Ist ein Cookie-Banner Pflicht?

Nein, nicht für jede. Speichert die Website nur, was der Dienst selbst braucht, reicht die Datenschutzerklärung. Der Banner ist eine Wahl, keine Dekoration.

Sie öffnen Ihre neue Website mit Firmengeschichte, Telefon und Kontaktformular und sehen zuerst eine Leiste, die Einwilligung in Cookies verlangt, die diese Seite gar nicht schreibt: Das Plugin stammt aus einem anderen Projekt mit Google Analytics, und Sie zahlen für ein Theater, in dem „Einwilligen“ ein leeres Inventar verbirgt. Nebenan läuft auf demselben WordPress ein Shop mit Google Analytics 4 und Meta Pixel ohne jede Wahl, und der Browser hat die Kennung, bevor ein Produktname gelesen ist. Der erste Fall ist ein überflüssiger Cookie-Hinweis, der zweite Speicherung ohne Einwilligung: Ob ein Cookie-Banner Pflicht ist, beurteilt das Gesetz nicht danach, ob eine Leiste sichtbar ist, sondern danach, was die Website in der Endeinrichtung speichert und ob das für den Dienst nötig war, den der Nutzer selbst verlangt hat.

Dieser Artikel beantwortet die Frage, ob ein Cookie-Banner Pflicht ist, und die Antwort ist nicht „ja, für alle“, obwohl fast jedes Plugin so tut, und nicht „nein, für niemanden“, obwohl das eine Website gern hört, die sauber bleiben will. Die Antwort ist eine Grenze: Speichert oder liest die Website nur, was für den ausdrücklich verlangten Dienst nötig ist, ist das Wahlfenster keine Pflicht, aber die Information über diese Cookies gehört weiter in die Datenschutzerklärung, die von jeder Seite erreichbar sein muss. Pflicht ist die Information, und die Wahl nur dort, wo die Ausnahme nicht greift. Misst die Website Besucher, zeigt sie Werbung oder lädt sie ein Werkzeug eines Dritten, bevor der Nutzer etwas verlangt hat, ist die Einwilligung vor dem ersten Schreibvorgang nötig, und dann ist die Leiste keine Dekoration mehr, sondern der einzige rechtmäßige Weg, diese Einwilligung überhaupt einzuholen.

Wir benennen diese Grenze, weil wir beide Enden in einer Woche gesehen haben: eine Website, die eine Consent-Management-Plattform (CMP) kauft, um ein Session-Cookie zu verbergen, und eine Website, die Analytics ohne jede Wahl startet, weil „wir doch eine Datenschutzerklärung haben“, und keiner dieser Zustände ist Konformität. Keiner von ihnen ist auch ein Grund, das technische Audit umzuschreiben, das wir schon anderswo geschrieben haben, denn dort gehört die Frage, ob die Leiste, die nötig ist, die Tags wirklich stoppt. Hier bleibt nur die erste Frage, auf die zu oft mit einem Plugin geantwortet wird: Haben Sie überhaupt etwas zu fragen, bevor Ihnen jemand das Werkzeug verkauft, mit dem gefragt wird.

Ist ein Cookie-Banner Pflicht?

Nein, nicht für jede Website, und das folgt aus dem, was der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit geschrieben hat: Setzt die Website nur technisch notwendige Cookies, darf der Verantwortliche darüber in einer aufrufbaren Datenschutzerklärung informieren. Ein Einwilligungsbanner mit Wahlschaltflächen ist dann nicht Pflicht, weil keine Einwilligung einzuholen ist. Das ist nicht unsere Meinung und keine praktische Abkürzung, die Agenturen erfinden, um weniger Arbeit zu verkaufen; es ist die Grenze der Pflicht, die der BfDI selbst gezogen hat, und sie lohnt die Lektüre, bevor Ihnen jemand eine CMP für eine Website verkauft, auf der es nichts zu verwalten gibt. Wollen Sie trotzdem eine Leiste zeigen, obwohl es keine Wahl gibt, darf sie informieren — „Verstanden“ und ein Link zur Datenschutzerklärung — und dort darf nicht „Einwilligen“ stehen, weil Sie in diesem Augenblick keine Einwilligung verlangen, und eine Schaltfläche, die wie Einwilligung aussieht, ist schlechte Praxis.

