Was ist Cookie-Compliance? Ein vollständiger Leitfaden

Einleitung

Wenn Sie jemals eine Website betrieben haben, haben Sie vermutlich schon von Cookie-Compliance und den damit verbundenen Datenschutzvorschriften gehört. Aber was genau ist das, und warum sollte es Sie interessieren? Kurz gesagt lässt sich Cookie-Compliance als die Rechtmäßigkeit rund um das Erheben, Speichern und Verarbeiten von Cookies auf der eigenen Website beschreiben. Nun verstehe ich, was Sie denken: Cookies dienen dazu, unsere Verhaltensmuster nachzuvollziehen, und sind für das Funktionieren von Werbung entscheidend, doch sie umfassen die Erhebung personenbezogener Daten, weshalb Cookie-Compliance in die Kategorie der Datenschutzvorschriften fällt.

Datenschutzvorschriften wie GDPR, CCPA und die ePrivacy Directive sind Gesetze, die Cookie-Compliance verpflichtend machen; werden sie nicht befolgt, kann das zu hohen Bußgeldern und einem Reputationsverlust für Ihr Unternehmen führen.

Warum ist Cookie-Compliance wichtig

Cookie-Compliance ist eine wesentliche Praxis, mit der Websites das Vertrauen der Nutzerinnen und Nutzer gewinnen und bewahren. Verstößt ein Unternehmen gegen Regeln und Vorschriften, sinkt das Vertrauen der Kundschaft. Umgekehrt erhöht ein glaubwürdiges Bekenntnis einer Website zur Cookie-Compliance die Bereitschaft der Besucherinnen und Besucher und trägt zugleich zu rechtlichen und geschäftlichen Zielen bei. Diese Aspekte werden im Folgenden ausführlich behandelt.

• Hohe Bußgelder vermeiden Behörden können gegen Unternehmen, die die Vorgaben zur Cookie-Compliance nicht einhalten, erhebliche Bußgelder verhängen; deren Vermeidung ist für den Fortbestand eines Unternehmens nützlich.
• Steigert Vertrauen und Zuversicht Die meisten Nutzerinnen und Nutzer arbeiten lieber mit Unternehmen zusammen, denen sie vertrauen. Durch Vertrauen lassen sich Besucherinnen und Besucher auch ermutigen, ihre personenbezogenen Daten bereitwillig anzugeben.
• Besseres Image Unternehmen, die erweiterte Datenschutzregeln praktizieren, werden von Verbraucherinnen und Verbrauchern häufig bevorzugt.
• Eine sichere Website erhalten Die Einhaltung der Regeln und Vorschriften zur Cookie-Compliance ist notwendig, um Rechtsstreitigkeiten gegen eine Organisation zu vermeiden.
• Sichert den weltweiten Betrieb Jede Website, die internationales Publikum anspricht, kann sich auf Cookie-Compliance stützen, um die Datenschutzregeln jeder Region zu erfüllen.

Aus dieser Perspektive wäre es für Unternehmen wesentlich zu erkennen, dass Cookie-Compliance als Kernverfahren institutionalisiert werden sollte. Mit Blick auf den langfristigen Nutzen der Konformität wäre eine Organisation in der Lage, erhebliche Einsparungen bei Rechts- und PR-Kosten zu erzielen. Unternehmen sollten Compliance daher als entscheidendes Kriterium betrachten, um langfristige wirtschaftliche Ziele zu erreichen.

Was sind die wichtigsten Regeln der Cookie-Compliance?

Auch wenn jedes Gesetz seine eigenen Besonderheiten hat, betreffen die meisten Regeln zur Cookie-Compliance einige übergreifende Konzepte. Unabhängig davon, in welchem Land sich Ihre Kundschaft befindet, bilden sie voraussichtlich die Grundlage jeder Datenschutzvorschrift, weshalb es wesentlich ist, sie im Detail zu kennen.

