Cookies und Tracker DSGVO-konform einzusetzen bedeutet: Nicht notwendige Cookies und Tracking-Dienste d\u00fcrfen erst nach einer freiwilligen, informierten und eindeutigen Einwilligung des Nutzers geladen werden. Das gilt f\u00fcr First-Party- und Third-Party-Cookies gleicherma\u00dfen und betrifft nahezu jede Website, die Analyse-, Marketing- oder Social-Media-Dienste einbindet. Die folgenden Abschnitte beantworten die wichtigsten Fragen rund um technische Umsetzung und Pr\u00fcfung der DSGVO-Konformit\u00e4t.<\/p>\n\n\n\n
Grunds\u00e4tzlich unterliegen alle Cookies und Tracker, die personenbezogene Daten verarbeiten oder auf dem Endger\u00e4t des Nutzers Informationen speichern oder abrufen, den Anforderungen der DSGVO sowie dem deutschen Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TTDSG). Entscheidend ist nicht die technische Bezeichnung, sondern die Funktion des jeweiligen Elements.<\/p>\n\n\n\n
In der Praxis lassen sich folgende Kategorien unterscheiden:<\/p>\n\n\n\n
Wichtig: Ob ein Cookie First-Party oder Third-Party ist, erkennt man an der Domain. Stimmt die Cookie-Domain mit der Website-Domain \u00fcberein, handelt es sich um ein First-Party-Cookie. Weicht sie ab, liegt ein Third-Party-Cookie vor. Diese Unterscheidung ist f\u00fcr die Bewertung relevant, ersetzt aber nicht die inhaltliche Pr\u00fcfung des Zwecks.<\/p>\n\n\n\n
Eine Einwilligung ist immer dann erforderlich, wenn Cookies oder Tracker nicht technisch notwendig sind. F\u00fcr Cookies existiert im deutschen Recht kein Konzept des \u201eberechtigten Interesses“ als Rechtsgrundlage: Entweder ist ein Cookie f\u00fcr den Betrieb der Website unerl\u00e4sslich, oder es bedarf einer ausdr\u00fccklichen Einwilligung des Nutzers vor dem Setzen.<\/p>\n\n\n\n
Folgende Konstellationen l\u00f6sen in der Praxis regelm\u00e4\u00dfig eine Einwilligungspflicht aus:<\/p>\n\n\n\n
Eine Besonderheit gilt bei der Kombination von Dienst und Cookie: Wird ein externer Dienst zwar auf Basis berechtigten Interesses eingesetzt, setzt aber seinerseits nicht notwendige Cookies, so wird dadurch der gesamte Dienst einwilligungspflichtig. Diese Wechselwirkung wird in der Praxis h\u00e4ufig \u00fcbersehen.<\/p>\n\n\n\n
F\u00fcr Dienste, die Daten in sogenannten unsicheren Drittstaaten verarbeiten, ist ebenfalls eine Einwilligung erforderlich. Als Orientierung dient dabei in erster Linie der Hauptsitz des Unternehmens, das den Dienst betreibt. Eine Zertifizierung im US-amerikanischen Data Privacy Framework kann als zus\u00e4tzliche Garantie ber\u00fccksichtigt werden.<\/p>\n\n\n\n
Ein DSGVO-konformes Consent-Banner muss sicherstellen, dass nicht notwendige Cookies und externe Dienste erst nach einer aktiven, freiwilligen Nutzerentscheidung geladen werden. Das bedeutet technisch: Alle einwilligungspflichtigen Skripte d\u00fcrfen beim ersten Seitenaufruf noch nicht aktiv sein.<\/p>\n\n\n\n
Die wichtigsten technischen Anforderungen im \u00dcberblick:<\/p>\n\n\n\n
Ein h\u00e4ufiger Implementierungsfehler: Das Consent-Management-Tool ist zwar auf der Seite vorhanden, blockiert aber nicht alle einwilligungspflichtigen Dienste zuverl\u00e4ssig. Technisch korrekte Umsetzung bedeutet, dass das Consent-Tool die Skripte tats\u00e4chlich kontrolliert und nicht nur ein informierender Banner ohne echte Blockierfunktion ist.<\/p>\n\n\n\n
