Cookie-Banner und GDPR: was du brauchst

Du öffnest deine eigene Website vor dem Start der Werbung. Unten erscheint ein vertrautes Feld: “Wir verwenden Cookies.” Beim Punkt “Ich stimme allem zu” ist das Kästchen schon angekreuzt. Ein großer Button lädt dazu ein, alles zu akzeptieren, während die Ablehnung irgendwo hinter einem Link wie “mehr erfahren” versteckt ist. Du siehst einen Banner und denkst vielleicht: gut, das ist schon erledigt.

Aber cookies - kleine Daten, die eine Website im Browser eines Besuchers speichert - werden nicht akzeptabel, nur weil ein Feld auf dem Bildschirm steht. GDPR, also die europäischen Regeln zum Schutz personenbezogener Daten, schreibt kein verpflichtendes Banner-Design vor. Sie stellt eine wichtigere Frage: Hatte die Website eine rechtmäßige Grundlage für die Datenverarbeitung und, wenn du dich auf Einwilligung stützt, hat die Person sie tatsächlich selbst gegeben.

Das sind verschiedene Dinge. Ein Banner ist eine Art zu fragen, kein magischer Stempel mit der Aufschrift “alles rechtmäßig.” Wenn er die Antwort für den Besucher schon gewählt hat, die Ablehnung unbequem macht oder nicht erklärt, worauf sich die Wahl bezieht, behebt seine Anwesenheit die Situation nicht. Er dokumentiert nur sehr gewissenhaft einen kaputten Prozess. Und ein kaputter Prozess nennt sich besonders gern eine “Komplettlösung.”

Du musst kein Rechtsfachmann werden, um das Hauptproblem zu erkennen. Schau auf den Banner, als würdest du zum ersten Mal eine fremde Website besuchen und hättest keinen Grund, ihrem Inhaber zu vertrauen. Verstehst du, was dir angeboten wird? Kannst du leicht ablehnen? Hat die Website die Wahl für dich getroffen? Diese drei Fragen kannst du direkt auf dem Bildschirm beantworten.

Personenbezogene Daten sind Informationen, anhand derer man eine Person direkt oder indirekt erkennen kann, und Datenverarbeitung ist jede Handlung damit: Erhebung, Speicherung, Übermittlung oder andere Nutzung. Artikel 6 der GDPR nennt sechs rechtmäßige Grundlagen für diese Verarbeitung. Einwilligung ist nur eine davon; zu den anderen gehören unter anderem die Erfüllung eines Vertrags und berechtigtes Interesse. Für ein kleines Unternehmen geht es nicht darum, die mehreren hundert Seiten der GDPR selbst auseinanderzunehmen.

Nenne nicht alles, was auf deiner Website passiert, “Einwilligung zu Cookies”, nur weil das bequem in einen Button passt. Kläre zuerst, was die Website nach dem Öffnen einer Seite genau tut und warum du es brauchst. Erst dann kannst du einer Person ehrlich erklären, wonach du sie fragst.

Ein Banner zeigt eine Wahl, er ersetzt sie nicht

Stell dir eine kleine Online-Schule vor. Eine Besucherin öffnet eine Kursseite, und die Website nutzt ihr Verhalten sofort für Werbenachrichten. Der Inhaber hat einen Banner hinzugefügt, aber der Button “Akzeptieren” ist groß und auffällig, während Ablehnen erst nach mehreren Schritten in den Einstellungen möglich ist. Hier geht es nicht darum, ob das Feld modern aussieht. Es geht darum, ob die Besucherin eine echte Wahl hatte, bevor die Website begann, sich auf ihre Einwilligung zu stützen.

Einwilligung ist die klare Bestätigung einer Person, womit sie einverstanden ist. Artikel 7 der GDPR verlangt, dass sie freiwillig, für den bestimmten Fall, informiert und unmissverständlich ist. Diese Worte klingen wie ein juristischer Schrank mit doppeltem Boden, aber die Prüfung dahinter ist menschlich. Eine Person muss verstehen, wonach sie gefragt wird; sehen, worin sie genau einwilligen kann; keinen Druck spüren; und selbst eine ausdrückliche Handlung vornehmen.

Wenn im Banner nur “für ein besseres Erlebnis” steht, erkennt der Besucher nicht, worauf sich die Wahl bezieht. Wenn ihm “allem zustimmen” ohne verständliche Aufteilung angeboten wird, kann er einzelne Dinge nicht bewusst wählen. Wenn Ablehnung wie eine Strafe aussieht und Akzeptieren wie der einzige normale Weg, ist auch die Freiwilligkeit der Wahl fraglich.

