Die Bedingungen für eine wirksame Cookie-Einwilligung nach DSGVO

Eine Cookie-Einwilligung ist nach der DSGVO nur wirksam, wenn sie freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich erteilt wird, und zwar durch eine eindeutige bestätigende Handlung wie einen Klick auf „Akzeptieren“. Außerdem müssen Sie sie einholen, bevor ein nicht notwendiges Cookie aktiv wird, das Ablehnen genauso einfach machen wie das Akzeptieren, einen Widerruf jederzeit ermöglichen und nachweisen können, was jede Person gewählt hat. Vorab angekreuzte Kästchen und Hinweise wie „Mit der weiteren Nutzung stimmen Sie zu“ fallen durch.

Woher stammen die Bedingungen für eine wirksame Einwilligung?

Sie stammen aus zwei Artikeln der DSGVO, die über die ePrivacy-Richtlinie auf Cookies angewandt werden. Artikel 4 Nr. 11 definiert die Einwilligung, Artikel 7 legt die Bedingungen fest, die Sie erfüllen müssen.

Die ePrivacy-Richtlinie verlangt eine Einwilligung für nicht notwendige Cookies, übernimmt die Definition der Einwilligung aber aus dem EU-Datenschutzrecht, also heute aus der DSGVO. Unser Beitrag ePrivacy-Richtlinie vs. DSGVO erklärt, wie dieses Zusammenspiel funktioniert.

Zwei weitere Quellen prägen, wie die Bedingungen in der Praxis ausgelegt werden. Der Europäische Datenschutzausschuss (EDSA), in dem die Datenschutzbehörden der EU zusammenarbeiten, hat die Leitlinien 05/2020 zur Einwilligung veröffentlicht. Und der Gerichtshof der Europäischen Union (EuGH) hat den Maßstab im Fall Planet49 (C-673/17, 2019) direkt auf Cookies angewandt.

Wie sieht die Checkliste für eine wirksame Cookie-Einwilligung aus?

Prüfen Sie Ihr Live-Banner und Ihr Einstellungsfenster anhand dieser zehn Punkte. Schon ein einziger Fehler kann die eingeholte Einwilligung unwirksam machen.

1. Vorherig. Kein nicht notwendiges Cookie, Pixel oder Skript läuft, bevor der Besucher eine Wahl getroffen hat.
2. Bestätigend. Die Einwilligung beruht auf einer bewussten Handlung. Vorab angekreuzte Kästchen, Scrollen, Weitersurfen und das Schließen des Banners zählen nicht.
3. Gleichwertige Ablehnung. „Ablehnen“ steht auf derselben Ebene wie „Akzeptieren“, mit vergleichbarer Sichtbarkeit und vergleichbarem Aufwand.
4. Granular. Jeder Zweck, etwa Präferenzen, Analyse oder Marketing, kann einzeln akzeptiert oder abgelehnt werden.
5. Entkoppelt. Die Cookie-Einwilligung ist nicht in Ihren Nutzungsbedingungen oder einer Newsletter-Anmeldung versteckt.
6. Informiert. Besucher sehen, wer fragt, zu welchen Zwecken, welche Dritten beteiligt sind und wie lange Cookies gespeichert bleiben.
7. Verständlich. Die Anfrage ist in klarer und einfacher Sprache formuliert und von anderen Sachverhalten klar zu unterscheiden, wie es Artikel 7 Absatz 2 verlangt.
8. Nicht gekoppelt. Der Zugang zu Ihren Inhalten hängt nicht davon ab, dass nicht notwendige Cookies akzeptiert werden.
9. Widerrufbar. Besucher können ihre Meinung nach Artikel 7 Absatz 3 jederzeit ändern, und zwar genauso einfach, wie sie eingewilligt haben.
10. Nachweisbar. Sie können zeigen, wer wann über welche Banner-Version in was eingewilligt hat, wie es Artikel 7 Absatz 1 verlangt.

Die folgenden Abschnitte erläutern die vier Bedingungen aus Artikel 4 Nr. 11, die am häufigsten zu Streit führen, und anschließend die Nachweisführung.

Was schließt „freiwillig“ aus?

Eine Einwilligung ist nicht freiwillig, wenn der Besucher keine echte Wahl hat oder bei einem Nein unter Druck gesetzt oder benachteiligt würde. Bei Cookie-Bannern schließt das drei verbreitete Muster aus.

Das erste ist die Cookie-Wall. Die Einwilligungsleitlinien des EDSA vertreten die Auffassung, dass eine Einwilligung nicht freiwillig erteilt wird, wenn der Zugang zu einer Website davon abhängt, dass nicht notwendige Cookies akzeptiert werden.

Das zweite ist die Bündelung: ein einziger Schalter, der Analyse, Werbung und Personalisierung gleichzeitig abdeckt, oder eine Cookie-Einwilligung, die an die Annahme Ihrer Nutzungsbedingungen gekoppelt ist.

