Wenn Ihre Website Cookies und andere Technologien zur Überwachung der Nutzer verwendet, müssen Sie eine Cookie-Benachrichtigung bereitstellen. Diese Pop-up-Boxen oder Cookie-Banner informieren die Nutzer darüber, welche Cookies auf Ihrer Website aktiv sind und welche Art von personenbezogenen Daten Ihre Cookies sammeln.
Sie können sie auch verwenden, um die Nutzer dazu zu bringen, der Platzierung von Cookies auf ihren Geräten zuzustimmen.
Lesen Sie weiter, um mehr über Cookie-Benachrichtigungen zu erfahren, wann Sie sie brauchen und wie Sie sie erstellen können. Wenn Sie sich nicht sicher sind, was das alles bedeutet, lesen Sie unseren ausführlichen Cookie-Leitfaden für weitere Informationen über Cookies im Allgemeinen.
Was ist eine Cookie-Benachrichtigung?
Cookie-Meldungen auf Websites beziehen sich auf den Text in den Pop-ups oder Bannern, die Nutzer erhalten, wenn sie auf Websites mit Cookies gehen. Sie erinnern die Nutzer daran, dass eine Website Cookies verwendet und dass sie das Recht haben, Cookies abzulehnen.
Unternehmen verwenden auch Cookie-Pop-ups, um die Zustimmung der Nutzer zur Verwendung von Cookies einzuholen.
Diese Meldungen sind durch bestimmte Datenschutz- und Cookie-Gesetze vorgeschrieben, wie z. B. die Allgemeine Datenschutzverordnung der Europäischen Union (DSGVO).
Warum brauchen Sie eine Cookie-Nachricht?
Es gibt viele Gründe, warum Sie eine Cookie-Meldung auf Ihrer Website benötigen.
Unabhängig davon, ob Sie in den USA, in der EU oder in einem anderen Land oder Gebiet ansässig sind, müssen Sie auf Ihrer Website Cookie-Hinweise einfügen, wenn Sie an Personen in Ländern oder Regionen mit strengen Cookie-Gesetzen vermarkten.
So müssen Sie beispielsweise die EU-Richtlinie DSGVO einhalten, wenn Sie Verbraucher aus dem Europäischen Wirtschaftsraum (EWR) ansprechen, selbst wenn Ihr Unternehmen und Ihr Webserver in den USA ansässig sind. Die DSGVO gilt für jede Website, die Dienstleistungen oder Produkte für EU-Bürger anbietet oder personenbezogene Daten von EU-Bürgern sammelt.
In den USA
Obwohl es in den USA keine Cookie-Gesetze gibt, haben einige Bundesstaaten Gesetze, die die Cookie-Nutzung für ihre Einwohner regeln, wie z. B. das kalifornische Verbraucherschutzgesetz (CCPA).
Es gibt auch einige Bundesgesetze, wie z. B. den Children's Online Privacy Protection Act (COPPA), die regeln, wie Unternehmen unter bestimmten Umständen Cookies verwenden.
Das kalifornische Verbraucherschutzgesetz (CCPA)
Das CCPA schützt die Daten der kalifornischen Nutzer vor Verletzungen der Privatsphäre. Wie die DSGVO regelt es die Verwendung personenbezogener Daten, einschließlich Cookies.
Im Gegensatz zu DSGVO verlangt der CCPA nicht, dass eine Organisation die Zustimmung der Nutzer für die Sammlung und Verarbeitung ihrer persönlichen Daten einholt. Allerdings muss die Organisation den Nutzern das Recht einräumen, dem Verkauf personenbezogener Daten zu widersprechen, wenn sie personenbezogene Daten der Nutzer sammelt und an Dritte verkauft.
Die Zustimmung ist auch unter bestimmten Umständen erforderlich, z. B. bei der Erhebung und Verwendung personenbezogener Daten von Minderjährigen unter 16 Jahren und bei der Informationsübermittlung.