Die technische Cookie-Umsetzung einer Website l\u00e4sst sich durch eine Kombination aus manueller Browser-Analyse und automatisierten Scan-Tools pr\u00fcfen. Ziel ist es, festzustellen, welche Cookies und Tracker vor und nach einer simulierten Einwilligung geladen werden und ob die Datenschutzerkl\u00e4rung alle eingesetzten Dienste korrekt benennt.<\/p>\n\n\n\n
\u00d6ffnen Sie die Website in einem Browser ohne gespeicherte Cookies (z. B. im Inkognito-Modus) und rufen Sie die Entwicklertools auf (F12). Im Tab \u201eNetzwerk“ und unter \u201eAnwendung“ sehen Sie, welche Cookies und Speichereintr\u00e4ge bereits beim ersten Laden gesetzt werden, also noch vor jeder Nutzerinteraktion. Wiederholen Sie den Vorgang nach dem Klick auf \u201eAlle akzeptieren“, um zu vergleichen, welche Cookies nach der Einwilligung hinzukommen. Diese Methode ist aufw\u00e4ndig, fehleranf\u00e4llig und skaliert schlecht bei mehreren Unterseiten oder vielen Websites.<\/p>\n\n\n\n
Automatisierte Tools simulieren den Seitenaufruf, erkennen vorhandene Consent-Banner und klicken den Akzeptieren-Button, um den Zustand vor und nach der Einwilligung zu erfassen. Sie liefern strukturierte Berichte \u00fcber alle gefundenen Cookies, ihre Speicherdauer, ihre Quelle (First- oder Third-Party) und ob sie einwilligungspflichtig sind. Zudem pr\u00fcfen sie, ob die erkannten externen Dienste in der Datenschutzerkl\u00e4rung<\/a> genannt werden. F\u00fcr eine vollst\u00e4ndige Pr\u00fcfung sollten nicht nur die Startseite, sondern auch relevante Unterseiten gescannt werden, da Cookies und Tracker h\u00e4ufig nur auf bestimmten Seiten aktiv sind.<\/p>\n\n\n\n Hinweis: Ein automatisierter Scan kann in den meisten F\u00e4llen zuverl\u00e4ssig erkennen, welche Cookies und Dienste geladen werden. Er kann jedoch nicht abschlie\u00dfend beurteilen, ob ein Consent-Banner rechtlich wirksam ist, da dies auch von der konkreten Gestaltung und Nutzerf\u00fchrung abh\u00e4ngt.<\/p>\n\n\n\n Die h\u00e4ufigsten DSGVO-Verst\u00f6\u00dfe bei Cookies betreffen das Laden nicht notwendiger Cookies vor der Einwilligung, fehlende oder unvollst\u00e4ndige Datenschutzerkl\u00e4rungen sowie technisch mangelhafte Consent-Banner. Diese Probleme lassen sich in den meisten F\u00e4llen durch gezielte technische Anpassungen beheben.<\/p>\n\n\n\n Typische Verst\u00f6\u00dfe und ihre L\u00f6sungen:<\/p>\n\n\n\n DSGVO-Konformit\u00e4t bei Cookies ist kein einmaliger Zustand, sondern ein fortlaufender Prozess. Websites ver\u00e4ndern sich: Plugins werden aktualisiert, neue Dienste werden eingebunden, Consent-Banner-Konfigurationen k\u00f6nnen sich \u00e4ndern. Ohne regelm\u00e4\u00dfige \u00dcberpr\u00fcfung entstehen neue L\u00fccken, oft ohne dass Betreiber oder Datenschutzbeauftragte davon wissen.<\/p>\n\n\n\n Folgende Ma\u00dfnahmen helfen, die Konformit\u00e4t dauerhaft zu unterst\u00fctzen:<\/p>\n\n\n\n Wir haben decareto entwickelt, um genau die L\u00fccken zu schlie\u00dfen, die bei manuellen Pr\u00fcfungen regelm\u00e4\u00dfig entstehen. Unsere SaaS-Plattform scannt Websites automatisiert auf Cookie- und Tracker-Probleme und liefert strukturierte Berichte, die Datenschutzbeauftragten, Agenturen und Compliance-Teams konkrete Handlungsbedarfe aufzeigen.<\/p>\n\n\n\n Was decareto konkret f\u00fcr Sie leistet:<\/p>\n\n\n\nWas sind typische DSGVO-Verst\u00f6\u00dfe bei Cookies und wie lassen sie sich beheben?<\/h2>\n\n\n\n
\n
Wie l\u00e4sst sich die DSGVO-Konformit\u00e4t von Cookies dauerhaft sicherstellen?<\/h2>\n\n\n\n
\n
Wie decareto Sie bei der Cookie-Compliance unterst\u00fctzt<\/h2>\n\n\n\n
\n