Welche Datenschutzlücken entstehen durch unsichere Cookie-Einbindungen?

Unsichere Cookie-Einbindungen entstehen vor allem dann, wenn Cookies und externe Dienste geladen werden, bevor eine wirksame Einwilligung des Nutzers vorliegt, oder wenn die Datenschutzerklärung die eingesetzten Dienste nicht vollständig benennt. Das Ergebnis sind Datenschutzlücken, die sowohl gegen die DSGVO als auch gegen das deutsche TTDSG verstoßen können. Die folgenden Fragen beleuchten, welche Daten dabei übertragen werden, welche rechtlichen Risiken entstehen und wie Sie Schwachstellen in der Cookie-Einbindung Ihrer Website systematisch erkennen und beheben.

Welche Daten werden durch unsichere Cookies übertragen?

Durch unsichere Cookie-Einbindungen kann eine Vielzahl personenbezogener Daten an Dritte übertragen werden, darunter IP-Adressen, Gerätekennungen, Browserinformationen, Standortdaten und Informationen über das Nutzerverhalten auf der Website. Bereits das bloße Einbinden eines externen Dienstes stellt eine Datenverarbeitung dar, da dabei die IP-Adresse des Browsers an den Anbieter übermittelt wird.

Dabei ist zu unterscheiden, welche Art von Cookie betroffen ist. Third-Party-Cookies werden direkt von externen Anbietern gesetzt und übertragen Daten an deren Server, häufig im Ausland. First-Party-Cookies hingegen erscheinen unter der eigenen Website-Domain, können aber dennoch von externen Diensten wie Google Analytics erzeugt worden sein. So setzt Google Analytics beispielsweise das Cookie _gid unter der eigenen Website-Domain, obwohl es von einem externen Dienst stammt.

Besonders kritisch wird es, wenn Dienste Daten in unsicheren Drittstaaten verarbeiten. Maßgeblich ist dabei der Sitz des Hauptquartiers des Unternehmens, das den Dienst betreibt. Ohne ausreichende Garantien wie eine Zertifizierung im EU-US Data Privacy Framework oder Standardvertragsklauseln ist eine solche Übertragung ohne Einwilligung in der Regel unzulässig. Neben echten Cookies werden auch Einträge im Local Storage und Session Storage übertragen, die häufig übersehen werden, aber datenschutzrechtlich ebenso relevant sind.

Wann gilt eine Cookie-Einbindung als datenschutzrechtlich problematisch?

Eine Cookie-Einbindung gilt als datenschutzrechtlich problematisch, wenn technisch nicht notwendige Cookies oder externe Dienste geladen werden, ohne dass zuvor eine wirksame Einwilligung des Nutzers eingeholt wurde. Für Cookies ist dabei nicht die DSGVO, sondern primär das deutsche TTDSG bzw. sind die ePrivacy-Regelungen maßgeblich, die für nicht notwendige Cookies stets eine Einwilligung verlangen.

Die Abgrenzung zwischen notwendigen und nicht notwendigen Cookies ist dabei entscheidend. Als technisch notwendig gelten typischerweise:

• Cookies, die vom eigenen Webserver gesetzt werden, etwa Session-Cookies wie PHPSESSID
• Cookies externer Dienste, deren Rechtsgrundlage die Erfüllung einer rechtlichen Verpflichtung ist, zum Beispiel Consent-Management-Tools
• JavaScript-Bibliotheken zur reinen Frontend-Gestaltung, die das Endgerät nicht verlassen

Als nicht notwendig und damit einwilligungspflichtig gelten hingegen Cookies externer Dienste aus den Kategorien Werbung und Analytics. Eine wichtige Besonderheit: Wird ein Dienst auf Basis berechtigten Interesses eingesetzt, setzt aber seinerseits nicht notwendige Cookies, benötigt der gesamte Dienst eine Einwilligung. Das bedeutet, dass die Rechtsgrundlage des Dienstes und die Art der gesetzten Cookies gemeinsam bewertet werden müssen, nicht isoliert voneinander.

Problematisch ist eine Cookie-Einbindung darüber hinaus, wenn externe Dienste nicht in der Datenschutzerklärung genannt werden oder wenn Google Analytics ohne IP-Anonymisierung betrieben wird. Auch ein Consent-Banner, das technisch nur informiert, aber keine echte Einwilligung im Sinne der DSGVO einholt, schließt eine Datenschutzlücke nicht.

Welche rechtlichen Risiken entstehen durch fehlerhafte Cookie-Einbindungen?

Fehlerhafte Cookie-Einbindungen können zu Abmahnungen durch Mitbewerber oder Verbraucherschutzverbände, zu behördlichen Bußgeldverfahren durch Datenschutzaufsichtsbehörden sowie zu Reputationsschäden führen. Da sowohl die DSGVO als auch das TTDSG Verstöße sanktionieren, sind Unternehmen gleich auf mehreren rechtlichen Ebenen angreifbar.

