Wenn Sie eine Website betreiben, sind Sie wahrscheinlich schon einmal auf den Begriff cookie consent" gestoßen, aber zu verstehen, was erforderlich ist, kann verwirrend sein.
Es ist verständlich, dass man sich überfordert fühlt, wenn man die Anzahl der sich entwickelnden Datenschutzgesetze, die verschiedenen Arten von Cookies und die Unterschiede zwischen essentiellen und nicht essentiellen Cookies sowie deren technischen Aufbau berücksichtigt.
In diesem Artikel beschreibe ich die Anforderungen an diecookie consent für Website-Besitzer, welche Gesetze gelten und welche Schritte Sie unternehmen müssen, um die heutigen Verpflichtungen zu erfüllen.
Was ist eine Cookie Consent?
Cookie consent ist die Erlaubnis, die Websites von ihren Besuchern einholen, bevor sie nicht unbedingt notwendige Cookies auf ihren Geräten speichern.
Diese Cookies können das Verhalten und die Vorlieben der Nutzer verfolgen, Daten für Analysen sammeln oder gezielte Werbung liefern.
Cookies können zwar dazu beitragen, das Nutzererlebnis und die Marketingbemühungen zu verbessern, sie werfen aber auch Bedenken hinsichtlich des Datenschutzes auf; in diesem Fall ist die Zustimmung entscheidend.
Cookie consent stellt sicher, dass die Nutzer die Kontrolle darüber haben, ob und wie ihre Daten durch Cookies erfasst werden, und umfasst in der Regel Folgendes:
- Ein Pop-up-Banner für cookie consent ,
- Ein Link zu einer genauen und transparenten Cookie-Richtlinie,
- Schaltflächen, auf die der Nutzer klicken kann, um Cookies oder Teile davon zu akzeptieren oder abzulehnen,
- Ein Link zu einem Einstellungszentrum, in dem die Nutzer ihre Meinung jederzeit ändern können.
Als Inhaber einer Website sind Sie dafür verantwortlich, alle Besucher Ihrer Website darüber zu informieren, welche Cookies Sie verwenden und warum Sie sie verwenden.
Sie müssen ihnen aber auch erklären, wie sie ihre cookie consent verwalten und zurückziehen können, unabhängig davon, ob es sich um registrierte Nutzer oder anonyme Besucher der Website handelt.
Cookie Consent für Websites
Um die Anforderungen an die cookie consent zu erfüllen und die Privatsphäre der Nutzer zu respektieren, müssen Sie bestimmte Funktionen und Praktiken implementieren, die mit den globalen Standards übereinstimmen.
Im Folgenden finden Sie einige Kernelemente, die jeder Website-Besitzer bei der Einrichtung einer datenschutzfreundlichen cookie consent berücksichtigen sollte.
Cookie Banner beim ersten Besuch des Benutzers anzeigen
Einer der wichtigsten Schritte ist die Einblendung eines cookie banner , sobald ein Nutzer auf Ihrer Website landet, bevor unwichtige Cookies gesetzt werden.
Mit anderen Worten, Sie dürfen keine Cookies auf dem Gerät des Website-Besuchers platzieren, bevor dieser Ihnen seine Zustimmung dazu erteilt hat, mit Ausnahme der unbedingt notwendigen Cookies.
Ihr cookie consent sollte erklären, dass Ihre Website Cookies verwendet, deren Zweck erläutern und den Nutzern die Möglichkeit geben, sie zu akzeptieren oder abzulehnen.
Um rechtsgültig zu sein, muss eine Zustimmung vorliegen:
- Informiert: Die Nutzer sollten wissen, welche Arten von Cookies Sie verwenden, welchen Zweck sie haben, wie lange sie dauern und ob Sie sie mit anderen Dritten teilen.
- Frei gegeben: Erzwingen Sie nicht die Akzeptanz der Nutzer, indem Sie den Zugang zu den Inhalten beschränken.
- Spezifisch und granular: Erlauben Sie den Nutzern, separat zu wählen, welche Kategorien von Cookies sie akzeptieren (z. B. Analyse, Marketing usw.).
- Unzweideutig: Wird durch klare und eindeutige Maßnahmen erreicht, ohne vorher angekreuzte Kästchen oder stillschweigende Zustimmung durch vage Mitteilungen wie "durch die weitere Nutzung dieser Website".
Zugang zu einem Cookie-Präferenzzentrum
Zusätzlich zu Ihrem cookie consent sollten Sie den Nutzern Zugang zu einem Cookie-Einstellungszentrum bieten.