Das Gesetz zum Schutz der Privatsphäre von Kindern im Internet (COPPA)
Wie der CCPA schützt auch der COPPA das Recht von Minderjährigen auf Privatsphäre. Es gilt für alle Websites und Online-Unternehmen, die personenbezogene Daten von Kindern erheben, verwenden oder weitergeben, und verpflichtet Sie, die Eltern direkt über die Cookie-Sammlung zu informieren.
Im Gegensatz zu DSGVO ist es nicht erforderlich, dass Sie Cookie-Meldungen veröffentlichen. Allerdings müssen Sie in Ihrer Online-Datenschutzrichtlinie Folgendes angeben:
- Kontaktinformationen (z. B. Name, Telefonnummer, Adresse und E-Mail-Adresse) aller Betreiber, die personenbezogene Daten über Ihre Website oder Ihren Dienst verwalten oder sammeln.
- Beschreibung der Informationen, die der Betreiber von Kindern erhebt, einschließlich der Angabe, ob der Betreiber es Kindern ermöglicht, ihre persönlichen Daten der Öffentlichkeit zugänglich zu machen, wie der Betreiber mit diesen Daten umgeht und wie er diese Daten verwendet.
- Wie Eltern die personenbezogenen Daten ihrer Kinder überprüfen oder löschen lassen können. Sie sollten auch darlegen, wie Eltern die weitere Erfassung oder Nutzung der Daten ihrer Kinder einschränken können.
In der EU
Cookie-Meldungen sind durch die Allgemeine Datenschutzverordnung der EU (DSGVO) und die ePrivacy-Richtlinie gesetzlich vorgeschrieben.
DSGVO
Die EU-Richtlinie DSGVO ist das strengste Cookie-Gesetz der Welt. Es trat am 15. Mai 2018 in Kraft und gilt für alle Websites, die sich an Verbraucher im EWR richten.
Obwohl das Wort "Cookie" auf den 88 Seiten nur ein einziges Mal vorkommt, ist die DSGVO ein Wendepunkt für die Verwendung von Cookies. Im Gegensatz zu früheren Datenschutzvorschriften wie der Datenschutzrichtlinie für elektronische Kommunikation schreibt die DSGVO vor, dass Websites die Zustimmung der Nutzer einholen müssen, bevor sie Cookies in ihren Browsern ablegen.
Damit die Zustimmung gültig ist, muss sie erfolgen:
- Spezifisch und unzweideutig
- Frei gegeben, das heißt, sie muss freiwillig gegeben werden
- Informiert, was bedeutet, dass die Website den Nutzer über Cookies informieren muss, bevor sie in seinem Browser platziert werden
- Ausgedrückt durch explizite, affirmative Maßnahmen
Dieses Erfordernis einer aktiven Zustimmung, die durch eindeutige, bestätigende Maßnahmen zum Ausdruck gebracht werden muss, steht in krassem Gegensatz zum EU-Cookie-Gesetz oder der Datenschutzrichtlinie für elektronische Kommunikation von 2002, die eine passive oder stillschweigende Zustimmung zuließen.
Eine passive Zustimmung, auch bekannt als Browsewrap, liegt vor, wenn eine Website davon ausgeht, dass der Nutzer die Nutzungsbedingungen oder die Datenschutzrichtlinie der Website akzeptiert, nur weil er die Website oder den Dienst weiterhin nutzt.
Da der Nutzer sich nicht gegen Cookies entscheiden oder ihnen zustimmen kann, bevor sie in seinem Browser abgelegt werden, kann er keine gültige Zustimmung gemäß DSGVO erteilen. Daher entsprechen Cookie-Meldungen mit passiver Zustimmung nicht der DSGVO.
Datenschutzverordnung für elektronische Kommunikation
Die Datenschutzverordnung für elektronische Kommunikation ist eine überarbeitete Fassung der geltenden Datenschutzrichtlinie für elektronische Kommunikation, die gemeinhin auch als Cookie-Gesetz bezeichnet wird. Wie die DSGVO gilt die Verordnung in der EU, verlangt aber von jeder Website oder Organisation, die sich an EU-Nutzer richtet, die Einhaltung der Vorschriften.
