Ist ein Cookie-Hinweis in Deutschland Pflicht?

Einen reinen Hinweis schreibt das Gesetz nicht vor. § 25 TDDDG verlangt eine Einwilligung für Cookies, die nicht unbedingt erforderlich sind. Für unbedingt erforderliche Cookies genügt die Information in der Datenschutzerklärung.

Reicht „Mit der Nutzung dieser Website stimmen Sie der Verwendung von Cookies zu“?

Nein. Weitersurfen, Scrollen oder Klicken auf Inhalte sind keine Einwilligung, auch wenn ein Banner darüber informiert. Die Datenschutzkonferenz stellt das in ihrer Orientierungshilfe ausdrücklich klar.

Muss ich über notwendige Cookies überhaupt informieren?

Ja, in Ihrer Datenschutzerklärung, soweit dabei personenbezogene Daten verarbeitet werden. Die Informationspflichten ergeben sich aus Art. 13 DSGVO. Einen Banner brauchen Sie dafür nicht.

Meine Analyse arbeitet ohne Cookies. Brauche ich dann keine Einwilligung?

Nicht unbedingt. § 25 TDDDG gilt für jedes Speichern und Auslesen auf dem Gerät, also auch für Local Storage oder das Auslesen von Geräteeigenschaften für einen Fingerprint. Ob eine Reichweitenmessung ohne Einwilligung auskommt, hängt nach Auffassung der Datenschutzkonferenz von Konfiguration und Zweck ab.

Cookie-Hinweis oder Cookie-Banner: Was reicht?

Cookie-Hinweis und Cookie-Banner: der Unterschied

Ein Cookie-Hinweis teilt Besuchern mit, dass die Website Cookies verwendet. Ein Cookie-Banner im Sinne einer Einwilligungsabfrage lässt sie entscheiden, und die Website richtet sich nach dieser Entscheidung.

	Cookie-Hinweis	Cookie-Banner mit Einwilligung
Zweck	informiert über Cookies	holt eine Einwilligung ein
Schaltflächen	meist nur „OK“ oder „Verstanden“	Zustimmen, Ablehnen, Auswahl je Kategorie
Tracking-Skripte	laufen sofort	laden erst nach der Zustimmung
Nachweis	keiner	Protokoll der Entscheidungen
Ausreichend für	nur unbedingt erforderliche Cookies (und dort gar nicht nötig)	Analyse-, Marketing- und andere einwilligungspflichtige Cookies

Warum ein OK-Button keine Einwilligung ist

Eine Einwilligung ist nach Art. 4 Nr. 11 DSGVO eine freiwillige, informierte und unmissverständliche Willensbekundung in Form einer Erklärung oder einer sonstigen eindeutigen bestätigenden Handlung. § 25 TDDDG übernimmt diese Anforderungen. Ein Hinweis mit „OK“ erfüllt sie aus drei Gründen nicht:

Keine Wahl: Wer nur „OK“ klicken kann, gibt keine unmissverständliche Erklärung ab. Die Datenschutzkonferenz stellt ausdrücklich fest, dass ein Banner mit nur einer „Okay“-Schaltfläche keine Einwilligung einholt (OH Digitale Dienste, Rz. 47).
Zu spät: Beim typischen Hinweis laufen die Tracking-Skripte schon beim Seitenaufruf. Die Einwilligung muss aber vorliegen, bevor Cookies gesetzt werden (Rz. 36).
Weitersurfen zählt nicht: Formulierungen wie „Mit der weiteren Nutzung stimmen Sie zu“ helfen nicht. Scrollen und Weitersurfen haben keinen Erklärungswert (Rz. 45).

Hinzu kommt die Rechtsprechung: Der EuGH (Planet49, 1. Oktober 2019) und der BGH (Cookie-Einwilligung II, 28. Mai 2020) haben entschieden, dass nicht einmal ein vorausgewähltes Kästchen, das der Nutzer abwählen müsste, eine wirksame Einwilligung ist.

Wann ein reiner Hinweis genügt

Setzt Ihre Website ausschließlich Cookies, die unbedingt erforderlich sind, um den vom Besucher gewünschten Dienst bereitzustellen, brauchen Sie nach § 25 Abs. 2 TDDDG keine Einwilligung. Beispiele sind der Warenkorb-Cookie eines Shops, Sicherheits-Cookies für das Login oder das Speichern einer Spracheinstellung ohne eindeutige Kennung.

In diesem Fall brauchen Sie auch keinen Hinweis-Banner. Die Datenschutzkonferenz rät sogar davon ab, einen Einwilligungsbanner zu zeigen, wenn keine Einwilligung nötig ist, weil er eine Wahl vortäuscht, die es nicht gibt (Rz. 116). Über die eingesetzten Cookies informieren Sie in Ihrer Datenschutzerklärung.

Achten Sie dabei auf zwei Punkte: Auch Local Storage und Fingerprinting fallen unter § 25 TDDDG, „cookielos“ heißt also nicht automatisch einwilligungsfrei. Und Plugins, eingebettete Videos oder Chat-Widgets bringen oft Cookies mit, die Sie nicht auf dem Schirm haben.

So finden Sie heraus, was Sie brauchen

Cookies ermitteln: Lassen Sie Ihre Website scannen oder prüfen Sie in den Entwicklertools Ihres Browsers (F12), welche Cookies und Local-Storage-Einträge beim Besuch entstehen.
Einordnen: Ist jeder Eintrag unbedingt erforderlich für eine Funktion, die der Besucher tatsächlich nutzt? Analyse, Werbung und eingebettete Drittinhalte sind es in der Regel nicht.
Entscheiden: Nur notwendige Cookies: Information in der Datenschutzerklärung genügt. Mindestens ein einwilligungspflichtiger Cookie: Sie brauchen einen Cookie-Banner mit echter Wahl.

Vom Hinweis zum Banner mit Consentaur

Wenn Ihr Scan einwilligungspflichtige Cookies zeigt, ersetzen Sie den Hinweis durch einen Banner, der die Wahl ernst nimmt:

Entfernen Sie den alten Hinweis und binden Sie das Consentaur-Script als erstes Script im <head> ein, wie in der Installationsanleitung beschrieben.
Markieren Sie Tracking-Skripte mit data-cookiebar-category, damit sie erst nach der Zustimmung laden.
Passen Sie die Bannertexte an: Nennen Sie konkret, wofür Sie welche Dienste einsetzen.
Setzen Sie einen Link mit data-cookiebar-settings in den Footer, über den Besucher ihre Wahl später ändern können.

Was ein Banner darüber hinaus enthalten muss, lesen Sie in Cookie-Banner Pflicht?.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung.