf jederzeit widerrufen werden. Bei Unsicherheiten zu den konkreten Anforderungen empfiehlt sich die Beratung durch einen auf Datenschutzrecht spezialisierten Anwalt.