Sie soll mit der DSGVO zusammenarbeiten, um den reformierten Datenschutzrahmen der EU zu schaffen, aber sie ist noch nicht in Kraft getreten. Nach ihrer Fertigstellung wird die ePrivacy-Verordnung die DSGVO erweitern und einfachere Regeln für Cookies festlegen.
Wir wissen noch nicht, wie all diese Regeln aussehen werden, aber die Europäische Kommission hat erklärt, dass für Cookies, die nicht in die Privatsphäre eingreifen, keine Zustimmung erforderlich sein wird. Dazu gehören Cookies, die die Benutzerfreundlichkeit verbessern, wie z. B. Cookies, die den Verlauf des Warenkorbs speichern.
Rest der Welt
Es gibt auch einige andere Länder mit ähnlichen Rechtsvorschriften.
Kanada
Im Gegensatz zu Kalifornien und der EU gibt es in Kanada keine speziellen Gesetze zur Regelung von Cookies. Allerdings ist die Cookie-Regulierung Teil der kanadischen Anti-Spam- und Datenschutzgesetze.
Nach dem kanadischen Anti-Spam-Gesetz (CASL") ist es illegal, Programme oder Software auf dem Computer einer anderen Person zu installieren, ohne vorher deren ausdrückliche Zustimmung einzuholen.
Wie die DSGVO schreibt auch die CASL vor, dass die Zustimmung der Nutzer auf eine bestimmte Weise eingeholt werden muss. Eine Person - definiert als ein Unternehmen, eine Organisation, eine Einzelperson, eine Partnerschaft, ein Treuhänder, ein Konkursverwalter, eine Vereinigung oder ein gesetzlicher Vertreter - muss ausdrücklich Folgendes erklären, bevor sie eine ausdrückliche Zustimmung einholt:
- Warum Sie die Zustimmung der Person einholen
- Die Identität der Person, die die Zustimmung beantragt
Die CASL besagt jedoch auch, dass eine Person der Installation von Cookies ausdrücklich zugestimmt hat, wenn es vernünftig ist zu glauben, dass die Person durch ihr Verhalten zugestimmt hat. Leider gibt es derzeit nicht viele Hinweise darauf, welches Verhalten als "angemessen" gilt - das einzige Beispiel, das die CASL-Regulierungsbehörde nennt, ist, dass eine Person nicht als zustimmend gilt, wenn sie Cookies über ihren Browser deaktiviert hat.
Das kanadische Datenschutzgesetz(PIPEDA) verlangt im Allgemeinen die Zustimmung zur Erfassung, Verwendung und Weitergabe persönlicher Daten. Der sicherste Weg, diese Zustimmung zu erhalten, ist die ausdrückliche, informierte Zustimmung, z. B. durch Cookie-Benachrichtigungen.
Alles in allem deutet dies darauf hin, dass die kanadischen Cookie-Vorschriften weit weniger streng sind als die in Kalifornien und der EU.
Singapur
Das Datenschutzgesetz Singapurs, der Personal Data Protection Act (PDPA), regelt den Umgang mit personenbezogenen Daten und das Marketing. Es legt fest, wie Organisationen die persönlichen Daten der Singapurer verwenden, sammeln und entsorgen.
Wie DSGVO schreibt auch das PDPA vor, dass Sie die Zustimmung der Nutzer einholen müssen, bevor Sie deren personenbezogene Daten sammeln oder verwenden. Daher müssen Sie die folgenden Angaben machen, wenn Sie die Zustimmung der Nutzer einholen:
- Grund für die Verarbeitung der personenbezogenen Daten der Nutzer.
- Jeder andere Zweck, den Sie für den Umgang mit den Nutzerdaten verfolgen und den Sie zuvor nicht offengelegt haben.
- Auf Anfrage der Nutzer müssen Sie die Kontaktinformationen einer Person angeben, die im Namen der Organisation handelt, die die Daten der Nutzer anfordert. Diese Person muss die Fragen der Nutzer zur Erhebung, Verwendung oder Weitergabe ihrer Daten beantworten.
