Cookie-Einwilligung vs. Cookie-Richtlinie: Was ist der Unterschied

Die Begriffe werden oft synonym verwendet, doch sie lösen unterschiedliche Probleme. Eine Cookie-Richtlinie ist Dokumentation. Die Cookie-Einwilligung ist Durchsetzung. Das eine sagt Besucherinnen und Besuchern, was Sie tun, das andere stellt sicher, dass Sie es erst nach ihrer Zustimmung tun, und hält fest, dass Sie es getan haben.

Die Unterscheidung richtig zu treffen ist wichtig, denn eine wunderbar formulierte Cookie-Richtlinie zu haben, während beim Seitenaufruf bereits Tracker feuern, ist ein Compliance-Verstoß - und ein schickes Cookie-Banner, das auf gar keine Richtlinie verlinkt, ebenfalls.

Eine Cookie-Richtlinie ist eine statische Seite oder ein Abschnitt, der in klarer Sprache erklärt, welche Cookies und ähnlichen Technologien Ihre Website setzt, wer sie platziert, was sie tun, wie lange sie gelten und wie Besucherinnen und Besucher sie steuern können. Sie steht üblicherweise neben oder innerhalb Ihrer Datenschutzerklärung und wird aus Ihrem Footer und aus dem Cookie-Banner selbst verlinkt.

Ihre Aufgabe ist Transparenz. Sie erfüllt den informierten Teil der informierten Einwilligung, indem sie den Menschen die Details gibt, die sie für eine echte Entscheidung brauchen. Eine gute Cookie-Richtlinie listet Cookies nach Kategorie auf und nennt die beteiligten Drittanbieter, statt vage Textbausteine anzubieten.

Die Cookie-Einwilligung ist das interaktive System, das im Browser der Besucherin oder des Besuchers läuft. Es blockiert nicht notwendige Cookies, bis die Person entscheidet, stellt die Wahlmöglichkeiten dar, setzt die Entscheidung um, indem es Tracker freigibt oder weiterhin blockiert, und speichert einen Nachweis darüber, was wann gewählt wurde.

Wo die Richtlinie Worte auf einer Seite sind, ist die Einwilligung Verhalten in Echtzeit. Sie ist der Teil, der tatsächlich verhindert, dass ein Tracker ein Cookie setzt, bevor die Besucherin oder der Besucher zustimmt, und sie ist der Teil, der den Nachweis erzeugt, den Sie einer Aufsichtsbehörde vorlegen würden.

Die beiden sind so angelegt, dass sie einander verstärken. Das Cookie-Banner verlinkt auf die Cookie-Richtlinie, damit Besucherinnen und Besucher die Details lesen können, bevor sie wählen. Die Richtlinie beschreibt die Kategorien, die das Cookie-Banner zum Umschalten anbietet. Wenn Sie einen Tracker hinzufügen oder entfernen, aktualisieren Sie beides: den Text der Richtlinie und die Kategoriezuordnung des Banners.

Beides synchron zu halten ist der Punkt, an dem viele Websites abdriften. Über ein Marketing-Tool kommt ein Tracker hinzu, das Banner wird nicht angepasst, um ihn zu blockieren, und die Richtlinie erwähnt ihn nie. Nun widersprechen sich alle drei Ebenen. Ein Discovery-Scan, der jedes Cookie findet und sowohl das Banner als auch die Richtlinie speist, hält sie im Einklang.

In den meisten Rechtsordnungen ja. Die Regeln nach GDPR und ePrivacy erwarten eine informierte Einwilligung, die die Offenlegung durch eine Cookie-Richtlinie voraussetzt, und eine vorherige Einwilligung, die den Einwilligungsmechanismus voraussetzt. Indiens DPDPA erwartet eine aufgeschlüsselte Information und eine überprüfbare Einwilligung, erneut zwei Ebenen. Selbst Opt-out-Regime wie Kalifornien erwarten sowohl eine klare Datenschutzinformation als auch einen funktionierenden Opt-out-Mechanismus.

Die praktische Antwort lautet: Die Richtlinie ohne Einwilligung lässt Tracker unrechtmäßig laufen, und die Einwilligung ohne Richtlinie lässt Besucherinnen und Besucher uninformiert. Sie brauchen das Dokument und den Mechanismus, konsistent zueinander gehalten.