Unsichere Cookie-Einbindungen entstehen vor allem dann, wenn Cookies und externe Dienste geladen werden, bevor eine wirksame Einwilligung des Nutzers vorliegt, oder wenn die Datenschutzerkl\u00e4rung die eingesetzten Dienste nicht vollst\u00e4ndig benennt. Das Ergebnis sind Datenschutzl\u00fccken, die sowohl gegen die DSGVO als auch gegen das deutsche TTDSG versto\u00dfen k\u00f6nnen. Die folgenden Fragen beleuchten, welche Daten dabei \u00fcbertragen werden, welche rechtlichen Risiken entstehen und wie Sie Schwachstellen in der Cookie-Einbindung Ihrer Website systematisch erkennen und beheben.<\/p>\n\n\n\n
Durch unsichere Cookie-Einbindungen kann eine Vielzahl personenbezogener Daten an Dritte \u00fcbertragen werden, darunter IP-Adressen, Ger\u00e4tekennungen, Browserinformationen, Standortdaten und Informationen \u00fcber das Nutzerverhalten auf der Website. Bereits das blo\u00dfe Einbinden eines externen Dienstes stellt eine Datenverarbeitung dar, da dabei die IP-Adresse des Browsers an den Anbieter \u00fcbermittelt wird.<\/p>\n\n\n\n
Dabei ist zu unterscheiden, welche Art von Cookie betroffen ist. Third-Party-Cookies<\/strong> werden direkt von externen Anbietern gesetzt und \u00fcbertragen Daten an deren Server, h\u00e4ufig im Ausland. First-Party-Cookies<\/strong> hingegen erscheinen unter der eigenen Website-Domain, k\u00f6nnen aber dennoch von externen Diensten wie Google Analytics erzeugt worden sein. So setzt Google Analytics beispielsweise das Cookie Besonders kritisch wird es, wenn Dienste Daten in unsicheren Drittstaaten verarbeiten. Ma\u00dfgeblich ist dabei der Sitz des Hauptquartiers des Unternehmens, das den Dienst betreibt. Ohne ausreichende Garantien wie eine Zertifizierung im EU-US Data Privacy Framework oder Standardvertragsklauseln ist eine solche \u00dcbertragung ohne Einwilligung in der Regel unzul\u00e4ssig. Neben echten Cookies werden auch Eintr\u00e4ge im Local Storage und Session Storage \u00fcbertragen, die h\u00e4ufig \u00fcbersehen werden, aber datenschutzrechtlich ebenso relevant sind.<\/p>\n\n\n\n Eine Cookie-Einbindung gilt als datenschutzrechtlich problematisch, wenn technisch nicht notwendige Cookies oder externe Dienste geladen werden, ohne dass zuvor eine wirksame Einwilligung des Nutzers eingeholt wurde. F\u00fcr Cookies ist dabei nicht die DSGVO, sondern prim\u00e4r das deutsche TTDSG bzw. sind die ePrivacy-Regelungen ma\u00dfgeblich, die f\u00fcr nicht notwendige Cookies stets eine Einwilligung verlangen.<\/p>\n\n\n\n Die Abgrenzung zwischen notwendigen und nicht notwendigen Cookies ist dabei entscheidend. Als technisch notwendig gelten typischerweise:<\/p>\n\n\n\n Als nicht notwendig und damit einwilligungspflichtig gelten hingegen Cookies externer Dienste aus den Kategorien Werbung und Analytics. Eine wichtige Besonderheit: Wird ein Dienst auf Basis berechtigten Interesses eingesetzt, setzt aber seinerseits nicht notwendige Cookies, ben\u00f6tigt der gesamte Dienst eine Einwilligung. Das bedeutet, dass die Rechtsgrundlage des Dienstes und die Art der gesetzten Cookies gemeinsam bewertet werden m\u00fcssen, nicht isoliert voneinander.