Im Gegensatz zum DSGVO lässt das PDPA jedoch unter bestimmten Umständen eine stillschweigende oder fiktive Einwilligung zu. Dazu gehören:
- Scheinbare Zustimmung: Die Zustimmung kann stillschweigend erfolgen oder als gegeben angesehen werden, wenn die Verwendung, Erfassung oder Weitergabe der personenbezogenen Daten der Nutzer zur Erfüllung eines Vertrags zwischen der Organisation und dem Nutzer erforderlich ist.
- Deemed consent by notification: Unternehmen können von einer Einwilligung ausgehen, wenn sie über den Zweck der Erhebung, Verwendung oder Weitergabe personenbezogener Daten informieren. Gleichzeitig müssen sie den Nutzern eine angemessene Frist für die Ablehnung einräumen. Die Einwilligung gilt als erteilt, wenn die Nutzer nicht innerhalb dieser Frist widersprechen.
Das singapurische PDPA ähnelt mehr dem kanadischen CASL als dem DSGVO , da es eine stillschweigende oder fiktive Einwilligung akzeptiert.
Was muss in einer Cookie-Nachricht stehen?
Ihre Cookie-Nachricht muss die folgenden Anforderungen erfüllen, um der DSGVO zu entsprechen:
- Informieren Sie die Nutzer darüber, dass die Website Cookies verwendet.
- Auflistung der Arten von Cookies, die auf der Website vorhanden sind (z. B. unerlässlich, funktional, Marketing)
- Geben Sie den Nutzern weitere Informationen darüber, wie die Website Cookies verwendet, indem Sie Links zu den Datenschutzrichtlinien oder Cookie-Richtlinien der Website einfügen. Sie kann auch Informationen darüber enthalten, wie die Nutzer die Verwendung von Cookies ablehnen oder ihre Cookie-Einstellungen ändern können.
- Holen Sie die aktive Zustimmung der Nutzer zur Verwendung von Cookies ein.
Die folgende Cookie-Nachricht des Guardian beispielsweise erfüllt alle drei Punkte.
Die Fahne des Guardian:
- Informiert die Nutzer darüber, dass die Website Cookies verwendet. Es wird eine große, auffällige Schrift für "Sie haben die Wahl" verwendet. Dies veranlasst den Benutzer zu lesen, um herauszufinden, warum es ein Banner gibt und auf welche Wahl es sich bezieht.
- Sie gibt den Nutzern Informationen darüber, wie The Guardian Cookies verwendet. Die Details finden Sie unter "Es ist Ihre Wahl".
- Holt die aktive Zustimmung der Nutzer zur Verwendung von Cookies ein. Dies geschieht über die Schaltflächen "Ja, ich bin einverstanden" und "Meine Cookies verwalten".
Wo müssen Sie eine Cookie-Benachrichtigung anzeigen?
Um die Einhaltung der Vorschriften zu gewährleisten, müssen Sie auf jeder Seite Ihrer Website einen Hinweis auf Cookies platzieren.
Wenn Sie sie nur auf Ihrer Homepage platzieren, können Nutzer, die auf einer anderen Seite landen, die Benachrichtigungsmeldung nicht sehen. Infolgedessen werden sie nicht wissen, dass Ihre Website Cookies verwendet, und Sie werden nicht in der Lage sein, ihre Zustimmung zur Platzierung von Cookies auf ihrem Gerät zu erhalten.
Wie man eine Cookie-Nachricht erstellt
Es kann schwierig sein, Cookie-Benachrichtigungs-Pop-ups von Grund auf neu zu erstellen, vor allem, wenn Sie nicht die Zeit und Energie haben, um sicherzustellen, dass Ihre Nachrichten den einschlägigen Rechtsvorschriften entsprechen.
Im Folgenden finden Sie einige Möglichkeiten, wie Sie die Erstellung einer Cookie-Benachrichtigung in Angriff nehmen können.
