Cookie-Einwilligung nach TDDDG & DSGVO

Der Maßstab steht in § 25 Abs. 2 TDDDG: Keine Einwilligung ist nötig, wenn der Cookie allein dazu dient, eine Nachricht zu übertragen, oder wenn er unbedingt erforderlich ist, damit du einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen kannst. Darunter fallen der Warenkorb im Shop, die Login-Session, eine im laufenden Besuch gewählte Spracheinstellung, Lastverteilung und grundlegende Sicherheitsfunktionen – und, oft übersehen, der Cookie, der die Consent-Entscheidung selbst speichert.

Einwilligungspflichtig ist dagegen alles, was für den eigentlich abgerufenen Dienst nicht zwingend gebraucht wird. Das sind Reichweiten- und Analyse-Tools wie Google Analytics 4 oder Matomo im Cloud-Betrieb, Marketing- und Retargeting-Pixel von Google Ads oder Meta, A/B-Testing sowie eingebettete Inhalte von Drittanbietern wie YouTube-Videos, Google Maps oder Schriftarten, die beim Aufruf von externen Servern nachgeladen werden. Dass ein Analyse-Tool harmlos wirkt oder anonymisiert misst, ändert nichts: Solange es für die vom Besucher angeforderte Seite nicht unbedingt erforderlich ist, greift die Einwilligungspflicht.

Wichtig ist die Grenze zum berechtigten Interesse: Für das Setzen nicht notwendiger Cookies kannst du dich nicht auf Art. 6 Abs. 1 lit. f DSGVO berufen und die Einwilligung so umgehen. § 25 TDDDG verlangt die Zustimmung für den Zugriff auf das Endgerät unabhängig davon, ob dabei personenbezogene Daten anfallen. Und selbst technisch notwendige Cookies, für die du kein Banner brauchst, musst du in der Datenschutzerklärung mit Zweck und Speicherdauer benennen.

§ 25 TDDDG und die DSGVO regeln zwei verschiedene Schritte, die nacheinander greifen. Zuerst geht es um den Zugriff auf das Gerät: Das Speichern oder Auslesen von Informationen auf dem Endgerät – Cookie, LocalStorage oder Fingerprint – ist ohne vorherige Einwilligung nur erlaubt, wenn eine der Ausnahmen aus § 25 Abs. 2 greift. Erst danach stellt sich die zweite Frage: Auf welcher Rechtsgrundlage nach Art. 6 DSGVO verarbeitest du die so gewonnenen Daten? Für Analyse und Marketing ist das praktisch immer die Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO.

Damit diese Einwilligung wirksam ist, muss sie die Bedingungen von Art. 7 DSGVO erfüllen: freiwillig, für den konkreten Zweck informiert, durch eine eindeutige bestätigende Handlung erteilt und jederzeit so einfach widerrufbar, wie sie gegeben wurde. Vorangekreuzte Kästchen oder bloßes Weiterscrollen genügen nicht – das hat der EuGH im Planet49-Urteil und der BGH in der Folgeentscheidung Cookie-Einwilligung II klargestellt. Eine aktive Handlung des Nutzers ist zwingend.

Ein Sonderfall ist der Datentransfer in Drittländer. Viele verbreitete Tools verarbeiten Daten in den USA. Dafür brauchst du zusätzlich zur Einwilligung eine tragfähige Grundlage nach Kapitel V DSGVO, etwa die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework, und musst im Banner transparent darüber informieren.

Ein rechtssicheres Banner erkennt man vor allem daran, was es nicht tut: Es drängt nicht. Auf der ersten Ebene muss eine echte Ablehn-Option genauso leicht erreichbar und gleich sichtbar sein wie die Zustimmung – also ein gleichwertiger Alle-ablehnen-Button neben Alle-akzeptieren, nicht ein grauer Link im Kleingedruckten. Die deutschen Aufsichtsbehörden (DSK) und der Europäische Datenschutzausschuss werten es als unzulässiges Nudging, wenn der Akzeptieren-Button knallig hervorgehoben und die Ablehnung optisch versteckt wird.

Dazu kommen die inhaltlichen Pflichten: keine vorangekreuzten Häkchen, eine granulare Auswahl nach Zwecken (Statistik, Marketing und externe Medien getrennt schaltbar) und eine informierte Grundlage – also welche Tools zum Einsatz kommen, zu welchem Zweck, wie lange Cookies gespeichert werden, wer Empfänger ist und ob Daten in Drittländer fließen. Alle nicht notwendigen Skripte müssen blockiert bleiben, bis der Nutzer zustimmt; ein Banner, das Google Analytics schon beim Seitenaufruf lädt, ist wertlos.

Genauso wichtig ist der Weg zurück: Der Widerruf muss dauerhaft und ohne Hürde möglich sein, üblicherweise über einen kleinen, immer erreichbaren Link oder ein Fingerabdruck-Icon, das die Einstellungen erneut öffnet. Eine Cookie-Wall, die den Zugang zur Seite von der Zustimmung abhängig macht, ist für die meisten Angebote unzulässig, weil sie die Freiwilligkeit aushebelt. Und weil du im Streitfall nachweisen musst, dass eine Einwilligung vorlag (Art. 7 Abs. 1 DSGVO), sollte dein Consent-Tool jede Entscheidung protokollieren.