An dieser Grenze beginnen die Namen zu täuschen, denn Cookie-Hinweis heißt in der Alltagssprache jeder Text, der erzählt, dass die Website etwas speichert, während der Cookie-Banner die Wahloberfläche ist, mit der die Einwilligung für das eingeholt wird, wofür die Ausnahme nicht trägt, und die Cookie-Erklärung das Dokument ist, in dem Zweck, Empfänger und Speicherdauer stehen sollen. Das Gesetz verlangt an keiner dieser Stellen ein bestimmtes Design der Leiste, und es verlangt auch nicht, dass jede Seite mit einem Sicherheitstoken des Formulars zuerst fragt, ob der Nutzer der Website überhaupt das Arbeiten erlaubt. Diese drei Wörter zu vermischen heißt entweder eine Wahl dort aufzusetzen, wo keine ist, oder sich einzubilden, die Datenschutzerklärung allein erlaube eine Messung, die niemand verlangt hat.

Die Folgen der falschen Seite sind teurer, als sie aussehen, denn ein überflüssiges „Einwilligen“ auf einer rein technischen Website lehrt den Besucher, dass Einwilligung Formsache ist, und lehrt Sie selbst, dass Konformität die Installation eines Plugins sei, nicht die Prüfung des Inventars. Eine fehlende Wahl dort, wo Analytics schon schreibt, ist kein „kleines Risiko, wir haben doch eine Erklärung“, sondern Speicherung vor der Einwilligung, und genau diese Reihenfolge stellt § 25 TDDDG unter den Vorbehalt der Einwilligung. In beiden Fällen haben Sie Arbeit getan, die nicht zu dem passt, was auf der Website geschieht, und das ist ein schlechterer Zustand als eine leere Seite, weil er nach Ordnung aussieht und deshalb länger ungeprüft bleibt.

Bevor Sie irgendein Werkzeug einkaufen, schreiben Sie auf, was die Website in der ersten Sekunde in einem sauberen Profil in den Browser schreibt, und fragen Sie zu jeder Zeile, ob sie für den Dienst nötig ist, den der Nutzer in diesem Augenblick verlangt hat, nicht für den Dienst, den Sie messen wollen. Ist die Antwort für alle Zeilen ja, brauchen Sie eine Datenschutzerklärung, keinen Banner, und dieser Artikel verkauft Ihnen weiter nur diesen Satz. Ist auch nur eine Zeile Messung, Werbung oder ein fremdes Werkzeug, brauchen Sie die Einwilligung vor dieser Zeile, und erst dann hat es Sinn, über den Text der Leiste zu sprechen, den wir hier auch schreiben werden, aber nicht früher.

Das Gesetz nennt Speicherung und Zugriff, nicht den Banner

§ 25 TDDDG sagt, dass die Speicherung von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die dort bereits gespeichert sind, nur zulässig ist, wenn der Endnutzer auf der Grundlage klarer und umfassender Informationen eingewilligt hat, und derselbe Satz steht in der Europäischen Union in Art. 5 Abs. 3 der ePrivacy-Richtlinie. In keinem dieser Texte steht das Wort „Banner“, denn die Pflicht betrifft die Handlung in der Endeinrichtung, und die Leiste ist nur ein Weg, diese Einwilligung einzusammeln, wenn sie überhaupt nötig ist. Wer mit dem Einkauf eines Plugins beginnt, beginnt am falschen Ende, als ginge es dem Gesetz um einen Rahmen am unteren Bildschirmrand, nicht um das, was vor dem Rahmen geschieht.

Die Ausnahmen sind zwei, und sie sind eng: Die Einwilligung ist nicht nötig, wenn Speicherung oder Zugriff allein der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz dienen, oder wenn sie unbedingt erforderlich ist, damit der Anbieter eines digitalen Dienstes einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Praktisch heißt die zweite Alternative Session-Kennung für Formular oder Warenkorb, Authentifizierung, Schutz vor Angriffen, Playersitzung, Lastverteilung, Sprach- oder Darstellungswahl, die der Nutzer getroffen hat und die nicht für einen anderen Zweck genutzt wird. Der BfDI nennt Warenkorb, Spracheinstellung und Angriffsabwehr ausdrücklich, und diese Liste ist keine Speisekarte, in die sich alles schieben lässt, was Ihnen bequem ist. „Für uns nötig, um zu verstehen, ob die Website funktioniert“ ist keine Ausnahme, so oft das im Angebot steht, denn der Nutzer hat beim Öffnen der Startseite keine Messung verlangt.

