Was Ihr Cookie-Banner wirklich darf und wo die Abmahnung lauert

Neulich saß ich bei einem Handwerksbetrieb, der seine Website frisch relaunchen ließ. Der Chef zeigte mir stolz das neue Cookie-Banner. Zwei Buttons, gleich groß: „Alle akzeptieren" in leuchtendem Grün, daneben klein und grau ein „Einstellungen". Ein „Alles ablehnen" auf der ersten Ebene? Fehlanzeige. Genau so sieht ein Banner aus, das Sie Geld kosten kann.

Das Thema klingt nach Kleinkram. Ist es aber nicht. Cookie-Banner sind der erste Eindruck Ihrer Website und zugleich einer der häufigsten Gründe für Beschwerden und Abmahnungen. Und die Regeln sind seit dem TDDDG, dem Nachfolger des alten TTDSG, klarer, als viele denken.

Worum es beim Banner wirklich geht

Viele glauben, das Banner sei eine reine Datenschutz-Sache. Der Kern liegt aber woanders. Sobald etwas auf dem Gerät Ihres Besuchers gespeichert oder ausgelesen wird, das nicht technisch zwingend nötig ist, brauchen Sie eine Einwilligung. Das gilt für Cookies genauso wie für ähnliche Technologien. Der entscheidende Punkt: nicht die Daten, sondern der Zugriff auf das Endgerät löst die Pflicht aus.

Das heißt umgekehrt: Für alles, was für den Betrieb der Seite unbedingt erforderlich ist, brauchen Sie kein Banner und keine Zustimmung.

Was ohne Einwilligung geht

Es gibt eine ganze Reihe von Dingen, die Sie ohne Klick des Nutzers einsetzen dürfen. Der Warenkorb in Ihrem Shop, der sich merkt, was drinliegt. Die Session, die dafür sorgt, dass ein eingeloggter Kunde eingeloggt bleibt. Die Spracheinstellung, die der Besucher selbst gewählt hat. Ein Cookie, das die Last auf mehrere Server verteilt. Und in aller Regel auch die Cookie-Einwilligung selbst, denn die Seite muss sich ja merken, was der Nutzer entschieden hat.

Diese Dinge sind technisch notwendig oder vom Nutzer ausdrücklich gewünscht. Dafür müssen Sie niemanden fragen. Ein sauberer Hinweis in der Datenschutzerklärung reicht.

Ein Beispiel aus dem Alltag: Eine Steuerkanzlei hatte ein Kontaktformular, dessen Eingaben zwischengespeichert wurden, damit bei einem Tippfehler nicht alles verloren geht. Der Dienstleister hatte das vorsichtshalber ins Cookie-Banner gepackt. Völlig unnötig. Wer das Formular selbst ausfüllt, will genau diese Funktion. Das Banner blähte sich damit nur auf und schreckte Besucher ab, ohne einen Vorteil zu bringen.

Wo die Einwilligung Pflicht wird

Sobald es um Reichweite, Werbung oder Komfort geht, dreht sich das Bild. Statistik-Werkzeuge wie Google Analytics, Marketing-Pixel von sozialen Netzwerken, eingebettete YouTube-Videos, Kartendienste, Chat-Fenster von Drittanbietern, Schriftarten, die von einem fremden Server nachgeladen werden. All das darf erst laufen, wenn der Besucher aktiv zugestimmt hat. Aktiv heißt: Er muss klicken. Ein vorausgefülltes Häkchen zählt nicht. Weiterscrollen zählt nicht. Und Schweigen ist keine Zustimmung.

Die drei Fehler, die ich am häufigsten sehe

Erstens: Die Werkzeuge laden schon, bevor der Nutzer überhaupt geklickt hat. Das Banner ist dann reine Dekoration. Prüfen Sie das ruhig selbst, indem Sie im Browser schauen, was beim ersten Aufruf bereits geladen wird.

Zweitens: Ablehnen ist schwerer gemacht als Zustimmen. Wenn „Akzeptieren" ein bunter Button ist und „Ablehnen" nur ein blasser Link im Kleingedruckten, ist die Einwilligung angreifbar. Ablehnen muss genauso einfach sein wie Zustimmen, idealerweise mit einem gleichwertigen Button auf der ersten Ebene.

Drittens: Es gibt keinen Weg, eine einmal erteilte Zustimmung wieder zurückzunehmen. Der Widerruf muss so leicht sein wie die Erteilung. Ein kleiner Fingerabdruck oder Link, der das Banner erneut öffnet, gehört auf jede Seite.

Was es kostet, das zu ignorieren

Ein falsches Banner ist keine Bagatelle. Wettbewerber und Verbraucherschützer schauen genau hin, Beschwerden bei der Aufsichtsbehörde sind schnell eingereicht, und Abmahnungen kosten Geld und Nerven, bevor überhaupt ein Bußgeld im Raum steht. Dazu kommt das, was seltener genannt wird: Wenn Ihr Analytics-Werkzeug ohne gültige Einwilligung läuft, sind Ihre ganzen Zahlen rechtlich wertlos und im Zweifel gelöscht. Sie zahlen also doppelt, für das Risiko und für Daten, auf die Sie sich nicht verlassen dürfen.

Der kurze Selbsttest

Öffnen Sie Ihre Seite im privaten Fenster und klicken Sie nichts an. Wird schon getrackt? Dann haben Sie ein Problem. Finden Sie auf den ersten Blick einen gleichwertigen Ablehnen-Button? Wenn nein, auch. Und gibt es einen sichtbaren Weg, die Einwilligung zu widerrufen? Diese drei Fragen erledigen Sie in fünf Minuten und decken die meisten Fehler auf.

Ein gutes Cookie-Banner ist am Ende ehrlicher Umgang mit Ihren Besuchern, kein juristischer Selbstzweck. Wer sauber fragt, verliert kaum echte Zustimmungen und schläft ruhiger.

Wenn Sie unsicher sind, ob Ihr Banner hält, was es verspricht: Ich schaue mir das im kostenlosen Erstgespräch gerne einmal konkret mit Ihnen an.