• Die Notwendigkeit der Einwilligung abgesehen von Cookies, die für den Betrieb der Website unbedingt erforderlich sind, sollten Sie die Einwilligung der Nutzerinnen und Nutzer einholen, bevor Sie Informationen speichern oder darauf zugreifen.
• Information über die Cookies die Nutzerin oder der Nutzer sollte über Zweck, Speicherdauer und alle weiteren relevanten Angaben informiert werden.
• Das Recht, nicht zuzustimmen technisch gesehen sollte die Einwilligung in allen Fällen freiwillig erteilt werden.
• Mit einfachem Widerruf der Einwilligung eine Nutzerin oder ein Nutzer sollte die Meinung jederzeit ändern und die Einwilligung widerrufen können.
• Nachweis der Einwilligung technisch gesehen sollten Sie stets die Daten speichern, die die Tatsache und das Datum der Einwilligung einer Nutzerin oder eines Nutzers belegen.
• Die Richtlinien aktuell halten stellen Sie sicher, dass die auf Ihrer Website bereitgestellten Informationen aktuell und relevant sind.

Dies sind die wichtigsten Konzepte im Zusammenhang mit den Gesetzen zur Cookie-Compliance. Wer sie verstanden hat, kann daraufhin eine Strategie zur Cookie-Compliance für die eigene Website oder Anwendung entwickeln.

Welche Arten der Cookie-Compliance gibt es?

Die Art der Cookie-Compliance lässt sich nicht willkürlich wählen; sie hängt von der Art der verwendeten Cookies, vom Standort der Website-Besucherinnen und -Besucher und von der Liste der einzuhaltenden Regeln ab. Insbesondere Websites, die im Geltungsbereich der GDPR tätig sind, müssen Opt-in-Compliance einsetzen. Das bedeutet, dass keine Analyse-, Werbe- oder sonstigen nicht notwendigen Cookies ohne Einwilligung auf dem Gerät der Besucherin oder des Besuchers gesetzt werden dürfen.

Zugleich erlaubt die CCPA-Compliance-Vorgabe die Verwendung einer Opt-out-Einwilligung, bei der alle notwendigen Cookies standardmäßig auf dem Gerät der Nutzerin oder des Nutzers gesetzt werden und diese anschließend bestimmte Cookie-Typen deaktivieren können. Ein weiterer Ansatz ist die kategoriebasierte Compliance, bei der Cookies in mehrere Typen unterteilt werden (notwendige, funktionale, analytische und Marketing-Cookies) und nur diese Kategorien für die Einwilligung genutzt werden.

Schließlich bedeutet eine granulare Ebene der Compliance eine individuelle Einwilligung für jedes einzelne Cookie, während sich die regionsbasierte Methode auf den Standort der Nutzerin oder des Nutzers bezieht. Die passende Methode der Cookie-Compliance sollte auf Grundlage des Standorts der Website-Besucherinnen und -Besucher sowie der rechtlichen Anforderungen gewählt werden, die die Website erfüllen muss.

Was sind die 4 Kernkomponenten der Cookie-Compliance?

Um vollständige Konformität mit den Cookie-Gesetzen zu erreichen, muss eine Website die folgenden vier Elemente aufweisen:

Sie muss über ein Cookie-Einwilligungsbanner verfügen, das die Besucherin oder den Besucher um Erlaubnis bittet, bevor nicht essenzielle Cookies auf dem Gerät gespeichert werden. Einer der häufigsten Fehler von Unternehmen ist der umgekehrte Ansatz: Sie laden die Cookies auf das Gerät der Nutzerin oder des Nutzers, bevor sie um Einwilligung bitten.

Eine Website muss eine Cookie-Richtlinie haben. Das ist eine Seite mit einer Liste aller Cookies, die die Website auf dem Gerät der Besucherin oder des Besuchers speichert, sowie dem Zweck jedes Cookies. Die dritte Anforderung ist eine CMP, eine Consent-Management-Plattform. Mit einer CMP können Nutzerinnen und Nutzer ihre Cookie-Einstellungen jederzeit unkompliziert verwalten. Manche Datenschutzgesetze verlangen von Websites sogar eine solche Plattform.

Das letzte Element, das oft übersehen wird, ist ein Cookie-Scanning-Werkzeug. Websites erhalten häufig neue Cookies, ohne dass jemand davon weiß. Deshalb sind regelmäßige Scans erforderlich, um sicherzustellen, dass keine Cookies ohne die Einwilligung der Besucherin oder des Besuchers gespeichert werden.