Der Anwendungsbereich hängt nicht an einer Datei, in deren Namen „cookie“ steht, denn die Leitlinien 2/2023 des Europäischen Datenschutzausschusses zum technischen Anwendungsbereich von Art. 5 Abs. 3, angenommen am 7. Oktober 2024 in der zweiten Fassung, erinnern daran, dass der Artikel von Informationen spricht, nicht von personenbezogenen Daten, und von Speicherung oder Zugriff, nicht von einer Technik. Pixel, localStorage und der Fingerabdruck des Geräts fallen unter dieselbe Frage, und der Gerichtshof sagt dasselbe in der Sache Planet49 (C-673/17) von der anderen Seite: Der Schutz gilt für jede Information in der Endeinrichtung, auch wenn sie keine personenbezogenen Daten sind. Deshalb beantwortet eine Erklärung, die verspricht „wir verwenden keine Cookies“, noch nicht, ob die Website mit einer anderen Methode auf das zugreift, was im Gerät schon liegt. Diese Antwort wiegt schwerer als die Frage, ob das Wort „Cookie“ im Dateinamen steht.

Hier liegt auch der Fehler, den wir in Einkäufen sehen, wenn jemand eine „Cookie-Lösung“ kauft, als ginge es dem Gesetz um die Leiste, und sich danach wundert, warum das Audit weiter Anfragen findet, die in der Leiste nicht genannt sind. Eine Lösung, die mit dem Plugin beginnt, beginnt am falschen Ende, denn zuerst ist zu verstehen, was gespeichert wird und wofür das nötig ist, und erst danach hat es Sinn zu wählen, ob die Datenschutzerklärung reicht oder eine Wahloberfläche nötig ist, die diese Wahl wirklich ausführt. Wir erfinden diese Reihenfolge nicht, um das Projekt zu verlangsamen; wir verlangen sie, damit das Projekt nach dem Start noch zu dem Inventar passt, mit dem es beauftragt wurde.

Zwei Ebenen: Endeinrichtung und personenbezogene Daten

Die erste Ebene ist die ePrivacy und ihre Umsetzung im TDDDG, die fragt, ob Sie überhaupt etwas schreiben oder lesen dürfen, die zweite Ebene ist die Datenschutz-Grundverordnung, die fragt, wenn danach personenbezogene Daten verarbeitet werden, auf welcher Rechtsgrundlage und mit welcher Transparenz. Die deutschen Aufsichtsbehörden zeichnen dasselbe als zwei Dimensionen, die nicht in einem „DSGVO-Banner“ zusammenfallen dürfen. Eine Ebene hebt die andere nicht auf. Ein grünes Häkchen beantwortet nicht beide, so bequem es im Einkauf wäre, ein Werkzeug gegen beide Fragen zu kaufen.

Dieser Unterschied ist der Grund, warum die Datenschutzerklärung kein Cookie-Banner ist, denn die Erklärung erfüllt die Informationspflicht — was geschieht, zu welchem Zweck, wie lange, an wen die Daten gehen — und das geht auch dann, wenn keine Wahl nötig ist. Der Banner holt die Einwilligung dort ein, wo die Ausnahme nicht trägt, und er muss Art. 4 Nr. 11 DSGVO genügen: eine freiwillige, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung durch eine eindeutige bestätigende Handlung. Schweigen, ein vorangekreuztes Kästchen und Untätigkeit ergeben keine Einwilligung. Das hat der Gerichtshof 2019 in der Sache Planet49 gesagt, und die Verordnung hat es in Erwägungsgrund 32 festgehalten, deshalb ist eine Schaltfläche, die hofft, der Mensch übersehe das Häkchen, auch dann keine Einwilligung, wenn die Erklärung darunter lang ist.