Das dritte ist Druck durch Gestaltung. Ein auffälliger Button „Alle akzeptieren“ neben einem blassen Link „Einstellungen verwalten“ oder ein Ablehnungsweg, der mehrere zusätzliche Klicks erfordert, lenkt Menschen in Richtung Ja. Solche Designs werden Dark Patterns genannt, und unser Leitfaden zu Dark Patterns in Cookie-Bannern listet die auf, die Aufsichtsbehörden am häufigsten ins Visier nehmen.

Wie bestimmt und informiert muss die Einwilligung sein?

So bestimmt, dass Besucher genau wissen, welchen Zwecken sie zustimmen, und so informiert, dass sie verstehen, wer beteiligt ist und für wie lange. Vage Formulierungen wie „um Ihr Erlebnis zu verbessern“ reichen nicht aus.

Teilen Sie mindestens mit, wer Sie sind, für welche Zwecke Sie jeweils fragen, um welche Cookie-Kategorien es geht, welche Dritten Daten erhalten und dass ein Widerruf möglich ist. Im Fall Planet49 hat der EuGH ergänzt, dass Nutzer erfahren müssen, wie lange Cookies aktiv bleiben und ob Dritte darauf zugreifen können.

Ein mehrstufiger Ansatz bewährt sich. Die erste Ebene fasst die Zwecke in einfacher Sprache neben den Buttons zum Akzeptieren und Ablehnen zusammen, eine zweite Ebene führt jedes Cookie mit Anbieter und Speicherdauer auf. Halten Sie diese zweite Ebene aktuell, denn eine veraltete Anbieterliste lässt Besucher schlechter informiert zurück, als sie glauben.

Was gilt als eindeutige bestätigende Handlung?

Eine bewusste Handlung, die nur Ja bedeuten kann, etwa ein Klick auf einen Akzeptieren-Button oder das Aktivieren eines Zwecks mit anschließendem Speichern. Alles, was auf Schweigen, Untätigkeit oder einer Voreinstellung beruht, reicht nicht aus.

Handlung des Besuchers	Wirksame Einwilligung?	Warum
Klickt in einem klaren Banner auf „Alle akzeptieren“	Ja	Bewusste, informierte Handlung
Aktiviert „Analyse“ und speichert	Ja, nur für Analyse	Bezogen auf den gewählten Zweck
Lässt ein vorab angekreuztes Kästchen angekreuzt	Nein	Planet49: Vorab angekreuzte Kästchen sind keine Einwilligung
Scrollt oder surft weiter	Nein	Laut EDSA-Leitlinien keine bestätigende Handlung
Schließt das Banner über das „X“-Symbol	Nein	Einen Hinweis wegzuklicken ist keine Zustimmung
Akzeptiert Nutzungsbedingungen, in denen Cookies erwähnt werden	Nein	Weder bestimmt noch klar unterscheidbar

Behandeln Sie alles außer einem ausdrücklichen Ja als „noch keine Wahl getroffen“ und lassen Sie nicht notwendige Kategorien deaktiviert, bis eine Wahl erfolgt.

Wie weisen Sie die Einwilligung nach und gehen mit Widerrufen um?

Artikel 7 Absatz 1 legt Ihnen die Beweislast auf, und Artikel 7 Absatz 3 verlangt, dass der Widerruf so einfach ist wie die Erteilung der Einwilligung. Beides sollte von Anfang an mitgedacht werden, statt erst nach einer Beschwerde nachgerüstet zu werden.

Ein brauchbarer Einwilligungsnachweis enthält eine pseudonyme Consent-ID, den Zeitstempel, die Auswahl für jeden Zweck, die angezeigte Banner- und Richtlinienversion und das angewandte regionale Regelwerk. Speichern Sie nicht mehr personenbezogene Daten, als für diesen Nachweis nötig sind. Unser Leitfaden zu Einwilligungsnachweisen zeigt, wie ein prüfungssicheres Protokoll aussieht.

Für den Widerruf sollten Sie einen dauerhaft sichtbaren Link im Footer oder einen schwebenden Button vorsehen, der die Einstellungen wieder öffnet. Widerruft jemand seine Einwilligung, stoppen Sie die betroffenen Skripte sofort, löschen Sie die von Ihnen gesetzten nicht notwendigen Cookies, soweit technisch möglich, und geben Sie die aktualisierte Auswahl an alle Anbieter weiter, die Einwilligungssignale empfangen.

Fazit

Eine wirksame Einwilligung ist ein Bündel von Bedingungen, die alle gleichzeitig erfüllt sein müssen: vorherig, freiwillig, bestimmt, informiert, unmissverständlich, nachweisbar und widerrufbar. Prüfen Sie die Checkliste an Ihrer Live-Website statt an Ihren Design-Entwürfen, denn die Lücken zeigen sich meist im tatsächlichen Verhalten der Tags. Tools wie Cookiesh können markierte Skripte bis zur Einwilligung blockieren und unveränderliche, per Hash-Kette gesicherte Einwilligungsprotokolle führen und decken damit die mechanischen Teile dieser Checkliste ab.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.