Welche Gesetze verlangen Cookie-Compliance

Mehrere Datenschutzgesetze in verschiedenen Teilen der Welt verlangen Cookie-Compliance. Die folgende Tabelle enthält die einflussreichsten Vorschriften in diesem Bereich.

Für Unternehmen bedeutet das, dass sie in den Ländern, in denen sie tätig sind, cookie-konform sein müssen. Und da die meisten Unternehmen Besucherinnen und Besucher aus verschiedenen Regionen haben, ist es sicherer, der Vorschrift zu folgen, die in Bezug auf Cookies am strengsten ist. Der GDPR-Compliance-Standard etwa deckt den größten Teil Europas ab und ist daher ein verbreiteter Standard, an dem man sich orientiert.

Die Gesetze zur Cookie-Compliance unterliegen in verschiedenen Regionen zudem laufenden Änderungen und Aktualisierungen. Ein Unternehmen muss jederzeit cookie-konform bleiben, was bedeutet, die Regeln regelmäßig gegenzuprüfen. Mit anderen Worten: Cookie-Compliance sollte eine dauerhafte Aufgabe auf der To-do-Liste eines Unternehmens sein.

Was sind die GDPR-Anforderungen an die Cookie-Compliance?

Die GDPR definiert mehrere Vorgaben in Bezug auf Cookies. Dazu gehören:

Vorherige Einwilligung Nicht essenzielle Cookies benötigen die Einwilligung der Besucherin oder des Besuchers, um zu funktionieren. Dazu zählen unter anderem Analyse-Cookies, Targeting-/Retargeting-Cookies und Cookies von Social-Plug-ins. Vor der Einwilligung dürfen nur essenzielle Cookies verwendet werden.

Sprache Die Informationen müssen in klarer und einfacher Sprache bereitgestellt werden. Vermeiden Sie Fachbegriffe, die eine fachfremde Person möglicherweise nicht versteht.

Granulare Einwilligung Organisationen müssen es Besucherinnen und Besuchern leicht machen, in bestimmte Kategorien von Cookies einzuwilligen. GDPR-konforme Cookie-Einwilligungsbanner müssen Optionen anbieten statt eines allgemeinen Opt-in-Kontrollkästchens.

Widerruf der Einwilligung Das Verfahren zum Widerruf der Einwilligung muss so einfach sein wie die ursprüngliche Einwilligung. Ein Link mit der Aufschrift "Einwilligung widerrufen", der versteckt oder schwer auffindbar ist, genügt der GDPR-Konformität nicht.

Standardeinstellungen Einwilligungsbanner dürfen keine vorangekreuzten Kästchen oder sonstige Voreinstellungen enthalten. Banner, die den Eindruck einer "Einwilligung durch Voreinstellung" erwecken, sind nach den GDPR-Vorschriften nicht zulässig.

Dokumentation Die Website muss die Einwilligung jeder Besucherin und jedes Besuchers in GDPR-konformes Cookie-Tracking dokumentieren können. Diese Dokumentation muss im Fall einer aufsichtsrechtlichen Prüfung oder eines Audits verfügbar sein.

Erforderlichkeit Unternehmen dürfen nur Cookies verwenden, die für das Funktionieren ihrer Websites erforderlich sind. Sie dürfen keine zusätzlichen Cookies ohne einen legitimen und belegbaren Grund installieren.

So werden Sie cookie-konform: eine Schritt-für-Schritt-Anleitung

Wenn Ihre Website Cookies verwendet, sind Sie möglicherweise an Datenschutzgesetze gebunden, allen voran die GDPR und die ePrivacy Directive. Die Nichteinhaltung dieser Vorschriften kann zu erheblichen finanziellen Sanktionen sowie zu Reputationsschäden für Ihre Marke führen. Glücklicherweise gibt es konkrete Schritte, mit denen Sie Cookie-Compliance sicherstellen können.

