Cookie-Banner richtig gestalten: Regeln für eine wirksame Einwilligung

Das Cookie-Banner ist der erste Kontakt zwischen Ihrer Website und dem Besucher, und auf den meisten Websites der am wenigsten durchdachte Teil. Es wird aus einer Vorlage übernommen, umgefärbt und vergessen. Dabei hat das Banner zwei Aufgaben: eine rechtlich wirksame Einwilligung einzuholen und alle einwilligungspflichtigen Cookies zurückzuhalten, bis diese Einwilligung vorliegt. Ein Banner, das beides nicht leistet, ist Dekoration, so gut es auch aussieht.

Dieser Artikel behandelt das Banner selbst: was auf die erste Ebene gehört, wo der Ablehnen-Button steht, vorangekreuzte Kästchen, die zweite Ebene, die Dokumentation der Einwilligung, der Widerruf und die erneute Abfrage. Wie eine Cookie-Richtlinie geschrieben wird, ist ein eigener Artikel.

Die Regeln stammen aus dem Cookie-Leitfaden der türkischen Aufsichtsbehörde (KVKK), dem Text der DSGVO und den Leitlinien des EDSA (EDPB) und der britischen ICO zur Einwilligung. Alle drei zeigen in dieselbe Richtung: Die Einwilligung muss aktiv, granular, dokumentiert und widerrufbar sein.

Was das Banner tut und was nicht

Auf einer Website gibt es drei getrennte Bausteine rund um Cookies. Die Datenschutzerklärung erklärt, wer personenbezogene Daten zu welchem Zweck verarbeitet. Die Cookie-Richtlinie listet die Cookies der Website mit Name, Zweck, Laufzeit und der Angabe, ob sie von Erst- oder Drittanbietern stammen. Das Banner holt nur die Einwilligung ein und setzt die Wahl um.

Der KVKK-Leitfaden hält es nicht für angemessen, Informationspflicht und Einwilligungsabfrage in einem Text zu vermischen; ein Link vom Banner zur Datenschutzerklärung und zur Cookie-Richtlinie genügt. Die Kategorienamen im Banner müssen mit den Kategorien in der Richtlinie übereinstimmen.

Kein einwilligungspflichtiges Cookie darf vor der Einwilligung laden

Das ist der häufigste und am seltensten bemerkte Fehler. Während das Banner auf dem Bildschirm steht, laufen die Analyse- und Werbeskripte im Hintergrund längst. KVKK-Leitfaden, ICO und EDSA sagen dasselbe: Cookies, die nicht unbedingt erforderlich sind, dürfen erst nach einer wirksamen Einwilligung gesetzt werden.

Unbedingt erforderliche Cookies, im KVKK-Leitfaden unter den Kriterien A und B beschrieben, brauchen keine Einwilligung: das Sitzungs-Cookie, der Warenkorb, die Sicherheit, der Login-Status und das Cookie, das die Einwilligungsentscheidung des Besuchers selbst speichert. Alle anderen Cookies müssen in der Regel auf die Entscheidung im Banner warten. In den meisten Konfigurationen gehören auch Analyse-Cookies zu dieser Gruppe. Die ICO stellt ausdrücklich klar, dass kein Werbezweck jemals als unbedingt erforderlich gelten kann.

Dafür müssen Sie zuerst wissen, welche Cookies und Drittanbieter-Dienste auf Ihrer Website tatsächlich laufen. Die Website zu scannen und zu sehen, welche Cookies vor der Einwilligung gesetzt werden, ist der erste Schritt, noch bevor das Banner gestaltet wird.

Was auf die erste Ebene gehört

Die erste Ebene ist das Panel, das der Besucher beim Aufruf der Website sofort sieht. Das Beispiel guter Praxis im KVKK-Leitfaden enthält: einen kurzen Hinweis, dass über Cookies personenbezogene Daten verarbeitet werden, die Zwecke, für die eine Einwilligung erbeten wird, einen Link zur Datenschutzerklärung und die Buttons "Akzeptieren", "Ablehnen" und "Einstellungen", die in Farbe, Größe und Schriftgrad gleichwertig dargestellt sind.

