Cookie-Richtlinie

Die Cookie-Richtlinie ist ein Dokument, das aus dem englischsprachigen Raum übernommen wurde und in Deutschland keinen eigenen gesetzlichen Namen hat. Vorgeschrieben ist sie nicht – die Angaben, die üblicherweise darin stehen, sind es sehr wohl. Die Frage lautet deshalb nicht, ob Sie eine brauchen, sondern wo diese Angaben stehen sollen.

Woher die Pflicht kommt

Aus zwei Richtungen, und das erklärt die Verwirrung.

§ 25 TDDDG verlangt für den Zugriff auf Endeinrichtungen eine Einwilligung, soweit er nicht unbedingt erforderlich ist. Eine Einwilligung ist nur wirksam, wenn sie informiert erteilt wird – der Nutzer muss also wissen, wozu er zustimmt. Das setzt eine Aufstellung dessen voraus, was gesetzt wird.

Die DSGVO verlangt über Art. 13 die Information über Zwecke, Rechtsgrundlagen, Empfänger und Speicherdauer – soweit personenbezogene Daten verarbeitet werden.

Der Unterschied ist wichtig: Das TDDDG greift unabhängig davon, ob ein Personenbezug besteht. Deshalb genügt eine Datenschutzerklärung, die nur personenbezogene Verarbeitungen beschreibt, für den Cookie-Teil nicht zwingend.

Was hineingehört

Der Kern ist eine Aufstellung – je Eintrag:

Was hineingehört
AngabeBeispiel
Name_session_id
Anbietereigene Domain oder Drittanbieter mit Firmenname
Zweckin einem Satz, verständlich – nicht „Funktionalität”
ArtCookie, Local Storage, Zählpixel, Fingerprinting
Speicherdauerkonkret in Tagen oder „Sitzung”, nicht „solange erforderlich”
Einwilligungspflichtigja oder nein, mit Begründung bei „nein”

Dazu gehören: eine Erklärung, was Cookies überhaupt sind; die Einteilung in Kategorien, die zum Banner passt; der Hinweis auf den Widerruf samt funktionierendem Link, der das Banner erneut öffnet; und – bei Diensten außerhalb der EU – der Verweis auf die Drittlandübermittlung.

Die Zeile, an der es am häufigsten scheitert, ist die Speicherdauer. Wer sie nicht angeben kann, hat den Dienst nicht geprüft.

Eigenes Dokument oder Abschnitt?

Beides ist zulässig. Die Abwägung:

Als Abschnitt in der Datenschutzerklärung – ein Dokument, ein Link, ein Pflegevorgang. Für kleinere Auftritte mit wenigen Diensten die bessere Wahl.

Als eigenes Dokument – kürzere Wege für den Nutzer, der nur wissen will, was gesetzt wird, und eine saubere Trennung, wenn die Liste lang ist. Für Auftritte mit umfangreichem Marketing die praktikablere Lösung.

Was Sie in beiden Fällen vermeiden sollten: zwei Dokumente, die sich widersprechen. Wenn die Datenschutzerklärung Dienste nennt, die in der Cookie-Richtlinie fehlen – oder umgekehrt –, ist das der Befund, der bei einer Prüfung als Erstes auffällt.

Erreichbar sein muss die Aufstellung jedenfalls vor der Einwilligung. Ein Link, den man erst nach dem Klick auf „Akzeptieren” findet, erfüllt die Informiertheit nicht.

Warum sie fast immer veraltet ist

Weil sie von Hand gepflegt wird und die Website sich ändert, ohne dass jemand Bescheid sagt. Ein Plugin-Update bindet einen neuen Dienst ein, das Marketing ergänzt ein Werkzeug, eine Agentur baut eine Landingpage mit eigenem Tracking.

Nach einem halben Jahr beschreibt die Aufstellung einen Zustand, den es nicht mehr gibt. Und weil auf ihr die Einwilligung beruht, fällt mit ihr auch deren Wirksamkeit – siehe Dark Patterns zur Frage, was eine Einwilligung sonst noch kippt.

Zwei Wege dagegen:

Erzeugen statt schreiben. Die Einwilligungslösung kennt die konfigurierten Dienste ohnehin; die gängigen Plattformen können die Aufstellung daraus ausgeben. Dann ändert sich der Text mit der Konfiguration. Einrichtung siehe CMP Consulting.

Messen statt vertrauen. Der kostenlose Website-Check zeigt, was tatsächlich gesetzt wird; das Website-Monitoring meldet Änderungen. Der Abgleich zwischen dem, was läuft, und dem, was dokumentiert ist, ist die eigentliche Prüfung.

Und der Vollständigkeit halber: Jeder eingebundene Dienst ist eine Verarbeitung und gehört zusätzlich ins Verzeichnis von Verarbeitungstätigkeiten.

Kontakt

Sie wissen nicht, ob Ihre Aufstellung noch zu Ihrer Website passt? Der Abgleich dauert nicht lange.