Website-Betreiber sollten sich der verschiedenen cookie consent bewusst sein, die in den Datenschutzgesetzen festgelegt sind und von Ihren Kunden erwartet werden, und einen Plan zur Einhaltung dieser Anforderungen haben.
Insbesondere verpflichten Gesetze wie die DSGVO der CCPA Unternehmen dazu, von den Nutzern eine angemessene Einwilligung zur Datenverarbeitung einzuholen, ihnen transparent darzulegen, welche Daten sie von ihnen erheben möchten und warum, sowie die Einwilligungen der Nutzer zu dokumentieren.
Im Folgenden gehe ich näher auf die verschiedenen cookie consent für Website-Betreiber ein, welche Gesetze gelten und welche Schritte Sie unternehmen müssen, um den aktuellen Verpflichtungen nachzukommen.
Wichtigste Erkenntnisse
- cookie consent vielfältigen cookie consent haben Auswirkungen auf Website-Betreiber,
- Gesetze wie die DSGVO andere legen Regeln für die Einholung und Verwaltung von Einwilligungen fest,
- Sie müssen cookie consent ordnungsgemäße cookie consent nicht unbedingt erforderliche Cookies einholen.
- Zu einer vorschriftsmäßigen Einrichtung gehören außerdem ein cookie banner, ein Einstellungscenter, Einwilligungsprotokolle und die Möglichkeit zum Deaktivieren.
Was sind die gängigsten Cookie Consent für Website-Betreiber?
Im Folgenden sind einige der gängigsten cookie consent aufgeführt, die für Website-Betreiber von Bedeutung sind.
Websites sollten den Nutzern ein Cookie Banner anzeigen
Eine der wichtigsten Anforderungen für Website-Betreiber ist es, cookie banner Nutzern ein cookie banner anzuzeigen, sobald sie auf Ihrer Website landen.
Dies hilft Ihnen dabei, eine angemessene und rechtsgültige Einwilligung der Website-Besucher zur Datenerhebung einzuholen, wozu auch die Verwendung von Internet-Cookies oder anderen Trackern gehört.
Ihr cookie consent sollte:
- Erläutern Sie, dass Ihre Website Cookies verwendet,
- Link zu einer Richtlinie, in der deren Zweck dargelegt wird, und
- Geben Sie den Benutzern die Möglichkeit, diese anzunehmen oder abzulehnen.
Die Konfigurationseinstellungen für Einwilligungsbanner variieren je nach geltendem Recht. Verwenden Sie daher eine Lösung wie Termly, die regionale Einwilligungseinstellungen bietet.
Beispielsweise müssen Sie gemäß Gesetzen wie der DSGVO die Einwilligung der Nutzer einholen, bevor nicht unbedingt erforderliche Cookies gesetzt werden.
Websites sollten den Nutzern Zugriff auf ein Cookie-Einstellungscenter gewähren
Zusätzlich zu Ihrem cookie consent sollten Sie den Nutzern Zugang zu einem Cookie-Einstellungszentrum bieten.
Dies ist eine spezielle Schnittstelle, auf der sie ihre Cookie-Auswahl jederzeit überprüfen und ändern können.
Ein Cookie-Präferenzzentrum hilft Ihnen, sicherzustellen, dass Sie:
- Den Nutzern stets die Kontrolle über Tracking-Technologien ermöglichen
- Unterstützung der gesetzlichen Anforderungen für den Widerruf der Einwilligung
- Dadurch werden die Transparenz und das Vertrauen der Nutzer gestärkt
Ihr Einstellungszentrum sollte leicht zu finden sein, z. B. über einen Link in der Fußzeile oder im Einstellungsmenü Ihrer Website.
Websites sollten Einwilligungsprotokolle führen und die Einwilligungen der Nutzer nachverfolgen
Es reicht nicht aus, die Zustimmung einzuholen, Sie müssen auch nachweisen, dass Sie sie auf rechtlich einwandfreie Weise erhalten haben.
An dieser Stelle kommen die Zustimmungsprotokolle ins Spiel.
Aus den Protokollen geht hervor, wann und wie ein Nutzer seine Zustimmung gegeben (oder zurückgezogen) hat und womit er zu diesem Zeitpunkt einverstanden war, einschließlich:
- Der genaue Zeitstempel der Zustimmung
- Explizit akzeptierte oder abgelehnte Cookie-Kategorien
- Standort oder IP des Nutzers (soweit gesetzlich zulässig)
- Der verwendete Zustimmungsmechanismus (z. B. Banner, Präferenzzentrum usw.)
