Wie Sie eine Cookie-Richtlinie schreiben: Schritt-für-Schritt-Anleitung + Vorlage

Der Cookie-Banner ist der Teil, den alle sehen, deshalb bekommt er die meiste Aufmerksamkeit. Die Cookie-Richtlinie, also das Dokument, auf das der Banner verlinkt, wird dagegen meist in fünf Minuten zusammengestellt, indem man sie von jemand anderem kopiert. Dabei ist die Richtlinie das Erste, was eine Datenschutzbehörde bei einer Prüfung öffnet. Die gute Nachricht: Eine ordentliche Richtlinie zu schreiben ist nicht schwer. In dieser Anleitung zeigen wir, was eine Cookie-Richtlinie enthalten muss, wie Sie sie Schritt für Schritt anhand einer Mustervorlage aufbauen und wie Sie sie aktuell halten, ohne sie jeden Monat von Hand neu zu schreiben.

Was eine Cookie-Richtlinie ist und warum Sie eine brauchen

Eine Cookie-Richtlinie ist eine öffentlich zugängliche Seite, die Besuchern mitteilt, welche Cookies und ähnliche Technologien Ihre Website speichert, wozu sie dienen, wie lange sie im Browser bleiben und wie sich die Einwilligung dazu widerrufen lässt.

Die Pflicht ergibt sich nicht aus einer einzelnen Vorschrift, sondern aus einer Kombination von drei Rechtsgrundlagen:

• DSGVO (Artikel 12 und 13): Wenn Cookies personenbezogene Daten verarbeiten (und Aufsichtsbehörden behandeln Kennungen wie _ga oder _fbp als personenbezogene Daten), müssen Sie transparent über die Verarbeitung informieren.
• Nationale ePrivacy-Umsetzungen: In der gesamten EU erfordert das Speichern von Cookies eine Opt-in-Einwilligung, mit einer Ausnahme für unbedingt erforderliche Cookies. Eine Einwilligung ist nur gültig, wenn sie informiert erfolgt, und genau diese Informationen liefert die Richtlinie.
• Die ePrivacy-Richtlinie: das europäische Fundament, auf dem die nationalen Regeln aufbauen.

In der Praxis läuft es auf eines hinaus: Ohne Cookie-Richtlinie gibt es keine gültige Einwilligung. Ein Cookie-Banner, der auf eine leere oder fehlende Seite verlinkt, sammelt Einwilligungen, die einer Prüfung nicht standhalten würden.

Cookie-Richtlinie vs. Datenschutzerklärung

Zwei Dokumente, die selbst erfahrene Website-Betreiber verwechseln:

• Die Datenschutzerklärung deckt sämtliche Verarbeitungen personenbezogener Daten ab: Bestellungen, Newsletter, Rechnungsstellung, Reklamationen, Videoüberwachung.
• Die Cookie-Richtlinie befasst sich ausschließlich mit Cookies und ähnlichen Technologien: localStorage, Tracking-Pixel, SDKs von Drittanbietern.

Sie können beide zu einem Dokument zusammenführen, wir raten aber davon ab. Cookies ändern sich weit häufiger als der Rest Ihrer Verarbeitungen: Jedes neue Marketing-Tool bringt eigene mit. Eine eigenständige Seite lässt sich leichter aktuell halten, und der Cookie-Banner kann direkt auf sie verlinken, statt auf Seite zehn eines Datenschutz-Romans zu zeigen.

Was eine Cookie-Richtlinie enthalten muss

Eine Checkliste der Pflichtbestandteile, die in keinem fertigen Dokument fehlen sollten:

• Wer der Verantwortliche ist: Firmenname, Handelsregisternummer und Kontaktdaten.
• Was Cookies sind: zwei bis drei Sätze in verständlicher Sprache.
• Welche Cookies die Website tatsächlich verwendet: eine Tabelle mit Cookie-Name, Anbieter, Zweck, Lebensdauer und Kategorie. Das ist das Herzstück des gesamten Dokuments und der Teil, der am häufigsten fehlt.
• Cookie-Kategorien: erforderlich, Präferenzen, Analyse, Marketing, und wozu jede Kategorie dient.
• Rechtsgrundlage: Unbedingt erforderliche Cookies laufen ohne Einwilligung, alles andere braucht sie.
• Dritte und Übermittlungen außerhalb der EU: Google, Meta, Hotjar und Co., einschließlich Informationen über Datenübermittlungen in Drittländer.
• Wie sich die Einwilligung widerrufen lässt: ein konkretes Vorgehen, idealerweise ein Link oder Button, der den Cookie-Banner erneut öffnet.
• Wie sich Cookies im Browser verwalten lassen: Links zu den Hilfeseiten von Chrome, Firefox, Safari und Edge.
• Datum der letzten Aktualisierung: Ohne dieses kann niemand (auch Sie nicht) erkennen, ob das Dokument noch der Realität entspricht.

Wie Sie eine Cookie-Richtlinie Schritt für Schritt schreiben

Schritt 1: Finden Sie heraus, welche Cookies Ihre Website tatsächlich verwendet

Der häufigste Fehler ist, die Richtlinie aus dem Gedächtnis zu schreiben, also danach, was Ihrer Meinung nach auf der Website läuft. Die Realität sieht meist anders aus: Ein Entwickler hat irgendwann Hotjar eingebaut, das Bewertungs-Plugin brachte sein eigenes Tracking mit, und auch das eingebettete YouTube-Video setzt Cookies. Öffnen Sie die Website in einem Inkognito-Fenster mit den DevTools (Tab „Application“, Bereich „Cookies“) oder sparen Sie sich die Arbeit mit einem automatischen Cookie-Scanner. Den gesamten Ablauf beschreiben wir in Cookie-Audit: So finden Sie heraus, welche Cookies Sie verwenden.