§ 25 TDDDG verweist für Information und Einwilligung ausdrücklich auf die Verordnung (EU) 2016/679, und das frühere TTDSG, das 2024 in das TDDDG überführt wurde, tat dasselbe. Die Bezugnahme der ePrivacy-Richtlinie auf die Richtlinie 95/46/EG ist nach Art. 94 DSGVO eine Bezugnahme auf die Verordnung selbst, und „Einwilligung“ bedeutet das, was Art. 4 Nr. 11 sagt, nicht das, was jemand aus dem BDSG 2003 in Erinnerung hat. Wir nennen diese Lücke, damit Sie nicht den Artikel eines aufgehobenen Gesetzes suchen, wo die Aufsicht schon die Verordnung liest.

Praktisch heißt das zwei Fragen, die nicht in einem Atemzug gestellt werden dürfen: zuerst, ob diese Handlung überhaupt vor der Wahl geschehen darf oder ob sie eine Ausnahme ist, und danach, wenn die Daten personenbezogene Daten sind, auf welcher Grundlage Sie sie weiterverarbeiten und wo der Nutzer das lesen kann. Eine Website, die nur die zweite Frage mit einer langen Erklärung beantwortet und die erste nicht, hat einen Aufsatz darüber geschrieben, was sie tut, und nicht gefragt, ob sie das darf. Der andere Aufsatz, der nur die erste beantwortet und die Transparenz aus Art. 13 vergisst, ist eine Leiste ohne Inhalt, und beide sehen wir öfter als ein Inventar, das beide beantwortet.

Wann die Einwilligung entfällt — und der Cookie-Hinweis trotzdem bleibt

Die Einwilligung ist dort nicht nötig, wo das Cookie für den verlangten Dienst selbst nötig ist und nicht für einen anderen Zweck genutzt wird, und das ist eine engere Bedingung, als sie klingt. Ein Formular, das ohne Session-Token Ihren Antrag nicht von einem fremden unterscheiden kann, ein Warenkorb, der ohne Kennung die Ware vergisst, Lastverteilung, die nur sagt, welcher Server antwortet, eine Sprache, die der Nutzer gewählt hat und die sich das Cookie nur merkt — das ist der Kern der unbedingt erforderlichen Cookies, nicht „alles, ohne das wir uns unwohl fühlen“. Der BfDI hat das Sprach-Cookie in dieser Reihe gelassen; dieselbe Logik lässt die Kennung einer Reisewebsite draußen, die einem Menschen von Besuch zu Besuch folgt, um Ziele zu zeigen, weil der Zweck dort nicht mehr die Funktion ist, die der Nutzer verlangt hat.

Hier versteckt sich am häufigsten das Zuviel, denn Analytics wird zu „nötig, um die Website zu verbessern“ ernannt, das Chatfenster zu „nötig, um dem Kunden zu antworten“, der Werbepixel zu „nötig, um zu verstehen, ob die Kampagne wirkt“, und keiner dieser Sätze ist eine Ausnahme. Der Nutzer hat beim Öffnen der Startseite keine Messung, keinen Chat und keine Kampagne verlangt, und die Ausnahme gehört der Funktion, die er in diesem Augenblick nutzt, nicht der Funktion, die Sie messen wollen. Können Sie diese Verbindung nicht in einem Satz ohne das Wort „uns“ schreiben, ist es kein unbedingt erforderliches Cookie. Das lohnt sich laut zu sagen, schon wenn das Werkzeug erst hinzugefügt werden soll, nicht wenn es schon schreibt.

Der Cookie-Hinweis bleibt trotzdem, denn der BfDI sagt, über technisch notwendige Werkzeuge sei zu informieren, und das könne in einer erreichbaren Datenschutzerklärung geschehen, der Verantwortliche müsse aber begründen können, warum das konkrete Werkzeug nötig ist. Art. 13 DSGVO verlangt diese Information auch dann, wenn personenbezogene Daten ohne Banner erhoben werden, denn Transparenz ist kein Anhängsel der Einwilligung und die Erklärung kein Geschenk, das man aufschieben kann, bis jemand klagt.

