Cookie-Banner und GDPR: was du brauchst

Du öffnest deine eigene Website vor dem Start der Werbung. Unten erscheint ein vertrautes Feld: “Wir verwenden Cookies.” Beim Punkt “Ich stimme allem zu” ist das Kästchen schon angekreuzt. Ein großer Button lädt dazu ein, alles zu akzeptieren, während die Ablehnung irgendwo hinter einem Link wie “mehr erfahren” versteckt ist. Du siehst einen Banner und denkst vielleicht: gut, das ist schon erledigt.

Aber cookies - kleine Daten, die eine Website im Browser eines Besuchers speichert - werden nicht akzeptabel, nur weil ein Feld auf dem Bildschirm steht. GDPR, also die europäischen Regeln zum Schutz personenbezogener Daten, schreibt kein verpflichtendes Banner-Design vor. Sie stellt eine wichtigere Frage: Hatte die Website eine rechtmäßige Grundlage für die Datenverarbeitung und, wenn du dich auf Einwilligung stützt, hat die Person sie tatsächlich selbst gegeben.

Das sind verschiedene Dinge. Ein Banner ist eine Art zu fragen, kein magischer Stempel mit der Aufschrift “alles rechtmäßig.” Wenn er die Antwort für den Besucher schon gewählt hat, die Ablehnung unbequem macht oder nicht erklärt, worauf sich die Wahl bezieht, behebt seine Anwesenheit die Situation nicht. Er dokumentiert nur sehr gewissenhaft einen kaputten Prozess. Und ein kaputter Prozess nennt sich besonders gern eine “Komplettlösung.”

Du musst kein Rechtsfachmann werden, um das Hauptproblem zu erkennen. Schau auf den Banner, als würdest du zum ersten Mal eine fremde Website besuchen und hättest keinen Grund, ihrem Inhaber zu vertrauen. Verstehst du, was dir angeboten wird? Kannst du leicht ablehnen? Hat die Website die Wahl für dich getroffen? Diese drei Fragen kannst du direkt auf dem Bildschirm beantworten.

Personenbezogene Daten sind Informationen, anhand derer man eine Person direkt oder indirekt erkennen kann, und Datenverarbeitung ist jede Handlung damit: Erhebung, Speicherung, Übermittlung oder andere Nutzung. Artikel 6 der GDPR nennt sechs rechtmäßige Grundlagen für diese Verarbeitung. Einwilligung ist nur eine davon; zu den anderen gehören unter anderem die Erfüllung eines Vertrags und berechtigtes Interesse. Für ein kleines Unternehmen geht es nicht darum, die mehreren hundert Seiten der GDPR selbst auseinanderzunehmen.

Es gibt eine zweite Ebene, die Artikel 6 nicht klärt. Das Speichern von Informationen auf dem Endgerät eines Besuchers oder der Zugriff auf dort bereits gespeicherte Informationen richtet sich nach Artikel 5(3) der ePrivacy-Richtlinie 2002/58/EG. Er erlaubt das nur, wenn der Nutzer eingewilligt hat, nachdem er klare und umfassende Informationen über die Zwecke erhalten hat. Der Text nennt zwei Ausnahmen: Speicherung oder Zugriff, deren alleiniger Zweck die Übertragung einer Nachricht ist, und das, was unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst zu erbringen. Deshalb schließt “wir haben ein berechtigtes Interesse” die Frage für ein Werbe- oder Messskript nicht ab: Bevor es etwas auf dem Gerät schreibt oder liest, verlangt die Cookie-Regel eine Einwilligung.

Nenne nicht alles, was auf deiner Website passiert, “Einwilligung zu Cookies”, nur weil das bequem in einen Button passt. Kläre zuerst, was die Website nach dem Öffnen einer Seite genau tut und warum du es brauchst. Erst dann kannst du einer Person ehrlich erklären, wonach du sie fragst.

Ein Banner zeigt eine Wahl, er ersetzt sie nicht

Nehmen wir eine hypothetische kleine Online-Schule - eine erfundene Situation, kein Kunde von uns. Eine Besucherin öffnet eine Kursseite, und die Website nutzt ihr Verhalten sofort für Werbenachrichten. Der Inhaber hat einen Banner hinzugefügt, aber der Button “Akzeptieren” ist groß und auffällig, während Ablehnen erst nach mehreren Schritten in den Einstellungen möglich ist. Hier geht es nicht darum, ob das Feld modern aussieht. Es geht darum, ob die Besucherin eine echte Wahl hatte, bevor die Website begann, sich auf ihre Einwilligung zu stützen.