Dies ist eine spezielle Schnittstelle, auf der sie ihre Cookie-Auswahl jederzeit überprüfen und ändern können.
Ein Cookie-Präferenzzentrum hilft Ihnen, sicherzustellen, dass Sie:
- Beibehaltung der ständigen Benutzerkontrolle über die Verfolgungstechnologie
- Unterstützung der rechtlichen Anforderungen für den Widerruf der Zustimmung
- Verbesserung der Transparenz und des Vertrauens der Nutzer als Ergebnis
Ihr Einstellungszentrum sollte leicht zu finden sein, z. B. über einen Link in der Fußzeile oder im Einstellungsmenü Ihrer Website.
Zustimmungsprotokolle und Verfolgung der Benutzerzustimmung
Es reicht nicht aus, die Zustimmung einzuholen, Sie müssen auch nachweisen, dass Sie sie auf rechtlich einwandfreie Weise erhalten haben.
An dieser Stelle kommen die Zustimmungsprotokolle ins Spiel.
Aus den Protokollen geht hervor, wann und wie ein Nutzer seine Zustimmung gegeben (oder zurückgezogen) hat und womit er zu diesem Zeitpunkt einverstanden war, einschließlich:
- Der genaue Zeitstempel der Zustimmung
- Explizit akzeptierte oder abgelehnte Cookie-Kategorien
- Standort oder IP des Nutzers (soweit gesetzlich zulässig)
- Der verwendete Zustimmungsmechanismus (z. B. Banner, Präferenzzentrum usw.)
- Die Version des angezeigten Banners oder Einstellungswerkzeugs
- Gegebenenfalls Nachweis über den Widerruf der Zustimmung
Die Speicherung dieser Informationen hilft, die Einhaltung der Vorschriften nachzuweisen, wenn eine Aufsichtsbehörde Ihre Website oder Ihr Unternehmen prüft.
Nutzen Sie Tools wie unsere Consent Management Platform um diesen Prozess für Sie zu automatisieren.
Cookies und universelle Opt-Out-Mechanismen
Einige Datenschutzgesetze, vor allem in den USA, verpflichten die Unternehmen inzwischen, universelle Opt-out-Mechanismen zu beachten.
UOOMs sind browserbasierte Signale, die Nutzer von ihrem Browser aus senden können, um die automatische Verfolgung über mehrere Websites hinweg abzulehnen, wenn sie auf diese gelangen.
Ein Beispiel ist die Global Privacy Control (GPC), die mit unterstützten Browsern zusammenarbeitet, um die Datenschutzpräferenzen eines Nutzers zu übermitteln.
Die Unterstützung für universelle Opt-outs zeigt Ihren Nutzern, dass Sie den Datenschutz ernst nehmen, und bringt Ihre Website in Einklang mit den Anforderungen von Gesetzen wie dem CCPA.
Indem Sie browserbasierte Signale wie GPC berücksichtigen, geben Sie den Nutzern eine nahtlose, proaktive Möglichkeit, ihre Rechte wahrzunehmen, ohne dass sie sich jedes Mal, wenn sie eine neue Website besuchen, durch Einstellungen oder Banner wühlen müssen.
Welche Gesetze verlangen die Zustimmung zu Cookies?
Mehrere Datenschutzgesetze auf der ganzen Welt verlangen, dass Websites die Zustimmung der Nutzer einholen, bevor sie bestimmte Arten von Cookies setzen - insbesondere solche, die für Tracking, Analysen und Werbung verwendet werden.
Es ist wichtig, dass Sie wissen, welche Gesetze für Ihre Zielgruppe gelten, damit Sie verantwortungsvoll Daten sammeln und mögliche Strafen vermeiden können.
Nachfolgend fasse ich einige wichtige Vorschriften zusammen, die sich auf die cookie consent auswirken.
Allgemeine Datenschutzverordnung (DSGVO)
Die DSGVO ist ein umfassendes Datenschutzgesetz, das in der gesamten Europäischen Union (EU) und im Europäischen Wirtschaftsraum (EWR) sowie für alle Unternehmen auf der ganzen Welt gilt, die gezielt Daten von EU-/EWR-Nutzern sammeln, auch wenn Sie anderswo registriert sind.