Wir selbst führen auf unserer Website Session, Sicherheitstoken und die Speicherung der Einwilligungsauswahl unter den unbedingt erforderlichen Cookies und verlangen dafür keine Einwilligung, weil diese Seite ohne sie kein Formular annehmen und nicht merken kann, was Sie schon gewählt haben. Das ist unsere Inventarentscheidung, kein BfDI-Zitat zum Einwilligungs-Cookie, und wir verstecken es nicht hinter einem allgemeinen „das machen alle“, denn eine solche Zeile ist keine universelle Freistellung. Hat Ihre Website solche Zeilen nicht und auch keine Messungen, reicht Ihnen die Datenschutzerklärung; wollen Sie trotzdem eine informative Leiste zeigen, zeigen Sie „Verstanden“ und einen Link, nicht „Einwilligen“, denn sonst verlangen Sie, was das Gesetz in diesem Augenblick nicht verlangt.

Wann die Einwilligung vor dem ersten Schreibvorgang nötig ist

Für Analytics- und Marketing-Cookies ist die Einwilligung nötig, und der BfDI schreibt das als Regel, nicht als Tipp: Tracking-Technologien, die das Surfverhalten analysieren oder Onlinewerbung personalisieren, sind technisch nicht notwendig und dürfen ohne Einwilligung nicht beginnen. Für öffentliche Stellen gilt dieselbe Grenze, und „wir zählen nur Seiten“ wird hier nicht zur Ausnahme, denn das Zählen ist Analytics, auch wenn Sie es Statistik nennen.

Die Zeit ist Teil dieser Regel, keine Fußnote darunter, denn wird die Kennung geschrieben oder gelesen, bevor der Nutzer gewählt hat, ist die Einwilligung nicht eingeholt, so schön die Leiste auch ist, die eine halbe Sekunde später erscheint. § 25 TDDDG knüpft die Zulässigkeit an die Einwilligung, nicht an die spätere Dekoration, und eine schnellere Animation repariert diese Sekunde nicht. Deshalb lautet die Frage nicht „haben wir einen Banner“, sondern „was geschieht in der ersten Sekunde in einem sauberen Profil“, und diese Sekunde halten wir im Audit mit dem Protokoll fest, nicht mit dem Eindruck, die Leiste sei früh genug erschienen.

Werkzeuge Dritter verschieben diese Grenze nicht, sie machen sie nur sichtbarer: Cookies, die ein eingebettetes YouTube-Video setzt, sind Third-Party-Cookies, und YouTube ist deren Verantwortlicher. Das ist noch nicht dasselbe, wie zu sagen, jeder eingebettete Player verlange automatisch eine Wahlleiste vor dem ersten Pixel, denn lädt das Video erst nach dem Klick des Nutzers, kann in der ersten Sekunde nichts zu speichern sein. Der Test bleibt derselbe — ob vor der verlangten Handlung schon Speicherung oder Zugriff geschehen ist — und wenn ja, war die Einwilligung früher nötig, wenn nein, haben Sie die Wahl dort gelassen, wo sie hingehört.

First- oder Third-Party entscheidet diesen Test nicht, und der BfDI sagt das offen: Sowohl ein First-Party-Cookie als auch ein Third-Party-Cookie kann nötig sein, und beide können es nicht sein, deshalb ist eine Kennung, die Sie selbst als First-Party-Cookie schreiben, um danach Verhalten zu messen, nicht „sicherer“ als ein fremdes Pixel, nur weil die Domain die Ihre ist. Das Gesetz fragt nach Handlung und Zweck, nicht danach, auf welchem Server die Datei lebt, und eine Erklärung, die sich rühmt, „wir verwenden keine Third-Party-Cookies“, hat noch nicht beantwortet, was Ihre eigene Analytics tut. Das ist auch die Stelle, an der wir gewöhnlich bitten, das Network-Protokoll zu öffnen, statt über das Wort „first-party“ zu streiten. Das Protokoll beendet diesen Streit schneller.

Der Cookie-Hinweis ist nicht dasselbe wie der Cookie-Banner

Der Hinweis ist Information, der Banner ist Wahl, und die Cookie-Erklärung ist der Ort, an dem die Information bleibt, wenn die Leiste geschlossen ist, aber diese drei Wörter laufen im Alltag in einem „cookie notice“ zusammen, und genau deshalb stehen in deutschen Suchen „Cookie-Hinweis Pflicht“ und „Cookie-Banner Pflicht“ nebeneinander, als wären sie eine Pflicht. Das sind sie nicht, denn informieren kann man in der Datenschutzerklärung, ohne Leiste, wenn die Ausnahme alles deckt, was die Website tut, die Wahl aber nur mit einer Oberfläche, die auch das Ablehnen erlaubt, und diese Oberfläche ist der Banner. Sie zu vermischen heißt entweder eine Unterschrift zu verlangen, wo nur Text nötig ist, oder sich einzubilden, der Text allein erlaube eine Messung.

