Cookie-Recht: Was rechtlich vorgeschrieben ist und was nur nervt

Cookie-Banner sind nicht die Erfindung übereifriger Datenschützer, sondern die Folge von zwei sich überschneidenden Rechtsrahmen: der ePrivacy-Richtlinie von 2002 (umgesetzt in Deutschland durch das TTDSG seit Dezember 2021) und der DSGVO von 2018. Die ePrivacy-Richtlinie regelt den Zugriff auf Endgeräte — also das Setzen und Lesen von Cookies im Browser. Die DSGVO regelt die anschließende Verarbeitung personenbezogener Daten. Wer Cookies für Tracking verwendet, muss beide Gesetze einhalten.

Das Grundprinzip: Niemand darf ohne Einwilligung Informationen im Endgerät eines Nutzers speichern oder abrufen — es sei denn, es handelt sich um technisch notwendige Cookies, ohne die der Dienst nicht funktionieren würde. Der EuGH hat in mehreren Urteilen (Planet49, 2019; Fashion ID, 2019) klargestellt, dass voreingestellte Häkchen nicht als Einwilligung gelten und dass Einwilligungen freiwillig, spezifisch, informiert und eindeutig sein müssen.

Das bedeutet in der Praxis: Wenn Ihre Website nur Session-Cookies und einen Login verwendet, brauchen Sie streng genommen keinen Cookie-Banner. Sobald Sie aber Google Analytics, Facebook Pixel, LinkedIn Insight Tag oder ähnliche Tracking-Tools einsetzen, ist ein Consent-Management-System mit echtem Opt-In Pflicht. Der Fehler vieler Websites: Sie haben einen Banner, der aber keine echte Ablehnoption bietet oder Tracking schon lädt, bevor der Nutzer zustimmt.

Ein rechtmäßiger Cookie-Banner muss drei Dinge gleichzeitig ermöglichen: ablehnen, zustimmen und detailliert konfigurieren. Das Ablehnen muss genauso einfach sein wie das Zustimmen — ein großer 'Alle akzeptieren'-Button neben einem kleinen 'Einstellungen'-Link erfüllt diese Anforderung nicht. Die deutschen Datenschutzbehörden haben in ihrer 'Cookie-Richtlinie' von 2021 explizit klargestellt, dass die Ablehnmöglichkeit auf der ersten Ebene des Banners sichtbar sein muss.

Technisch bedeutet das: Kein Tracking-Script darf geladen werden, bevor der Nutzer aktiv zugestimmt hat. Das erfordert ein Consent-Management-System (CMP), das Scripts kontrolliert nachlädt. Wer Google Tag Manager verwendet, muss ihn so konfigurieren, dass Tags nur bei vorliegender Einwilligung feuern. Das ist technisch möglich, aber es muss bewusst eingerichtet werden — Standardkonfigurationen laden Tags oft sofort.

Wichtig ist außerdem das Widerrufsrecht: Nutzer müssen ihre Einwilligung jederzeit widerrufen können, ohne dass das schwieriger ist als die ursprüngliche Zustimmung. Ein dauerhaft zugänglicher Link 'Cookie-Einstellungen' im Footer ist Pflicht. Die Einwilligung muss dokumentiert werden: Wann hat wer welche Einwilligung gegeben? Das muss im CMP protokolliert und nachweisbar sein.

Eine Cookie-Wall sperrt den Zugang zu einer Website für Nutzer, die Tracking-Cookies ablehnen. Der EuGH und mehrere nationale Datenschutzbehörden haben klargestellt, dass Cookie-Walls in vielen Fällen unzulässig sind, weil sie die Einwilligung zur Bedingung für den Zugang machen — und eine unter Zwang gegebene Einwilligung ist nicht freiwillig und damit rechtswidrig.

Eine Ausnahme hat sich jedoch etabliert: das Subscriber-Modell (auch 'Pay or Consent' genannt). Dabei können Nutzer wählen zwischen Tracking-Einwilligung (kostenloser Zugang) oder einem kostenpflichtigen Abo ohne Tracking. Der EuGH hat dies in seinem Urteil zu Meta (November 2023) grundsätzlich für möglich erklärt, aber mit strengen Bedingungen: Das Abo-Angebot muss fair bepreist sein, der Nutzer darf nicht unangemessen benachteiligt werden, und er muss eine echte Wahl haben. Für kleine Websites und KMUs ist dieses Modell praktisch kaum umsetzbar und rechtlich nach wie vor risikoreich.

Für die meisten Unternehmenswebsites gilt daher: Kein Tracking ohne Einwilligung, kein Sperren des Zugangs bei Ablehnung. Wer Analyse-Daten braucht, sollte auf datenschutzkonforme Tools umsteigen, die keine Einwilligung erfordern — zum Beispiel Matomo in der Self-Hosted-Version ohne Tracking-Cookies.