„Ablehnen“, „Nur Auswahl erlauben“ oder „Alle Cookies zulassen“: Egal, welche Webseite man besuchen möchte, bevor man überhaupt zu ihr kommt, muss man sich mit den Cookie-Einstellungen auseinandersetzen. Um den Banner möglichst schnell schließen zu können, lassen die meisten Nutzerinnen und Nutzer einfach alle Cookies zu, ohne sich mit der Bedeutung tatsächlich auseinandergesetzt zu haben. Damit wird der ursprüngliche Zweck der Einführung des Cookie-Banners – nämlich ein transparenterer Umgang mit den eigenen Daten – oft konterkariert.
Doch wie sieht die rechtliche Lage hinter diesen Bannern aktuell aus und welche technischen Grundlagen spielen dabei eine Rolle? In diesem Beitrag beleuchten wir den aktuellen Stand rund um das Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG) und werfen einen Blick auf die Zukunft der Cookie-Banner.
Was sind Cookies? Technische Grundlagen und Differenzierung
Cookies sind kurze Textdateien, die von einer besuchten Website an den Webbrowser des Nutzers gesendet und auf dessen Computer (oder Smartphone) gespeichert werden. Bei einem erneuten Besuch können diese Dateien von der Website wieder abgerufen werden und enthalten Informationen über besuchte Webseiten, Login-Daten oder das private Surfverhalten. Diese Textdateien sind beispielsweise dafür verantwortlich, dass ein Nutzer auf die hinterlegten Produkte in seinem Einkaufswagen im Online-Shop zurückgreifen kann, sich nicht immer neu einloggen muss und Produktvorschläge erhält, die auf sein Profil zugeschnitten sind.
Dabei sind unterschiedliche Arten von Cookies grundsätzlich zu unterscheiden:
- Sitzungscookies (Session Cookies) und persistente Cookies: Wird ein Cookie automatisch gelöscht, sobald der Nutzer seinen Browser schließt, spricht man von einem Sitzungscookie. Ein persistenter Cookie dagegen ist für einen festgelegten Zeitraum auf dem Endgerät gespeichert und wird erst nach Ablauf dieses Zeitraums gelöscht (das kann Minuten, aber auch Jahre dauern).
- First-Party und Third-Party-Cookies: Abzugrenzen sind Cookies von Drittanbietern (Third-Party) von sogenannten First-Party-Cookies. Ein Third-Party-Cookie wird zwar von einem für die Verarbeitung Verantwortlichen gesetzt, dieser ist aber nicht identisch mit dem Betreiber der Website, die der Nutzer gerade besucht (typisch für Werbenetzwerke).
- Alternative Speichertechnologien (ehemals Flash-Cookies): Während früher oft sogenannte Flash-Cookies genutzt wurden, die browserübergreifend Daten speichern konnten und schwer zu löschen waren, nutzt die Technik heute vermehrt den HTML5 Local Storage. Das datenschutzrechtliche Prinzip bleibt jedoch dasselbe: Es werden Informationen auf dem Endgerät des Nutzers abgelegt.
- Unbedingt erforderliche Cookies („Strictly necessary Cookies“): Die Verwendung bestimmter Cookies ist unbedingt erforderlich, damit eine Webseite überhaupt genutzt und navigiert werden kann. Sie koordinieren beispielsweise die bandbreitenbezogene Datenmenge oder speichern Sprach- und Cookie-Präferenzen. Diese Cookies bedürfen keiner Einwilligung.
Die aktuelle Rechtslage in Deutschland: Das TDDDG
Die Zeiten, in denen eine einfache Opt-Out-Lösung im Telemediengesetz (TMG) ausreichte („sofern der Nutzer dem nicht widerspricht“), sind lange vorbei. Mit der Rechtsprechung des BGH und des EuGH wurde das Opt-In-Prinzip (die aktive, vorherige Einwilligung) zum Standard.
Der deutsche Gesetzgeber hat dies zunächst im TTDSG und mittlerweile im TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), welches im Mai 2024 in Kraft trat (eine Namensanpassung zur Harmonisierung mit dem europäischen Digital Services Act), rechtlich verankert.
Der zentrale § 25 TDDDG besagt: Das Speichern von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf Informationen, die bereits in der Endeinrichtung gespeichert sind, sind nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat.
Wichtig: Diese Einwilligungspflicht gilt unabhängig davon, ob es sich um personenbezogene Daten handelt oder nicht. Es geht primär um den Schutz der Privatsphäre des Endgeräts. Sobald jedoch aus den Cookies personenbezogene Daten verarbeitet werden, greift zusätzlich die Datenschutz-Grundverordnung (DSGVO).
Praxis-Übersicht: Einwilligungspflichtige vs. einwilligungsfreie Cookies
Das TDDDG sieht in § 25 Abs. 2 strenge Ausnahmen vor, in denen keine Einwilligung erforderlich ist. Dies ist der Fall, wenn der Cookie für die Bereitstellung eines vom Nutzer ausdrücklich gewünschten Telemediendienstes unbedingt erforderlich ist.
