Drohen Bußgelder, wenn Ihre Website kein Cookie-Banner hat?

Alle Beiträge

Ja. In der EU und im Vereinigten Königreich haben Aufsichtsbehörden Cookie-Bußgelder verhängt, und einer der sanktionierten Verstöße ist genau, Besuchern nicht mitzuteilen, was gesetzt wird. Das Banner ist aber nicht die Pflicht. Das Risiko entsteht, wenn nicht ausgenommene Cookies vor der Einwilligung gespeichert werden. Eine Website, die nur unbedingt erforderliche setzt, muss sich deutlich weniger verantworten.

Die Regel betrifft die Cookies, nicht das Banner

Das Banner ist ein Mechanismus, den man gebaut hat, um eine Pflicht zu erfüllen. Es ist nicht die Pflicht. Die steht in den ePrivacy-Regeln zum Speichern auf dem Gerät eines Besuchers oder zum Auslesen dessen, was dort schon liegt, egal ob es ein Cookie, ein Local-Storage-Wert oder ein Fingerprint ist. Die DSGVO legt dann den Maßstab für die Einwilligung fest: freiwillig, für den bestimmten Fall, informiert und so leicht zu widerrufen, wie sie erteilt wurde.

Diese Aufteilung ist wichtig, denn sie zeigt, wo das Risiko liegt. Niemand prüft Ihre Website darauf, ob ein Banner vorhanden ist. Das Risiko entsteht durch ein Tag, das etwas gespeichert hat, bevor der Besucher zugestimmt hat.

Die Ausnahme ist der Teil, den die Panikartikel weglassen. Cookies, die für einen vom Besucher ausdrücklich angeforderten Dienst unbedingt erforderlich sind, brauchen keine Einwilligung: das Sitzungs-Cookie, das jemanden eingeloggt hält, der Warenkorb, ein Sicherheitstoken gegen Betrug, Load Balancing und die gespeicherte Cookie-Entscheidung selbst. Eine reine Visitenkarten-Website, die sonst nichts setzt, braucht kein Cookie-Banner, und wer ihrem Betreiber etwas anderes erzählt, verkauft Angst.

Eine Pflicht bleibt, und genau die wird oft mit dem Banner verwechselt. Den Besuchern mitzuteilen, was Sie speichern und warum, ist eine eigenständige Transparenzpflicht. Sie entfällt nicht, nur weil nichts, was Sie setzen, eine Einwilligung braucht. Ein Cookie-Hinweis oder eine Datenschutzerklärung erfüllt sie ohne unterbrechenden Dialog. Sie schulden eine Erklärung, keine Einwilligungsabfrage.

Was tatsächlich eine Einwilligung braucht

Alles, was der Messung, der Werbung oder der Personalisierung dient: Analytics, so harmlos Sie sie auch finden, Werbe- und Retargeting-Pixel, eingebettete Videos und Social-Widgets, die beim Laden eigene Cookies setzen, A/B-Tests und Session Recording. Hat der Besucher es nicht angefordert und funktioniert die Website auch ohne, gehen Sie davon aus, dass es eine Einwilligung braucht, bis Sie das Gegenteil zeigen können.

Wogegen Aufsichtsbehörden tatsächlich vorgegangen sind

Wer die Entscheidungen liest statt der Listicles, sieht ein konkreteres Bild, als beide Seiten der Debatte nahelegen. In dem französischen Fall, den der Conseil d'État später bestätigte, wurden drei getrennte Verstöße sanktioniert: Cookies, die beim Aufruf automatisch ohne Einwilligung gesetzt wurden, ein mangelhaftes Verfahren zur Ablehnung und fehlende klare und vollständige Informationen für die Nutzer. Der dritte Punkt ist hier wichtig, denn wer nicht mitteilt, was er setzt, kann schon allein dafür sanktioniert werden. Eine Website ohne Banner und ohne Hinweis verstößt also nicht nur gegen die Einwilligungsregeln, sie verletzt auch die Informationspflicht.

Die breiteren Prüfaktionen folgten einem Grundsatz, den Sie kennen sollten: Cookies abzulehnen muss so einfach sein wie zuzustimmen. In diesen Fällen gab es Banner, aber sie machten das Ablehnen schwerer als das Zustimmen oder setzten die Cookies nach einer Ablehnung trotzdem. Ein Banner zu haben, schützt nicht, wenn es sich so verhält.

