Brauche ich eine Einwilligung, wenn im Cookie keine personenbezogenen Daten stehen?

Ja, sofern der Cookie nicht unbedingt erforderlich ist. § 25 TDDDG knüpft an das Speichern und Auslesen von Informationen auf dem Gerät an, nicht an den Personenbezug. Das hat der EuGH im Urteil Planet49 (C-673/17) für die zugrunde liegende EU-Vorschrift klargestellt, und die Datenschutzkonferenz sieht es für § 25 TDDDG genauso.

Kann ich mich statt auf eine Einwilligung auf ein berechtigtes Interesse stützen?

Für das Setzen und Auslesen von Cookies nicht. § 25 TDDDG kennt nur zwei Wege: die Einwilligung oder eine der beiden Ausnahmen in Absatz 2. Eine Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO begründet laut Datenschutzkonferenz keine dieser Ausnahmen.

Gilt das auch für Local Storage und Fingerprinting?

Ja. § 25 TDDDG ist technikneutral. Die Datenschutzkonferenz nennt ausdrücklich Local- und Session-Storage sowie das Auslesen von Geräteeigenschaften per JavaScript, etwa für einen Fingerprint.

Wie lange ist eine Einwilligung gültig?

Die DSGVO legt keine feste Dauer fest. Ändern sich aber die eingesetzten Cookies oder Drittdienste, ist nach Auffassung der Datenschutzkonferenz eine neue Einwilligung nötig. Consentaur fragt Besucher nach zwölf Monaten automatisch erneut.

Ist der Cookie, der die Entscheidung speichert, selbst einwilligungspflichtig?

Nach Auffassung der Datenschutzkonferenz genügt es, das Ergebnis der Abfrage in einem Cookie ohne eindeutige Kennung abzulegen. Consentaur speichert die Auswahl so: die gewählten Kategorien, einen Zeitstempel und eine Versionsnummer, aber keine Besucher-ID.

Cookie-Einwilligung: Was Websitebetreiber wissen müssen

Zwei Gesetze, zwei Fragen

Beim Einsatz von Cookies greifen in Deutschland zwei Regelwerke ineinander. Sie beantworten unterschiedliche Fragen:

§ 25 TDDDG: Darf ich auf das Gerät zugreifen?

§ 25 TDDDG regelt das Speichern von Informationen auf dem Endgerät und das Auslesen von Informationen, die dort bereits gespeichert sind. Beides ist nur mit Einwilligung zulässig, es sei denn, es ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitzustellen.

Das Gesetz hieß bis Mai 2024 TTDSG. Seit dem 14. Mai 2024 heißt es Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG); § 25 ist inhaltlich unverändert.

DSGVO: Darf ich die Daten verarbeiten?

Werden mit den Cookies personenbezogene Daten erhoben und weiterverarbeitet, etwa für Reichweitenanalyse oder Werbung, braucht diese Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Außerdem verweist § 25 TDDDG für die Anforderungen an die Einwilligung auf die DSGVO: Maßgeblich sind Art. 4 Nr. 11 und Art. 7 DSGVO.

Beide Einwilligungen können mit einem Klick erteilt werden. Das setzt voraus, dass Ihr Banner schon an dieser Stelle über alle Zwecke der anschließenden Verarbeitung informiert und erkennbar ist, dass mit einer Handlung mehrere Einwilligungen erteilt werden.

Wann Sie eine Einwilligung brauchen

Einwilligungspflichtig ist grundsätzlich jeder Zugriff auf das Gerät, der nicht unbedingt erforderlich ist. Typische Beispiele:

Analyse-Tools wie Google Analytics, die eine eindeutige Kennung im Browser speichern
Marketing- und Retargeting-Skripte wie das Meta Pixel oder das Conversion-Tracking von Google Ads
Eingebettete Videos, Karten oder Chat-Widgets von Drittanbietern, sofern sie beim Laden Cookies setzen oder auslesen
A/B-Tests und Heatmaps, die Besucher über eine Kennung wiedererkennen

Keine Einwilligung brauchen Speichervorgänge, ohne die der gewünschte Dienst technisch nicht funktioniert. Die Datenschutzkonferenz (DSK) nennt in ihrer Orientierungshilfe unter anderem:

den Warenkorb-Cookie eines Shops, sobald der Besucher tatsächlich etwas in den Warenkorb legt
Sicherheits-Cookies, die etwa wiederholt fehlgeschlagene Anmeldeversuche erkennen
das Speichern der Cookie-Entscheidung selbst, wenn dafür keine eindeutige Kennung verwendet wird
Einstellungen wie die gewählte Sprache, gespeichert als nicht identifizierender Wert

Für die Reichweitenmessung trifft die DSK bewusst keine pauschale Aussage: Ob sie ohne Einwilligung zulässig ist, hängt von Konfiguration und Zweck ab. Eindeutige Kennungen in Cookies sind nach ihrer Auffassung nur in wenigen Fällen unbedingt erforderlich.