Der Unterschied zeigt sich am günstigsten am schlechten Beispiel — einer Website, die nur unbedingt erforderliche Cookies nutzt, aber „Einwilligen“ zeigt, weil sie verlangt, was sie nicht braucht, und lehrt, dass Einwilligung die einzige Schaltfläche sei, die etwas schließt. Gute Praxis an derselben Stelle ist ein informativer Text, ein Link zur Datenschutzerklärung und „Verstanden“, das nichts anerkennt, sondern nur die Leiste wegnimmt, und wenn Sie dieses „Verstanden“ in eine Einwilligung umbenennen, sind Sie im schlechten Beispiel zurück, nur mit einem höflicheren Wort. Wir erzählen dieses Beispiel nicht, um uns über Plugins lustig zu machen; wir erzählen es, weil es der billigste Weg ist zu sehen, dass ein Objekt auf dem Bildschirm noch keine Pflicht ist.

Der BfDI sagt, die Einwilligung für Werkzeuge, die sie brauchen, werde mit einem Cookie-Banner eingeholt, und die Ablehnung müsse so einfach sein wie die Einwilligung, auf den ersten Blick, nicht im dritten Menü, und das gehört zum Fall, in dem die Einwilligung nötig ist, nicht zum Fall, in dem sie fehlt. Eine Cookie-Wall — eine Mauer, die das Lesen des Inhalts verweigert, solange nicht gewählt wurde — ist nur zulässig, wenn eine echte Alternative besteht, Ablehnung oder ein entgeltlicher Zugang, und die Informationspflicht bleibt auch dann. Das ist die deutsche Linie, nicht ein Nachbarzitat: TDDDG und BfDI reichen, um Hinweis und Wahl nicht zu verwechseln.

Dieser Unterschied ist auch der Grund, warum wir kein zweites technisches Dokument unter einem anderen Titel mehr schreiben, denn in der Cookie-Erklärung ist Platz für Zweck, Empfänger und Speicherdauer, und diese Zeilen gehören in dasselbe erreichbare Dokument wie die übrige Information. Eine zweite Datei unter einem anderen Titel schafft keine zweite Konformität; sie gibt nur einen zweiten Ort, an dem das Inventar hinterherhinken kann, und das haben wir oft genug gesehen, um eine zweite Datei nicht mehr als Geschenk zu versprechen. Haben Sie eine Erklärung, in der diese Zeilen stehen, haben Sie den Cookie-Hinweis; haben Sie nur eine Leiste ohne diese Zeilen, haben Sie Dekoration, und Dekoration gilt im Audit nicht als Beweis.

Welchen Text der Cookie-Banner braucht, wenn die Einwilligung nötig ist

Ist die Einwilligung nötig, muss die Information so sein, dass der Mensch versteht, worin er einwilligt, bevor er einwilligt, und der Gerichtshof hat in der Sache Planet49 gesagt, zur klaren und umfassenden Information gehörten die Lebensdauer der Cookies und die Frage, ob Dritte darauf zugreifen. Dieselbe Information zerlegt sich in Kategorien, Zwecke und Empfänger, und sie muss im Banner so weit stehen, dass die Wahl informiert ist, und in der Datenschutzerklärung, wo sie breiter erzählt werden kann. Ein allgemeiner Text mit Gesetzeszitaten ist keine Information, er ist ein Feigenblatt, und ein Feigenblatt bleibt ein Feigenblatt, auch wenn es in zwölf Sprachen übersetzt ist.

