Cookies und Tracker DSGVO-konform einzusetzen bedeutet: Nicht notwendige Cookies und Tracking-Dienste dürfen erst nach einer freiwilligen, informierten und eindeutigen Einwilligung des Nutzers geladen werden. Das gilt für First-Party- und Third-Party-Cookies gleichermaßen und betrifft nahezu jede Website, die Analyse-, Marketing- oder Social-Media-Dienste einbindet. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um technische Umsetzung und Prüfung der DSGVO-Konformität.
Welche Arten von Cookies und Trackern unterliegen der DSGVO?
Grundsätzlich unterliegen alle Cookies und Tracker, die personenbezogene Daten verarbeiten oder auf dem Endgerät des Nutzers Informationen speichern oder abrufen, den Anforderungen der DSGVO sowie dem deutschen Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TTDSG). Entscheidend ist nicht die technische Bezeichnung, sondern die Funktion des jeweiligen Elements.
In der Praxis lassen sich folgende Kategorien unterscheiden:
- Technisch notwendige Cookies: Session-Cookies des Webservers (z. B. PHPSESSID), Warenkorb-Cookies in Shops oder Login-Cookies. Sie sind für den Betrieb der Website erforderlich und benötigen keine Einwilligung.
- Analyse- und Tracking-Cookies: Dienste wie Google Analytics setzen First-Party-Cookies (z. B. _gid) unter der Website-Domain, obwohl der Ursprung ein externer Anbieter ist. Diese sind grundsätzlich einwilligungspflichtig.
- Marketing- und Werbe-Cookies: Third-Party-Cookies von Werbenetzwerken (z. B. über Domains wie doubleclick.net). Sie erfordern stets eine Einwilligung.
- Web-Speicher (Local Storage und Session Storage): Technisch keine Cookies im klassischen Sinne, rechtlich aber vergleichbar behandelt. Auch hier gilt die Einwilligungspflicht, wenn die gespeicherten Daten nicht technisch notwendig sind.
Wichtig: Ob ein Cookie First-Party oder Third-Party ist, erkennt man an der Domain. Stimmt die Cookie-Domain mit der Website-Domain überein, handelt es sich um ein First-Party-Cookie. Weicht sie ab, liegt ein Third-Party-Cookie vor. Diese Unterscheidung ist für die Bewertung relevant, ersetzt aber nicht die inhaltliche Prüfung des Zwecks.
Wann ist eine Einwilligung für Cookies und Tracker erforderlich?
Eine Einwilligung ist immer dann erforderlich, wenn Cookies oder Tracker nicht technisch notwendig sind. Für Cookies existiert im deutschen Recht kein Konzept des „berechtigten Interesses“ als Rechtsgrundlage: Entweder ist ein Cookie für den Betrieb der Website unerlässlich, oder es bedarf einer ausdrücklichen Einwilligung des Nutzers vor dem Setzen.
Folgende Konstellationen lösen in der Praxis regelmäßig eine Einwilligungspflicht aus:
- Analyse-Dienste wie Google Analytics oder Matomo, die das Nutzerverhalten aufzeichnen
- Werbedienste und Retargeting-Pixel (z. B. Meta Pixel, Google Ads Conversion Tracking)
- Eingebettete externe Inhalte wie YouTube-Videos oder Social-Media-Widgets, die beim Laden Cookies setzen
- Dienste, die Daten an Server außerhalb der EU übertragen, insbesondere wenn kein ausreichender Drittlandtransfer-Schutz besteht
Eine Besonderheit gilt bei der Kombination von Dienst und Cookie: Wird ein externer Dienst zwar auf Basis berechtigten Interesses eingesetzt, setzt aber seinerseits nicht notwendige Cookies, so wird dadurch der gesamte Dienst einwilligungspflichtig. Diese Wechselwirkung wird in der Praxis häufig übersehen.
Für Dienste, die Daten in sogenannten unsicheren Drittstaaten verarbeiten, ist ebenfalls eine Einwilligung erforderlich. Als Orientierung dient dabei in erster Linie der Hauptsitz des Unternehmens, das den Dienst betreibt. Eine Zertifizierung im US-amerikanischen Data Privacy Framework kann als zusätzliche Garantie berücksichtigt werden.
Wie muss ein DSGVO-konformes Consent-Banner technisch umgesetzt sein?
Ein DSGVO-konformes Consent-Banner muss sicherstellen, dass nicht notwendige Cookies und externe Dienste erst nach einer aktiven, freiwilligen Nutzerentscheidung geladen werden. Das bedeutet technisch: Alle einwilligungspflichtigen Skripte dürfen beim ersten Seitenaufruf noch nicht aktiv sein.
Die wichtigsten technischen Anforderungen im Überblick:
- Kein Vorab-Laden: Tracking-Skripte und nicht notwendige Cookies dürfen vor der Einwilligung weder geladen noch ausgeführt werden.
