Ein Cookie-Banner ist der Teil einer Website, der Besucher über Cookies und ähnliche Technologien informiert und ihnen ermöglicht, die Einwilligung zu deren Speicherung nach Kategorien zu erteilen, zu verweigern oder anzupassen. In Tschechien verlangt ihn § 89 Abs. 3 des Gesetzes Nr. 127/2005 Slg. über elektronische Kommunikation, der zum 1. Januar 2022 das frühere Opt-out-Modell durch Opt-in ersetzt hat: Nicht notwendige Cookies dürfen erst nach nachweisbarer Einwilligung gespeichert werden. Was eine gültige Einwilligung ist, definiert die DSGVO in Art. 4 Nr. 11, die Bedingungen für ihre Einholung regelt Art. 7. Die europäische Grundlage bildet die Richtlinie 2002/58/EG (ePrivacy), Art. 5 Abs. 3. Die Aufsicht in Tschechien führt das Amt für den Schutz personenbezogener Daten (ÚOOÚ), das Bußgelder sowohl nach der DSGVO als auch nach dem Gesetz über elektronische Kommunikation verhängen kann. In Deutschland regelt § 25 TTDSG (seit 2024 TDDDG) die Einwilligung beim Zugriff auf Endgeräte; zuständig sind die Landesdatenschutzbehörden. Der Cookie-Banner ist also keine Formalität, sondern das Werkzeug, mit dem eine Website die Rechtsgrundlage für Analyse, Marketing und Personalisierung einholt und belegt.
Ist ein Cookie-Banner Pflicht?
Ja, sobald eine Website andere als technisch notwendige Cookies speichert oder ausliest. Ausgenommen sind nur Cookies, die für einen vom Nutzer ausdrücklich angeforderten Dienst erforderlich sind: Login, Warenkorb, Sprachwahl oder Sicherheitstoken. Sobald Sie Google Analytics, Meta Pixel, Sklik-Retargeting, Hotjar oder ein eingebettetes YouTube-Video einsetzen, brauchen Sie einen Banner. Das gilt für Unternehmenswebsites, Onlineshops, Blogs und Vereinsseiten gleichermaßen. Entscheidend ist nicht die Größe der Website oder ob sie kommerziell ist, sondern welche Technologien sie nutzt.
Was muss ein Cookie-Banner enthalten?
- Eine gleich sichtbare Schaltfläche Ablehnen bereits in der ersten Ebene, mit derselben Größe und demselben Kontrast wie Akzeptieren.
- Keine vorangekreuzten Kategorien: Analyse und Marketing sind standardmäßig deaktiviert.
- Blockierung von Skripten vor der Einwilligung: Mess- und Werbecodes dürfen nicht laufen, bevor der Nutzer entschieden hat.
- Eine verständliche Beschreibung der Zwecke nach Kategorien (notwendig, funktional, Analyse, Marketing) und Angaben dazu, wer die Daten verarbeitet.
- Einen Link zur Cookie-Richtlinie mit der Liste der konkreten Cookies, ihrer Lebensdauer und Empfänger.
- Die Möglichkeit, die Wahl jederzeit zu ändern oder zu widerrufen, typischerweise über ein Symbol oder einen Link im Footer.
- Einen Einwilligungsnachweis: Zeitstempel, Textversion und Umfang, damit der Verantwortliche die Nachweispflicht nach Art. 7 Abs. 1 DSGVO erfüllt.
Welche Fehler ahndet das ÚOOÚ?
Die häufigsten Verstöße, auf die Aufsichtsbehörden in der EU immer wieder stoßen, sind vorangekreuzte Kästchen, Banner ohne Ablehnen-Schaltfläche, Skripte, die schon vor dem Klick laufen, und Einwilligung „durch Weitersurfen“. Der Gerichtshof der EU hat im Urteil Planet49 (C-673/17) von 2019 eindeutig festgestellt, dass ein vorangekreuztes Kästchen keine gültige Einwilligung ist, weil es keine aktive Willensbekundung darstellt. Der Europäische Datenschutzausschuss ergänzte in den Leitlinien 05/2020 zur Einwilligung, dass eine Cookie-Wall (Zugang zu Inhalten nur gegen Einwilligung) keine freiwillige Einwilligung ist und dass Scrollen oder Schließen des Banners nicht als Zustimmung gilt. Das ÚOOÚ stützt sich bei Prüfungen tschechischer Websites auf diese Auslegungen; geahndet werden vor allem Analyse- und Marketing-Cookies ohne Einwilligung sowie Banner, die das Ablehnen in einer zweiten Ebene verstecken.
Wie setzt man einen Cookie-Banner ein?
Der Ablauf hat vier Schritte. Ermitteln Sie zuerst, welche Cookies die Website tatsächlich speichert, idealerweise mit einem automatischen Scan. Sortieren Sie sie dann in Kategorien und stellen Sie sicher, dass nicht notwendige Skripte erst nach der Einwilligung laden, bei Google-Tools über Consent Mode v2. Der dritte Schritt ist der Banner selbst mit gleichwertigen Schaltflächen und Link zur Richtlinie. Speichern Sie schließlich Einwilligungsnachweise und bieten Sie eine Möglichkeit, die Wahl zu ändern. Die rechtliche Seite behandeln wir ausführlich im DSGVO-Leitfaden, einen Banner bauen Sie im Cookie-Banner-Generator, die Anleitung zur Einrichtung führt Sie Schritt für Schritt durch, und der Begriff Einwilligung hat einen eigenen Glossareintrag.
Quellen
- Verordnung (EU) 2016/679 (DSGVO), Art. 4 Nr. 11 und Art. 7
- Richtlinie 2002/58/EG (ePrivacy), Art. 5 Abs. 3
- Gesetz Nr. 127/2005 Slg. über elektronische Kommunikation, § 89 Abs. 3
- EuGH, Urteil Planet49, C-673/17
- EDSA, Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679
- Amt für den Schutz personenbezogener Daten (ÚOOÚ)