Welche Cookies brauchen keine Einwilligung? Wo "unbedingt erforderlich" beginnt und endet

Fast jedes Cookie-Banner hat eine Kategorie, die Besucher nicht abschalten können. Sie heißt meist "unbedingt erforderlich" oder "notwendig", und was darin liegt, wird geladen, bevor jemand irgendetwas angeklickt hat. Was Sie dort einordnen, entscheidet, wie viel Ihrer Website ohne Einwilligung läuft.

Die Kategorie hat eine rechtliche Definition, und sie ist enger, als die meisten Website-Betreiber annehmen. Dieser Artikel geht die Definition durch und wendet sie auf die Cookies einer typischen Website an: Sitzung und Warenkorb, Login, Sicherheit, Lastverteilung, Spracheinstellung, das Einwilligungs-Cookie selbst, eingebettete Videos und Analyse.

Die Quellen sind Artikel 5 Absatz 3 der ePrivacy-Richtlinie, die Stellungnahme 04/2012 der Artikel-29-Datenschutzgruppe zur Ausnahme von Cookies von der Einwilligungspflicht, die Leitlinien der französischen Aufsichtsbehörde CNIL und für die Türkei der Cookie-Leitfaden der KVKK.

Die Einwilligungsregel und ihre zwei Ausnahmen

Artikel 5 Absatz 3 der ePrivacy-Richtlinie erlaubt es nur dann, Informationen auf dem Gerät eines Nutzers zu speichern oder dort gespeicherte Informationen auszulesen, wenn der Nutzer nach klarer und umfassender Information eingewilligt hat. Derselbe Satz enthält zwei Ausnahmen. Keine Einwilligung ist nötig, wenn Speicherung oder Zugriff allein dem Zweck dienen, eine Nachricht über ein elektronisches Kommunikationsnetz zu übertragen. Sie ist auch nicht nötig, wenn Speicherung oder Zugriff unbedingt erforderlich sind, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst der Informationsgesellschaft zur Verfügung stellen kann.

Die Stellungnahme der Datenschutzgruppe nennt diese beiden Ausnahmen Kriterium A und Kriterium B; der KVKK-Leitfaden verwendet dieselben zwei Kriterien. Die EU-Mitgliedstaaten haben die Regel in nationales Recht übernommen: In Frankreich ist es Artikel 82 der Loi Informatique et Libertés, in Deutschland enthält § 25 TDDDG dieselben zwei Ausnahmen.

Erforderlich für wen?

Die meisten Cookies werden über Kriterium B begründet. Die Datenschutzgruppe liest es als zwei Prüfungen, die ein Cookie gleichzeitig bestehen muss. Der Nutzer hat durch eine aktive Handlung einen Dienst mit klar umrissenem Umfang angefordert. Und der Dienst funktioniert nicht, wenn das Cookie deaktiviert ist.

Die Stellungnahme ergänzt eine Leitlinie: Was unbedingt erforderlich ist, wird aus Sicht des Nutzers geprüft, nicht aus Sicht des Anbieters. Für Analyse sagt sie das ausdrücklich. Website-Betreiber halten Analyse oft für ein unbedingt erforderliches Werkzeug, doch der Nutzer kann alle Funktionen der Website auch dann nutzen, wenn diese Cookies deaktiviert sind.

Cookies, die typischerweise ausgenommen sind

Diese behandelt die Stellungnahme als ausgenommen:

• Sitzungs-Cookies, die festhalten, was der Besucher in ein mehrseitiges Formular eingegeben oder in den Warenkorb gelegt hat (Kriterium B).
• Authentifizierungs-Cookies, die den Besucher nach dem Login für die Dauer der Sitzung erkennen.
• Sicherheits-Cookies, die den Login schützen, etwa indem sie wiederholte Fehlversuche erkennen. Die Stellungnahme erwartet, dass sie länger leben als ein Login-Cookie.
• Sitzungs-Cookies für die Lastverteilung, die festhalten, welcher Server eines Pools die Anfragen des Besuchers bearbeitet (Kriterium A).
• Das Cookie, das die Einwilligungsentscheidung des Besuchers speichert. Die CNIL führt es als ausgenommen auf, und der KVKK-Leitfaden ordnet es Kriterium B zu.