Schritt 2: Sortieren Sie die Cookies in Kategorien

Der Standard sind vier Kategorien: erforderlich (Login, Warenkorb, Speicherung der Einwilligung selbst), Präferenzen (Sprache, Währung), Analyse (Google Analytics, Matomo) und Marketing (Google Ads, Meta Pixel). Wichtig: Ihr Cookie-Banner muss dieselben Kategorien verwenden. Wenn der Banner drei Kategorien anbietet und die Richtlinie vier beschreibt, passt die Einwilligung nicht zur Dokumentation.

Schritt 3: Erstellen Sie die Cookie-Tabelle

Führen Sie für jedes Cookie fünf Angaben auf: Name, Anbieter, Zweck, Lebensdauer und Kategorie. Eine Beispielzeile: Cookie _ga, Anbieter Google Analytics, Zweck Unterscheidung der Besucher für Traffic-Statistiken, Lebensdauer 2 Jahre, Kategorie Analyse. Das klingt mühsam, und von Hand ist es das auch, besonders bei dreißig Cookies auf der Website. Deshalb generiert Consentio diesen Teil automatisch aus den Scan-Ergebnissen.

Schritt 4: Beschreiben Sie, wie sich die Einwilligung widerrufen lässt

Artikel 7 Absatz 3 der DSGVO verlangt, dass der Widerruf der Einwilligung so einfach sein muss wie ihre Erteilung. In der Praxis braucht die Richtlinie einen Satz wie „Sie können Ihre Cookie-Einstellungen jederzeit ändern, indem Sie auf den Button Cookie-Einstellungen klicken“, und dieser Button muss tatsächlich existieren, typischerweise im Footer der Website.

Schritt 5: Verknüpfen Sie die Richtlinie mit dem Cookie-Banner

Der Banner verlinkt auf die Richtlinie, die Richtlinie verlinkt auf die Banner-Einstellungen. Der Kreis schließt sich, und Besucher gelangen von beiden Seiten aus überall hin, wo sie hinmüssen. Wie der Banner selbst aussehen sollte, behandeln wir in Cookie-Banner: So richten Sie ihn DSGVO-konform ein.

Eine Mustervorlage für Ihre Cookie-Richtlinie

Wenn Sie bei null anfangen, deckt diese Gliederung alles Wesentliche ab:

1. Wer wir sind: Angaben zum Verantwortlichen und Kontaktdaten
2. Was Cookies sind und warum wir sie verwenden
3. Welche Cookie-Kategorien wir unterscheiden
4. Tabelle der konkreten Cookies (Name, Anbieter, Zweck, Lebensdauer, Kategorie)
5. Wer sonst noch Zugriff auf die Cookies hat (Dritte, Übermittlungen außerhalb der EU)
6. Wie sich die Einwilligung erteilen und widerrufen lässt
7. Wie sich Cookies im Browser blockieren oder löschen lassen
8. Datum der letzten Aktualisierung

Die häufigsten Fehler bei Cookie-Richtlinien

1. Ein von einer anderen Website kopiertes Dokument. Es beschreibt Cookies, die Sie nicht haben, und sagt nichts über die, die Sie haben. Bei einer Prüfung wirkt das schlimmer als gar kein Dokument, denn es beweist, dass Sie keinen Überblick über Ihre eigenen Verarbeitungen haben.
2. Keine Tabelle mit konkreten Cookies. Ein pauschales „Wir verwenden Analyse- und Marketing-Cookies“ erfüllt die Transparenzanforderung nicht. Aufsichtsbehörden wollen konkrete Cookies mit Lebensdauern sehen.
3. Richtlinie und Banner passen nicht zusammen. Der Banner nennt andere Kategorien oder andere Tools als das Dokument. Typischerweise, nachdem das Marketing ein neues Pixel eingebaut hat und niemand die Richtlinie aktualisiert hat.
4. Ein toter Link im Banner. Die Website wurde neu gestaltet, die Richtlinienseite hat eine neue URL, und der Link im Banner führt jetzt auf eine 404-Seite. Eine Einwilligung, die ohne zugängliche Informationen eingeholt wird, ist ungültig.
5. Das Dokument wurde einmal geschrieben und ein Jahr lang nicht angefasst. Eine durchschnittliche Website ergänzt oder ändert mehrmals im Jahr Cookies: mit jedem neuen Tool, Plugin oder jeder neuen Kampagne.

So halten Sie die Richtlinie ohne Handarbeit aktuell

Eine Cookie-Richtlinie ist kein Dokument, das man einmal schreibt und dann abhakt. Sie ist die lebende Dokumentation Ihrer Website, und manuelle Aktualisierungen sind genau die Art von Arbeit, die immer vergessen wird.

Deshalb haben wir den Consentio Cookie-Richtlinien-Generator entwickelt, der das Dokument automatisch aus regelmäßigen Scans Ihrer Website zusammenstellt: Cookie-Tabelle, Kategorien, Lebensdauern und Drittanbieter füllen sich von selbst und werden bei jeder Änderung neu generiert. Sie platzieren nur noch den Link in Ihrem Banner und im Footer. Zusammen mit dem Scanner und dem Cookie-Banner dauert die gesamte Einrichtung wenige Minuten: Der kostenlose Tarif reicht dafür aus. Und wenn Sie sichergehen möchten, dass auch alles andere abgedeckt ist, gehen Sie unsere DSGVO-Cookie-Compliance-Checkliste durch.