Wenn Ihre Website Personen in der EU erreicht, müssen Sie diese DSGVO befolgen, um sicherzustellen, dass Ihre cookie consent rechtlich einwandfrei sind.
ePrivacy-Richtlinie (EU-Cookie-Gesetz)
Die Datenschutzrichtlinie für elektronische Kommunikation, oft auch als "EU-Cookie-Gesetz" bezeichnet, ist eine Verordnung, die speziell auf elektronische Kommunikation und die Verwendung von Technologien wie Cookies abzielt.
Sie arbeitet zwar mit der DSGVO zusammen, konzentriert sich aber als lex specialis stärker darauf, wie Informationen auf den Geräten der Nutzer gespeichert und abgerufen werden können.
Wie die DSGVO erfordert sie die aktive Zustimmung des Nutzers für nicht wesentliche Cookies und betont die Transparenz, die Wahlmöglichkeiten des Nutzers und die Möglichkeit, die Zustimmung zu widerrufen.
Wenn Sie Cookies zur Verfolgung von EU-Nutzern verwenden, trägt diese Richtlinie - zusammen mit der DSGVO - dazu bei, was Sie tun können und wie Sie Ihre Nutzer informieren müssen.
UK DSGVO & Datenschutz und elektronische Kommunikationsvorschriften (PECR)
Nach dem Brexit hat das Vereinigte Königreich seine eigene Version der DSGVO beibehalten und setzt die Cookie-Regeln weiterhin durch die PECR durch. Diese Gesetze spiegeln den Ansatz der EU wider und gelten für Websites, die Daten von britischen Nutzern sammeln.
Wenn Ihre Zielgruppe britische Nutzer umfasst, müssen Sie sowohl die PECR- als auch die britischen DSGVO erfüllen.
Kalifornisches Verbraucherschutzgesetz (CCPA) und kalifornisches Datenschutzgesetz (CPRA)
Das CCPA und seine Erweiterung, das CPRA, geben den Einwohnern Kaliforniens mehr Kontrolle darüber, wie ihre persönlichen Daten gesammelt und weitergegeben werden - insbesondere zu Werbezwecken.
Anders als die DSGVO verlangt die CCPA keine vorherige ausdrückliche Zustimmung, bevor Cookies gesetzt werden.
Der CCPA verlangt jedoch Transparenz durch einen klaren Hinweis bei oder vor der Datenerfassung und gibt den Nutzern das Recht, dem Verkauf oder der Weitergabe ihrer persönlichen Daten an Dritte zu widersprechen.
Wenn Ihre Website auf die Einwohner Kaliforniens abzielt oder Daten von ihnen sammelt, müssen Sie Cookie-Praktiken einführen, die die Transparenz fördern und die Rechte der Nutzer auf Ablehnung respektieren.
Andere bundesstaatliche Datenschutzgesetze - wie der Virginia Consumer Data Protection Act (VCDPA), der Colorado Privacy Act (CPA) und der Connecticut Data Privacy Act (CTDPA ) - enthalten ähnliche Anforderungen in Bezug auf Transparenz und Widerspruchsrechte.
Gesetz zum Schutz persönlicher Daten und elektronischer Dokumente (PIPEDA)
PIPEDA, eines der grundlegenden Datenschutzgesetze Kanadas, verlangt von Organisationen, dass sie vor der Erfassung personenbezogener Daten, auch durch Cookies, eine sinnvolle Zustimmung einholen.
Organisationen müssen die Verwendung von Cookies klar erklären, leicht zugängliche Abmeldemethoden anbieten und transparente Cookie- oder Datenschutzrichtlinien aufrechterhalten.
Wenn Sie kanadische Nutzer haben, sollten Sie sicherstellen, dass Ihre cookie consent transparent und einfach zu handhaben sind.
Welche Cookies erfordern die Zustimmung der Website-Besucher?
Generell gilt, dass Sie die Zustimmung Ihrer Nutzer einholen müssen, bevor Sie Cookies auf deren Browsern platzieren, die für das Funktionieren Ihrer Website nicht unbedingt erforderlich sind.
Wesentliche Cookies (keine Zustimmung erforderlich)
Unverzichtbare Cookies, die auch als unbedingt notwendige Cookies bezeichnet werden, tragen dazu bei, dass Ihre Website ordnungsgemäß funktioniert und helfen bei grundlegenden Funktionen, wie z. B.:
- Angemeldete Benutzer beibehalten
- Ermöglichung einer sicheren Authentifizierung
- Erinnern von Artikeln in einem Einkaufswagen
- Navigieren zwischen Seiten oder Sitzungen.
Da diese Cookies in der Regel nicht mit der Erhebung oder Verarbeitung personenbezogener Daten verbunden sind, müssen Sie in der Regel nicht um Zustimmung zu ihrer Verwendung bitten.