Die Anforderungen an eine wirksame Einwilligung

Die Orientierungshilfe der Aufsichtsbehörden für Anbieter:innen von digitalen Diensten (OH Digitale Dienste, Version 1.2, Stand November 2024) leitet aus DSGVO und TDDDG die folgenden Prüfpunkte ab. Die Randnummern (Rz.) beziehen sich auf dieses Dokument.

Vor dem Zugriff

Die Einwilligung muss vorliegen, bevor einwilligungspflichtige Cookies gesetzt werden. Cookies beim ersten Seitenaufruf zu setzen und erst danach zu fragen, ist nicht zulässig (Rz. 36).

Informiert

Besucher müssen erfahren, wer auf ihr Gerät zugreift, zu welchem Zweck, wie lange die Cookies gespeichert bleiben und ob Dritte Zugriff erhalten (Rz. 37). Dass Laufzeit und Zugriff Dritter dazugehören, hat der EuGH im Urteil Planet49 entschieden. Drittanbieter sind einzeln zu nennen (Rz. 120).

Aktiv und eindeutig

Vorausgewählte Kästchen sind keine Einwilligung. Das haben der EuGH (Planet49, 1. Oktober 2019) und der BGH (Cookie-Einwilligung II, 28. Mai 2020) entschieden. Auch Weitersurfen, Scrollen oder ein Banner mit nur einem „OK“-Button genügen nicht (Rz. 44 bis 47).

Für den bestimmten Fall

Besucher müssen je Zweck zustimmen oder ablehnen können. Vage Angaben wie „für ein besseres Nutzungserlebnis“ reichen nicht, wenn auf der ersten Ebene bereits eingewilligt werden kann (Rz. 51 bis 53).

Freiwillig

Verdeckt der Banner Inhalte, darf das Ablehnen nicht mehr Aufwand machen als das Zustimmen, etwa weil die Ablehnung erst auf einer zweiten Ebene möglich ist (Rz. 58 und 59).

Widerrufbar

Der Widerruf muss so einfach sein wie die Erteilung (Art. 7 Abs. 3 DSGVO). Wer über einen Banner einwilligt, muss auch auf der Website widerrufen können, zum Beispiel über einen stets sichtbaren Link. Nur ein Widerruf per E-Mail oder Kontaktformular genügt nicht (Rz. 61 und 62).

Die Einwilligung nachweisen

Beruht eine Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass sie erteilt wurde (Art. 7 Abs. 1 DSGVO). Dafür braucht es keine langlebigen Cookies mit Besucher-ID. Die DSK erwartet vielmehr, dass Sie die eingerichteten Abläufe belegen können: wie der Banner eingebunden ist, wie Entscheidungen gespeichert und ausgelesen werden und welche Informationen zum Zeitpunkt der Einwilligung angezeigt wurden. Ältere Bannertexte und Konfigurationen sollten Sie deshalb aufbewahren (Rz. 84 und 85).

Mit Consentaur haben Sie dafür:

Ein Protokoll jeder Entscheidung: Zeitpunkt, Auswahl je Kategorie, Art der Entscheidung (alle akzeptiert, alle abgelehnt, angepasst), Sprache, Gerätetyp und eine pseudonymisierte Besucherkennung. Die Einträge werden 24 Monate aufbewahrt.
Eine Speicherung ohne Besucher-ID im Browser: Der Consent-Cookie enthält die gewählten Kategorien, einen Zeitstempel und eine Versionsnummer, aber keine Besucher-ID.
Eine Cookie-Erklärung: eine automatisch aktualisierte Übersicht der gefundenen Cookies mit Anbieter, Zweck und Laufzeit, die Sie in Ihre Datenschutzerklärung einbinden.

Bannertexte und Einstellungen sichern Sie am einfachsten selbst, etwa mit einem Screenshot und dem Datum, wenn Sie etwas ändern.

So setzen Sie das mit Consentaur um

Website scannen: Consentaur findet die Cookies Ihrer Website und ordnet sie den Kategorien Notwendig, Statistik, Marketing und Präferenzen zu.
Script einbinden: Das Consentaur-Script gehört als erstes Script in den <head>, wie in der Installationsanleitung beschrieben.
Tracking-Skripte markieren: Mit data-cookiebar-category="analytics" oder "marketing" laden Skripte erst nach der passenden Einwilligung. Google Consent Mode v2 steht bis dahin auf denied.
Texte anpassen: Nennen Sie im Banner konkrete Zwecke und die eingesetzten Dienste. Die Texte lassen sich je Sprache im Dashboard ändern. Lassen Sie die Schaltfläche „Alle ablehnen“ eingeschaltet.
Widerruf ermöglichen: Ein Link mit dem Attribut data-cookiebar-settings, etwa im Footer, öffnet die Cookie-Einstellungen erneut.

Mehr zum Banner selbst lesen Sie im Ratgeber Cookie-Banner Pflicht?.

Dieser Artikel dient der allgemeinen Information und ersetzt keine Rechtsberatung.