Urteil von EuGH und BGH: Cookies dürfen nur nach aktiver Einwilligung gesetzt werden.
Die Gerichte sind sich einig: Cookies dürfen erst nach aktiver Einwilligung gesetzt werden. Das hört sich jetzt erstmal kompliziert an, ist im Grunde aber schnell erklärt – und noch schneller rechtskonform auf der eigenen Website eingebunden.
First of all: Cookies. Was ist das genau – und warum wird so ein Heckmeck darum betrieben?
Cookies sind Informationen, die Ihr Browser beim Besuch einer Website auf Ihrem Computer speichert. Besuchen Sie die Seite später noch einmal, wird dieser Cookie vom Server ausgelesen und sorgt so dafür, dass Sie die Website so vorfinden, wie Sie sie verlassen haben. Ich habe beispielsweise ein Hobby. Gut, das ist untertrieben. Ich habe viele Hobbys. Aber dieses eine beschreibt den Einsatz von Cookies ganz hervorragend: Ich surfe gerne in Onlineshops herum und knalle mir den virtuellen Einkaufswagen so voll, als ob ich das Geld dafür hätte. Zum Bestellabschluss kommt es in den meisten Fällen aber nicht. Wobei ich sagen muss, dass mir das nicht immer leicht gemacht wird. Ich lese irgendwo einen Artikel – und werde durch die aufpoppende Werbung daran erinnert, dass ich noch Klimbim im Warenkorb von besagtem Onlineshop habe. Ich stöbere auf Social Media Plattformen herum – und die gesponserten Beiträge erinnern mich an den Shop und das Sammelsurium, das bestellt werden will.
Sie kennen das sicher auch. Und vielleicht wissen Sie auch, dass sich diese Technik »Retargeting« nennt. Und ich verrate Ihnen noch was: Retargeting ist nur möglich, wenn wir als Nutzer*innen der Verwendung von Marketing-Cookies zustimmen. »Damals« haben diese sich nämlich gerne mal versteckt - oder wurden ganz allgemein mit den restlichen Cookies gehandelt. Heute ist die granulare Auflistung der Cookie-Arten verpflichtend. Grob gesehen gibt es vier Kategorien von Cookies. Und die wollen – seit des Urteils des Europäischen Gerichtshofs (EuGH) von Oktober 2019 und des Urteils des Bundesgerichtshofs (BGH) von Mai 2020 – auch schön kategorisch und granular aufgeführt werden.
Die Cookie-Kategorien
- Erforderliche Cookies sind für den Betrieb der Website unbedingt notwendig. Diese Art der Cookies ist die einzige, die seit den Urteilen des EuGH und des BGH ohne aktive Einwilligung der Nutzer*innen gesetzt werden darf.
- Funktionale Cookies speichern die grundlegenden Einstellungen wie Sprache, Standort und Formulardaten.
- Performance- / Tracking-Cookies geben den Betreiber*innen Auskunft über das Nutzungsverhalten und unterstützen sie bei der Verbesserung ihres Angebots.
- Marketing-Cookies tracken das Nutzer*innenverhalten und schalten anschließend Anzeigen, die dem Interessenprofil der Nutzer*innen entsprechen.
Seit dem Urteil des EuGH und des BGH müssen funktionale Cookies, Performance- / Tracking-Cookies und Marketing-Cookies standardmäßig deaktiviert sein. Sie dürfen also erst gesetzt werden, wenn Nutzer*innen der Verwendung aktiv und explizit zustimmen. Außerdem müssen die Besucher*innen jederzeit in der Lage sein können, ihre Einwilligung einzusehen und ändern zu können.
Das hört sich kompliziert an – ist es aber eigentlich gar nicht. Durch ein sogenanntes Cookie Consent Management Tool können die geltenden Anforderungen auf Ihrer Website umgesetzt werden. Mit diesem Tool erhalten Sie also schnell und einfach eine rechtskonforme Lösung. Bevor ich die Werbetrommel für unser Cookies Consent Management Tool rühre, möchte ich Ihnen verraten, was seit den Urteilen nicht mehr erlaubt ist.
Varianten des Cookie-Hinweises
Ein Hinweis und keine Wahl – und ab jetzt nicht mehr rechtskonform
Die gruseligste Variante des Hinweises: Ein kleines Fenster, das den Nutzer*innen mitteilt, dass Cookies eingesetzt werden. Nicht mehr und nicht weniger.
Im Klartext: Diese Variante hatte was von einer aufpoppenden Werbebotschaft – und irrigerweise musste sie ebenso weggeklickt werden.
Placebo-Hinweise: Mehr Schein als Sein - und ab jetzt nicht mehr zulässig
Placebo-Hinweise haben uns darüber aufgeklärt, dass Cookies eingesetzt werden. Dem konnten die Nutzer*innen zustimmen. Im Grunde ähnelt diese Variante der vorher beschriebenen. Nur, dass es bei dieser hier einen Button gibt, der den Nutzer*innen vorgaukelt, dass sie irgendwas selbst entschieden hätten. Haben sie aber nicht. Die Cookies wurden schon vorher gesetzt.
Im Klartext: Die Cookie-Banner taten eher so als ob sie was täten – in echt haben sie das jedoch nicht.