- Gleichwertige Optionen: Die Schaltflächen „Akzeptieren“ und „Ablehnen“ müssen gleichwertig gestaltet und gleich leicht erreichbar sein. Ein versteckter oder aufwändig zu findender Ablehnen-Button ist nicht zulässig.
- Granulare Auswahlmöglichkeit: Nutzer sollten nach Kategorien (z. B. Analyse, Marketing) differenziert einwilligen oder ablehnen können.
- Widerruf jederzeit möglich: Die Einwilligung muss so einfach widerrufbar sein, wie sie erteilt wurde. Ein dauerhaft zugänglicher Link zur Einstellungsseite des Consent-Banners ist erforderlich.
- Keine vorausgefüllten Checkboxen: Kategorien dürfen nicht standardmäßig als aktiviert voreingestellt sein.
Ein häufiger Implementierungsfehler: Das Consent-Management-Tool ist zwar auf der Seite vorhanden, blockiert aber nicht alle einwilligungspflichtigen Dienste zuverlässig. Technisch korrekte Umsetzung bedeutet, dass das Consent-Tool die Skripte tatsächlich kontrolliert und nicht nur ein informierender Banner ohne echte Blockierfunktion ist.
Wie kann man die technische Cookie-Umsetzung einer Website prüfen?
Die technische Cookie-Umsetzung einer Website lässt sich durch eine Kombination aus manueller Browser-Analyse und automatisierten Scan-Tools prüfen. Ziel ist es, festzustellen, welche Cookies und Tracker vor und nach einer simulierten Einwilligung geladen werden und ob die Datenschutzerklärung alle eingesetzten Dienste korrekt benennt.
Manuelle Prüfung mit Browser-Entwicklertools
Öffnen Sie die Website in einem Browser ohne gespeicherte Cookies (z. B. im Inkognito-Modus) und rufen Sie die Entwicklertools auf (F12). Im Tab „Netzwerk“ und unter „Anwendung“ sehen Sie, welche Cookies und Speichereinträge bereits beim ersten Laden gesetzt werden, also noch vor jeder Nutzerinteraktion. Wiederholen Sie den Vorgang nach dem Klick auf „Alle akzeptieren“, um zu vergleichen, welche Cookies nach der Einwilligung hinzukommen. Diese Methode ist aufwändig, fehleranfällig und skaliert schlecht bei mehreren Unterseiten oder vielen Websites.
Automatisierte Prüfung mit Scan-Tools
Automatisierte Tools simulieren den Seitenaufruf, erkennen vorhandene Consent-Banner und klicken den Akzeptieren-Button, um den Zustand vor und nach der Einwilligung zu erfassen. Sie liefern strukturierte Berichte über alle gefundenen Cookies, ihre Speicherdauer, ihre Quelle (First- oder Third-Party) und ob sie einwilligungspflichtig sind. Zudem prüfen sie, ob die erkannten externen Dienste in der Datenschutzerklärung genannt werden. Für eine vollständige Prüfung sollten nicht nur die Startseite, sondern auch relevante Unterseiten gescannt werden, da Cookies und Tracker häufig nur auf bestimmten Seiten aktiv sind.
Hinweis: Ein automatisierter Scan kann in den meisten Fällen zuverlässig erkennen, welche Cookies und Dienste geladen werden. Er kann jedoch nicht abschließend beurteilen, ob ein Consent-Banner rechtlich wirksam ist, da dies auch von der konkreten Gestaltung und Nutzerführung abhängt.
Was sind typische DSGVO-Verstöße bei Cookies und wie lassen sie sich beheben?
Die häufigsten DSGVO-Verstöße bei Cookies betreffen das Laden nicht notwendiger Cookies vor der Einwilligung, fehlende oder unvollständige Datenschutzerklärungen sowie technisch mangelhafte Consent-Banner. Diese Probleme lassen sich in den meisten Fällen durch gezielte technische Anpassungen beheben.
Typische Verstöße und ihre Lösungen:
- Nicht notwendige Cookies ohne Einwilligung: Tracking-Skripte werden direkt im Quellcode eingebunden, ohne vom Consent-Tool kontrolliert zu werden. Lösung: Alle einwilligungspflichtigen Skripte müssen über das Consent-Management-System gesteuert werden, nicht direkt im HTML oder über den Tag Manager ohne Consent-Verknüpfung.
- Google Analytics ohne IP-Anonymisierung: Wird Google Analytics ohne Anonymisierung der IP-Adresse eingesetzt, kann dies ein zusätzliches Datenschutzrisiko darstellen. Lösung: Anonymize-IP-Funktion aktivieren oder auf eine datenschutzfreundlichere Alternative wechseln.
- Fehlende Nennung externer Dienste in der Datenschutzerklärung: Dienste wie Fonts, CDNs oder eingebettete Karten werden eingesetzt, aber nicht dokumentiert. Lösung: Datenschutzerklärung regelmäßig auf Vollständigkeit prüfen und alle eingesetzten Dienste inklusive Rechtsgrundlage und Drittlandtransfer aufführen.