Auf den ersten Blick müssen Einwilligung und Ablehnung gleich sichtbar sein, denn der BfDI verlangt, die Ablehnung sei so einfach wie die Einwilligung, und die Cookie-Banner-Taskforce des Europäischen Datenschutzausschusses trifft sich mit der deutschen Aufsicht bei derselben Täuschung in drei Gestalten: „Alle akzeptieren“ ist eingefärbt, die Ablehnung versteckt sich hinter „Weitere Optionen“, oder die einzigen Schaltflächen sind „einwilligen“, „schließen“, „verstanden“ und „weiter“. Das bloße Weiterlesen der Website und das Schließen des Banners sind für sich keine wirksame Einwilligung, und Planet49 fügt hinzu, dass ein vorangekreuztes Kästchen ebenfalls keine ist, weil die Einwilligung eine aktive Handlung verlangt, nicht das Schweigen, in dem Sie gehofft haben, der Mensch übersehe das Häkchen. Diese Zeilen gehören in diesen Artikel, weil sie die Form der Pflicht sind, nicht die DevTools-Schritte, die wir dem anderen Text gelassen haben.

Der Widerruf der Einwilligung muss so einfach sein wie das Erteilen, denn Art. 7 Abs. 3 DSGVO sagt das wörtlich, und der BfDI übersetzt das in einen Link, der bleibt, wenn die Leiste verschwunden ist, gewöhnlich in der Fußzeile, von jeder Seite. Eine Schaltfläche, die die neue Auswahl speichert, sie aber den schon geladenen Tags nicht mitteilt, ist derselbe Fehler, über den wir im technischen Audit geschrieben haben, nur von der anderen Seite: hier die Form der Pflicht, dort das fehlende Beweisstück. Wir beenden diesen Artikel nicht mit den Schritten des Network-Protokolls, denn die gehören in den anderen Text; hier reicht zu sagen, dass ein Widerruf, der nicht auffindbar ist, kein Widerruf ist, auch wenn die Erklärung ihn versprochen hat.

Der Text, den wir für Kunden schreiben, kommt aus dem Inventar, nicht aus einer Vorlage, denn jede Zeile muss gegen das prüfbar sein, was auf der Website geschieht: Name, Zweck und Speicherdauer je Kategorie. Eine Vorlage, die vom letzten Projekt übrig bleibt, ist schlechter als eine leere Seite, weil sie Cookies nennt, die es nicht mehr gibt, und die verschweigt, die es gibt, und das ist auch der Augenblick, in dem wir aufhören, einen juristischen Aufsatz zu schreiben. Die weitere Arbeit ist Prüfung, nicht noch eine Unterschrift unter einen Text, den niemand mit dem verglichen hat, was in der ersten Sekunde geschieht.

Was ein Banner kostet, den die Website nicht braucht

Ein überflüssiger Banner ist keine Vorsicht. Er stiehlt den ersten Bildschirm, lehrt den Besucher, ohne Lesen zu klicken, und lehrt Sie, dass Konformität die Voreinstellung eines Plugins sei, nicht die Übereinstimmung des Inventars mit dem, was auf der Website geschieht. Das schlechte Beispiel mit „Einwilligen“ auf einer technischen Website ist genau diese Rechnung: Sie haben eine Wahl dort aufgesetzt, wo keine ist, und jetzt müssen Sie eine Auswahl pflegen, die nichts ändert, weil darunter nichts abzuschalten ist.

Das ist ein schlechterer Zustand als Schweigen. Ein Objekt auf dem Bildschirm erweckt den Eindruck von Ordnung, und genau diese „Ordnung“ ist der Grund, warum wir die überflüssige Leiste für einen Fehler halten.

Wir verkaufen einer Website, der die Datenschutzerklärung reicht, keine Consent-Management-Plattform, und das klingt nach einem verlorenen Geschäft, und das ist es auch. Wir verlieren lieber einen Auftrag, bei dem Cookiebot, OneTrust oder ein eigener Banner dort installiert werden müsste, wo im Inventar nur Session und Sicherheitstoken stehen, als einen Kunden zu gewinnen, der nach einem halben Jahr fragt, warum er für eine Leiste zahlt, die nichts verwaltet. Das ist der Satz, den die Vertriebspräsentation gewöhnlich auslässt, und genau deshalb schreiben wir ihn hier. Ein Artikel, der immer mit „kaufen Sie unser Audit“ endet, ist keine Antwort auf die Frage, ob der Hinweis überhaupt Pflicht ist.