Freiwillige Einwilligung bedeutet, dass eine Person sie ohne Druck gibt. Auf einer Seite kannst du das nicht mit Theorie, sondern mit deinem eigenen Finger prüfen. Öffne die Website in einem privaten Browserfenster, um sie wie ein neuer Besucher zu sehen, und finde den Weg zur Ablehnung, bevor du irgendeinen Button anklickst.

Vergleiche den Weg zur Ablehnung mit dem zur Einwilligung. Wenn für die Einwilligung ein Klick genügt, du für die Ablehnung aber kleinen Text suchen und Einstellungen öffnen musst, ist die Wahl ungleich.

Artikel 7 der GDPR spricht auch den nächsten Punkt direkt an: Eine Einwilligung zu widerrufen muss genauso leicht sein wie sie zu erteilen. Das betrifft nicht nur die erste Anzeige des Felds: Eine Person kann ihre Entscheidung später ändern, wenn der Banner schon geschlossen ist. Deshalb brauchst du einen klaren Weg zurück zu den Einstellungen - zum Beispiel einen gut sichtbaren Link unten auf der Seite oder einen verständlichen Menüpunkt. Ein Ablehnungsbutton kann formal vorhanden, aber so unauffällig sein, dass eine Person ihn nicht bemerkt. Formale Anwesenheit ist nicht dasselbe wie eine zugängliche Wahl.

Ablehnung sollte keine Mini-Quest sein

Stell dir eine Geschenkwerkstatt vor. Ihr Banner ermöglicht “Alles akzeptieren” mit einem Klick. Die Ablehnung liegt nicht daneben: Man findet sie nur im Text der Datenschutzerklärung, wo der Besucher auch noch erraten muss, was als Nächstes zu tun ist. Das ist keine Wahl zwischen zwei Handlungen. Es ist eine Handlung und eine Route für Menschen, die bereit sind, eine Mini-Quest mit schlechtem Preis zu absolvieren.

Die praktische Änderung hier braucht keine neue juristische Sprache. Stelle neben die verständliche Aktion zum Akzeptieren eine verständliche Aktion zum Ablehnen. Schließe dann den Banner, scrolle bis ans Ende der Seite und finde selbst den Weg zurück zu deiner Entscheidung. Wenn du ihn ohne Suche nicht siehst, ist der Besucher ebenfalls nicht verpflichtet, ihn zu erraten.

Es geht nicht um Symmetrie der Buttons bis auf den Pixel. Es geht um Symmetrie der Möglichkeiten. Eine Person muss sehen: Ich kann zustimmen, ich kann ablehnen, und ich kann zurückkommen und meine Meinung ändern. Wenn eine dieser Möglichkeiten nur in der Dokumentation für Entwickler existiert, gibt es sie auf dem Bildschirm faktisch nicht.

Artikel 7 der GDPR stellt direkt fest: Schweigen, Untätigkeit und vorab angekreuzte Kästchen stellen keine Einwilligung dar. Ein Kästchen bei “alles erlauben”, das der Besucher selbst abwählen muss, ist also keine kleine Ungenauigkeit in den Einstellungen. Die Website hat die Antwort schon anstelle der Person gesetzt.

Prüfe das als neuer Besucher. Öffne ein privates Fenster oder lösche die Website-Daten, lade die Seite und schau auf alle Schalter. Wenn du dich bei einem bestimmten Punkt auf Einwilligung stützt, muss er auf eine klare bestätigende Handlung der Person warten. Nicht auf das Schließen mit einem Kreuz. Nicht auf das Scrollen der Seite. Nicht auf einen Satz, der jedes weitere Browsen zur automatischen Zustimmung erklärt.

Ein wichtiges Detail: Ein fertiges Plugin oder ein Dienst trifft diese Entscheidung nicht für dich. Es kann Buttons, Schalter und Platz für Erklärungen liefern, weiß aber nicht, was genau an deine Website angebunden ist und wie du sie eingerichtet hast. Dasselbe Werkzeug kann für eine ehrliche Wahl oder für vorab aktivierte Punkte verwendet werden. Schau nicht auf den Namen auf der Rechnung, sondern auf den ersten Bildschirm, den der Besucher sieht.