Nehmen wir für diese Schule drei Dinge an. Das Werbe-Tag löst beim Laden der Seite aus, noch vor jedem Klick. Die Website setzt außerdem ein Cookie, das das Anmeldeformular ausgefüllt hält, während die Besucherin zwischen dessen Schritten wechselt. Und der Inhaber hält nirgends fest, wer wozu eingewilligt hat. Unter diesen Annahmen ist die Entscheidung keine Geschmacksfrage. Das Werbe-Tag muss warten, bis die Besucherin eine klare bestätigende Handlung vornimmt, denn Artikel 5(3) verlangt die Einwilligung, bevor etwas auf ihrem Gerät gespeichert oder von dort gelesen wird, und Erwägungsgrund 32 der GDPR sagt, dass Schweigen, vorab angekreuzte Kästchen und Untätigkeit diese Handlung nicht sind. Das Formular-Cookie darf bleiben: Es dient dem Dienst, den sie ausdrücklich angefordert hat. Der nächste Schritt des Inhabers ist damit konkret - das Tag hinter die Einwilligungsentscheidung legen und neben die Aktion zum Akzeptieren eine Aktion zum Ablehnen stellen.

Welche Belege würden diesen Schluss ändern? Ein Nachweis, dass das Tag nichts auf dem Gerät speichert, nichts von dort liest und keine personenbezogenen Daten verarbeitet - dann greift Artikel 5(3) gar nicht und es bleibt nur die Frage nach Artikel 6. Er würde sich auch ändern, wenn das Formular-Cookie zusätzlich der Werbung diente, denn dann ist es für den angeforderten Dienst nicht mehr unbedingt erforderlich. Und das nationale Gesetz, mit dem die Richtlinie im Land der Schule umgesetzt ist, kann zusammen mit den Hinweisen der dortigen Aufsichtsbehörde strenger sein als der hier zitierte Text. Dieser Teil gehört zu einem Juristen, nicht zu einem Banner.

Einwilligung ist die klare Bestätigung einer Person, womit sie einverstanden ist. Artikel 4(11) der GDPR definiert sie als freiwillige, für den bestimmten Fall abgegebene, informierte und unmissverständliche Willensbekundung, die durch eine Erklärung oder eine eindeutige bestätigende Handlung erfolgt. Artikel 7 fügt dann die Bedingungen für den Website-Inhaber hinzu: Die Anfrage muss von anderen Sachverhalten klar unterscheidbar sein, in verständlicher Sprache verfasst, und die Person muss die Einwilligung später widerrufen können. Diese Worte klingen wie ein juristischer Schrank mit doppeltem Boden, aber die Prüfung dahinter ist menschlich. Eine Person muss verstehen, wonach sie gefragt wird; sehen, worin sie genau einwilligen kann; keinen Druck spüren; und selbst eine ausdrückliche Handlung vornehmen.

Wenn im Banner nur “für ein besseres Erlebnis” steht, erkennt der Besucher nicht, worauf sich die Wahl bezieht. Wenn ihm “allem zustimmen” ohne verständliche Aufteilung angeboten wird, kann er einzelne Dinge nicht bewusst wählen. Wenn Ablehnung wie eine Strafe aussieht und Akzeptieren wie der einzige normale Weg, ist auch die Freiwilligkeit der Wahl fraglich.

Freiwillige Einwilligung bedeutet, dass eine Person sie ohne Druck gibt. Auf einer Seite kannst du das nicht mit Theorie, sondern mit deinem eigenen Finger prüfen. Öffne die Website in einem privaten Browserfenster, um sie wie ein neuer Besucher zu sehen, und finde den Weg zur Ablehnung, bevor du irgendeinen Button anklickst.

Vergleiche den Weg zur Ablehnung mit dem zur Einwilligung. Wenn für die Einwilligung ein Klick genügt, du für die Ablehnung aber kleinen Text suchen und Einstellungen öffnen musst, ist die Wahl ungleich.

Artikel 7(3) der GDPR spricht auch den nächsten Punkt direkt an: Eine Einwilligung zu widerrufen muss genauso leicht sein wie sie zu erteilen, und die Person muss vor der Einwilligung über dieses Recht informiert werden. Das betrifft nicht nur die erste Anzeige des Felds: Eine Person kann ihre Entscheidung später ändern, wenn der Banner schon geschlossen ist. Deshalb brauchst du einen klaren Weg zurück zu den Einstellungen - zum Beispiel einen gut sichtbaren Link unten auf der Seite oder einen verständlichen Menüpunkt. Ein Ablehnungsbutton kann formal vorhanden, aber so unauffällig sein, dass eine Person ihn nicht bemerkt. Formale Anwesenheit ist nicht dasselbe wie eine zugängliche Wahl.

