Cookies und DSGVO: Website-Dienste richtig prüfen

Abgrenzung

Was dieser Beitrag behandelt

Dieser Beitrag erklärt die vorgelagerte Prüfung: Welche Cookies, Speichertechniken, Skripte und Drittanbieter-Dienste sind auf einer Website tatsächlich aktiv? Anschließend ist zu bewerten, ob dafür eine Einwilligung erforderlich ist und welche datenschutzrechtlichen Pflichten zusätzlich gelten.

Die konkrete Gestaltung eines Einwilligungsdialogs ist ein eigener Schritt. Fragen zu Ablehnen-Schaltfläche, Voreinstellungen, Widerruf, Protokollierung und technischer Blockade behandelt der Beitrag Cookie-Banner nach DSGVO richtig gestalten.

Einordnung

Cookies nach DSGVO und TDDDG richtig bewerten

Der Begriff „Cookie-Thema“ greift zu kurz. § 25 TDDDG ist technikneutral. Erfasst werden können neben klassischen Cookies unter anderem Local Storage, Session Storage, Gerätekennungen und aktives Browser-Fingerprinting.

Deshalb genügt es nicht, nur die Cookie-Liste eines Consent-Plugins anzusehen. Geprüft werden müssen auch externe Verbindungen, Skripte, Pixel, eingebettete Medien, Schriftarten und technische Zugriffe auf Browser- oder Geräteinformationen.

Außerdem sind zwei rechtliche Ebenen auseinanderzuhalten: Zunächst geht es um das Speichern oder Auslesen von Informationen auf einem Endgerät. Werden dabei oder anschließend personenbezogene Daten verarbeitet, kommt zusätzlich die DSGVO zur Anwendung.

Rechtsrahmen

Zwei Prüfungen: § 25 TDDDG und DSGVO

Nach § 25 Abs. 1 TDDDG ist für das Speichern von Informationen in einer Endeinrichtung oder den Zugriff auf bereits gespeicherte Informationen grundsätzlich eine Einwilligung erforderlich. Dabei kommt es nicht darauf an, ob die betreffende Information personenbezogen ist.

Die Einwilligung muss auf klaren und umfassenden Informationen beruhen und den Anforderungen der DSGVO entsprechen. Sie muss insbesondere freiwillig, informiert, für bestimmte Zwecke und durch eine eindeutige bestätigende Handlung erteilt werden. Ein Widerruf muss so einfach möglich sein wie die Erteilung.

Werden personenbezogene Daten verarbeitet, braucht auch diese Verarbeitung eine Rechtsgrundlage nach Art. 6 DSGVO. Hinzu kommen insbesondere Transparenz, Datenminimierung, Speicherbegrenzung, Sicherheit und die Rechenschaftspflicht.

Eine Einwilligung nach § 25 TDDDG beantwortet daher nicht automatisch alle Fragen der DSGVO. Ebenso ersetzt eine Rechtsgrundlage nach Art. 6 DSGVO nicht die vorgelagerte Prüfung des Endgerätezugriffs.

Ausnahmen

Wann kann eine Website ohne Einwilligung auskommen?

§ 25 Abs. 2 TDDDG enthält zwei eng auszulegende Ausnahmen. Für gewöhnliche Websites ist vor allem die zweite Ausnahme wichtig: Der Speicher- oder Zugriffsvorgang muss unbedingt erforderlich sein, damit ein vom Nutzer ausdrücklich gewünschter digitaler Dienst bereitgestellt werden kann.

Das kann etwa bei einer Sitzungssteuerung, einer sicheren Anmeldung oder der Speicherung eines Warenkorbs der Fall sein. Eine bloße Zweckmäßigkeit, wirtschaftliche Nützlichkeit oder Reichweitenmessung genügt dafür nicht automatisch.

Setzt eine Website ausschließlich solche erforderlichen Technologien ein, braucht sie nicht allein deshalb einen Einwilligungsbanner. Soweit personenbezogene Daten verarbeitet werden, müssen diese Vorgänge dennoch in den Datenschutzhinweisen erklärt und auf eine passende Rechtsgrundlage gestützt werden.

Auch eine cookielose Analyse ist nicht automatisch einwilligungsfrei. Es kommt darauf an, ob Informationen auf dem Endgerät gespeichert oder aktiv ausgelesen werden und wie die anschließende Datenverarbeitung technisch und rechtlich ausgestaltet ist.

Praxisbeispiele

Typische Website-Dienste richtig einordnen

Bayerische öffentliche Stellen

Was sagt der BayLfD?

Der BayLfD empfiehlt bayerischen öffentlichen Stellen, die technische Ausstattung ihrer Websites vollständig zu erfassen und Cookies möglichst sparsam einzusetzen. Nach seinem Praxistutorial können insbesondere kleinere öffentliche Websites häufig mit wenigen Cookies oder sogar cookiefrei betrieben werden.

Für einwilligungsbedürftige Technologien nennt der BayLfD zentrale Anforderungen: aktive Willensbekundung, echte Ablehnungsmöglichkeit, bestimmte Zwecke, verständliche Informationen, ein einfacher Widerruf sowie ein Nachweis der Einwilligung.

Bei extern eingebundenen Schriftarten weist der BayLfD darauf hin, dass schon beim Abruf zumindest die IP-Adresse an den Drittanbieter übermittelt wird. Für bayerische öffentliche Stellen kommt hierfür regelmäßig nur eine wirksame Einwilligung in Betracht. Als unkomplizierte Alternative empfiehlt er die lokale Einbindung.