Formulierungen wie “Indem du fortfährst, stimmst du zu” versuchen, eine gewöhnliche Handlung in eine angebliche Erlaubnis zu verwandeln. Einwilligung muss durch eine klare bestätigende Handlung ausgedrückt werden.

Verwechsle ein leeres Kästchen nicht mit einer Entscheidung, die der Besucher nicht sehen kann. Prüfe alle Bildschirme: das erste Feld, die detaillierten Einstellungen und den Bildschirm nach erneutem Öffnen. Nur so siehst du, ob eine frühere Wahl dort wieder auftaucht, wo sie nicht hätte sein dürfen.

Spezifische und informierte Einwilligung bedeutet, dass eine Person versteht, worauf sich ihre Wahl bezieht. Das bedeutet nicht, dass du sie vor jedem Klick zwingen musst, ein langes Dokument zu lesen. Aber das Wort “cookies” allein erklärt nicht, was die Website tut und warum du um Erlaubnis bittest.

Beginne nicht mit der Bearbeitung des Bannertextes, sondern mit einer gewöhnlichen Liste der Anbindungen. Schau auf das Anfrageformular, den Warenkorb, die Besuchermessung, Werbeanbindungen, eingebettete Videos und andere externe Elemente. Schreibe zu jedem Punkt in einfacher Sprache drei Antworten auf: was er tut, welche Daten er betreffen kann und warum du ihn brauchst. Erfinde keine offiziellen Formulierungen. Der Eintrag soll so sein, dass du ihn einer Person am Telefon erklären kannst.

Lies den Bannertext laut vor. Ein Besucher muss eine für eine Handlung auf der Website erforderliche Funktion von zusätzlichem Tracking unterscheiden und jeden Schalter verstehen können.

Einwilligungen korrekt zu behandeln ist keine eigene juristische Mini-Quest, die man am Ende eines Launches versteckt. Es ist Teil der technischen Arbeit an Seite, Formular und Warenkorb. Wenn du eine Website oder einen Onlineshop planst, füge die Einwilligungsprüfung zu der Liste der Dinge hinzu, die vor dem Launch klar sein müssen. Dann geht sie nicht zwischen Design, Zahlung und dem Satz “es bleibt nur noch eine kleine Änderung” verloren.

Gleichzeitig ist diese Prüfung keine vollständige Antwort auf alle Rechtsfragen. Die GDPR enthält weitergehende Anforderungen, und die konkrete Situation hängt davon ab, welche Daten deine Website zu welchem Zweck nutzt. Wenn du ein komplexes Datenmodell hast oder nicht verstehst, auf welcher Grundlage eine bestimmte Anbindung arbeitet, gib deine Liste an einen Juristen weiter. Aber die drei grundlegenden Merkmale eines Banners kannst du selbst schon vor diesem Gespräch erkennen.

Beginne nicht mit der Suche nach einem neuen Dienst mit GDPR im Namen. Schau zuerst auf den aktuellen Banner wie ein Besucher, denn sein tatsächliches Verhalten ist entscheidend. Öffne ein sauberes oder privates Fenster, gehe auf die Startseite und dann auf eine Seite mit Formular oder Warenkorb. Einige Elemente können nicht auf dem ersten Bildschirm erscheinen, also höre nicht nach einem Klick auf. Versuche nicht, an einem Abend alles umzubauen, was du noch nicht verstehst, und entferne den Banner nicht auf gut Glück: Das beantwortet nicht die Frage, was genau mit den Daten geschieht.

Mache für dich eine kurze Prüfung:

• Ist mindestens ein Einwilligungspunkt aktiviert, bevor der Besucher handelt?
• Liegt die Ablehnung neben der Annahme statt hinter mehreren zusätzlichen Schritten?
• Kannst du nach dem Schließen des Banners eine Stelle finden, an der die Entscheidung geändert wird?
• Erklärt der Text ohne allgemeine Floskeln, wofür du genau Einwilligung bittest?
• Hast du eine Liste der Anbindungen auf der Website und verstehst du den Zweck jeder einzelnen?

Dein erster Schritt ist einer: Öffne die Website in einem privaten Fenster und mache einen Screenshot des ersten Bannerbildschirms. Markiere darauf, wo eine Person zustimmt, wo sie ablehnt und was vor ihrer Handlung schon ausgewählt war. Auf diesem Screenshot sieht man meistens gut, ob du dem Besucher eine Wahl gibst oder nur die Kulisse einer Wahl.