Lieber zuhören? Klicken Sie auf Play für die KI-Sprachausgabe

Wenn Sie ein kleines Unternehmen führen, ist Ihr Cookie-Banner oft das Erste, was Besucher sehen. Es gehört auch zu den ersten Dingen, die wir bei einem Audit einer Website prüfen. Jeder kann es in Sekunden kontrollieren, und europäische Datenschutzbehörden haben Banner in koordinierten Aktionen überprüft.

Die meisten Banner-Probleme sind Designentscheidungen, keine juristischen Rätsel. Hier sind die fünf Fehler, die wir zuerst prüfen, was das Recht sagt und wie Sie jeden beheben.

Zuerst: die Regeln in einer Minute

Zwei Rechtsakte greifen hier ineinander:

Fehler 1: Vorangekreuzte Kästchen oder „stillschweigende” Einwilligung

So sieht es aus: Schalter für Analyse und Marketing sind bereits eingeschaltet, oder ein Banner sagt „Durch weiteres Surfen akzeptieren Sie Cookies.”

Was das Recht verlangt: Erwägungsgrund 32 der DSGVO stellt klar: „Stillschweigen, bereits angekreuzte Kästchen oder Untätigkeit der betroffenen Person sollten daher keine Einwilligung darstellen.” Der Gerichtshof der EU hat dies für Cookies in der Rechtssache Planet49 (C-673/17, Urteil vom 1. Oktober 2019) bestätigt: Ein vorangekreuztes Kästchen, das der Nutzer zum Ablehnen abwählen muss, stellt keine wirksame Einwilligung dar. Der Gerichtshof entschied zudem, dass dies unabhängig davon gilt, ob die auf dem Gerät gespeicherten Informationen personenbezogene Daten sind, und dass Nutzer erfahren müssen, wie lange Cookies aktiv bleiben und ob Dritte Zugriff darauf haben.

Die Leitlinien 05/2020 des Europäischen Datenschutzausschusses (EDSA) zur Einwilligung gehen weiter: Die bloße Weiternutzung einer Website ist keine Einwilligung, und Scrollen oder Wischen erfüllt das Erfordernis einer eindeutigen bestätigenden Handlung „unter keinen Umständen”.

So beheben Sie es:

Fehler 2: Kein gleichwertiges „Alle ablehnen” auf der ersten Ebene

So sieht es aus: ein großer Button „Alle akzeptieren” neben „Einstellungen” oder „Präferenzen verwalten”. Zum Ablehnen muss der Besucher einen zweiten Bildschirm öffnen und Optionen einzeln ausschalten.

Was das Recht verlangt: Die Einwilligung muss freiwillig sein, und das Ablehnen darf nicht mehr Aufwand verursachen als das Akzeptieren. Im Bericht der Cookie-Banner-Taskforce des EDSA (angenommen am 17. Januar 2023) vertrat die überwiegende Mehrheit der Behörden die Ansicht, dass das Fehlen einer Ablehnen-Option auf derselben Ebene wie die Akzeptieren-Option gegen Artikel 5 Absatz 3 der ePrivacy-Richtlinie verstößt. Einige nationale Aufsichtsbehörden wie die französische CNIL hatten diese Position bereits in eigenen Leitlinien und Sanktionen vertreten.

So beheben Sie es:

Fehler 3: Cookies werden vor der Einwilligung gesetzt

So sieht es aus: das Banner sieht perfekt aus, aber wenn Sie beim ersten Seitenaufruf die Entwicklertools des Browsers öffnen, sind Analyse-, Werbe- oder Social-Media-Cookies schon da, bevor jemand klickt.

Was das Recht verlangt: Artikel 5 Absatz 3 verlangt die Einwilligung, bevor Informationen auf dem Gerät gespeichert oder abgerufen werden, es sei denn, die Ausnahme für unbedingt erforderliche Cookies greift. Ein Banner, das erst nach dem Laden der Tracker um Einwilligung bittet, ist reine Dekoration. Nach Artikel 7 Absatz 1 DSGVO müssen Sie außerdem nachweisen können, dass die Einwilligung eingeholt wurde.

So beheben Sie es:

Fehler 4: Dark Patterns bei Farben und Layout

So sieht es aus: ein heller, kontrastreicher Button „Akzeptieren” und ein blassgrauer Link „Ablehnen”. Oder eine Ablehnen-Option als kleiner Text mitten in einem Absatz. Oder ein Banner, das sich beim Klick auf das X schließt und das stillschweigend als Einwilligung zählt.