<\/p>\n\n\n\n Problematisch ist eine Cookie-Einbindung dar\u00fcber hinaus, wenn externe Dienste nicht in der Datenschutzerkl\u00e4rung genannt werden oder wenn Google Analytics ohne IP-Anonymisierung betrieben wird. Auch ein Consent-Banner, das technisch nur informiert, aber keine echte Einwilligung im Sinne der DSGVO einholt, schlie\u00dft eine Datenschutzl\u00fccke nicht.<\/p>\n\n\n\n Fehlerhafte Cookie-Einbindungen k\u00f6nnen zu Abmahnungen durch Mitbewerber oder Verbraucherschutzverb\u00e4nde, zu beh\u00f6rdlichen Bu\u00dfgeldverfahren durch Datenschutzaufsichtsbeh\u00f6rden sowie zu Reputationssch\u00e4den f\u00fchren. Da sowohl die DSGVO als auch das TTDSG Verst\u00f6\u00dfe sanktionieren, sind Unternehmen gleich auf mehreren rechtlichen Ebenen angreifbar.<\/p>\n\n\n\n Besonders relevant ist das Wettbewerbsrecht: Werden Cookies ohne Einwilligung gesetzt, kann dies als unlautere Gesch\u00e4ftspraktik eingestuft werden, die Mitbewerbern eine Abmahnung erm\u00f6glicht. Aufsichtsbeh\u00f6rden k\u00f6nnen zudem Untersuchungen einleiten, wenn Beschwerden eingehen oder Websites im Rahmen von Kontrollaktionen gepr\u00fcft werden. Dabei ist zu beachten, dass Datenschutzbeh\u00f6rden in der EU zunehmend auch kleinere Unternehmen und Websites in ihre Pr\u00fcfungen einbeziehen.<\/p>\n\n\n\n Ein weiteres Risiko entsteht durch Drittstaatentransfers ohne ausreichende Garantien. Werden personenbezogene Daten an Unternehmen mit Sitz au\u00dferhalb der EU \u00fcbermittelt, ohne dass eine Zertifizierung im EU-US Data Privacy Framework oder Standardvertragsklauseln vorliegen, verst\u00f6\u00dft dies gegen Kapitel V der DSGVO. Dieser Aspekt wird h\u00e4ufig untersch\u00e4tzt, weil viele g\u00e4ngige Dienste wie Webfonts, Analytics-Tools oder Werbenetze Daten in die USA \u00fcbertragen.<\/p>\n\n\n\n Hinweis: Dieser Artikel stellt keine Rechtsberatung dar. F\u00fcr eine rechtlich verbindliche Einsch\u00e4tzung Ihrer individuellen Situation empfehlen wir, einen qualifizierten Datenschutzbeauftragten oder eine Rechtsanwaltskanzlei hinzuzuziehen.<\/em><\/p>\n\n\n\n Datenschutzl\u00fccken in der Cookie-Einbindung erkennt man, indem man systematisch pr\u00fcft, welche Cookies und externen Dienste vor und nach einer Nutzerinteraktion mit dem Consent-Banner geladen werden, ob diese in der Datenschutzerkl\u00e4rung genannt sind und ob f\u00fcr einwilligungspflichtige Dienste tats\u00e4chlich eine Einwilligung eingeholt wird. Ein strukturierter DSGVO-Website-Check<\/a> deckt diese Schwachstellen systematisch auf.<\/p>\n\n\n\n Konkret sollten folgende Punkte gepr\u00fcft werden:<\/p>\n\n\n\n Manuell ist diese Pr\u00fcfung aufwendig und fehleranf\u00e4llig, insbesondere wenn eine Website viele Unterseiten hat oder regelm\u00e4\u00dfig aktualisiert wird. Automatisierte Scan-Werkzeuge k\u00f6nnen dabei helfen, den \u00dcberblick zu behalten und \u00c4nderungen fr\u00fchzeitig zu erkennen.