Cookie-Banner, die rechtskonform sind und trotzdem funktionieren

Fast jedes Unternehmen sieht den Cookie-Banner als lästige Pflicht: aufgezwungen, schlecht für die Website und möglichst klein zu halten. Also wird er so gestaltet, dass man ihn schnell wegklickt. Ein leuchtender „Akzeptieren“-Knopf, und die Ablehnung versteckt hinter einem Link namens „Einstellungen verwalten“.

Diese Variante hat zwei Probleme. Sie ist nicht rechtskonform, und das ist in Österreich und Deutschland ein echtes Risiko. Und sie schneidet meist schlechter ab als die rechtskonforme Variante. Das überrascht die meisten.

Was das Gesetz verlangt

Es geht um zwei verschiedene Regelwerke. Wer sie vermischt, landet bei den meisten Missverständnissen.

Die ePrivacy-Richtlinie regelt, ob Informationen auf dem Gerät eines Nutzers gespeichert oder dort ausgelesen werden dürfen. In Österreich ist sie in § 165 Abs. 3 TKG 2021 umgesetzt, in Deutschland in § 25 TDDDG (früher TTDSG). Sie gilt für Cookies, Local Storage und ähnliche Techniken, und zwar unabhängig davon, ob personenbezogene Daten im Spiel sind. Eine Einwilligung ist nötig, außer die Speicherung ist unbedingt erforderlich für einen Dienst, den der Nutzer ausdrücklich angefordert hat.

Die DSGVO legt fest, was eine gültige Einwilligung ist: freiwillig, für einen bestimmten Zweck, informiert, unmissverständlich und durch eine eindeutige aktive Handlung. Außerdem muss der Widerruf so einfach sein wie die Zustimmung.

Zusammen ergibt das eine kurze Liste:

• Nichts, was nicht notwendig ist, lädt vor der Einwilligung. Daran scheitern die meisten Websites, und man sieht es nur, wenn man nachschaut.
• Ablehnen muss so einfach sein wie Annehmen. Gleiche Ebene, gleicher Aufwand, vergleichbar sichtbar.
• Keine vorab angehakten Kästchen und keine Einwilligung durch Scrollen oder Weitersurfen.
• Die Einwilligung erfolgt je Zweck, nicht über einen einzigen Alles-oder-nichts-Schalter.
• Ein späterer Widerruf muss möglich sein und auch tatsächlich wirken.
• Sie müssen nachweisen können, dass eingewilligt wurde.

Technisch notwendige Cookies brauchen keine Einwilligung: das Sitzungs-Cookie für den Login, der Warenkorb im Shop, das Cookie, das die Cookie-Entscheidung selbst speichert. Sie sollten im Banner auch nicht als abwählbare Option erscheinen.

Die häufigsten Fehler

Skripte laden vor der Einwilligung

Der häufigste und schwerste Fehler. Der Banner ist da, korrekt formuliert, und Google Analytics ist längst geladen. Aus Sicht der Datenschutzbehörde ist der Banner dann reine Dekoration.

Prüfen Sie das selbst: Öffnen Sie Ihre Website in einem privaten Fenster, öffnen Sie die Entwicklertools des Browsers und sehen Sie sich die Netzwerkanfragen an, bevor Sie den Banner anklicken. Sehen Sie Anfragen an Analyse- oder Werbedienste, haben Sie den Fehler gefunden.

Akzeptieren groß, Ablehnen versteckt

Ein farbiger „Akzeptieren“-Knopf neben einem grauen Textlink, oder eine Ablehnung, die erst auf einer zweiten Ebene kommt. Europäische Aufsichtsbehörden haben sich dazu mehrfach geäußert, und die Linie ist klar: Kostet das Ablehnen mehr Aufwand als das Annehmen, ist die Einwilligung nicht freiwillig.

Der Banner, der immer wiederkommt

Wer abgelehnt hat und den Banner danach auf jeder Seite wieder sieht, wird zermürbt. Eine Einwilligung ist das nicht.

Kein Weg zurück

Nach dem Akzeptieren gibt es keine sichtbare Möglichkeit mehr, die Entscheidung zu ändern. Es braucht einen dauerhaften Link, meist im Footer.

Seit der Installation nie wieder angesehen

Ein Consent-Tool, vor zwei Jahren eingerichtet, listet Cookies, die die Website längst nicht mehr setzt, und es fehlen drei, die seither dazugekommen sind. Die Liste muss zeigen, was wirklich da ist.

Warum die ehrliche Variante oft besser abschneidet

Dieser Teil fehlt in der Datenschutzdiskussion meistens.

