Ein konformes Cookie-Banner erstellen: Grundsätze und Fallstricke
Ein konformes Cookie-Banner muss vor dem Setzen jedes nicht essenziellen Cookies die vorherige Einwilligung des Besuchers einholen, eine Ablehnung anbieten, die ebenso einfach zugänglich ist wie die Zustimmung, und die jederzeitige Rücknahme der Einwilligung ermöglichen. Cookies, die für den Betrieb der Website unbedingt erforderlich sind (Warenkorb, Authentifizierung), sind von dieser Einwilligungspflicht ausgenommen, müssen aber dennoch erwähnt werden.
Das eigentliche Problem: Banner, die die Einwilligung umgehen
Die meisten im Web anzutreffenden Cookie-Banner entsprechen den Empfehlungen der CNIL in Wirklichkeit nicht. Der häufigste Fall: ein gut sichtbarer "Akzeptieren"-Button, während die Ablehnung hinter einem dezenten Link, einem zweiten Klick oder kaum lesbarem grauem Text versteckt ist. Diese Asymmetrie stellt einen Verstoß dar, den die CNIL mehrfach festgestellt und sanktioniert hat, auch bei sehr bekannten Websites. Eine kleinere Website ist in diesem Punkt nicht vor einer Meldung oder einer Kontrolle geschützt, zumal der Verstoß für jeden Besucher sofort sichtbar ist.
Die von der CNIL festgelegten Grundsätze
Der für Cookies geltende Rahmen beruht auf der in französisches Recht umgesetzten ePrivacy-Richtlinie, ergänzt durch die Empfehlungen der CNIL. Die zentralen Punkte:
- Vorherige Einwilligung: Nicht essenzielle Cookies dürfen erst nach einer ausdrücklichen Einwilligung gesetzt werden, nicht davor.
- Freie und spezifische Einwilligung: Der Besucher muss kategorienweise wählen können (etwa der Reichweitenmessung zustimmen, aber Werbung ablehnen), nicht nur eine Alles-oder-nichts-Option.
- Ablehnung ebenso einfach wie Zustimmung: Beide Optionen müssen auf derselben visuellen Ebene präsentiert werden, ohne unterschiedliche Wege.
- Klare Information: Der Zweck jeder Cookie-Kategorie muss verständlich erklärt werden, nicht nur mit einer technischen Bezeichnung aufgelistet.
- Nachweis der Einwilligung: Die Website muss im Falle einer Kontrolle nachweisen können, dass die Einwilligung tatsächlich unter den vorgesehenen Bedingungen eingeholt wurde.
Was keine Einwilligung erfordert
Bestimmte Cookies sind von der Pflicht zur vorherigen Einwilligung befreit, da sie als für den erwarteten Betrieb des Dienstes unbedingt erforderlich gelten:
| Kategorie | Beispiel | Einwilligung erforderlich |
|---|---|---|
| Technischer Betrieb | Warenkorb, Anmeldesitzung | Nein |
| Angegebene Präferenzen | Vom Nutzer gewählte Sprache | Nein, sofern strikt auf diesen Zweck beschränkt |
| Ausgenommene Reichweitenmessung | Anonymisierte Statistiken nach CNIL-Kriterien | Nein, unter präzisen technischen Bedingungen |
| Standard-Reichweitenmessung | Analysetools mit dauerhaften Kennungen | Ja |
| Werbung und soziale Netzwerke | Share-Buttons, Werbe-Pixel | Ja |
| Personalisierung von Drittinhalten | Profilbasierte Empfehlungen | Ja |
Ein konformes Banner Schritt für Schritt aufbauen
- Nicht essenzielle Cookies standardmäßig blockieren, vor jeder Interaktion des Besuchers mit dem Banner.
- Zwei gleichwertige Optionen anbieten: alles akzeptieren, alles ablehnen, mit einfachem Zugang zu einer detaillierten Auswahl nach Kategorie.
- Jeden Zweck erklären, in einem verständlichen Satz, ohne Fachjargon.
- Einwilligungskästchen nicht vorab ankreuzen: Jede einwilligungspflichtige Kategorie muss standardmäßig deaktiviert sein.
- Einen dauerhaften Zugang vorsehen, um die Wahl nachträglich zu ändern, in der Regel über einen dezenten, aber erreichbaren Link im Footer.
- Einen Nachweis der Einwilligung aufbewahren, mit Datum und genauem Inhalt, für die festgelegte Gültigkeitsdauer.