- Die Version des angezeigten Banners oder Einstellungswerkzeugs
- Gegebenenfalls Nachweis über den Widerruf der Zustimmung
Die Speicherung dieser Informationen hilft, die Einhaltung der Vorschriften nachzuweisen, wenn eine Aufsichtsbehörde Ihre Website oder Ihr Unternehmen prüft.
Nutzen Sie Tools wie unsere Consent Management Platform um diesen Prozess für Sie zu automatisieren.
Websites müssen die Verwendung von Cookies und universelle Opt-out-Mechanismen berücksichtigen
Einige Datenschutzgesetze, vor allem in den USA, verpflichten die Unternehmen inzwischen, universelle Opt-out-Mechanismen zu beachten.
UOOMs sind browserbasierte Signale, die Nutzer von ihrem Browser aus senden können, um die automatische Verfolgung über mehrere Websites hinweg abzulehnen, wenn sie auf diese gelangen.
Ein Beispiel ist die Global Privacy Control (GPC), die mit unterstützten Browsern zusammenarbeitet, um die Datenschutzpräferenzen eines Nutzers zu übermitteln.
Die Unterstützung für universelle Opt-outs zeigt Ihren Nutzern, dass Sie den Datenschutz ernst nehmen, und bringt Ihre Website in Einklang mit den Anforderungen von Gesetzen wie dem CCPA.
Indem Sie browserbasierte Signale wie GPC berücksichtigen, geben Sie den Nutzern eine nahtlose, proaktive Möglichkeit, ihre Rechte wahrzunehmen, ohne dass sie sich jedes Mal, wenn sie eine neue Website besuchen, durch Einstellungen oder Banner wühlen müssen.
Was ist eine Cookie Consent?
Cookie consent ist die Erlaubnis, die Websites von ihren Besuchern einholen, bevor sie nicht unbedingt notwendige Cookies auf ihren Geräten speichern.
Diese Cookies können das Verhalten und die Vorlieben der Nutzer verfolgen, Daten für Analysen sammeln oder gezielte Werbung liefern.
Cookies können zwar dazu beitragen, das Nutzererlebnis und die Marketingbemühungen zu verbessern, sie werfen aber auch Bedenken hinsichtlich des Datenschutzes auf; in diesem Fall ist die Zustimmung entscheidend.
Cookie consent stellt sicher, dass die Nutzer die Kontrolle darüber haben, ob und wie ihre Daten durch Cookies erfasst werden, und umfasst in der Regel Folgendes:
- Ein Pop-up cookie consent ,
- Ein Link zu einer genauen und transparenten Cookie-Richtlinie,
- Schaltflächen, auf die der Nutzer klicken kann, um Cookies oder Teile davon zu akzeptieren oder abzulehnen,
- Ein Link zu einem Einstellungszentrum, in dem die Nutzer ihre Meinung jederzeit ändern können.
Als Inhaber einer Website sind Sie dafür verantwortlich, alle Besucher Ihrer Website darüber zu informieren, welche Cookies Sie verwenden und warum Sie sie verwenden.
Sie müssen ihnen aber auch erklären, wie sie ihre cookie consent verwalten und zurückziehen können, unabhängig davon, ob es sich um registrierte Nutzer oder anonyme Besucher der Website handelt.
Welche Gesetze schreiben die Einwilligung für Website-Cookies vor?
Es ist äußerst wichtig, dass Sie wissen, welche Gesetze für Ihre Website und Ihre Nutzer gelten, damit Sie Daten verantwortungsbewusst erheben und mögliche Strafen vermeiden können.
Nachfolgend fasse ich einige wichtige Vorschriften zusammen, die sich auf die cookie consent auswirken.
Allgemeine Datenschutzverordnung (DSGVO)
Die DSGVO ist ein umfassendes Datenschutzgesetz, das in der gesamten Europäischen Union (EU) und im Europäischen Wirtschaftsraum (EWR) sowie für alle Unternehmen auf der ganzen Welt gilt, die gezielt Daten von EU-/EWR-Nutzern sammeln, auch wenn Sie anderswo registriert sind.
So siehtcookie consent DSGVO cookie consent auf einer Website aus:
- Sie haben ein cookie banner , das angezeigt wird, bevor nicht unbedingt erforderliche Cookies gesetzt werden .
- Sie holen eine aktive, freiwillige Einwilligung ein, ohne dass Felder vorab angekreuzt sind.
- Sie nutzen detaillierte Einstellungsmöglichkeiten, damit die Nutzer Cookie-Kategorien auswählen können.