Die sehr hohen Bußgelder, die in Listicles kursieren, trafen eine Handvoll globaler Plattformen mit riesiger Reichweite. Wer sie einem Unternehmen mit fünfzig Seiten vorhält, unterstellt einen Vergleich, den die Durchsetzungspraxis nicht hergibt. Deshalb tun wir es hier nicht.

Ein Bußgeld ist nicht das einzige Instrument. Aufsichtsbehörden erlassen auch Anordnungen, die eine Organisation verpflichten, einen Mangel innerhalb einer Frist zu beheben. Das ist etwas anderes, als eines Morgens einen Bußgeldbescheid vorzufinden. Außerdem sind die Regeln national: Mehrere Rechtsordnungen ahnden die fehlende Information gesondert, und Behörden haben moderate Bußgelder weit unter den Schlagzeilenbeträgen verhängt. „Nur die Großen bekommen Bußgelder“ ist also auch keine sichere Lesart.

In zehn Minuten wissen, wo Sie stehen

Sehen Sie nach, was Ihre eigene Website vor der Einwilligung tut.

1. Die Website im privaten Fenster öffnen und nichts anklicken

   Nicht zustimmen, nicht ablehnen, das Banner nicht wegklicken. In diesem Zustand ist jeder Erstbesucher, und genau dieser Zustand wird geprüft.

2. Auflisten, was schon gespeichert ist

   Lesen Sie in den Entwicklertools Ihres Browsers Cookies, Local Storage, Session Storage und IndexedDB der Seite aus. Alles, was jetzt schon da ist, wurde ohne Einwilligung gesetzt. Das ist nicht automatisch ein Fehler: Ihr Consent-Tool muss die Entscheidung selbst speichern, und Ihr Server darf berechtigterweise ein Sitzungs- oder Sicherheits-Cookie setzen.

3. Jeden Eintrag einem von zwei Stapeln zuordnen

   Dient es etwas, das der Besucher ausdrücklich angefordert hat, oder misst, wirbt oder personalisiert es? Die Dokumentation des Anbieters sagt Ihnen meist, wofür ein Cookie da ist. Alles, was Sie nicht zuordnen können, gehört auf den zweiten Stapel, bis das Gegenteil bewiesen ist. Ihr eigener Einwilligungsnachweis und Ihre Server-Sitzung gehören auf den ersten.

4. Der zweite Stapel ist Ihr eigentliches Risiko

   Nicht das Banner. Diese Liste. Beheben heißt, diese Tags hinter die Einwilligung zu sperren, statt ein Banner darüberzulegen und zu hoffen.

5. Jetzt das Ablehnen testen

   Ablehnen, neu laden und den Speicher erneut auslesen. Kommen dieselben Einträge zurück, haben Sie genau den Mangel, den Aufsichtsbehörden tatsächlich verfolgt haben. Unsere Anleitung zum Testen eines Cookie-Banners vor dem Go-live zeigt den vollständigen Ablauf.

Das ehrliche Risikobild

Bei einer kleinen oder mittelgroßen Website ist die Wahrscheinlichkeit, dass eine Aufsichtsbehörde von sich aus auftaucht, geringer, als die Listicles vermuten lassen, denn die Aufsicht hat begrenzte Kapazitäten und orientiert sich an großen Reichweiten. Das sollte man offen sagen, statt Menschen mit Angst zum Kauf zu treiben.

Was die Beruhigung verschweigt: Größe ist kein Schutzschild. Die Beschwerde eines einzigen verärgerten Besuchers kann ein Verfahren auslösen, egal wie klein Sie sind, und einige Behörden haben moderate Cookie-Bußgelder gegen ganz normale Unternehmen verhängt, nicht nur gegen globale Plattformen. Größere Kunden fragen vor Vertragsabschluss immer häufiger, wie die Einwilligung gehandhabt wird, und eine fehlende Antwort bremst den Deal. In mehreren Märkten üben inzwischen private Klagen mehr Druck aus als die Aufsichtsbehörden.

Die nützliche Frage lautet also nicht „Bekomme ich ein Bußgeld?“. Die Einwilligung ist ein kleines Stück Hygiene mit einem unbegrenzten Risiko am Ende, und sie lässt sich an einem Nachmittag in Ordnung bringen. Wer den Mechanismus statt der Sorge verstehen will: Was eine Consent-Management-Plattform tatsächlich tut erklärt die Sperrung, und Velo ist unser eigener Ansatz, das Ablehnen so einfach umzusetzen wie das Zustimmen.