Verwaltete Lösung (empfohlen)
Die zeitsparendste und sicherste Weg um sicherzustellen, dass Sie die Cookie-Anforderungen einhalten, ist eine verwaltete Lösung wie Termly's Cookie Consent Manager.
Unser Cookie Consent Manager ist ein leistungsstarkes und dennoch einfach zu bedienendes browserbasiertes Tool, das nur minimalen Aufwand erfordert.
Verwenden Sie Termly , um eine Cookie-Benachrichtigung zu erstellen.
- Schritt 1: Geben Sie Ihre Website-URL in den Scanner von Termlyein.
- Schritt 2: Wir scannen Ihre Website und kategorisieren die meisten Ihrer Cookies
- Schritt 3: Wir erstellen Ihre Cookie-Richtlinie und Ihr anpassbares Cookie-Benachrichtigungsbanner
Alles, was Sie tun müssen, ist, die Informationen Ihrer Website einzugeben und auf die Schaltfläche "Erstellen Cookie Consent" zu klicken. Wir durchsuchen dann Ihre Website nach Cookies, ordnen sie in die entsprechenden Kategorien ein, schreiben eine individuelle Cookie-Richtlinie für Ihr Unternehmen und erstellen ein cookie consent Banner, das Sie problemlos auf Ihrer Website anzeigen können.
Plugins Lösung
Wenn Sie eine WordPress-Website betreiben, sollten Sie ein Plugin für Cookie-Meldungen herunterladen. Mit diesen Tools erhalten Sie anpassbare Cookie-Meldungen und Pop-ups, die Ihnen helfen, die Cookie-Anforderungen zu erfüllen.
Im Gegensatz zu DIY oder Vorlagen werden Plugins bereits mit Kodierung, Farben, WordPress-Seitensynchronisierung und Formatierung geliefert, so dass Sie nur noch den Text und das Aussehen an Ihre Marke anpassen müssen.
DIY-Lösung (nicht empfohlen)
Bei dieser Option müssen Sie den erforderlichen Gesetzestext verfassen und die Anzeige und Funktion der Benachrichtigung selbst kodieren. Sie ist nicht zu empfehlen, wenn Sie sich nicht mit Datenschutzgesetzen oder Kodierung auskennen. Wenn Sie sich für diese Option entscheiden, sollten Sie den Einsatz eines Cookie Richtlinien Vorlage um den Prozess der Cookie-Einhaltung zu rationalisieren.
Schlussfolgerung
Cookie-Benachrichtigungen sind jetzt gemäß DSGVO, CCPA und anderen Datenschutzgesetzen vorgeschrieben. Daher müssen Sie sich mit Ihrem Team zusammensetzen und eine Lösung für Cookie-Benachrichtigungen wählen, die Ihnen hilft, die für die Nutzer Ihrer Website geltenden Datenschutzgesetze einzuhalten. Dies wird Sie nicht nur vor den Auswirkungen der DSGVO, COPPA, CCPA und anderen Gesetzen schützen, sondern Sie auch auf kommende Cookie-Gesetze wie die ePrivacy-Verordnung der EU vorbereiten.
Mehr über die Autorin
Geschrieben von Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha ist Spezialistin für Informationssicherheit und Datenschutz und zertifizierte Datenschutzbeauftragte. In den letzten sechs Jahren war sie als Datenschutzbeauftragte tätig und half kleinen und mittleren Unternehmen bei der Einhaltung von Rechtsvorschriften. Außerdem war sie Mentorin für die Einhaltung von Datenschutzbestimmungen bei vielen internationalen Business Accelerators. Sie ist spezialisiert auf die Umsetzung, Überwachung und Prüfung der Einhaltung von Datenschutzvorschriften (HIPAA, PIPEDA, ePrivacy-Richtlinie, DSGVO, CCPA, POPIA, LGPD). Masha hat an der Universität Belgrad Jura studiert und 2016 die Anwaltsprüfung abgelegt. Mehr über die Autorin