Ablehnung sollte keine Mini-Quest sein

Stell dir eine Geschenkwerkstatt vor. Ihr Banner ermöglicht “Alles akzeptieren” mit einem Klick. Die Ablehnung liegt nicht daneben: Man findet sie nur im Text der Datenschutzerklärung, wo der Besucher auch noch erraten muss, was als Nächstes zu tun ist. Das ist keine Wahl zwischen zwei Handlungen. Es ist eine Handlung und eine Route für Menschen, die bereit sind, eine Mini-Quest mit schlechtem Preis zu absolvieren.

Die praktische Änderung hier braucht keine neue juristische Sprache. Stelle neben die verständliche Aktion zum Akzeptieren eine verständliche Aktion zum Ablehnen. Schließe dann den Banner, scrolle bis ans Ende der Seite und finde selbst den Weg zurück zu deiner Entscheidung. Wenn du ihn ohne Suche nicht siehst, ist der Besucher ebenfalls nicht verpflichtet, ihn zu erraten.

Es geht nicht um Symmetrie der Buttons bis auf den Pixel. Es geht um Symmetrie der Möglichkeiten. Eine Person muss sehen: Ich kann zustimmen, ich kann ablehnen, und ich kann zurückkommen und meine Meinung ändern. Wenn eine dieser Möglichkeiten nur in der Dokumentation für Entwickler existiert, gibt es sie auf dem Bildschirm faktisch nicht.

Erwägungsgrund 32 der GDPR sagt es direkt: Die Einwilligung soll durch eine eindeutige bestätigende Handlung erfolgen, und Schweigen, vorab angekreuzte Kästchen oder Untätigkeit sollen keine Einwilligung darstellen. Die Erwägungsgründe erklären, wie die Artikel zu lesen sind, und Artikel 4(11) verlangt dieselbe eindeutige bestätigende Handlung im verbindlichen Text. Ein Kästchen bei “alles erlauben”, das der Besucher selbst abwählen muss, ist also keine kleine Ungenauigkeit in den Einstellungen. Die Website hat die Antwort schon anstelle der Person gesetzt.

Prüfe das als neuer Besucher. Öffne ein privates Fenster oder lösche die Website-Daten, lade die Seite und schau auf alle Schalter. Wenn du dich bei einem bestimmten Punkt auf Einwilligung stützt, muss er auf eine klare bestätigende Handlung der Person warten. Nicht auf das Schließen mit einem Kreuz. Nicht auf das Scrollen der Seite. Nicht auf einen Satz, der jedes weitere Browsen zur automatischen Zustimmung erklärt.

Ein wichtiges Detail: Ein fertiges Plugin oder ein Dienst trifft diese Entscheidung nicht für dich. Es kann Buttons, Schalter und Platz für Erklärungen liefern, weiß aber nicht, was genau an deine Website angebunden ist und wie du sie eingerichtet hast. Dasselbe Werkzeug kann für eine ehrliche Wahl oder für vorab aktivierte Punkte verwendet werden. Schau nicht auf den Namen auf der Rechnung, sondern auf den ersten Bildschirm, den der Besucher sieht.

Formulierungen wie “Indem du fortfährst, stimmst du zu” versuchen, eine gewöhnliche Handlung in eine angebliche Erlaubnis zu verwandeln. Einwilligung muss durch eine klare bestätigende Handlung ausgedrückt werden.

Verwechsle ein leeres Kästchen nicht mit einer Entscheidung, die der Besucher nicht sehen kann. Prüfe alle Bildschirme: das erste Feld, die detaillierten Einstellungen und den Bildschirm nach erneutem Öffnen. Nur so siehst du, ob eine frühere Wahl dort wieder auftaucht, wo sie nicht hätte sein dürfen.

Spezifische und informierte Einwilligung bedeutet, dass eine Person versteht, worauf sich ihre Wahl bezieht. Das bedeutet nicht, dass du sie vor jedem Klick zwingen musst, ein langes Dokument zu lesen. Aber das Wort “cookies” allein erklärt nicht, was die Website tut und warum du um Erlaubnis bittest.

Eine Linie lohnt sich, bevor du das erste Wort für den Banner schreibst. Artikel 5(3) der ePrivacy-Richtlinie nimmt nur zwei Dinge aus: Speicherung oder Zugriff, deren alleiniger Zweck die Übertragung einer Nachricht ist, und das, was für einen vom Besucher ausdrücklich angeforderten Dienst unbedingt erforderlich ist. Ein Warenkorb, der sich seinen Inhalt merken muss, liegt auf der erforderlichen Seite. Besuchermessung, Werbeanbindungen und eingebettete Player, die das Ansehen verfolgen, in der Regel nicht - so nützlich sie für dich auch sind. “Unbedingt erforderlich” misst sich an dem, was der Besucher angefordert hat, nicht an dem, was dein Marketingplan braucht - und alles darüber hinaus musst du die Person fragen.