Akzeptiert. Aber nicht explizit eingewilligt – und auch nicht erlaubt
Jetzt ist das anders. Wir müssen aktiv zustimmen, ob bestimmte Cookies gesetzt werden sollen oder eben nicht – und zwar bereits beim Betreten der Website. Aber – und so ehrlich wird man ja noch sein dürfen – diese Hinweise liest sich doch eh niemand durch, oder? Wir sind der aufpoppenden Banner und Hinweise überdrüssig. Die haben wir doch alle schon tausendmal gesehen. Wir wollen lieber ungestört lesen, Bilderstrecken schauen oder shoppen. Jetzt sofort. Und ganz ungestört. Also klicken wir schnell auf »Zustimmen« oder »Akzeptieren« – ohne uns vorher mit den so akzeptierten Cookies auseinandergesetzt zu haben.
Diese »Cookie-Müdigkeit« wird sogar durch eine repräsentative Umfrage von YouGov Deutschland bestätigt. Nur 16 % der Nutzer*innen lesen sich den Cookie-Hinweis durch, bevor sie dem Einsatz von Cookies zustimmen. Im Umkehrschluss heißt das, dass satte 84 % aller Webseitenbesucher*innen in die Cookie-Falle tappen. Als Seitenbetreiber*in konnte man sich über diese Unachtsamkeit nicht beklagen. Immerhin konnten diese einfach sämtliche Cookies vorauswählen. Durch den schnellen Klick auf »Akzeptieren« wurden die Nutzer*innen direkt getrackt – und im weiteren Verlauf an ihre vollgepackten Warenkörbe erinnert.
Im Klartext: Eigentlich ist alles wie zuvor – zumindest für den Großteil der Nutzer*innen.
Die aktive Einwilligung bestimmter Cookies: Der einzig richtige Weg
Um die Nutzer*innen und ihre Daten zu schützen, hat der EuGH und der BGH ein eindeutiges Urteil zugunsten des Datenschutzes ausgesprochen. Es reicht nun nicht mehr aus, die Cookies erst nach der Einwilligung zu setzen. Die Vorauswahl von Cookies, die nicht für den fehlerfreien Betrieb der Seite benötigt werden, ist verboten.
Erst, wenn die Besucher*innen aktiv der Verwendung bestimmter Cookies zustimmen, dürfen diese auch gesetzt werden.
Im Klartext: Weg vom Opt-out, hin zum Opt-in.
Die rechtskonforme Cookie-Einwilligung
Genaugenommen muss das Cookie Consent sechs Anforderungen erfüllen, um den Auflagen des EuGH und des BGH zu entsprechen.
- Der Hinweis wird vor dem Setzen der Cookies eingeblendet.
- Er informiert die Webseitenbesucher*innen granular über den Einsatz der Cookies.
- Die Einwilligung basiert auf der Freiwilligkeit der Nutzer*innen …
- … und wird explizit durch diese gegeben.
- Sämtliche Cookies werden in der Datenschutzerklärung dokumentiert.
- Die Nutzer*innen haben jederzeit die Möglichkeit die Einwilligung anzupassen oder zu widerrufen.
Dröseln wir diese Anforderungen auf, wird ziemlich schnell klar, dass ein einfacher Cookie-Hinweis nicht ausreicht. Rein rechtlich gesehen besteht das Cookie Consent aus drei wichtigen Bestandteilen.
Das Modal
Das Modal (z. B. Banner, Hinweis, Overlay) wird beim Betreten der Webseite angezeigt. Es listet die Cookies kategorisiert auf. Dabei darf – bis auf essentielle Cookies – keine Vorauswahl durch die Seitenbetreiber*innen getroffen werden. Diese Cookies bleiben bis zur aktiven Einwilligung der Nutzer*innen blockiert.
Die Verwaltung
Die Nutzer*innen haben jederzeit die Möglichkeit, ihre spezifischen Einstellungen einzusehen und zu ändern. Dieses kann durch das Cookie Consent Management Tool gewährleistet werden.
Der Eintrag in der Datenschutzerklärung
Die Datenschutzerklärung enthält eine Liste der verwendeten Cookies. Die Cookies werden hier benannt, beschrieben und ihre Gültigkeit angezeigt.
Das Cookie Consent Management Tool
Ich erwähnte es ja bereits: Es klingt komplizierter als es ist!
Wir haben nämlich eine Cookie Consent Management Lösung entwickelt, die die zahlreichen Vorgaben erfüllt. Das Beste ist (neben der Gewissheit, dass Ihnen keine Abmahnung ins Haus flattert), dass Sie keine weiteren Verträge mit Dienstleistern benötigen. Unsere Professionals binden das Cookie Consent Management Tool in Ihre CMS- oder eCommerce-Lösung ein. That’s it. Keine Abo-Falle mit monatlichen Kosten, die Datenhoheit liegt bei Ihnen – und das Beste ist: Unsere Lösung kann ganz flexibel um weitere Cookie-Dienste erweitert werden und ist sogar für künftige Rechtsprechungen gewappnet.
Artikelbild »OKのクッキー文字« von リンドウ
Heidi Schönenberg-Hausdorf
Heidi Schönenberg-Hausdorf ist Content und Social Media Managerin. Sie beschäftigt sich mit dem Texten und Publizieren von Inhalten für Printmedien, Websites und Social Media. Heidi ist durch die IHK zertifiziert und hat ein Buch über Social Media veröffentlicht.