Der andere Preis ist rechtlich, nicht nur ästhetisch, denn eine Leiste, die Einwilligung für das verlangt, was sie nicht braucht, oder die Ablehnung versteckt, ist dieselbe Täuschung, gegen die der BfDI auch dort vorgeht, wo die Einwilligung nötig ist. Sie können „wir haben doch einen Banner“ nicht verteidigen, wenn der Banner für das falsche Inventar gebaut ist, denn Konformität ist nicht das Vorhandensein eines Objekts auf dem Bildschirm, sondern die Übereinstimmung zwischen dem, was die Website tut, und dem, was Sie darüber gesagt haben. Ein überflüssiges Objekt beschädigt diese Übereinstimmung nicht weniger als ein fehlendes, und das ist auch der Grund, warum wir manchmal empfehlen, die Leiste abzunehmen, nicht hinzuzufügen, obwohl das dem widerspricht, was man von einer Agentur erwartet.

Wenn der Banner nötig ist, ist die nächste Frage nicht, wie er aussieht

Zeigt das Inventar Analytics, Werbung oder ein anderes Werkzeug, für das die Ausnahme nicht trägt, dann ja, Sie brauchen die Wahl vor dem ersten Schreibvorgang, und dann endet die Reichweite dieses Artikels, denn die nächste Frage ist, ob die Leiste, die jetzt nötig ist, wirklich stoppt, was sie zu stoppen verspricht. Darauf haben wir im Beitrag über das technische Audit des Cookie-Banners geantwortet: „Alle ablehnen“, das den Rahmen schließt, den Tag aber nicht abschaltet, ist keine Ablehnung, und dieser Text schreibt das nicht um, weil es schon geschrieben ist. Die sieben Fehler hier zu wiederholen hieße, dem anderen Artikel seine Frage zu stehlen, und das tun wir auch dann nicht, wenn der interne Link an dieser Stelle nach Verkauf aussieht.

Unser Cookie-Audit beginnt bei 800 € und dauert in der Regel 1–4 Wochen, abhängig von Templates, Sprachen, CMP und Tag-Container, und dieses „ab“ ist die Untergrenze, keine Rechnung. Es gehört zum Inventar, zur Konfiguration und zur Prüfung, nicht zu dem Versprechen, der gesamte Datenschutz der Organisation sei mit einer Leiste geordnet, und den einfachen oder den erweiterten Einwilligungsmodus (Basic oder Advanced Consent Mode) wählen wir nach Ihrer rechtlichen Bewertung und Ihrem Analytics-Bedarf. Verhaltensmodellierung versprechen wir nicht, wo die Google-Property Googles Bedingungen nicht erfüllt, denn das sind dieselben Zeilen, die auf der Leistungsseite stehen, und dieser Artikel hebt sie nicht und senkt sie nicht.

Bevor Sie uns schreiben, machen Sie dieselbe Prüfung, mit der dieser Text begonnen hat: sauberes Profil, erste Sekunde, Liste dessen, was geschrieben wurde, und eine Zeile zu jedem „warum“, denn diese Liste ist billiger als jedes Angebot. Ist die Liste leer oder steht darauf nur das unbedingt Erforderliche, brauchen Sie eine Datenschutzerklärung, und das werden wir auch sagen, auch wenn das heißt, dass das Audit nicht das Geschäft dieser Woche ist. Steht auf der Liste eine Zeile, für die die Einwilligung gestern nötig war, dann ist die Leiste, die heute höflich aussieht, noch keine Antwort, und dann lohnt der andere Artikel, nicht dieser noch einmal.

Wenn Sie wollen, dass wir diese Liste mit Ihnen lesen und sagen, welche Seite die Ihre ist, schreiben Sie uns, denn manchmal ist die ehrlichere Antwort, dass die Datenschutzerklärung reicht und das Geld für Inhalt zu sparen ist, nicht für die Leiste, manchmal aber, dass die Einwilligung nötig ist und jetzt geprüft werden muss, ob sie wirkt. Beide gelten, und nur eine ist auf jeder Website gerecht, und wir verlieren lieber ein Audit, in dem ein Banner für ein leeres Inventar installiert werden müsste, als ein Projekt zu gewinnen, in dem dieser Banner nach dem Start zum Vorwurf wird.