Wann ein Cookie-Banner nötig ist und wann es Theater ist
Die Regel handelt vom Gerät, nicht von Keksen. Das Speichern von Informationen in der Endeinrichtung des Endnutzers und der Zugriff auf dort bereits gespeicherte Informationen sind nur mit Einwilligung auf Grundlage klarer und umfassender Informationen zulässig, außer die Maßnahme dient allein der Übertragung einer Nachricht oder ist unbedingt erforderlich für einen ausdrücklich gewünschten Dienst. Wer das Unnötige entfernt, verliert oft auch das Banner.
Was die Vorschrift wirklich regelt
Im Wortlaut kommen Kekse nicht vor. Erfasst sind das Speichern von Informationen in der Endeinrichtung und der Zugriff auf bereits gespeicherte Informationen. Deshalb fallen lokale Speicher, Geräteerkennung und ähnliche Verfahren unter dieselbe Regel.
Die Einwilligung muss auf klaren und umfassenden Informationen beruhen. Daran scheitern die meisten Banner: Eine Wand mit Zustimmen und einem versteckten Link zu den Einstellungen hat nicht informiert, sondern einen Klick abgeholt.
Die Frage lautet deshalb nicht, wie das Banner aussehen soll, sondern was auf der Seite überhaupt eines nötig macht.
Die zwei Ausnahmen, und was übrig bleibt
Es gibt genau 2 Ausnahmen. Die erste greift, wenn Speichern oder Zugriff allein der Durchführung der Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz dienen. Die zweite greift, wenn die Maßnahme unbedingt erforderlich ist, damit ein ausdrücklich gewünschter digitaler Dienst erbracht werden kann.
Halten Sie Ihre eigene Seite gegen diese zwei Sätze und zählen Sie, was übrig bleibt. Ein Sitzungskeks, der einen Warenkorb hält, ist unbedingt erforderlich für einen gewünschten Dienst. Eine vom Besucher gesetzte Sprachwahl ist vertretbar. Eine Statistikkennung, eine Karteneinbettung, die einen Dritten kontaktiert, und ein Videoabspieler, der vor dem Abspielen Kennungen setzt, sind nichts davon.
Bei einer kleinen Darstellungsseite lautet die ehrliche Zählung nach Entfernen der drei üblichen Ergänzungen oft 0, und 0 heißt kein Banner. Das ist die billigste Datenschutzverbesserung überhaupt: nicht zu fragen, weil es nichts zu fragen gibt.
Die Kehrseite ist ebenfalls beziffert. § 28 desselben Gesetzes listet 13 Verstoßarten in 4 Stufen zu 300.000, 100.000, 50.000 und 10.000 Euro, und wer entgegen § 25 Absatz 1 Satz 1 eine Information speichert oder auf eine zugreift, steht in der Stufe zu 300.000 Euro. Das ist das oberste Band, für dieselbe Handlung, die eine entfernte Karteneinbettung in etwa 20 Minuten Arbeit vermieden hätte.
| Bestandteil | Ausgenommen | Warum |
|---|---|---|
| Sitzungskeks für Warenkorb oder Anmeldung | Ja | Unbedingt erforderlich für einen gewünschten Dienst |
| Vom Besucher gesetzte Sprache oder Währung | In der Regel | Erbringt das ausdrücklich Gewünschte |
| Statistikkennung | Nein | Für den gewünschten Dienst nicht erforderlich |
| Eingebettete Karte eines Dritten | Nein | Kontaktiert einen Dritten vor jeder Anfrage |
| Selbst gehostete Schriften | Nichts gespeichert | Kein Zugriff auf das Gerät nötig |
Die Reihenfolge der Arbeit
Listen Sie jede Anfrage auf, die Ihre Seiten an eine fremde Domain stellen. Schriften, Karten, Video, Statistik, Chat, Bewertungsfenster. Entscheiden Sie je Eintrag, ob der Besucher danach verlangt hat, und entfernen oder hosten Sie selbst, was er nicht verlangt hat.
Erst danach gestalten Sie ein Banner, falls etwas übrig ist. Ein Banner ist der Rückfallweg für das, was Sie behalten wollten, nicht die Eintrittskarte zum Betrieb einer Webseite.
Fragen und Antworten
Ist ein Banner immer nötig?
Gilt die Regel nur für Kekse?
Ist Statistik unbedingt erforderlich?
Was ist die billigste Abhilfe?
Quellen
- § 25 Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz Die Einwilligungspflicht und beide Ausnahmen
- § 5 Digitale-Dienste-Gesetz (DDG) Die davon getrennten Informationspflichten
