Was sind Cookies eigentlich?
Cookies sind kleine Textdateien, die eine Website auf dem Gerät des Besuchers speichert. Sie dienen verschiedenen Zwecken: vom Merken eines Warenkorbs bis zum Verfolgen des Surfverhaltens für Werbung. Unter der DSGVO und der ePrivacy-Richtlinie gelten strenge Regeln dafür, wann Sie Cookies setzen dürfen.
Das Problem: Viele Unternehmer platzieren ein Cookie-Banner auf ihrer Website und denken, damit sei es erledigt. Aber ein Banner allein reicht nicht. Es geht darum, die richtige Einwilligung zum richtigen Zeitpunkt für die richtigen Cookies einzuholen.
Drei Kategorien von Cookies
Nicht alle Cookies sind gleich. Die Gesetzgebung unterscheidet drei Hauptkategorien, für die jeweils unterschiedliche Regeln gelten.
1. Streng notwendige Cookies (keine Einwilligung erforderlich)
Das sind Cookies, ohne die Ihre Website nicht funktioniert:
- Sitzungscookies für einen Warenkorb oder Login-Status
- Das Cookie, das die Cookie-Auswahl des Besuchers speichert
- Sicherheitscookies (z.B. CSRF-Token)
Diese dürfen ohne Einwilligung gesetzt werden, müssen aber in Ihrer Cookie-Richtlinie aufgeführt sein.
2. Analytische Cookies (Einwilligung erforderlich)
Cookies, die das Besucherverhalten messen, wie Google Analytics, Hotjar oder Matomo (mit Standardeinstellungen). Auch wenn Sie die Daten nur intern verwenden, brauchen Sie eine vorherige Einwilligung.
Hinweis: Einige Analytics-Tools bieten einen “cookielosen Modus” an. Prüfen Sie immer, ob tatsächlich keine Cookies gesetzt werden, denn der Name kann irreführend sein.
Möchten Sie das Cookie-Banner ganz vermeiden? Das geht nur, wenn Ihre Website kein einziges Cookie setzt, das eine Einwilligung erfordert. Wie Sie das mit cookiefreien Analytics, lokal gehosteten Schriften und datenschutzfreundlichen Einbettungen erreichen, lesen Sie in Datenschutzfreundliche Google Analytics Alternativen.
3. Marketing-Cookies (Einwilligung erforderlich)
Cookies für Werbung, Retargeting und den Aufbau von Besucherprofilen. Beispiele:
- Facebook Pixel (
_fbp) - Google Ads Remarketing
- LinkedIn Insight Tag
- Andere Werbenetzwerke
Marketing-Cookies unterliegen den strengsten Vorschriften. Die Einwilligung muss spezifisch, informiert und aktiv sein.
Wie sieht ein korrektes Cookie-Banner aus?
Ein DSGVO-konformes Cookie-Banner erfüllt diese Anforderungen:
Keine Cookies vorab geladen. Nicht notwendige Cookies dürfen erst nach aktiver Einwilligung des Besuchers gesetzt werden. Das bedeutet: Kein Google Analytics, kein Facebook Pixel, keine Marketing-Skripte, bis der Besucher auf “Akzeptieren” klickt.
Eine echte Wahl bieten. Der Besucher muss genauso einfach ablehnen wie akzeptieren können. Beide Buttons müssen gleich prominent sichtbar sein. Ein größer grüner “Alle akzeptieren”-Button neben einem kleinen grauen “Mehr Info”-Link ist keine echte Wahl.
Einwilligung pro Kategorie einholen. Der Besucher muss wählen können, welche Cookie-Kategorien gesetzt werden. Das Akzeptieren analytischer Cookies muss getrennt von Marketing-Cookies sein.
Die Wahl speichern. Ein Besucher, der ablehnt, darf nicht bei jedem Seitenbesuch erneut gefragt werden. Speichern Sie die Wahl (ironischerweise in einem streng notwendigen Cookie).
Einwilligung widerrufbar machen. Es muss eine Möglichkeit geben, die Cookie-Auswahl später zu ändern, zum Beispiel über einen Link im Footer.
Das “Alle akzeptieren” Dark Pattern
Einer der häufigsten Fehler ist ein Cookie-Banner, das stark in Richtung “alle akzeptieren” lenkt. Die französische Aufsichtsbehörde CNIL hat dieses Problem ernst genommen.
2022 verhängte die CNIL Bußgelder gegen Google (150 Millionen Euro) und Facebook (60 Millionen Euro), weil deren Cookie-Banner das Ablehnen von Cookies unnötig erschwerten. Akzeptieren ging mit einem Klick, Ablehnen erforderte mehrere Schritte durch Untermenüs.
Das gilt nicht nur für Techgiganten. Die CNIL und andere Aufsichtsbehörden schauen auch auf kleinere Websites. Das Prinzip ist einfach: Wenn “Ablehnen” nicht genauso einfach ist wie “Akzeptieren”, ist die Einwilligung nicht gültig.
Konkret: Wenn Ihr Banner einen “Alle akzeptieren”-Button hat, muss daneben ein ebenso auffälliger “Alle ablehnen”-Button stehen. Nicht irgendwo in einem Untermenü versteckt.
Häufige Fehler
- Cookies vor der Einwilligung laden. Google Analytics läuft bereits, bevor der Besucher eine Wahl getroffen hat. Das ist ein direkter Verstoß.
- Nur “Akzeptieren” anbieten. Keine Ablehnungsoption, oder sie ist hinter mehreren Klicks versteckt.
- Ungenaues Cookie-Banner. Das Banner nennt drei Cookies, aber ein Scan zeigt zwanzig. Das passiert, wenn kein Cookie-Audit durchgeführt wurde.
- Vorangekreuzte Kontrollkästchen. Kategorien, die standardmäßig auf “an” stehen. Das ist keine aktive Einwilligung.
- Keine Cookie-Richtlinie. Ein Banner existiert, aber nirgends eine Erklärung, welche Cookies Sie setzen und wofür.
- Cookie Wall. Die Website blockieren, bis der Besucher Cookies akzeptiert. Das ist in den meisten EU-Ländern nicht erlaubt.
Führen Sie ein Cookie-Audit durch
Der erste Schritt zu korrekter Cookie-Compliance ist zu wissen, welche Cookies Ihre Website setzt. Öffnen Sie Ihre Website in einem Inkognito-Fenster, öffnen Sie die Entwicklertools (F12) und prüfen Sie den Tab Anwendung > Cookies. Sie werden wahrscheinlich überrascht sein, was Sie finden.
Vorlage: Cookie-Audit
Erfassen Sie alle Cookies systematisch: welches Cookie, von wem, wofür, wie lange aktiv, und ob eine Einwilligung erforderlich ist.
Vorlage ansehenarrow_forwardWas sollten Sie jetzt tun?
- Inventarisieren Sie alle Cookies auf Ihrer Website mit einem Cookie-Audit
- Kategorisieren Sie diese als streng notwendig, analytisch oder Marketing
- Prüfen Sie, ob Ihr Cookie-Banner korrekte, aktive Einwilligung pro Kategorie einholt
- Stellen Sie sicher, dass nicht notwendige Cookies erst nach Einwilligung geladen werden
- Machen Sie Ablehnen genauso einfach wie Akzeptieren
- Wiederholen Sie das Audit nach jeder Website-Änderung und mindestens jährlich
GDPRWise scannt Ihre Website und erkennt automatisch, welche Cookies, Tracker und Drittanbieter aktiv sind. So wissen Sie genau, was sich ändern muss - ohne manuelles Suchen.