Die folgende Tabelle gibt einen Überblick über gängige Cookie-Arten und deren rechtliche Einordnung:
Übersicht: Cookie-Arten und Einwilligungspflicht nach § 25 TDDDG
| Cookie-Art | Funktion / Beispiel | Einwilligung nach § 25 TDDDG |
|---|---|---|
| User-Input-Cookies | Temporäres Speichern von Nutzereingaben (z. B. Warenkorb, Ausfüllen mehrseitiger Online-Formulare). | Einwilligungsfrei Unbedingt erforderlich für den ausdrücklich gewünschten Dienst. |
| Authentifizierungscookies | Login-Status bei wiederholtem Besuch für die Dauer der Sitzung. | Einwilligungsfrei Soweit kein Token über mehrere Sitzungen hinweg für Tracking-Zwecke gespeichert wird. |
| Sicherheitscookies | Erkennen von wiederholt fehlgeschlagenen Anmeldeversuchen zum Schutz des Nutzers vor Missbrauch. | Einwilligungsfrei Dienen unmittelbar der IT-Sicherheit des vom Nutzer angeforderten Dienstes. |
| Multimedia-Sitzungscookies | Ermöglichen das Abspielen von explizit angeforderten Video- oder Audioinhalten. | Einwilligungsfrei Sofern die Inhalte Teil des vom Nutzer aktiv aufgerufenen Dienstes sind. |
| First-Party-Analysecookies | Reine Reichweitenmessung, Auswertung von Besucherzahlen oder technischen Anwendungsproblemen (Statistik). | Einwilligungspflichtig Aus Nutzersicht für die reine Funktion der Webseite rechtlich nicht „unbedingt erforderlich“. |
| Content-Sharing-Cookies | Social-Plugins (z. B. „Teilen“- oder „Like“-Buttons von sozialen Netzwerken). | Einwilligungspflichtig Für das bloße Betrachten und Lesen der Webseite in der Regel nicht erforderlich. |
| Third-Party Werbecookies | Plattformübergreifendes Nutzertracking und verhaltensorientierte Werbung durch Drittanbieter. | Zwingend einwilligungspflichtig Erfordern vor dem Setzen ein aktives und informiertes Opt-In des Nutzers. |
Anforderungen an die Einwilligung
Damit die Einwilligung gültig ist, muss sie den Kriterien der DSGVO entsprechen. Sie muss vorab eingeholt werden, freiwillig und informiert erfolgen. Zudem darf der Nutzer keine Nachteile erleiden, wenn er Cookies ablehnt. Der Widerruf muss ebenso einfach sein wie die Erteilung der Einwilligung.
Die Zukunft des Cookie-Banners: Das Ende der Klick-Flut?
Die EU-Kommission und Datenschutzbehörden arbeiten kontinuierlich an Wegen, den Cookie-Banner in seiner jetzigen Form mit dem Ziel der vereinfachten Nutzung von Webseiten abzuschaffen oder zumindest nutzerfreundlicher zu gestalten, ohne das Schutzniveau zu senken.
Zentrale Steuerung der Präferenzen (PIMS)
Die Handhabung soll deutlich vereinfacht werden, indem Präferenzen zentral gesteuert werden. Das soll künftig verlässlich über die Browser-Einstellungen (Personal Information Management Systems) erfolgen. § 26 TDDDG hat für solche Dienste zur Einwilligungsverwaltung in Deutschland bereits die gesetzliche Grundlage geschaffen. Wenn ein Nutzer einmal in seinem Browser „Keine Third-Party-Cookies zulassen“ einstellt, soll diese Entscheidung von allen Websites ohne erneute Banner-Abfrage respektiert werden. Zudem wird auf EU-Ebene im Rahmen der e-Privacy-Gesetzgebung weiterhin diskutiert, Cookies, die keine erheblichen datenschutzrechtlichen Risiken bergen (wie reine, anonyme Statistik-Cookies ohne Personenbezug), gänzlich von der strengen Einwilligungspflicht auszunehmen.
Kritik: Umgehung des Kernproblems?
Trotz aller Bemühungen um Bürokratieabbau gibt es kritische Stimmen. Überwiegend wird von Datenschützern moniert, dass auch die Abschaffung oder Vereinfachung des Cookie-Banners nicht das Kernproblem löse: die allgegenwärtige Online-Überwachung.
Zwar sei der Besuch von Webseiten ohne ständige Banner nutzerfreundlicher, aber auf personenbezogenen Daten basierte Profilbildung werde allein durch eine vereinfachte Banner-Logik nicht verhindert – zumal viele Tracking-Mechanismen heutzutage ohnehin serverseitig (Server-to-Server) ablaufen und nicht mehr zwingend auf Cookies im Endgerät angewiesen sind. Der Schutz der Privatsphäre erfordert nach Ansicht vieler Experten eine viel umfassendere Reform der digitalen Werbeindustrie.
Ob sich Nutzerinnen und Nutzer tatsächlich ausführlicher mit Datenschutzbestimmungen auseinandersetzen, nur weil sie die Verwendung zentral im Browser steuern können, bleibt abzuwarten.
Fazit: Rechtssicherheit vor Banner-Frust
Die rechtlichen Anforderungen an den Einsatz von Cookies sind durch das TDDDG und die DSGVO streng geregelt. Wer heute noch auf alte Opt-Out-Lösungen setzt, riskiert empfindliche Bußgelder. Auch wenn die Hoffnung auf ein baldiges Ende der „Cookie-Banner-Müdigkeit“ durch zentrale Browser-Lösungen besteht, bleibt die saubere technische und rechtliche Implementierung von Einwilligungs-Managementsystemen auf Websites vorerst Pflicht.
RICKERT.LAW ist spezialisiert auf IT-Recht und Datenschutzrecht. Kontaktieren Sie uns für eine individuelle Beratung zu Ihrer Website-Compliance und stellen Sie sicher, dass Ihre Online-Präsenz dem aktuellen TDDDG und der DSGVO entspricht.