Informationen dürfen gestuft dargestellt werden. Der EDSA warnt aber: Sind die Identität des Verantwortlichen und die Zwecke auf der ersten Ebene nicht sichtbar oder wird nicht klar angezeigt, wo die zweite Ebene zu finden ist, wird der Nachweis einer informierten Einwilligung schwierig.

Warum der Ablehnen-Button auf die erste Ebene gehört

Damit eine Einwilligung als freiwillig gilt, muss das Ablehnen so leicht sein wie das Akzeptieren. Der KVKK-Leitfaden zeigt ein Panel ohne gleichwertig dargestellte Buttons "Alle akzeptieren", "Alle ablehnen" und "Einstellungen" als schlechtes Beispiel. Auch die ICO erwartet, dass die Ablehnen-Option ohne zusätzliche Klicks, in derselben Auffälligkeit wie die Akzeptieren-Option und auf derselben Ebene verfügbar ist.

In der Praxis heißt das: Ein großes, leuchtend gefärbtes "Akzeptieren" neben einem kleinen grauen Link "Einstellungen" ist keine wirksame Gestaltung.

Vorangekreuzte Kästchen und passive Nutzung

Die Einwilligung setzt eine aktive, bestätigende Handlung voraus. Der KVKK-Leitfaden schreibt ausdrücklich, dass der Aufruf einer Website keine Einwilligung in deren Cookies bedeutet und dass die Freigabe von Cookies durch bloße Nutzung der Website nicht rechtmäßig ist. Der EDSA geht weiter: Das Scrollen oder Wischen durch eine Seite oder ähnliche Nutzeraktivität erfüllt unter keinen Umständen die Anforderung einer eindeutigen bestätigenden Handlung.

Vorangekreuzte Kästchen sind aus demselben Grund unwirksam. Erwägungsgrund 32 der DSGVO wertet Stillschweigen, bereits angekreuzte Kästchen und Untätigkeit nicht als Einwilligung, und die EDSA-Leitlinien bringen es in einem Satz auf den Punkt: Die Verwendung vorangekreuzter Opt-in-Kästchen ist nach der DSGVO unwirksam. Der KVKK-Leitfaden verlangt ebenso ein Opt-in- statt eines Opt-out-Systems.

Die Cookie-Wall, also die Sperre des Inhalts bis zur Einwilligung, ist eine eigene Falle. Nach dem KVKK-Leitfaden kann eine solche Gestaltung den freien Willen der betroffenen Person beeinträchtigen und die erhaltene Einwilligung unwirksam sein; nach dem EDSA darf der Zugang zu einem Dienst nicht von der Cookie-Einwilligung abhängig gemacht werden.

Die zweite Ebene: Auswahl nach Kategorie

Der Button "Einstellungen" führt den Besucher auf die zweite Ebene. Hier wird die Einwilligung je Zweck getrennt eingeholt. Die EDSA-Leitlinien nennen das Granularität: Eine einzige Einwilligung für mehrere Zwecke zu verlangen, macht die Einwilligung unwirksam. Analyse-, Funktions- und Marketing-Cookies müssen als getrennte Schalter angeboten werden, jeder standardmäßig ausgeschaltet.

Nach dem KVKK-Leitfaden muss jede Kategorie, damit die Einwilligung bestimmt ist, den Zweck des Cookies, eine dem Zweck angemessene Laufzeit und die Angabe enthalten, ob es von einem Erst- oder Drittanbieter stammt. Auf der zweiten Ebene bedeutet das mindestens einen erklärenden Satz je Kategorie und eine Liste der Anbieter. Die Anbieterliste muss mit der Liste in der Cookie-Richtlinie übereinstimmen.

Einwilligungsdokumentation: was gespeichert wird

Artikel 7 DSGVO verlangt, dass der Verantwortliche nachweisen kann, dass die Einwilligung erteilt wurde. Die Checkliste im KVKK-Leitfaden enthält denselben Punkt: Aufzeichnungen über Cookie-Einwilligungen sind für einen angemessenen Zeitraum aufzubewahren.