Was das Recht verlangt: Der Taskforce-Bericht behandelt mehrere dieser Praktiken. Die Behörden waren sich einig, dass sie nicht jeder Website eine einheitliche Farbe oder einen einheitlichen Kontrast vorschreiben können. Stattdessen wird jedes Banner im Einzelfall daraufhin geprüft, ob sein Design offensichtlich irreführend ist. Der Bericht nennt auch Praktiken, die die Einwilligung ungültig machen können, darunter eine Ablehnen-Option, die nur als Link im Text erscheint, und irreführendes Button-Design. Die EDSA-Leitlinien 03/2022 zu irreführenden Designmustern (verfasst für Social-Media-Plattformen, aber hilfreich, um die Denkweise der Aufsichtsbehörden zu verstehen) beschreiben Taktiken wie „Skipping”, „Hindering” und „Stirring”, mit denen Nutzer zu einer Entscheidung gelenkt werden.

So beheben Sie es:

Fehler 5: Der Widerruf ist schwieriger als die Einwilligung

So sieht es aus: das Akzeptieren kostet einen Klick auf der Startseite, aber wer es sich anders überlegt, muss einen Link am Ende der Datenschutzerklärung suchen oder dem Unternehmen eine E-Mail schreiben.

Was das Recht verlangt: Artikel 7 Absatz 3 DSGVO ist eindeutig: „Der Widerruf der Einwilligung muss so einfach wie die Erteilung der Einwilligung sein.” Die Person muss über dieses Recht außerdem vor der Einwilligung informiert werden. Die EDSA-Leitlinien zur Einwilligung ergänzen: Wird die Einwilligung mit einem Mausklick, einer Wischgeste oder einem Tastendruck erteilt, müssen Personen sie in der Praxis ebenso leicht über dieselbe Oberfläche widerrufen können.

So beheben Sie es:

Ein kurzer Selbsttest, bevor Sie fertig sind

Bei einem Audit prüfen wir in dieser Reihenfolge: Standardzustand, erste Ebene, Aktivität vor dem Klick, Button-Design, dann Widerruf. Das können Sie in einem privaten Browserfenster genauso tun.

Wenn Sie lieber schnell einen ersten Blick möchten, probieren Sie das kostenlose 30-Sekunden-KI-Audit von GDPRGard. Ohne Anmeldung. Und wenn Sie wissen wollen, was auf dem Spiel steht, gibt Ihnen unser kostenloser Bußgeld-Risikorechner einen groben Eindruck Ihres Risikos.

FAQ

Brauche ich ein Cookie-Banner, wenn ich nur „essenzielle” Cookies nutze?

Cookies, die für einen vom Nutzer gewünschten Dienst unbedingt erforderlich sind (zum Beispiel ein Warenkorb oder eine Login-Sitzung), sind nach Artikel 5 Absatz 3 der ePrivacy-Richtlinie von der Einwilligung ausgenommen. Analyse- und Werbe-Cookies gelten in der Regel nicht als unbedingt erforderlich.

Reichen „Akzeptieren” und „Einstellungen”?

In der Regel nein. Laut dem Bericht der Cookie-Banner-Taskforce des EDSA verlangen die meisten europäischen Behörden, dass die erste Ebene eine Ablehnungsmöglichkeit bietet, die so leicht zugänglich ist wie das Akzeptieren.

Darf ich eine „Cookie-Wall” verwenden, die die Seite blockiert, bis Nutzer akzeptieren?

Nach den EDSA-Leitlinien 05/2020 führt es nicht zu einer freiwilligen Einwilligung, wenn der Zugang zu Inhalten von der Annahme von Cookies abhängig gemacht wird. Nationale Regeln und Leitlinien können im Detail abweichen, prüfen Sie daher die Aufsichtsbehörde Ihres Landes.

Gilt die Cookie-Einwilligungspflicht auch, wenn Cookies keine personenbezogenen Daten enthalten?

Ja. In der Rechtssache Planet49 entschied der Gerichtshof, dass das Einwilligungserfordernis des Artikels 5 Absatz 3 für auf dem Gerät des Nutzers gespeicherte Informationen gilt, unabhängig davon, ob es sich um personenbezogene Daten handelt.

Wie oft sollte ich mein Banner erneut prüfen?

Prüfen Sie es immer, wenn Sie ein neues Tool, Plugin oder Tracking-Tag hinzufügen, und nach Updates Ihrer Consent-Plattform. Auch regelmäßige Kontrollen helfen.

Quellen

Dieser Artikel dient nur der allgemeinen Information und ist keine Rechtsberatung. Die nationalen Vorschriften zur Umsetzung der ePrivacy-Richtlinie unterscheiden sich in den EU-Mitgliedstaaten. Prüfen Sie daher die Hinweise Ihrer lokalen Aufsichtsbehörde oder wenden Sie sich für Ihre konkrete Situation an eine qualifizierte Fachperson.

Diesen Artikel teilen

Auch lesenswert:

⚠️ Dieser Artikel dient nur der Information und stellt keine Rechtsberatung dar. Bei komplexen Compliance-Situationen wenden Sie sich an eine qualifizierte Datenschutzfachkraft. DSGVO- und EU-AI-Act-Anforderungen unterliegen laufender behördlicher Auslegung — prüfen Sie aktuelle Pflichten mit Ihrer Rechtsberatung.