- Sie stellen einen Link zu einer Cookie-Richtlinie bereit, in der der Zweck und die Dauer jedes einzelnen Cookies erläutert werden.
- Sie bieten den Nutzern eine einfache Möglichkeit, ihre Einwilligung zu widerrufen, beispielsweise über ein Einstellungscenter oder einen Link in der Fußzeile.
Wenn Ihre Website Personen in der EU erreicht, müssen Sie diese DSGVO befolgen, um sicherzustellen, dass Ihre cookie consent rechtlich einwandfrei sind.
ePrivacy-Richtlinie (EU-Cookie-Gesetz)
Die Datenschutzrichtlinie für elektronische Kommunikation, oft auch als "EU-Cookie-Gesetz" bezeichnet, ist eine Verordnung, die speziell auf elektronische Kommunikation und die Verwendung von Technologien wie Cookies abzielt.
Sie arbeitet zwar mit der DSGVO zusammen, konzentriert sich aber als lex specialis stärker darauf, wie Informationen auf den Geräten der Nutzer gespeichert und abgerufen werden können.
Wie die DSGVO erfordert sie die aktive Zustimmung des Nutzers für nicht wesentliche Cookies und betont die Transparenz, die Wahlmöglichkeiten des Nutzers und die Möglichkeit, die Zustimmung zu widerrufen.
So sieht die Einhaltung der Einwilligungsvorschriften der ePrivacy-Richtlinie für Website-Betreiber aus:
- Ein cookie banner beim ersten Besuch, das die Verwendung von Cookies erläutert und um Zustimmung bittet.
- Ohne vorherige, ausdrückliche Zustimmung werden keine nicht unbedingt erforderlichen Cookies gesetzt.
- Es ist eineeindeutige, aktive Zustimmung erforderlich – keine stillschweigende Zustimmung und keine vorab angekreuzten Kästchen.
- Ein Link zu einer ausführlichen Cookie-Richtlinie, in der die Arten von Cookies, deren Verwendungszwecke sowie Dritte, an die diese Daten weitergegeben werden können, beschrieben werden.
- Eine benutzerfreundliche Möglichkeit, die Einwilligung zu ändern oder zu widerrufen, beispielsweise über ein Einstellungscenter.
Wenn Sie Cookies zur Nachverfolgung von Nutzern aus der EU einsetzen, legt diese Richtlinie in Verbindung mit der DSGVO fest, welche Maßnahmen Sie ergreifen dürfen und wie Sie Ihre Nutzer darüber informieren müssen.
UK DSGVO & Datenschutz und elektronische Kommunikationsvorschriften (PECR)
Nach dem Brexit hat das Vereinigte Königreich seine eigene Version der DSGVO beibehalten DSGVO setzt die Cookie-Vorschriften weiterhin im Rahmen der PECR durch.
Diese Gesetze entsprechen dem Ansatz der EU und gelten für Websites, die Daten von Nutzern aus dem Vereinigten Königreich erheben.
So sieht die Einhaltung der PECR-Einwilligungsvorschriften für Websites aus:
- Ein cookie banner wird beim ersten Besuch angezeigt und erläutert die Verwendung von Cookies
- Ausdrücklich um Einwilligungbitten.
- Es werden keine nicht unbedingt erforderlichen Cookies gesetzt, bis der Nutzer seine aktive Einwilligung erteilt hat.
- Keine vorab angekreuzten Kontrollkästchen oder stillschweigende Einwilligung (die Nutzer müssen eine eindeutige Handlung vornehmen).
- Ein Link zur Cookie-Richtlinie, in der erläutert wird, welche Cookies verwendet werden und warum.
- Eine einfache Möglichkeit, die Einwilligung zu widerrufen oder zu ändern (z. B. über ein Einstellungscenter).
Wenn Ihre Zielgruppe britische Nutzer umfasst, müssen Sie sowohl die PECR- als auch die britischen DSGVO erfüllen.
Kalifornisches Verbraucherschutzgesetz (CCPA)
Der CCPA und dessen Erweiterung, der CPRA, geben Einwohnern Kaliforniens mehr Kontrolle darüber, wie ihre personenbezogenen Daten erhoben und weitergegeben werden, insbesondere zu Werbezwecken.
Anders als die DSGVO verlangt die CCPA keine vorherige ausdrückliche Zustimmung, bevor Cookies gesetzt werden.
Der CCPA verlangt jedoch Transparenz durch einen klaren Hinweis bei oder vor der Datenerfassung und gibt den Nutzern das Recht, dem Verkauf oder der Weitergabe ihrer persönlichen Daten an Dritte zu widersprechen.