Die verfügbaren technischen Lösungen
Bei den meisten modernen CMS und Website-Baukästen läuft die Cookie-Verwaltung über eine Consent-Management-Plattform (CMP), entweder integriert oder über ein Drittanbieter-Modul. Diese Tools ermöglichen in der Regel, Drittanbieter-Skripte vor der Einwilligung zu blockieren, die Granularität nach Kategorie zu verwalten und einen zeitgestempelten Nachweis aufzubewahren. Die Wahl eines anerkannten Moduls ist einer eigenen Entwicklung vorzuziehen, bei der die tatsächliche Blockierung der Skripte vor der Einwilligung häufig fehlt – der am häufigsten übersehene Punkt.
Was man sich merken sollte
- Nicht essenzielle Cookies müssen blockiert bleiben, solange keine Einwilligung erteilt wurde, nicht nur als "ausstehend" angezeigt werden.
- Die Ablehnung muss ebenso leicht zugänglich sein wie die Zustimmung, auf derselben visuellen Ebene.
- Die Einwilligung muss kategorienweise erteilt werden können, nicht nur als Ganzes.
- Bestimmte, streng konfigurierte Reichweitenmessungs-Cookies sind unter präzisen, von der CNIL festgelegten technischen Bedingungen von der Einwilligungspflicht ausgenommen.
- Die Einwilligung hat eine begrenzte Gültigkeitsdauer und muss nach Ablauf dieser Frist erneut eingeholt werden.
- Im Falle einer Kontrolle muss ein Nachweis der Einwilligung vorgelegt werden können.
Häufig gestellte Fragen
Kann man die Website weiter nutzen, ohne auf das Banner reagiert zu haben? Ja, das Weiterbrowsen bleibt möglich, aber nicht essenzielle Cookies bleiben inaktiv, solange keine ausdrückliche Einwilligung erteilt wurde.
Muss die Einwilligung bei jedem Besuch erneut eingeholt werden? Nein, sie kann für einen begrenzten Zeitraum gespeichert werden, in der Regel sechs Monate gemäß den Empfehlungen der CNIL, und dann erneut eingeholt werden.
Erfordern Reichweitenmessungs-Cookies immer eine Einwilligung? Nicht systematisch, sofern sie gemäß den von der CNIL festgelegten Ausnahmekriterien konfiguriert sind (kein individuelles Tracking zwischen Websites). Außerhalb dieser Konfiguration bleibt die Einwilligung erforderlich.
Ist ein Banner mit nur einem "Akzeptieren"-Button rechtlich zulässig? Nein, diese Praxis wird von der CNIL ausdrücklich sanktioniert. Die Ablehnung muss ebenso leicht angeboten werden wie die Zustimmung.
Zusammenfassung
Ein konformes Cookie-Banner beruht auf einem einfachen, aber oft umgangenen Grundsatz: Die Ablehnung muss ebenso zugänglich sein wie die Zustimmung, und nichts darf vor einer ausdrücklichen Einwilligung gesetzt werden. Dieser allgemeine Rahmen spiegelt die öffentlichen Empfehlungen der CNIL wider; für eine präzise Konformitätsprüfung Ihrer Website bleibt ein gezieltes Audit oder der Rat eines Rechtsexperten empfehlenswert. Von VeryAppi erstellte Websites integrieren ab dem Livegang eine Cookie-Verwaltung, die diesen Grundsätzen entspricht.
Häufig gestellte Fragen
›Kann man die Website weiter nutzen, ohne auf das Banner reagiert zu haben?
Solange der Besucher keine Einwilligung erteilt hat, dürfen nicht essenzielle Cookies nicht gesetzt werden. Das Weiterbrowsen bleibt ohne Antwort möglich, doch in diesem Fall bleiben die einwilligungspflichtigen Tracker bis zu einer ausdrücklichen Entscheidung inaktiv.
›Muss die Einwilligung bei jedem Besuch erneut eingeholt werden?
Nein, die Einwilligung kann für einen begrenzten Zeitraum gespeichert werden (die CNIL empfiehlt in der Regel höchstens sechs Monate), danach muss sie erneut eingeholt werden. Auch eine Ablehnung muss für diesen Zeitraum gespeichert werden, damit ein Besucher, der bereits abgelehnt hat, nicht erneut belästigt wird.
›Erfordern Reichweitenmessungs-Cookies immer eine Einwilligung?
Nicht systematisch. Die CNIL sieht eine Ausnahme für Reichweitenmessungstools vor, die so konfiguriert sind, dass sie kein individuelles Tracking eines Besuchers von einer Website zur anderen erlauben, nach präzisen technischen Kriterien. Außerhalb dieser ausgenommenen Konfiguration bleibt eine vorherige Einwilligung erforderlich.
›Ist ein Banner mit nur einem 'Akzeptieren'-Button rechtlich zulässig?
Nein, diese Praxis wird von der CNIL seit mehreren Jahren ausdrücklich sanktioniert. Die Ablehnung muss auf derselben Ebene und ebenso leicht zugänglich angeboten werden wie die Zustimmung, ohne zusätzlichen Schritt oder abschreckenden Weg.