• Ermitteln Sie die Cookies Ihrer Website Der erste Schritt besteht darin, ein umfassendes Audit durchzuführen und alle auf Ihrer Website verwendeten Cookies zu kategorisieren. Es gibt mehrere Cookie-Typen, darunter unbedingt erforderliche Cookies, funktionale Cookies, Performance-/Analyse-Cookies sowie Werbe-/Marketing-Cookies. Für jeden Cookie-Typ sollten Sie Zweck, Aufbewahrungsdauer sowie die Angabe festhalten, ob es sich um ein Erst- oder Drittanbieter-Cookie handelt. Dieses Audit sollte regelmäßig wiederholt werden, da Drittanbieterdienste oft ohne Ihr Wissen hinzukommen.
• Bestimmen Sie, welche Datenschutzgesetze für Ihre Website gelten Cookies unterliegen je nach Rechtsraum der von Ihnen angesprochenen Nutzerinnen und Nutzer unterschiedlichen Datenschutzgesetzen. Die GDPR und die ePrivacy Directive (die für Unternehmen mit Tätigkeit in der EU bzw. im Vereinigten Königreich gelten) verlangen von Websites, die Einwilligung der Nutzerinnen und Nutzer einzuholen, bevor nicht essenzielle Cookies gespeichert werden, während die jüngeren CCPA/CPRA (die für Einwohnerinnen und Einwohner Kaliforniens gelten) einen Opt-out-Mechanismus für den Verkauf personenbezogener Informationen verlangen. Andere Rechtsräume wie Brasiliens LGPD, Kanadas PIPEDA und mehrere weitere haben ebenfalls eigene cookie-spezifische Vorschriften. Wenn Sie unsicher sind, konfigurieren Sie Ihre Lösung für Cookie-Compliance stets nach dem strengsten Regelwerk.
• Veröffentlichen Sie eine Cookie-Richtlinie in Ihrem Privacy Center Ihre Cookie-Richtlinie muss als eigenständige Seite veröffentlicht werden (idealerweise in der Fußzeile Ihrer Website) und Informationen zu jedem Cookie-Typ enthalten, etwa dessen Zweck, Speicherdauer sowie alle Analyse- oder Marketingdienste von Drittanbietern, die Cookies auf Ihrer Website-Domain setzen können.
• Zeigen Sie ein Cookie-Einwilligungsbanner an Dieses Banner muss alle nicht essenziellen Cookies standardmäßig deaktivieren vorangekreuzte Kästchen oder Einwilligungsbanner mit Formulierungen wie "Mit dem Weitersurfen stimme ich zu" gelten nicht als GDPR-konform. Zeigen Sie Schaltflächen zum Annehmen und Ablehnen immer gleichwertig nebeneinander an, verzichten Sie auf verhaltenslenkende Anstöße oder "Dark Patterns", um Einwilligung zu fördern, und erwägen Sie granulare Steuerungen, damit Nutzerinnen und Nutzer manche Cookie-Kategorien annehmen und andere ablehnen können.
• Investieren Sie in eine CMP (Consent-Management-Plattform) Eine CMP hilft Ihnen, Cookie-Compliance sicherzustellen, indem sie Skripte automatisch deaktiviert, bis die Einwilligung erteilt ist, zeitgestempelte Einwilligungsnachweise speichert und Sie dabei unterstützt, aktuelle Aufzeichnungen und Cookie-Inventare zu führen.
• Respektieren Sie die Entscheidungen der Website-Besucherinnen und -Besucher Die Einwilligung Ihrer Website-Besucherinnen und -Besucher einzuholen, genügt nicht Sie müssen Ihre Website so konfigurieren, dass sie diese Entscheidungen tatsächlich respektiert. Das bedeutet sicherzustellen, dass Tracking-Skripte wie Google Analytics oder Google Tag Manager nicht ausgeführt werden, wenn die Nutzerin oder der Nutzer Cookies abgelehnt hat, und einen Weg anzubieten, die Einwilligung jederzeit später manuell zu aktualisieren.
• Aktualisieren Sie Ihre Datenschutzerklärung Ihre allgemeine Datenschutzerklärung sollte eine Beschreibung der personenbezogenen Daten enthalten, die Ihre Website verarbeitet, und wie diese Daten verwendet werden, samt Angaben zu den Rechten der Nutzerinnen und Nutzer und zu möglichen Betroffenenanfragen.
• Führen Sie Aufzeichnungen über Einwilligungen Die verschiedenen Datenschutzgesetze und -vorschriften verlangen von Unternehmen, Aufzeichnungen über Einwilligungen zu führen. Idealerweise sollten diese Informationen jederzeit geordnet verfügbar sein, damit Aufsichtsbehörden sie zügig anfordern können.
• Schulen Sie Ihre Mitarbeitenden, um Richtlinienverstöße zu vermeiden Marketingteams und Entwicklerinnen und Entwickler sollten die möglichen Folgen von Verstößen gegen Gesetze zur Cookie-Compliance verstehen und stets sicherstellen, dass neue Software oder Drittanbieterdienste keine nicht essenziellen Cookies auf Ihrer Website hinzufügen.
• Führen Sie regelmäßige Audits zur Cookie-Compliance durch Es ist gute Praxis, ein Audit zur Cookie-Compliance vierteljährlich oder immer dann durchzuführen, wenn größere Änderungen an Ihrer Website vorgenommen werden. Behalten Sie außerdem stets alle regulatorischen Änderungen im Blick, die Ihren Rechtsraum betreffen können.