So sieht die Einhaltung der CCPA/CPRA-Einwilligungsvorschriften für Websites aus:
- Ein Hinweis zum Zeitpunkt der Erhebung oder davor, der die Nutzer über die Kategorien der erhobenen personenbezogenen Daten informiert.
- Gegebenenfalls ein Link mit der Aufschrift „Meine personenbezogenen Daten nicht verkaufen oder weitergeben “.
- Unterstützung für Opt-out-Signale, wie beispielsweise die Global Privacy Control (GPC).
- Eine übersichtliche Datenschutzerklärung, in der die Verwendung der Daten, die Rechte der Betroffenen und die Möglichkeiten zur Ausübung dieser Rechte dargelegt werden.
- Eine vorherige Einwilligung ist nicht erforderlich, aber die Nutzer müssen die Möglichkeit haben, sich problemlos abzumelden.
Wenn Ihre Website auf die Einwohner Kaliforniens abzielt oder Daten von ihnen sammelt, müssen Sie Cookie-Praktiken einführen, die die Transparenz fördern und die Rechte der Nutzer auf Ablehnung respektieren.
Andere Datenschutzgesetze auf Bundesstaatenebene, wie der Virginia Consumer Data Protection Act (VCDPA), der Colorado Privacy Act (CPA) und der Connecticut Data Privacy Act (CTDPA), enthalten ähnliche Anforderungen hinsichtlich Transparenz und Widerspruchsrechten.
Gesetz zum Schutz persönlicher Daten und elektronischer Dokumente (PIPEDA)
PIPEDA, eines der grundlegenden Datenschutzgesetze Kanadas, verlangt von Organisationen, dass sie vor der Erfassung personenbezogener Daten, auch durch Cookies, eine sinnvolle Zustimmung einholen.
Organisationen müssen die Verwendung von Cookies klar erklären, leicht zugängliche Abmeldemethoden anbieten und transparente Cookie- oder Datenschutzrichtlinien aufrechterhalten.
So sieht die Einhaltung der PIPEDA-Einwilligungsvorschriften für Websites aus:
- Eine verständliche Erklärung, welche Daten Cookies erfassen und warum.
- Auf die Sensibilität der Daten zugeschnittene Einwilligungsmechanismen; bei Cookies mit geringem Risiko kann eine stillschweigende Einwilligung akzeptabel sein.
- Eine benutzerfreundliche Opt-out-Option für Nutzer, die nicht nachverfolgt werden möchten.
- Ein Link zu einer Datenschutz- oder Cookie-Richtlinie, in der die Tracking-Praktiken und die Nutzerrechte beschrieben werden.
Wenn Sie kanadische Nutzer haben, sollten Sie sicherstellen, dass Ihre cookie consent transparent und einfach zu handhaben sind.
Welche Cookies erfordern die Zustimmung der Website-Besucher?
Generell gilt, dass Sie die Zustimmung Ihrer Nutzer einholen müssen, bevor Sie Cookies auf deren Browsern platzieren, die für das Funktionieren Ihrer Website nicht unbedingt erforderlich sind.
Wesentliche Cookies (keine Zustimmung erforderlich)
Unverzichtbare Cookies, die auch als unbedingt notwendige Cookies bezeichnet werden, tragen dazu bei, dass Ihre Website ordnungsgemäß funktioniert und helfen bei grundlegenden Funktionen, wie z. B.:
- Angemeldete Benutzer beibehalten
- Ermöglichung einer sicheren Authentifizierung
- Erinnern von Artikeln in einem Einkaufswagen
- Navigieren zwischen Seiten oder Sitzungen.
Da diese Cookies in der Regel nicht mit der Erhebung oder Verarbeitung personenbezogener Daten verbunden sind, müssen Sie in der Regel nicht um Zustimmung zu ihrer Verwendung bitten.
Sie müssen jedoch in Ihrer Cookie-Richtlinie offenlegen, wie Sie diese verwenden.
Nicht-wesentliche Cookies (Zustimmung erforderlich)
Unwichtige Cookies sind für den Betrieb Ihrer Website nicht erforderlich, werden aber häufig zur Verbesserung der Leistung oder zur Unterstützung von Geschäftszielen verwendet.
Diese Cookies verarbeiten in der Regel personenbezogene Daten und beinhalten:
- Analytics-Cookies, die das Nutzerverhalten verfolgen, um die Funktionalität der Website oder der Dienste zu verbessern.
