Cookie-Banner nach TKG 2021: Wann brauche ich einen?

Was § 165 Abs. 3 TKG 2021 regelt

Das Telekommunikationsgesetz 2021 setzt die europäische ePrivacy-Richtlinie um. § 165 Abs. 3 verpflichtet Anbieter von Diensten der Informationsgesellschaft, also auch Betreiber geschäftlicher Websites, die Nutzer zu informieren, welche Daten sie verarbeiten, auf welcher Rechtsgrundlage, wofür und wie lange. Eine Ermittlung ist nur zulässig, wenn der Nutzer auf Grundlage klarer und umfassender Informationen aktiv eingewilligt hat.

Ohne Einwilligung erlaubt ist eine Speicherung oder ein Zugriff nur, wenn der alleinige Zweck die Übertragung einer Nachricht ist oder wenn es unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung stellen kann. Die Datenschutzbehörde (DSB) betont, dass das nicht nur für Cookies gilt, sondern allgemein für das Speichern und Auslesen von Informationen am Endgerät. Dazu zählen etwa Einträge im lokalen Speicher des Browsers und Zählpixel.

Welche Cookies sind technisch notwendig?

Eine gesetzliche Liste gibt es nicht. Die DSB empfiehlt, im Zweifel die Kriterien der Stellungnahme 04/2012 der früheren Art.-29-Datenschutzgruppe heranzuziehen, und nennt selbst Beispiele:

Eingebettete Karten, Videos, Schriften oder Chat-Fenster fremder Anbieter laden häufig schon beim Seitenaufruf Inhalte von deren Servern und setzen dabei Cookies oder übermitteln die IP-Adresse. Ob das im Einzelfall einwilligungspflichtig ist, hängt davon ab, was genau passiert. Eine verbreitete Lösung ist, solche Inhalte erst nach einem Klick zu laden und vorher einen Hinweis anzuzeigen.

Brauche ich überhaupt einen Cookie-Banner?

Die DSB schreibt klar: Werden keine technisch nicht notwendigen Cookies verwendet, ist keine Einwilligung und somit kein Cookie-Banner notwendig. Für viele kleine Firmenwebsites ist das die einfachste und sauberste Lösung. Wer wissen möchte, wie viele Besucher kommen und welche Seiten Anfragen bringen, kann einen Teil davon ohne Tracking auf der eigenen Website sehen: Die Google Search Console zeigt Klicks und Suchbegriffe aus der Google-Suche, die Anfragen selbst zählen Sie im Postfach oder im System, in dem sie landen.

Ob ein Statistikwerkzeug ohne Cookies ohne Einwilligung auskommt, hängt davon ab, ob es auf das Endgerät zugreift und ob es personenbezogene Daten verarbeitet. Die Werbeaussage eines Anbieters ersetzt diese Prüfung nicht. Welche Dienste Ihre Website tatsächlich lädt, zeigt der Cookie- und Tracker-Check anhand des ausgelieferten Quelltexts.

Karten, Videos und Schriften ohne Banner einbinden

Oft ist der Banner nur wegen weniger eingebetteter Dienste nötig. Für die häufigsten gibt es Lösungen, die ohne Datenübertragung beim Seitenaufruf auskommen:

• Karte: Statt einer eingebetteten Karte zeigen Sie ein Bild des Ausschnitts und einen Link „Route in Google Maps öffnen“. Die Karte lädt erst, wenn der Besucher klickt, und dann auf der Seite von Google.
• Video: Ein Vorschaubild mit Abspielknopf, das das eingebettete Video erst nach dem Klick lädt, mit einem kurzen Hinweis auf den Anbieter. Noch einfacher ist es, das Video selbst auf Ihrem Server bereitzustellen.
• Schriften: Webfonts liegen auf Ihrem eigenen Server statt beim Schriftanbieter. Das ist ohnehin schneller.
• Chat und Messenger: Ein normaler Link auf WhatsApp oder das Telefon ersetzt oft ein Chat-Fenster, das beim Seitenaufruf Skripte lädt.
• Bewertungen: Ausgewählte Bewertungen als Text mit Link zum Profil statt eines eingebetteten Widgets.

Ob diese Lösungen in Ihrem Fall ganz ohne Einwilligung auskommen, hängt von der genauen Umsetzung ab. Sie verringern aber in jedem Fall, was beim ersten Aufruf an Dritte geht.

Wie muss ein Cookie-Banner gestaltet sein?