Fazit

Cookie-Compliance ist derzeit ein viel diskutiertes Thema, und das aus gutem Grund. Websites, die Besucherinformationen erheben, müssen sicherstellen, dass sie cookie-konform sind. Das ist entscheidend, um die Nutzerinnen und Nutzer Ihrer Website zu schützen und sich selbst rechtlich abzusichern. Schließlich könnte Nichtkonformität Sie teuer zu stehen kommen. Zusammengefasst fällt Cookie-Compliance in die folgenden Kategorien: Einwilligung, Richtlinien, Cookie-Kategorisierung und Überwachung. Die Vorschriften GDPR, CCPA und ePrivacy Directive tragen allesamt zur Bedeutung von Erst- und Drittanbieter-Cookies bei.

Vielleicht fühlen Sie sich von dem Gedanken überfordert, Cookie-Compliance im Alleingang zu bewältigen.

Starten Sie mit ConsentX

Häufig gestellte Fragen

Wer ist für die Cookie-Compliance verantwortlich?

Die Inhaberin bzw. der Betreiber der Website ist dafür verantwortlich, die Cookie-Compliance sicherzustellen. Diese Verantwortung liegt bei der Website-Inhaberin oder dem Website-Inhaber und nicht beim Hosting-Anbieter, bei der Entwicklerin oder beim CMS, selbst wenn die Cookies von Drittanbietern stammen.

Braucht meine Website ein Cookie-Banner?

Ja, wenn Sie nicht essenzielle Cookies verwenden (Analyse, Werbung usw.) und Besucherinnen und Besucher aus der EU oder dem Vereinigten Königreich haben, müssen Sie konform sein. Wenn Sie ausschließlich unbedingt erforderliche Cookies verwenden (Login, Warenkorb usw.), müssen Sie es nicht.

Welche Cookies sind nach der GDPR zulässig?

Unbedingt erforderliche Cookies benötigen keine Einwilligung, da sie für das Funktionieren der Website nötig sind. Für alle übrigen Cookies (Analyse, Marketing, Social Media, Personalisierung) muss eingewilligt werden, bevor sie auf den Computern der Besucherinnen und Besucher platziert werden dürfen.

Ist eine Cookie-Richtlinie gesetzlich vorgeschrieben?

Ja. Die GDPR verlangt, dass Sie die Informationen über die von Ihnen verwendeten Cookies offenlegen (wofür sie verwendet werden, wie lange sie bestehen, ob sie von Drittanbietern stammen usw.). Diese Offenlegung erfolgt üblicherweise in Form einer Cookie-Richtlinie.

Wie oft sollten Sie Ihre Cookie-Richtlinie aktualisieren?

Sie sollten sie mindestens einmal jährlich überprüfen und immer dann aktualisieren, wenn Sie Ihre Praktiken beim Cookie-Tracking ändern oder Cookie-Tracking-Dienste hinzufügen bzw. entfernen.