Sie müssen jedoch in Ihrer Cookie-Richtlinie offenlegen, wie Sie diese verwenden.
Nicht-wesentliche Cookies (Zustimmung erforderlich)
Unwichtige Cookies sind für den Betrieb Ihrer Website nicht erforderlich, werden aber häufig zur Verbesserung der Leistung oder zur Unterstützung von Geschäftszielen verwendet.
Diese Cookies verarbeiten in der Regel personenbezogene Daten und beinhalten:
- Analytics-Cookies, die das Nutzerverhalten verfolgen, um die Funktionalität der Website oder der Dienste zu verbessern.
- Werbe-Cookies, die personalisierte Werbung auf der Grundlage von Browsing-Aktivitäten ermöglichen.
- Einige funktionale Cookies, die Präferenzen speichern und die Benutzerfreundlichkeit verbessern, aber nicht für den Kernbetrieb erforderlich sind.
- Cookies für soziale Medien, die das Teilen von Funktionen oder eingebetteten Inhalten Dritter ermöglichen.
Bevor Sie diese Art von Cookies setzen, müssen Sie die Nutzer informieren und ihre Zustimmung einholen, insbesondere wenn Ihre Website Gesetzen wie der DSGVO unterliegt.
Was sind die Strafen für die Nichteinhaltung der Cookie Consent ?
Die Nichteinhaltung der Vorschriften zur cookie consent kann zu finanziellen Strafen und Rufschädigung führen.
Nach der DSGVO können Unternehmen bei schweren Verstößen mit Geldbußen von bis zu 20 Millionen Euro oder 4 % ihres weltweiten Jahresumsatzes rechnen, je nachdem, welcher Betrag höher ist.
So verhängte die französische Datenschutzbehörde im Jahr 2023 gegen TikTok eine Geldstrafe in Höhe von 5 Millionen Euro wegen Verstoßes gegen die DSGVO .
Die Plattform machte es ihren Nutzern schwer, Cookies abzulehnen, da sie mehrere gezielte Klicks machen mussten, um alle Cookies abzulehnen, was schließlich dazu führte, dass sie alle akzeptierten.
Gemäß CCPA und CPRA können Geldbußen für unbeabsichtigte Verstöße bis zu 2.500 Dollar pro Vorfall und bis zu 7.500 Dollar für jeden schweren oder vorsätzlichen Vorfall betragen.
Im März 2025 verhängte die California Privacy Protection Agency (CPPA) eine Geldstrafe in Höhe von 632.500 Dollar gegen die American Honda Motor Co. wegen mehrerer Verstöße gegen das CCPA, darunter auch gegen das Datenschutzgesetz:
- Sammeln von zu vielen persönlichen Informationen.
- Entwerfen von Einwilligungsbannern, die die Abmeldung schwieriger machen als die Anmeldung.
- Weitergabe personenbezogener Daten ohne entsprechende Verträge.
Diese Durchsetzungsmaßnahmen unterstreichen, dass die Privatsphäre der Nutzer weltweit zunehmend in den Mittelpunkt rückt.
Doch abgesehen von den finanziellen Folgen kann die Nichteinhaltung der cookie consent das Vertrauen untergraben und Ihrem Ruf schaden.
Transparente, benutzerfreundliche Praktiken sind mehr als nur eine gesetzliche Vorschrift - sie sind ein wesentlicher Bestandteil des Aufbaus eines datenschutzbewussten Unternehmens.
Möchten Sie die Einhaltung von Cookies vereinfachen? Termly's Consent Management Platform macht es einfacher, rechtliche Anforderungen zu erfüllen und das Vertrauen der Nutzer zu gewinnen.
Mehr über die Autorin
Geschrieben von Teodor Stanciu, CIPP/E, CIPM
Teo ist ein Datenschutzspezialist und erfahrener Datenschutzbeauftragter (DSB), der Unternehmen bei der Erfüllung ihrer Datenschutzverpflichtungen mit Leidenschaft unterstützt. Er verfügt über mehr als sieben Jahre Erfahrung als Datenschutzbeauftragter für eine internationale Organisation, die in 50 Ländern tätig ist und ihren Sitz in Brüssel, Belgien, hat. Teo ist ein Certified Information Privacy Professional/Europe (CIPP/E) und Certified Information Privacy Manager (CIPM) der International Association of Privacy Professionals (IAPP).
Mehr über die Autorin