Besonders relevant ist das Wettbewerbsrecht: Werden Cookies ohne Einwilligung gesetzt, kann dies als unlautere Geschäftspraktik eingestuft werden, die Mitbewerbern eine Abmahnung ermöglicht. Aufsichtsbehörden können zudem Untersuchungen einleiten, wenn Beschwerden eingehen oder Websites im Rahmen von Kontrollaktionen geprüft werden. Dabei ist zu beachten, dass Datenschutzbehörden in der EU zunehmend auch kleinere Unternehmen und Websites in ihre Prüfungen einbeziehen.

Ein weiteres Risiko entsteht durch Drittstaatentransfers ohne ausreichende Garantien. Werden personenbezogene Daten an Unternehmen mit Sitz außerhalb der EU übermittelt, ohne dass eine Zertifizierung im EU-US Data Privacy Framework oder Standardvertragsklauseln vorliegen, verstößt dies gegen Kapitel V der DSGVO. Dieser Aspekt wird häufig unterschätzt, weil viele gängige Dienste wie Webfonts, Analytics-Tools oder Werbenetze Daten in die USA übertragen.

Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. Für eine rechtlich verbindliche Einschätzung Ihrer individuellen Situation empfehlen wir, einen qualifizierten Datenschutzbeauftragten oder eine Rechtsanwaltskanzlei hinzuzuziehen.

Wie erkennt man Datenschutzlücken in der Cookie-Einbindung einer Website?

Datenschutzlücken in der Cookie-Einbindung erkennt man, indem man systematisch prüft, welche Cookies und externen Dienste vor und nach einer Nutzerinteraktion mit dem Consent-Banner geladen werden, ob diese in der Datenschutzerklärung genannt sind und ob für einwilligungspflichtige Dienste tatsächlich eine Einwilligung eingeholt wird. Ein strukturierter DSGVO-Website-Check deckt diese Schwachstellen systematisch auf.

Konkret sollten folgende Punkte geprüft werden:

• Cookies vor Einwilligung: Werden nicht notwendige Cookies bereits beim ersten Seitenaufruf gesetzt, bevor der Nutzer dem Consent-Banner zugestimmt hat?
• Externe Dienste ohne Einwilligung: Werden externe Dienste wie Analytics- oder Werbetools geladen, bevor eine Einwilligung vorliegt?
• Vollständigkeit der Datenschutzerklärung: Sind alle eingesetzten Dienste und die zugehörigen Datenübertragungen in der Datenschutzerklärung dokumentiert?
• Drittstaatentransfers: Werden Daten an Dienste außerhalb der EU übertragen, und gibt es dafür ausreichende Garantien?
• Cookie-Attribute: Verfügen Cookies über die Attribute Secure und HttpOnly, um sie vor Ausspähung und Cross-Site-Scripting zu schützen?
• Unterseiten: Werden auch Unterseiten geprüft, nicht nur die Startseite, da externe Dienste häufig nur auf bestimmten Seiten eingebunden sind?

Manuell ist diese Prüfung aufwendig und fehleranfällig, insbesondere wenn eine Website viele Unterseiten hat oder regelmäßig aktualisiert wird. Automatisierte Scan-Werkzeuge können dabei helfen, den Überblick zu behalten und Änderungen frühzeitig zu erkennen.

Was sind häufige Fehler bei der Einbindung von Cookie-Consent-Lösungen?

Die häufigsten Fehler bei Cookie-Consent-Lösungen sind: das Laden nicht notwendiger Cookies vor der Einwilligung, ein Banner, das nur informiert, aber keine echte Einwilligung einholt, eine fehlende oder unvollständige Datenschutzerklärung sowie das Fehlen einer gleichwertigen Ablehnungsmöglichkeit neben der Zustimmung.

Technische Fehler bei der Implementierung

Viele Consent-Banner sind technisch nicht korrekt eingebunden. Ein häufiges Problem: Skripte von Drittanbietern werden im Quellcode der Website vor dem Consent-Tool geladen, sodass Cookies gesetzt werden, noch bevor der Nutzer überhaupt eine Entscheidung treffen konnte. Auch die Simulation einer Einwilligung durch automatisches Anklicken des Akzeptieren-Buttons ohne echte Consent-Management-Funktionalität ist ein verbreitetes Problem. Ein Banner, das lediglich über Cookies informiert, ohne eine technisch wirksame Einwilligung einzuholen, erfüllt die Anforderungen der DSGVO in der Regel nicht.

Inhaltliche und rechtliche Fehler

Neben technischen Problemen entstehen Lücken häufig auf inhaltlicher Ebene. Dazu gehören:

• Externe Dienste, die im Consent-Banner aufgeführt sind, aber nicht in der Datenschutzerklärung genannt werden
• Falsch kategorisierte Dienste, etwa wenn ein Analytics-Dienst fälschlicherweise als notwendig eingestuft wird
• Fehlende Dokumentation von Drittstaatentransfers in der Datenschutzerklärung
• Google Analytics ohne IP-Anonymisierung, obwohl dies datenschutzrechtlich geboten ist
• Consent-Banner, die keine gleichwertige Ablehnungsoption anbieten und damit die Freiwilligkeit der Einwilligung infrage stellen

Wie lassen sich Cookie-Datenschutzlücken dauerhaft schließen?