<\/p>\n\n\n\n Die h\u00e4ufigsten Fehler bei Cookie-Consent-L\u00f6sungen sind: das Laden nicht notwendiger Cookies vor der Einwilligung, ein Banner, das nur informiert, aber keine echte Einwilligung einholt, eine fehlende oder unvollst\u00e4ndige Datenschutzerkl\u00e4rung sowie das Fehlen einer gleichwertigen Ablehnungsm\u00f6glichkeit neben der Zustimmung.<\/p>\n\n\n\n Viele Consent-Banner sind technisch nicht korrekt eingebunden. Ein h\u00e4ufiges Problem: Skripte von Drittanbietern werden im Quellcode der Website vor dem Consent-Tool geladen, sodass Cookies gesetzt werden, noch bevor der Nutzer \u00fcberhaupt eine Entscheidung treffen konnte. Auch die Simulation einer Einwilligung durch automatisches Anklicken des Akzeptieren-Buttons ohne echte Consent-Management-Funktionalit\u00e4t ist ein verbreitetes Problem. Ein Banner, das lediglich \u00fcber Cookies informiert, ohne eine technisch wirksame Einwilligung einzuholen, erf\u00fcllt die Anforderungen der DSGVO in der Regel nicht.<\/p>\n\n\n\n Neben technischen Problemen entstehen L\u00fccken h\u00e4ufig auf inhaltlicher Ebene. Dazu geh\u00f6ren:<\/p>\n\n\n\n Cookie-Datenschutzl\u00fccken lassen sich dauerhaft schlie\u00dfen, indem Websites regelm\u00e4\u00dfig und systematisch auf Cookies, externe Dienste und Consent-Verhalten gepr\u00fcft werden, eine technisch korrekte Consent-Management-L\u00f6sung eingesetzt wird und die Datenschutzerkl\u00e4rung stets aktuell und vollst\u00e4ndig gehalten wird. Einmalige Pr\u00fcfungen reichen nicht aus, da sich Websites und die eingebundenen Dienste laufend \u00e4ndern.<\/p>\n\n\n\n Folgende Ma\u00dfnahmen bilden die Grundlage f\u00fcr eine dauerhaft solide Cookie-Compliance:<\/p>\n\n\n\n Wichtig ist dabei, dass automatisierte Pr\u00fcfungen die Arbeit eines qualifizierten Datenschutzbeauftragten unterst\u00fctzen, aber nicht ersetzen. Insbesondere bei komplexen Datenverarbeitungen oder unklaren Rechtsgrundlagen ist fachkundige Beratung unerl\u00e4sslich.<\/p>\n\n\n\n Wir haben decareto entwickelt, um genau die Schwachstellen sichtbar zu machen, die bei manuellen Pr\u00fcfungen leicht \u00fcbersehen werden. Unsere SaaS-Plattform scannt Websites automatisiert auf Cookie-Datenschutzl\u00fccken und liefert strukturierte Berichte mit konkreten Handlungsempfehlungen. Im Einzelnen unterst\u00fctzt decareto Sie dabei:<\/p>\n\n\n\n_gid<\/code> unter der eigenen Website-Domain, obwohl es von einem externen Dienst stammt.<\/p>\n\n\n\nWann gilt eine Cookie-Einbindung als datenschutzrechtlich problematisch?<\/h2>\n\n\n\n
\n
PHPSESSID<\/code><\/li>\n Welche rechtlichen Risiken entstehen durch fehlerhafte Cookie-Einbindungen?<\/h2>\n\n\n\n
Wie erkennt man Datenschutzl\u00fccken in der Cookie-Einbindung einer Website?<\/h2>\n\n\n\n
\n
Secure<\/code> und HttpOnly<\/code>, um sie vor Aussp\u00e4hung und Cross-Site-Scripting zu sch\u00fctzen?<\/li>\n Was sind h\u00e4ufige Fehler bei der Einbindung von Cookie-Consent-L\u00f6sungen?<\/h2>\n\n\n\n
Technische Fehler bei der Implementierung<\/h3>\n\n\n\n
Inhaltliche und rechtliche Fehler<\/h3>\n\n\n\n
\n
Wie lassen sich Cookie-Datenschutzl\u00fccken dauerhaft schlie\u00dfen?<\/h2>\n\n\n\n
\n
Wie decareto bei der Erkennung von Cookie-Datenschutzl\u00fccken unterst\u00fctzt<\/h2>\n\n\n\n
\n