Öffentliche Stellen können sich bei Datenverarbeitungen zur Erfüllung ihrer Aufgaben nicht auf Art. 6 Abs. 1 lit. f DSGVO berufen. Deshalb müssen insbesondere kommunale Websites sorgfältig prüfen, ob eine öffentliche Aufgabe, eine andere Rechtsgrundlage oder eine Einwilligung trägt.

Weitere Aufsichtsbehörden

Welche Maßstäbe nennen DSK und BayLDA?

Die Datenschutzkonferenz unterscheidet ebenfalls zwischen Endgerätezugriff und anschließender Verarbeitung personenbezogener Daten. Ihre Orientierungshilfe erläutert, dass § 25 TDDDG nicht nur Cookies, sondern alle vergleichbaren Speicher- und Zugriffstechniken erfasst.

Für Einwilligungsbanner fordert die DSK eine tatsächlich erkennbare Wahl. Eine Ablehnung darf nicht durch unlesbare Schrift, geringe Kontraste oder versteckte Platzierung praktisch erschwert werden. Außerdem müssen einwilligungsbedürftige Dienste bis zur Entscheidung technisch blockiert bleiben.

Das BayLDA stellt in seinen FAQ klar, dass ein Cookie-Banner nicht pauschal für jede Website erforderlich ist. Werden nur technisch notwendige Cookies verwendet, genügt grundsätzlich eine transparente Information in der Datenschutzerklärung. Bei einwilligungspflichtigen Diensten muss die Einwilligung dagegen vorab eingeholt werden.

Kommunale Praxis

Cookies und Drittinhalte auf kommunalen Websites

Kommunale Websites binden häufig Veranstaltungskalender, Karten, Videos, Ratsinformationssysteme, externe Formulare, Schriftarten oder Reichweitenmessung ein. Auch wenn die Website technisch von einem Dienstleister betrieben wird, bleibt die Kommune für die datenschutzgerechte Gestaltung ihres Angebots verantwortlich.

Vor einer Einwilligung sollten nur die Funktionen starten, die für das aufgerufene kommunale Angebot unbedingt erforderlich sind. Karten, Videos und andere freiwillige Drittinhalte lassen sich häufig durch Vorschaubilder oder Zwei-Klick-Lösungen zurückhalten.

Verträge mit Hosting-, Pflege- oder Analysedienstleistern sind ebenso zu prüfen wie Serverstandorte, Unterauftragnehmer, Zugriffsrechte und Drittlandübermittlungen. Der eingesetzte Einwilligungsdialog muss zudem zur tatsächlichen technischen Konfiguration passen.

Unternehmenspraxis

Cookies und Tracking auf Unternehmenswebsites

Unternehmenswebsites verwenden häufig Analyse, Marketing, Terminbuchung, Bewerbungsformulare, Newsletter, Online-Shops oder Social-Media-Einbindungen. Dadurch entstehen mehrere eigenständige Verarbeitungsvorgänge, die nicht pauschal mit einem einzigen Bannertext abgedeckt werden können.

Für jeden Dienst sind Zweck, Technik, Anbieter, Rechtsgrundlage, Speicherdauer und mögliche Datenübermittlungen zu prüfen. Ein Consent-Plugin löst diese Fragen nicht selbst, sondern setzt nur die zuvor getroffene rechtliche und technische Einordnung um.

Besondere Aufmerksamkeit benötigen Tag-Manager und Plugins, weil sie weitere Skripte nachladen können. Nach Updates oder Konfigurationsänderungen sollte deshalb erneut geprüft werden, was beim Erstaufruf, nach Ablehnung und nach Einwilligung tatsächlich übertragen wird.

Vorgehen

Website in fünf Schritten prüfen

Praxisfehler

Typische Fehler bei Cookies und Website-Diensten

Häufig wird nur die sichtbare Cookie-Liste geprüft. Externe Verbindungen, Local Storage, Fingerprinting oder über einen Tag-Manager nachgeladene Dienste bleiben dann unentdeckt.

Ein weiterer Fehler ist die pauschale Kennzeichnung als „technisch notwendig“. Maßgeblich ist nicht, ob der Betreiber einen Dienst nützlich findet, sondern ob der konkrete Zugriff für den ausdrücklich gewünschten digitalen Dienst unbedingt erforderlich ist.

Ebenso problematisch ist ein Einwilligungsbanner, während einwilligungsbedürftige Skripte bereits beim ersten Aufruf starten. Dann besteht nur eine optische, aber keine technische Einwilligungssteuerung.

Schließlich stimmen Datenschutzerklärung, Verträge und tatsächliche Technik oft nicht überein. Alte Dienste bleiben im Text stehen, neue Plugins fehlen oder Drittanbieter werden unvollständig beschrieben.

Prüfpunkte

Checkliste für Cookies, TDDDG und DSGVO

Häufige Fragen

FAQ zu Cookies und DSGVO

Ergebnis

Fazit

Bei Cookies und DSGVO entscheidet nicht das Vorhandensein eines Banners, sondern die tatsächliche Technik. Website-Betreiber müssen zunächst feststellen, welche Informationen gespeichert oder ausgelesen werden und welche personenbezogenen Daten anschließend verarbeitet werden.

Erforderliche Funktionen können ohne Einwilligung zulässig sein. Tracking, Marketing und freiwillige Drittinhalte benötigen dagegen häufig eine vorherige Einwilligung und eine zuverlässige technische Blockade.

Eine belastbare Website-Prüfung verbindet deshalb Technik, TDDDG, DSGVO, Dienstleisterverträge und transparente Datenschutzhinweise.

Weiterlesen

Weiterführende Beiträge und Prüfwerkzeuge

Nachweise

Quellen