Der dauerhafte Login ist die Ausnahme innerhalb dieser Liste. Ein Cookie, das den Besucher über Browsersitzungen hinweg angemeldet hält, behandelt die Stellungnahme nicht als ausgenommen, weil der Besucher womöglich nicht bemerkt, dass das Schließen des Browsers die Sitzung nicht beendet hat. Ein Kästchen "Angemeldet bleiben" neben dem Anmeldeformular mit dem kurzen Hinweis, dass es Cookies verwendet, ist nach der Stellungnahme ein geeigneter Weg, dafür die Einwilligung einzuholen. Der KVKK-Leitfaden sieht das ebenso.

Grenzfälle: Einstellungen und eingebettete Videos

Sprach- und Anzeigeeinstellungen. Die Stellungnahme nimmt ein Cookie aus, das eine vom Besucher per Klick getroffene Auswahl speichert, etwa die Sprachflagge, allerdings nur als Sitzungs-Cookie oder kurzlebiges Cookie. Die CNIL führt Cookies zur Personalisierung der Benutzeroberfläche als ausgenommen auf, wenn die Personalisierung ein wesentlicher und erwarteter Bestandteil des Dienstes ist.

Eingebettete Videos. Die Stellungnahme nimmt Sitzungs-Cookies von Multimedia-Playern aus, die die für die Wiedergabe nötigen technischen Daten speichern (Bildqualität, Verbindungsgeschwindigkeit, Pufferparameter), und verlangt, dass ihnen nichts Weiteres hinzugefügt wird. Sie hält außerdem fest, dass Drittanbieter-Cookies in der Regel nicht unbedingt erforderlich sind, weil sie zu einem anderen Dienst gehören als dem, den der Besucher angefordert hat.

Analyse: Die Aufsichtsbehörden unterscheiden sich

Die Stellungnahme von 2012 sagt, dass Erstanbieter-Analyse-Cookies unter keines der beiden Kriterien fallen. An derselben Stelle ergänzt sie, dass sie wahrscheinlich kein Risiko für die Privatsphäre schaffen, wenn sie strikt auf aggregierte Erstanbieter-Statistiken beschränkt sind, die Website klar informiert und Schutzvorkehrungen wie ein einfaches Opt-out und die Anonymisierung von IP-Adressen bestehen.

Die CNIL geht für Frankreich weiter. Sie behandelt Tracker zur Reichweitenmessung als ausgenommen, wenn sie zu einem Zweck eingesetzt werden, der strikt auf die Reichweitenmessung der Website beschränkt ist, ausschließlich im Auftrag des Herausgebers, und wenn sie nur anonyme statistische Daten erzeugen. Die Daten dürfen nicht mit anderen Verarbeitungen zusammengeführt werden, nicht anonyme Daten dürfen nicht an Dritte gehen, und der Tracker darf den Besucher nicht über verschiedene Websites oder Apps hinweg verfolgen. Die CNIL weist darauf hin, dass manche Analyseprodukte am Markt nicht unter die Ausnahme fallen, weil der Anbieter die Daten für eigene Zwecke weiterverwendet.

Der KVKK-Leitfaden liegt auf einer ähnlichen Linie: Erstanbieter-Analyse-Cookies können unter Kriterium B geprüft werden, wenn sie nur anonyme Statistiken erzeugen und Personen nicht über verschiedene Websites hinweg verfolgen.

In der Praxis hängt es vom Land ab, dessen Regeln für Sie gelten, und von der Konfiguration des Werkzeugs, ob ein Analyse-Cookie ohne Einwilligung laufen darf. Ist eines von beiden unklar, kann es der sicherere Weg sein, Analyse an die Einwilligung zu binden.