Eine vernünftige Aufzeichnung enthält: den Zeitpunkt der Entscheidung, welche Kategorien akzeptiert oder abgelehnt wurden, welche Version von Banner und Richtlinie der Besucher dabei gesehen hat, und eine Kennung, die die Entscheidung dem Browser des Besuchers zuordnet. Der EDSA erinnert zugleich daran, dass die Nachweispflicht nicht zu übermäßiger zusätzlicher Datenverarbeitung führen soll. Wie die Aufzeichnung geführt wird, ist Schritt für Schritt auf der Seite So funktioniert es beschrieben.

Der Widerruf muss so einfach sein wie die Erteilung

Nach Artikel 7 DSGVO kann die betroffene Person ihre Einwilligung jederzeit widerrufen, und der Widerruf muss so einfach sein wie die Erteilung. Der KVKK-Leitfaden sieht es ebenso als gute Praxis an, das Einwilligungspanel dauerhaft als Symbol oder schmalen Streifen in einer Ecke der Seite erreichbar zu halten, ohne den Inhalt zu verdecken.

Nach der ICO müssen die betroffenen Technologien nach dem Widerruf nicht mehr verwendet werden, die Verarbeitung personenbezogener Daten muss enden, und Dritte, an die die Einwilligung weitergegeben wurde, müssen über den Widerruf informiert werden. Ändert sich die Wahl, darf das Banner nicht nur die Aufzeichnung aktualisieren, sondern muss auch die betroffenen Skripte stoppen.

Wann die Einwilligung erneut abgefragt werden muss

Weder die DSGVO noch die britische PECR legen eine feste Dauer für die Gültigkeit einer Einwilligung fest; der EDSA empfiehlt als gute Praxis, die Einwilligung in angemessenen Abständen zu erneuern. Die ICO nennt sechs Monate als geeigneten Zeitraum, bevor ein Besucher, der abgelehnt hat, erneut gefragt wird.

Unabhängig vom Zeitraum muss die Einwilligung erneut eingeholt werden, wenn sich Zwecke oder Anbieter ändern; die alte Einwilligung deckt den neuen Zweck nicht ab. Der zuverlässigste Weg zu bemerken, dass ein neues Analyse-Tool auf Ihrer Website aufgetaucht ist, ist ein regelmäßiger Scan der Website. Die Funktionsseite zeigt, wie diese Überwachung funktioniert.

Fünf häufige Fehler

• Einwilligungspflichtige Skripte ausführen, während das Banner noch auf eine Antwort wartet.
• Den Ablehnen-Button auf der zweiten Ebene verstecken oder blasser als Akzeptieren darstellen.
• Der Satz "Durch die weitere Nutzung dieser Website akzeptieren Sie Cookies". Passive Nutzung ist keine Einwilligung.
• Die Kategorien im Einstellungspanel vorangekreuzt anzeigen.
• Den Klick nicht aufzeichnen. Eine Einwilligung, die Sie nicht nachweisen können, liegt nach den Worten des EDSA unter dem Standard der DSGVO.

Checkliste

• Welche Cookies werden auf der Website gesetzt, bevor der Besucher gewählt hat? Nur unbedingt erforderliche?
• Nennt die erste Ebene die Zwecke und verlinkt sie die Datenschutzerklärung?
• Stehen "Akzeptieren", "Ablehnen" und "Einstellungen" auf derselben Ebene, in derselben Größe und gleich auffällig?
• Sind einwilligungspflichtige Kategorien auf der zweiten Ebene standardmäßig ausgeschaltet?
• Nennt jede Kategorie Zweck, Laufzeit und Anbieter, übereinstimmend mit der Cookie-Richtlinie?
• Wird jede Entscheidung mit Zeitstempel und Versionsangabe aufgezeichnet?
• Kann der Besucher seine Wahl später mit einem Klick ändern? Stoppen dann die betroffenen Skripte?
• Wird die Einwilligung erneut eingeholt, wenn sich ein Zweck oder Anbieter ändert?

Der erste und der letzte Punkt dieser Liste sind von Hand am schwersten zu verfolgen. DILAYS scannt Ihre Website, zeigt die Cookies und Drittanbieter-Dienste, die vor der Einwilligung feuern, baut das Banner aus diesem Inventar und zeichnet jede Entscheidung auf. Die rechtlichen Maßstäbe für das Banner ändern sich nicht; DILAYS knüpft diese Maßstäbe an das Scan-Ergebnis.