Die Bedingungen für eine wirksame Einwilligung richten sich nach Art. 4 Z 11 und Art. 7 DSGVO. Die DSB nennt in ihren häufigen Fragen diese Punkte, die jedenfalls zu beachten sind:

1. Erst Einwilligung, dann Cookies. Kein nicht notwendiges Cookie und kein Tracking-Skript darf vor der Entscheidung laden.
2. Bewusste Entscheidung. Weitersurfen ohne Klick ist keine Einwilligung, ebenso wenig die allgemeine Cookie-Einstellung im Browser.
3. Keine Voreinstellung. Vorangekreuzte Kästchen sind unzulässig.
4. Freiwillig. Wer ablehnt, darf keine Nachteile haben, und die Website darf ihm nicht grundsätzlich verschlossen bleiben.
5. Widerruf so einfach wie Zustimmung. Im Banner muss klar stehen, wo und wie man widerruft, etwa über einen dauerhaften Link im Fußbereich.
6. Vollständige Information. Wer zustimmt, muss wissen, wofür. Auf der ersten Ebene gehören laut DSB unter anderem die Identität des Verantwortlichen und der Weg zum Widerruf dazu, dazu ein Link zur Datenschutzerklärung mit allen Einzelheiten.
7. Ablehnen so einfach wie Zustimmen. Für das Ablehnen dürfen nicht mehr Klicks nötig sein als für das Zustimmen. Eine Ablehnung erst auf der zweiten Ebene ist nicht zulässig.
8. Kein Drängen. Der Button zum Ablehnen darf nicht weniger auffällig gestaltet oder platziert sein als der zum Zustimmen.

Zu Farben gibt es laut DSB keine allgemeine Regel, entscheidend ist der Einzelfall. Als unzulässig nennt sie ein Beispiel: roter Zustimmen-Button und weißer Ablehnen-Button auf weißem Hintergrund, weil der zweite kaum wahrnehmbar ist. Gleich große Buttons in gleicher Gestaltung nebeneinander sind die sichere Wahl. Achten Sie dabei auch darauf, dass der Banner mit der Tastatur bedienbar ist und genug Kontrast hat; bei Websites mit Buchung oder Shop verlangt das ohnehin das Barrierefreiheitsgesetz.

Fertige Cookie-Tools: Was Sie prüfen sollten

Fertige Einwilligungswerkzeuge dürfen Sie verwenden, wenn die Vorgaben vollständig eingehalten werden. Die DSB rät aber dringend davon ab, sie unhinterfragt einzusetzen: Nur weil ein Werkzeug angeboten wird, ist es nicht automatisch rechtskonform. Prüfen Sie nach dem Einbau mit leerem Browserprofil:

• Werden vor dem Klick schon Anfragen an Analyse- oder Werbedienste geschickt? Das zeigen die Entwicklerwerkzeuge des Browsers im Reiter Netzwerk.
• Stehen Zustimmen und Ablehnen auf der ersten Ebene gleichwertig nebeneinander?
• Lädt nach einer Ablehnung wirklich nichts nach, auch nicht beim Wechsel auf eine Unterseite?
• Ist die Liste der Dienste im Banner identisch mit der Datenschutzerklärung und mit dem, was tatsächlich geladen wird?

Jedes zusätzliche Skript kostet außerdem Ladezeit, besonders am Handy. Wie stark, misst der Ladezeit-Check. Weniger Fremddienste bedeuten oft gleichzeitig einen kleineren Banner, eine schnellere Seite und weniger Angaben in der Datenschutzerklärung.

Wer ist verantwortlich, und was droht?

Wer entscheidet, dass Cookies oder Dienste auf der Website laufen, ist laut DSB datenschutzrechtlich Verantwortlicher oder gemeinsam Verantwortlicher, sobald personenbezogene Daten verarbeitet werden. Das gilt auch, wenn nur ein Skript eines Dritten eingebaut ist und Sie selbst keine Daten sehen. Die Verantwortung bleibt also beim Betrieb, nicht bei der Agentur oder dem Werkzeug.

Im genannten Fall hatte die DSB zuvor angewiesen, binnen zehn Wochen einen gleichwertigen Ablehnen-Button auf der ersten Ebene einzubauen. Die Strafe folgte, weil das nicht geschah. Wer eine solche Anweisung bekommt, sollte sie also fristgerecht umsetzen und im Zweifel einen Anwalt fragen.

Nächster Schritt: Ihre Website prüfen

Lassen Sie den Tracker-Check über Ihre Startseite und eine Leistungsseite laufen. Findet er Dienste, die vor der Einwilligung laden, ist das der erste Punkt, den Sie beheben sollten. Die übrigen Pflichtseiten prüfen Sie mit dem Ratgeber Impressum und Offenlegung und der Checkliste für eine datenschutzkonforme Website. Bei neuen Websites aus unserer Webentwicklung planen wir zuerst, welche Dienste wirklich gebraucht werden, und bauen den Banner nur, wenn er nötig ist. Bestehende Websites stellen wir im Rahmen der Website-Betreuung um. Wenn Sie Ihre bestehende Website umstellen möchten, schreiben Sie uns über das Anfrageformular, welche Dienste Sie nutzen.