- Consent-Banner ohne echte Blockierfunktion: Ein Banner informiert zwar über Cookies, verhindert aber nicht deren Laden. Lösung: Wechsel zu einer Consent-Management-Plattform, die Skripte tatsächlich kontrolliert und erst nach Einwilligung freigibt.
- Unbekannte Cookies ohne Zuordnung: Manche Cookies lassen sich keinem bekannten Dienst zuordnen. Lösung: Quellcode und eingebundene Skripte prüfen, um die Herkunft zu identifizieren und ggf. zu entfernen oder korrekt einzuwilligen.
Wie lässt sich die DSGVO-Konformität von Cookies dauerhaft sicherstellen?
DSGVO-Konformität bei Cookies ist kein einmaliger Zustand, sondern ein fortlaufender Prozess. Websites verändern sich: Plugins werden aktualisiert, neue Dienste werden eingebunden, Consent-Banner-Konfigurationen können sich ändern. Ohne regelmäßige Überprüfung entstehen neue Lücken, oft ohne dass Betreiber oder Datenschutzbeauftragte davon wissen.
Folgende Maßnahmen helfen, die Konformität dauerhaft zu unterstützen:
- Regelmäßige Scans: Mindestens monatlich sollte eine vollständige Prüfung aller relevanten Unterseiten erfolgen, nicht nur der Startseite.
- Monitoring bei Änderungen: Automatisierte Überwachung, die bei neu auftretenden Cookies oder Diensten eine Benachrichtigung auslöst, ermöglicht eine proaktive statt reaktive Reaktion.
- Aktuelle Datenschutzerklärung: Die Datenschutzerklärung muss zeitnah angepasst werden, wenn neue Dienste eingesetzt oder bestehende Dienste geändert werden. Ein DSGVO-Check auf Basis aktueller Scan-Ergebnisse hilft dabei, Lücken frühzeitig zu erkennen.
- Dokumentation und Nachweisbarkeit: Compliance-Bemühungen sollten dokumentiert werden, um bei Anfragen von Aufsichtsbehörden oder Abmahnungen nachweisen zu können, dass systematisch geprüft wurde.
- Einbindung des Datenschutzbeauftragten: Technische Prüfungen ersetzen nicht die rechtliche Bewertung durch einen qualifizierten Datenschutzbeauftragten oder eine Kanzlei.
Wie decareto Sie bei der Cookie-Compliance unterstützt
Wir haben decareto entwickelt, um genau die Lücken zu schließen, die bei manuellen Prüfungen regelmäßig entstehen. Unsere SaaS-Plattform scannt Websites automatisiert auf Cookie- und Tracker-Probleme und liefert strukturierte Berichte, die Datenschutzbeauftragten, Agenturen und Compliance-Teams konkrete Handlungsbedarfe aufzeigen.
Was decareto konkret für Sie leistet:
- Automatisierter Website-Scan: Wir prüfen Startseite, Unterseiten und passwortgeschützte Bereiche auf Cookies, Tracker und externe Dienste, jeweils vor und nach simulierter Einwilligung.
- Consent-Banner-Erkennung: decareto identifiziert gängige Consent-Management-Lösungen und simuliert die Nutzerinteraktion, um den Zustand mit und ohne Einwilligung zu vergleichen.
- Risiko-Bewertung: Fehlende Einwilligungen, nicht genannte Dienste in der Datenschutzerklärung oder Google Analytics ohne IP-Anonymisierung werden mit Warnungen und einem Risiko-Score ausgewiesen.
- Datenschutzerklärung-Generator: Auf Basis der Scan-Ergebnisse erstellen wir passgenaue Datenschutzerklärungen in 24 Sprachen, die stets den aktuellen Stand der Website widerspiegeln.
- Dauerhaftes Monitoring: Hunderte Websites lassen sich kontinuierlich überwachen; bei relevanten Änderungen erhalten Sie automatisch eine Benachrichtigung.
- Whitelabel-Funktion: Externe Dienstleister können Reports unter eigenem Logo an ihre Kunden weitergeben.
Starten Sie jetzt und prüfen Sie Ihre Website mit decareto: Jetzt kostenlos testen und in wenigen Minuten einen ersten Überblick über die Cookie-Situation Ihrer Website erhalten.
Dieser Text wurde mit Hilfe von KI erstellt und könnte Fehler beinhalten.
Ähnliche Artikel
- Wie erkennt man Barrierefreiheitsprobleme bei eingebetteten Karten?
- Gibt mein Zahlungsanbieter (z. B. PayPal, Stripe) unzulässig Daten an Dritte weiter?
- Welche Rechtsgrundlage muss meine Website für die Verarbeitung personenbezogener Daten nachweisen können?
- Wie liest man einen DSGVO-Audit-Report richtig und was bedeuten die Risikostufen?
- Was sind die wichtigsten WCAG-Kriterien für Online-Shops?