Beginne nicht mit der Bearbeitung des Bannertextes, sondern mit einer gewöhnlichen Liste der Anbindungen. Schau auf das Anfrageformular, den Warenkorb, die Besuchermessung, Werbeanbindungen, eingebettete Videos und andere externe Elemente. Schreibe zu jedem Punkt in einfacher Sprache drei Antworten auf: was er tut, welche Daten er betreffen kann und warum du ihn brauchst. Erfinde keine offiziellen Formulierungen. Der Eintrag soll so sein, dass du ihn einer Person am Telefon erklären kannst.

Lies den Bannertext laut vor. Ein Besucher muss eine für eine Handlung auf der Website erforderliche Funktion von zusätzlichem Tracking unterscheiden und jeden Schalter verstehen können.

Einwilligungen korrekt zu behandeln ist keine eigene juristische Mini-Quest, die man am Ende eines Launches versteckt. Es ist Teil der technischen Arbeit an Seite, Formular und Warenkorb. Wenn du eine Website oder einen Onlineshop planst, füge die Einwilligungsprüfung zu der Liste der Dinge hinzu, die vor dem Launch klar sein müssen. Dann geht sie nicht zwischen Design, Zahlung und dem Satz “es bleibt nur noch eine kleine Änderung” verloren.

Gleichzeitig ist diese Prüfung keine vollständige Antwort auf alle Rechtsfragen. Die GDPR enthält weitergehende Anforderungen, und die konkrete Situation hängt davon ab, welche Daten deine Website zu welchem Zweck nutzt. Wenn du ein komplexes Datenmodell hast oder nicht verstehst, auf welcher Grundlage eine bestimmte Anbindung arbeitet, gib deine Liste an einen Juristen weiter. Aber die drei grundlegenden Merkmale eines Banners kannst du selbst schon vor diesem Gespräch erkennen.

Welche nationalen Regeln gelten, gehört ebenfalls zu diesem Gespräch. Die GDPR ist eine Verordnung und gilt unmittelbar; nach ihrem Artikel 3 erfasst sie auch ein Unternehmen außerhalb der EU, wenn es Menschen in der EU Waren oder Dienstleistungen anbietet oder ihr Verhalten dort beobachtet. Die Cookie-Regel steht dagegen in einer Richtlinie, und Artikel 17 der Richtlinie 2002/58/EG verpflichtete jeden Mitgliedstaat, sie in nationales Recht zu überführen. Verbindlich ist für dich also der nationale Wortlaut, und Einzelheiten können sich von Land zu Land unterscheiden. Nicht unterscheiden tut sich, was der Bildschirm zeigt: eine vorgewählte Antwort, eine versteckte Ablehnung und eine vage Erklärung sehen in jeder Sprache gleich aus.

Beginne nicht mit der Suche nach einem neuen Dienst mit GDPR im Namen. Schau zuerst auf den aktuellen Banner wie ein Besucher, denn sein tatsächliches Verhalten ist entscheidend. Öffne ein sauberes oder privates Fenster, gehe auf die Startseite und dann auf eine Seite mit Formular oder Warenkorb. Einige Elemente können nicht auf dem ersten Bildschirm erscheinen, also höre nicht nach einem Klick auf. Versuche nicht, an einem Abend alles umzubauen, was du noch nicht verstehst, und entferne den Banner nicht auf gut Glück: Das beantwortet nicht die Frage, was genau mit den Daten geschieht.

Mache für dich eine kurze Prüfung:

• Ist mindestens ein Einwilligungspunkt aktiviert, bevor der Besucher handelt?
• Liegt die Ablehnung neben der Annahme statt hinter mehreren zusätzlichen Schritten?
• Kannst du nach dem Schließen des Banners eine Stelle finden, an der die Entscheidung geändert wird?
• Erklärt der Text ohne allgemeine Floskeln, wofür du genau Einwilligung bittest?
• Hast du eine Liste der Anbindungen auf der Website und verstehst du den Zweck jeder einzelnen?

Dein erster Schritt ist einer: Öffne die Website in einem privaten Fenster und mache einen Screenshot des ersten Bannerbildschirms. Markiere darauf, wo eine Person zustimmt, wo sie ablehnt und was vor ihrer Handlung schon ausgewählt war. Auf diesem Screenshot sieht man meistens gut, ob du dem Besucher eine Wahl gibst oder nur die Kulisse einer Wahl.