Checkliste für die Cookie-Einwilligung nach GDPR

GDPR setzt zusammen mit den ePrivacy-Regeln, die jedes EU-Land lokal umsetzt, einen hohen Maßstab für Cookies. Die Einwilligung muss freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erfolgen, und sie muss vorliegen, bevor der Tracker läuft. Ein Banner, das Cookies lediglich ankündigt oder das Analyse beim Seitenaufruf feuern lässt, besteht diesen Test nicht, egal wie ansprechend es aussieht.

Diese Checkliste geht die konkreten Anforderungen durch. Behandeln Sie jeden Punkt als etwas, das Sie im Browser oder in Ihren Aufzeichnungen überprüfen können, nicht nur als Einstellung, die Sie einmal umgelegt und dann vergessen haben.

Vorheriges Blockieren ist die Grundlage. Bis die Besucherin oder der Besucher zustimmt, muss jedes nicht notwendige Script inaktiv bleiben: Analyse, Werbepixel, Social Embeds, Heatmaps und Chat-Widgets. Nur unbedingt erforderliche Cookies, also jene, die zur Auslieferung der Seite oder zum Erhalt einer Sitzung nötig sind, dürfen ohne Einwilligung laufen.

Überprüfen Sie das, indem Sie Ihre Website in einem privaten Fenster laden und den Tab Network beobachten, bevor Sie irgendetwas anklicken. Wenn Sie vor der Einwilligung Aufrufe an Tracking-Domains sehen, sind Sie nicht konform, ganz gleich, was das Banner sagt.

Aufsichtsbehörden in Deutschland, Frankreich und in der gesamten EU haben ausdrücklich klargestellt, dass Ablehnen nicht schwerer sein darf als Akzeptieren. Das bedeutet einen Akzeptieren- und einen Ablehnen-Button auf derselben Ebene, mit demselben visuellen Gewicht, auf der ersten Ebene des Banners. Ablehnen hinter einem Bildschirm zur Verwaltung der Einstellungen zu verstecken, während Akzeptieren ein einziger Klick ist, ist ein anerkanntes Dark Pattern.

Insbesondere die französische CNIL hat große Websites für genau dieses Ungleichgewicht mit Bußgeldern belegt. Wenn Ihr Design das Neinsagen langsamer oder weniger offensichtlich macht als das Jasagen, beheben Sie das zuerst.

Die Einwilligung muss für den bestimmten Fall erfolgen; bündeln Sie Tracker deshalb in klare Kategorien wie Analyse, Marketing und Personalisierung und lassen Sie die Besucherin oder den Besucher pro Kategorie wählen. Nichts darf vorangekreuzt oder voraktiviert sein. Ein einzelnes Alles akzeptieren ist in Ordnung, solange ein einzelnes Alles ablehnen gleichermaßen verfügbar ist und die granularen Steuerungen für diejenigen existieren, die sie wollen.

Vorausgewählte Kästchen wurden vom Gerichtshof der Europäischen Union für unwirksam erklärt, ein nicht angekreuzter Standard ist also nicht optional.

Eine Einwilligung, die nicht widerrufen werden kann, ist nicht freiwillig. Besucherinnen und Besucher brauchen eine dauerhafte und offensichtliche Möglichkeit, ihre Meinung später zu ändern, etwa ein kleines schwebendes Bedienelement oder einen Link, der das Präferenzzentrum wieder öffnet. Der Widerruf muss so einfach sein wie die ursprüngliche Einwilligung, und nach dem Widerruf müssen die Tracker stoppen.

Eine häufige Lücke ist, den Widerruf nur auf einer versteckten Datenschutzseite anzubieten. Halten Sie den Auslöser zum erneuten Öffnen auf jeder Seite sichtbar.

Wenn eine Aufsichtsbehörde fragt, müssen Sie zeigen können, wozu eine bestimmte Besucherin oder ein bestimmter Besucher zugestimmt hat und wann. Das bedeutet einen Datensatz pro Einwilligungsereignis, der die Entscheidung, den Zeitstempel und idealerweise die genaue Version des Hinweises festhält, den die Person gesehen hat. Manipulationssichere Belege, die die Richtlinienversion und einen Hash an jeden Datensatz binden, machen daraus statt einer Behauptung einen Beweis.

Ohne Aufzeichnungen verlassen Sie sich darauf, dass die Aufsichtsbehörde Ihnen glaubt, und das ist keine Position, in der Sie bei einer Prüfung sein wollen.

Deutschland wendet GDPR neben dem Bundesgesetz BDSG und dem TDDDG an, das die ePrivacy-Speicherregel umsetzt, und deutsche Behörden erkennen fortgesetztes Surfen nicht als Einwilligung an. Frankreich setzt über die CNIL durch, die detaillierte Vorgaben zur Bannergestaltung veröffentlicht und gegen Ungleichgewichte beim Alles ablehnen sowie gegen unklare Auswahlmöglichkeiten vorgegangen ist.

Wenn Sie EU-weit tätig sind, gestalten Sie nach der strengsten Auslegung. Ein Banner, das deutsche und französische Aufsichtsbehörden zufriedenstellt, genügt in der Regel auch dem Rest der Union.