- Werbe-Cookies, die personalisierte Werbung auf der Grundlage von Browsing-Aktivitäten ermöglichen.
- Einige funktionale Cookies, die Präferenzen speichern und die Benutzerfreundlichkeit verbessern, aber nicht für den Kernbetrieb erforderlich sind.
- Cookies für soziale Medien, die das Teilen von Funktionen oder eingebetteten Inhalten Dritter ermöglichen.
Bevor Sie diese Art von Cookies setzen, müssen Sie die Nutzer informieren und ihre Zustimmung einholen, insbesondere wenn Ihre Website Gesetzen wie der DSGVO unterliegt.
Was sind die Strafen für die Nichteinhaltung der Cookie Consent ?
Die Nichteinhaltung der Vorschriften zur cookie consent kann zu finanziellen Strafen und Rufschädigung führen.
Nach der DSGVO können Unternehmen bei schweren Verstößen mit Geldbußen von bis zu 20 Millionen Euro oder 4 % ihres weltweiten Jahresumsatzes rechnen, je nachdem, welcher Betrag höher ist.
So verhängte die französische Datenschutzbehörde im Jahr 2023 gegen TikTok eine Geldstrafe in Höhe von 5 Millionen Euro wegen Verstoßes gegen die DSGVO .
Die Plattform machte es ihren Nutzern schwer, Cookies abzulehnen, da sie mehrere gezielte Klicks machen mussten, um alle Cookies abzulehnen, was schließlich dazu führte, dass sie alle akzeptierten.
Gemäß CCPA und CPRA können Geldbußen für unbeabsichtigte Verstöße bis zu 2.500 Dollar pro Vorfall und bis zu 7.500 Dollar für jeden schweren oder vorsätzlichen Vorfall betragen.
Im März 2025 verhängte die California Privacy Protection Agency (CPPA) eine Geldstrafe in Höhe von 632.500 Dollar gegen die American Honda Motor Co. wegen mehrerer Verstöße gegen das CCPA, darunter auch gegen das Datenschutzgesetz:
- Sammeln von zu vielen persönlichen Informationen.
- Entwerfen von Einwilligungsbannern, die die Abmeldung schwieriger machen als die Anmeldung.
- Weitergabe personenbezogener Daten ohne entsprechende Verträge.
Andere Gerichtsbarkeiten haben ähnliche Durchsetzungsbefugnisse.
- Im Vereinigten Königreich kann das Information Commissioner's Office (ICO) im Rahmen der britischen DSGVO Geldstrafen von bis zu 17,5 Millionen Pfund oder 4 % des weltweiten Umsatzes und bei Verstößen gegen die PECR bis zu 500.000 Pfund verhängen.
- In Kanada können Unternehmen im Rahmen von PIPEDA mit Strafen von bis zu 100.000 CAD pro Verstoß belegt werden.
Diese Durchsetzungsmaßnahmen unterstreichen, dass die Privatsphäre der Nutzer weltweit zunehmend in den Mittelpunkt rückt.
Doch abgesehen von den finanziellen Folgen kann die Nichteinhaltung der cookie consent das Vertrauen untergraben und Ihrem Ruf schaden.
Transparente, benutzerfreundliche Vorgehensweisen sind mehr als nur eine gesetzliche Vorgabe – sie sind ein wesentlicher Bestandteil beim Aufbau einer datenschutzbewussten Kultur.
Möchten Sie die Einhaltung der Cookie-Vorschriften vereinfachen? Consent Management Platform Termly Consent Management Platform es Ihnen, gesetzliche Anforderungen zu erfüllen und das Vertrauen der Nutzer zu stärken.
Geschrieben von Hanna De La Garza
Hanna De La Garza ist Autorin für Datenschutz bei Termly einen Bachelor-Abschluss in Journalismus von der University of Florida. Sie erstellt interessante Ressourcen zu Datenschutz, Einwilligungsmanagement, regulatorischen Aktualisierungen und vielem mehr.
Alle Beiträge von Hanna De La Garza lesen
Überprüft von Teodor Stanciu, CIPP/E, CIPM
Teodor Stanciu ist Rechtskoordinator und Datenschutzbeauftragter mit einem Bachelor-Abschluss in Rechtswissenschaften der Universität Bukarest und einem Master-Abschluss in EU- und internationalem Wirtschaftsrecht der Radboud-Universität.
Alle Beiträge lesen, die von Teodor Stanciu, CIPP/E, CIPM, geprüft wurden
Kostenlose Cookie Consent für Websites