Der Trick kostet Vertrauen im ungünstigsten Moment. Der Banner ist das Erste, was ein Besucher von Ihrer Website sieht. Ist er erkennbar manipulativ, sagt er etwas darüber aus, wie Sie mit Menschen umgehen, noch bevor jemand ein Wort über Ihr Angebot gelesen hat.

Die Zustimmungsrate ist die falsche Kennzahl. Ein Banner, der auf maximale Zustimmung getrimmt ist, liefert eine höhere Rate und schlechtere Daten. Ein guter Teil der Zustimmungen kommt von Menschen, die nur wollen, dass das Ding verschwindet. Ihre Statistik wird dadurch weniger verlässlich.

Ein kleiner, ehrlicher Banner ist schneller erledigt. Ein Overlay über den ganzen Bildschirm mit viel Text hält länger auf als eine kompakte Leiste mit zwei klaren Knöpfen. Am Handy ist der Unterschied messbar.

Der Consent Mode verändert die Rechnung. Wenn Sie Google-Dienste nutzen, kann der Consent Mode Conversions von Nutzern modellieren, die abgelehnt haben. Eine echte Ablehnungsmöglichkeit kostet Sie also weniger, als es scheint. Richten Sie ihn sauber ein, statt jede Ablehnung als totalen Datenverlust zu behandeln.

Datenschutz ist damit nicht gratis. Aber der ehrliche Banner und der wirksame Banner liegen viel näher beieinander, als die Branche annimmt. Der manipulative ist oft bei beidem schlechter.

So sieht ein guter Banner aus

• Kompakt. Eine Leiste, kein Vollbild.
• Auf der ersten Ebene zwei gleichwertig gestaltete Knöpfe: „Alle akzeptieren“ und „Alle ablehnen“. Ein dritter für „Einstellungen“ ist optional.
• Klare Worte dazu, was Sie einsetzen und warum. Zwei Sätze.
• Ein Link zur Datenschutzerklärung und Kategorien mit verständlichen Namen.
• Die Entscheidung wird gespeichert, üblicherweise sechs bis zwölf Monate, und erneut abgefragt, wenn sie abläuft oder sich bei den eingesetzten Tools etwas Wesentliches ändert.
• Ein dauerhafter Link im Footer, um die Entscheidung zu ändern.

Bewusst weggelassen: Countdown, beschämende Beschriftung am Ablehnen-Knopf, Animationen, die den Blick auf eine Option lenken, und jede Andeutung, dass die Website ohne Zustimmung nicht funktioniert.

Weniger Tracker, weniger Problem

Der einfachste Weg: Setzen Sie weniger Tracker ein.

Die meisten Firmenwebsites laden Tags für Tools, die niemand ansieht, für Kampagnen, die längst vorbei sind, und für Einbindungen, die man einmal ausprobiert hat. Jeder davon ist eine eigene Cookie-Kategorie, ein Eintrag in der Datenschutzerklärung, eine Bremse für die Ladezeit und ein Haftungsrisiko.

Prüfen Sie, was tatsächlich lädt. Entfernen Sie, was Sie nicht nutzen. Für einen Überblick über die Besucherzahlen reichen oft datenschutzfreundliche Analyse-Tools, die keine identifizierenden Cookies setzen und nichts auf dem Gerät speichern. Sie lassen sich häufig ohne Einwilligung betreiben, und bei vielen Websites ist das Banner-Problem damit erledigt. Das ist eine echte Option und kein Trick. Ob sie für Sie passt, hängt davon ab, was Sie messen müssen.

Wo das im Projekt hingehört

Ein Consent-Tool baut man nicht am Ende dazu. Ob Skripte vor der Einwilligung laden, entscheidet sich daran, wie die Website sie einbindet. Das ist eine Entscheidung beim Bau. Sie nachträglich in eine Website mit fest eingebauten Tags einzuziehen, ist die teure Variante.

Setzt eine Website, die wir bauen, nicht notwendige Skripte ein, bekommt sie eine Einwilligungslösung, bei der diese Skripte wirklich warten, mit gleichwertiger Ablehnung und einer Cookie-Liste, die zu dem passt, was die Website tatsächlich setzt. Die übrige Datenschutzarbeit planen wir genauso. Einen Überblick gibt unsere DSGVO-Checkliste für Websites.

Dieser Artikel ist eine allgemeine Information darüber, wie die Regeln aufgebaut sind, und keine Rechtsberatung. Die nationalen Umsetzungen unterscheiden sich. Haben Sie es mit einer Beschwerde oder einer Behörde zu tun, wenden Sie sich an eine Rechtsanwältin oder einen Rechtsanwalt in Ihrem Land.

Starten Sie Ihr Projekt, und wir melden uns innerhalb eines Werktags, um Möglichkeiten, Budget und Zeitplan zu besprechen.