---
title: "Cookie-Richtlinie: eigenes Dokument oder Teil der DSE"
description: "Eine Cookie-Richtlinie ist in Deutschland nicht vorgeschrieben – die Angaben darin schon. Was hineingehört, wo sie stehen sollte und wie sie aktuell bleibt."
canonical: "https://www.dsb-datenschutz.de/web-compliance/wissen-cookie-richtlinie/"
---

# Cookie-Richtlinie

Die **Cookie-Richtlinie** ist ein Dokument, das aus dem englischsprachigen Raum übernommen wurde und in Deutschland keinen eigenen gesetzlichen Namen hat. Vorgeschrieben ist sie nicht – die Angaben, die üblicherweise darin stehen, sind es sehr wohl. Die Frage lautet deshalb nicht, ob Sie eine brauchen, sondern wo diese Angaben stehen sollen.

## Woher die Pflicht kommt

Aus zwei Richtungen, und das erklärt die Verwirrung.

**§ 25 TDDDG** verlangt für den Zugriff auf Endeinrichtungen eine Einwilligung, soweit er nicht unbedingt erforderlich ist. Eine Einwilligung ist nur wirksam, wenn sie **informiert** erteilt wird – der Nutzer muss also wissen, wozu er zustimmt. Das setzt eine Aufstellung dessen voraus, was gesetzt wird.

**Die DSGVO** verlangt über [Art. 13](https://www.dsb-datenschutz.de/datenschutz/beratung-artikel-13-dsgvo/) die Information über Zwecke, Rechtsgrundlagen, Empfänger und Speicherdauer – soweit personenbezogene Daten verarbeitet werden.

Der Unterschied ist wichtig: Das TDDDG greift **unabhängig davon**, ob ein Personenbezug besteht. Deshalb genügt eine Datenschutzerklärung (DSE), die nur personenbezogene Verarbeitungen beschreibt, für den Cookie-Teil nicht zwingend.

## Was hineingehört

Der Kern ist eine Aufstellung – je Eintrag:

| Angabe | Beispiel |
|---|---|
| Name | `_session_id` |
| Anbieter | eigene Domain oder Drittanbieter mit Firmenname |
| Zweck | in einem Satz, verständlich – nicht „Funktionalität" |
| Art | Cookie, Local Storage, Zählpixel, Fingerprinting |
| Speicherdauer | konkret in Tagen oder „Sitzung", nicht „solange erforderlich" |
| Einwilligungspflichtig | ja oder nein, mit Begründung bei „nein" |

Dazu gehören: eine Erklärung, was Cookies überhaupt sind; die Einteilung in Kategorien, die zum Banner passt; der Hinweis auf den **Widerruf** samt funktionierendem Link, der das Banner erneut öffnet; und – bei Diensten außerhalb der EU – der Verweis auf die [Drittlandübermittlung](https://www.dsb-datenschutz.de/datenschutz/wissen-angemessenheitsbeschluss-usa/).

Die Zeile, an der es am häufigsten scheitert, ist die Speicherdauer. Wer sie nicht angeben kann, hat den Dienst nicht geprüft.

## Eigenes Dokument oder Abschnitt?

Beides ist zulässig. Die Abwägung:

**Als Abschnitt in der [Datenschutzerklärung](https://www.dsb-datenschutz.de/web-compliance/wissen-datenschutzerklaerung-dsgvo/)** – ein Dokument, ein Link, ein Pflegevorgang. Für kleinere Auftritte mit wenigen Diensten die bessere Wahl.

**Als eigenes Dokument** – kürzere Wege für den Nutzer, der nur wissen will, was gesetzt wird, und eine saubere Trennung, wenn die Liste lang ist. Für Auftritte mit umfangreichem Marketing die praktikablere Lösung.

Was Sie in beiden Fällen vermeiden sollten: **zwei Dokumente, die sich widersprechen.** Wenn die Datenschutzerklärung Dienste nennt, die in der Cookie-Richtlinie fehlen – oder umgekehrt –, ist das der Befund, der bei einer Prüfung als Erstes auffällt.

Erreichbar sein muss die Aufstellung jedenfalls **vor** der Einwilligung. Ein Link, den man erst nach dem Klick auf „Akzeptieren" findet, erfüllt die Informiertheit nicht.

## Warum sie fast immer veraltet ist

Weil sie von Hand gepflegt wird und die Website sich ändert, ohne dass jemand Bescheid sagt. Ein Plugin-Update bindet einen neuen Dienst ein, das Marketing ergänzt ein Werkzeug, eine Agentur baut eine Landingpage mit eigenem Tracking.

Nach einem halben Jahr beschreibt die Aufstellung einen Zustand, den es nicht mehr gibt. Und weil auf ihr die Einwilligung beruht, fällt mit ihr auch deren Wirksamkeit – siehe [Dark Patterns](https://www.dsb-datenschutz.de/web-compliance/wissen-dark-patterns-tdddg/) zur Frage, was eine Einwilligung sonst noch kippt.

Zwei Wege dagegen:

**Erzeugen statt schreiben.** Die Einwilligungslösung kennt die konfigurierten Dienste ohnehin; die gängigen Plattformen können die Aufstellung daraus ausgeben. Dann ändert sich der Text mit der Konfiguration. Einrichtung siehe [CMP Consulting](https://www.dsb-datenschutz.de/web-compliance/cmp-consulting/).

**Messen statt vertrauen.** Der [kostenlose Website-Check](https://www.dsb-datenschutz.de/web-compliance/kostenloser-cookie-dsgvo-website-check/) zeigt, was tatsächlich gesetzt wird; das [Website-Monitoring](https://www.dsb-datenschutz.de/web-compliance/monitoring/) meldet Änderungen. Der Abgleich zwischen dem, was läuft, und dem, was dokumentiert ist, ist die eigentliche Prüfung.

Und der Vollständigkeit halber: Jeder eingebundene Dienst ist eine Verarbeitung und gehört zusätzlich ins [Verzeichnis von Verarbeitungstätigkeiten](https://www.dsb-datenschutz.de/datenschutz/beratung-verarbeitungsverzeichnis/).

## Kontakt

Sie wissen nicht, ob Ihre Aufstellung noch zu Ihrer Website passt? Der Abgleich dauert nicht lange.

- Telefon: [+49 6188 99 04 36](tel:+496188990436)
- E-Mail: [office@dsb-datenschutz.de](mailto:office@dsb-datenschutz.de)
- Kontaktformular: [Anfrage senden](https://www.dsb-datenschutz.de/kontakt/#schreiben-sie-uns)
- [Zur Web-Compliance](https://www.dsb-datenschutz.de/web-compliance/)