Was nicht ausgenommen ist

Bei Werbung ist die Stellungnahme deutlich. Drittanbieter-Cookies für verhaltensbezogene Werbung brauchen eine Einwilligung, ebenso die operativen Cookies in ihrem Umfeld, etwa zur Begrenzung der Anzeigehäufigkeit, zur Erkennung von Klickbetrug und zur Marktanalyse. Der KVKK-Leitfaden sagt dasselbe. Social Plug-ins werden geteilt behandelt: Für einen im sozialen Netzwerk angemeldeten Besucher akzeptiert die Stellungnahme das Cookie zum Teilen von Inhalten, Nichtmitglieder und abgemeldete Mitglieder müssen gefragt werden, und Plug-in-Cookies, die dem Tracking dienen, sind für niemanden ausgenommen.

Zweck und Lebensdauer

Nach der Stellungnahme entscheidet der Zweck eines Cookies darüber, ob es ausgenommen ist. Dient ein Cookie mehreren Zwecken, ist es nur ausgenommen, wenn jeder Zweck für sich ausgenommen ist. Ein Cookie, das eine Einstellung speichert und zugleich den Besucher verfolgt, braucht für das Tracking eine Einwilligung. Die Stellungnahme rät, für jeden Zweck ein eigenes Cookie zu verwenden.

Auch die Lebensdauer folgt dem Zweck. Ein ausgenommenes Cookie soll ablaufen, sobald es nicht mehr gebraucht wird, gemessen an dem, was der durchschnittliche Nutzer vernünftigerweise erwartet. Die Stellungnahme geht davon aus, dass die meisten ausgenommenen Cookies mit der Browsersitzung oder früher enden.

Auch über ausgenommene Cookies muss informiert werden

Die Ausnahme betrifft nur die Einwilligung. Die Stellungnahme hält fest, dass ihre Analyse das Recht auf Information unberührt lässt. Nach dem KVKK-Leitfaden gilt die Informationspflicht unabhängig davon, auf welche Rechtsgrundlage man sich stützt; der Leitfaden empfiehlt, im Datenschutzhinweis zu jedem Cookie Namen, Zweck, Lebensdauer und die Angabe aufzuführen, ob es ein Erst- oder Drittanbieter-Cookie ist.

Unbedingt erforderliche Cookies gehören deshalb in Ihre Cookie-Richtlinie, neben die anderen. Dafür müssen Sie wissen, welche Cookies Ihre Website setzt, bevor der Besucher etwas ausgewählt hat. Ein Scan Ihrer Website zeigt diese Liste.

Fünf häufige Fehler

• Analyse- oder Werbe-Cookies in die Kategorie "notwendig" einordnen, weil das Geschäft von ihnen abhängt.
• Ein einziges Cookie für Login und Tracking verwenden.
• Einem ausgenommenen Cookie eine Lebensdauer von Jahren geben, obwohl sein Zweck mit der Sitzung endet.
• Einen eingebetteten Videoplayer für ausgenommen halten, ohne zu prüfen, welche Cookies er setzt.
• Unbedingt erforderliche Cookies in der Cookie-Richtlinie weglassen, weil sie keine Einwilligung brauchen.

Checkliste

• Können Sie für jedes Cookie der Kategorie "notwendig" die Funktion nennen, die der Besucher angefordert hat?
• Funktioniert diese Funktion nicht mehr, wenn das Cookie blockiert wird?
• Hat jedes dieser Cookies nur einen Zweck, und läuft es ab, wenn dieser Zweck endet?
• Ist der dauerhafte Login an die Auswahl "Angemeldet bleiben" gebunden?
• Falls Analyse ohne Einwilligung läuft: Haben Sie die Bedingungen der Aufsichtsbehörde in Ihrem Land und die Konfiguration des Werkzeugs geprüft?
• Sind die ausgenommenen Cookies in Ihrer Cookie-Richtlinie mit Zweck und Lebensdauer aufgeführt?

Die Stellungnahme endet mit einem Rat für unklare Fälle: Bleiben erhebliche Zweifel, ob eine Ausnahme greift, sollte man prüfen, ob sich die Einwilligung auf einfache, unaufdringliche Weise einholen lässt. In welche Kategorie ein Cookie gehört, entscheiden Sie. DILAYS scannt Ihre Website und zeigt die Cookies und Drittanbieter-Dienste, die vor der Einwilligung geladen werden; wie das geht, sehen Sie auf der Funktionsseite.