Cookie-Datenschutzlücken lassen sich dauerhaft schließen, indem Websites regelmäßig und systematisch auf Cookies, externe Dienste und Consent-Verhalten geprüft werden, eine technisch korrekte Consent-Management-Lösung eingesetzt wird und die Datenschutzerklärung stets aktuell und vollständig gehalten wird. Einmalige Prüfungen reichen nicht aus, da sich Websites und die eingebundenen Dienste laufend ändern.

Folgende Maßnahmen bilden die Grundlage für eine dauerhaft solide Cookie-Compliance:

1. Technisch korrekte Consent-Lösung einsetzen: Nutzen Sie ein Consent-Management-Tool, das Skripte von Drittanbietern tatsächlich blockiert, bis eine Einwilligung vorliegt, und das eine gleichwertige Ablehnungsoption bietet.
2. Datenschutzerklärung aktuell halten: Alle eingesetzten externen Dienste, Cookies und Drittstaatentransfers müssen vollständig und aktuell dokumentiert sein. Ein Datenschutzgenerator kann dabei helfen, passgenaue Texte auf Basis der tatsächlich eingesetzten Dienste zu erstellen.
3. Regelmäßige Scans durchführen: Websites verändern sich durch Updates, neue Plugins oder geänderte Drittanbieter-Skripte. Regelmäßige automatisierte Scans stellen sicher, dass neu entstandene Lücken zeitnah erkannt werden.
4. Unterseiten einbeziehen: Prüfen Sie nicht nur die Startseite, sondern auch Unterseiten, da externe Dienste häufig nur auf bestimmten Seiten eingebunden sind.
5. Monitoring einrichten: Automatische Benachrichtigungen bei Änderungen an der Website helfen, neue Datenschutzlücken frühzeitig zu erkennen, bevor sie zum Problem werden.

Wichtig ist dabei, dass automatisierte Prüfungen die Arbeit eines qualifizierten Datenschutzbeauftragten unterstützen, aber nicht ersetzen. Insbesondere bei komplexen Datenverarbeitungen oder unklaren Rechtsgrundlagen ist fachkundige Beratung unerlässlich.

Wie decareto bei der Erkennung von Cookie-Datenschutzlücken unterstützt

Wir haben decareto entwickelt, um genau die Schwachstellen sichtbar zu machen, die bei manuellen Prüfungen leicht übersehen werden. Unsere SaaS-Plattform scannt Websites automatisiert auf Cookie-Datenschutzlücken und liefert strukturierte Berichte mit konkreten Handlungsempfehlungen. Im Einzelnen unterstützt decareto Sie dabei:

• Automatische Erkennung von Cookies und externen Diensten: Wir erfassen alle gesetzten Cookies, Local- und Session-Storage-Einträge sowie externe Dienste, sowohl auf der Startseite als auch auf Unterseiten und in passwortgeschützten Bereichen.
• Bewertung der Einwilligungssituation: Wir prüfen, welche Cookies und Dienste vor und nach einer Nutzerinteraktion mit dem Consent-Banner geladen werden, und zeigen Warnungen an, wenn nicht notwendige Cookies ohne Einwilligung gesetzt werden.
• Drittstaatentransfers erkennen: Unsere Datenbank mit über 4.000 Drittanbietern ermöglicht es, Dienste mit Sitz außerhalb der EU zu identifizieren und zu prüfen, ob ausreichende Garantien wie eine Zertifizierung im EU-US Data Privacy Framework vorliegen.
• Datenschutzerklärung prüfen und generieren: Wir prüfen, ob alle erkannten Dienste in der Datenschutzerklärung genannt sind, und stellen einen Datenschutzgenerator bereit, der auf Basis der Scan-Ergebnisse passgenaue Texte in 24 Sprachen erstellt.
• Dauerhaftes Monitoring: Hunderte Websites lassen sich kontinuierlich überwachen, bei Änderungen werden automatische Benachrichtigungen ausgelöst, sodass neue Lücken zeitnah erkannt werden.

Datenschutzbeauftragte, Agenturen und Compliance-Teams können den Aufwand für Web-Audits mit decareto typischerweise deutlich reduzieren. Testen Sie decareto und führen Sie Ihren ersten DSGVO-Website-Check durch, um zu sehen, welche Cookie-Datenschutzlücken auf Ihrer Website bestehen.

Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.

Ähnliche Artikel

• Welche Barrierefreiheitsanforderungen gelten für digitale Dokumente?
• Welche Auswirkungen hat Google Analytics auf die DSGVO-Compliance meiner Website?
• Welche Barrierefreiheitsanforderungen gelten für Fehlerhinweise in Formularen?
• Wie lässt sich ein Barrierefreiheits-Report für Kunden aufbereiten?
• Wie liest man einen DSGVO-Audit-Report richtig und was bedeuten die Risikostufen?