Cookie Hinweis und Cookie-Banner: DSGVO-Konformität nach dem BGH-Urteil

Warum brauchen Sie einen Cookie Hinweis auf Ihrer Website?

Cookies auf Websites verfolgen Nutzer:innen auf unterschiedliche Weise. Typischerweise werden IP-Adressen gesammelt, gespeichert und weitergegeben, oder es wird lediglich das Verhalten der Nutzer:innen auf verschiedenen Websites erfasst.

Personenbezogene Daten sind nach der DSGVO alle Informationen, die sich direkt, indirekt oder über eine Kennung wie eine IP-Adresse auf eine Person beziehen. Die wichtigste Rechtsgrundlage für die Verarbeitung solcher Daten ist die Einwilligung.

Setzt Ihre Website also andere als technisch unbedingt notwendige Cookies ein, benötigen Sie vor jeder Datenerfassung die Zustimmung Ihrer Nutzer:innen. Dafür dient ein Cookie Hinweis in Form eines Cookie-Banners.

Sind Sie sich nicht sicher, welche Cookies Ihre Website verarbeitet? Überprüfen Sie die Konformität Ihrer Website kostenlos mit dem Cookiebot™-Scanner.

Was ist ein Cookie Hinweis?

Ein Cookie Hinweis ist das Banner, das beim Aufruf einer Website als Erstes erscheint. Er informiert darüber, dass die Website Cookies verwendet, und fordert die Nutzer:innen zu einer Entscheidung auf.

Ein Cookie Hinweis kann viele Formen annehmen, sollte aber immer sicherstellen, dass alle Tracking-Technologien zur Erfassung personenbezogener Daten zurückgehalten werden, bis eine Einwilligung vorliegt.

In der EU wurden Cookie Hinweise durch die ePrivacy-Richtlinie zur festen Realität. Seit Inkrafttreten der DSGVO am 25. Mai 2018 reichen einfache „Cookies akzeptieren"-Hinweise jedoch nicht mehr aus. Eine Website außerhalb der EU muss die DSGVO ebenfalls einhalten, sobald sie Daten von Nutzer:innen innerhalb der EU verarbeitet.

Welche DSGVO-Anforderungen muss ein Cookie Hinweis erfüllen?

Nach der DSGVO dürfen personenbezogene Daten nur erfasst werden, wenn Nutzer:innen ausdrücklich zugestimmt haben. Websites müssen dafür folgende Anforderungen erfüllen:

• Vor jeder Aktivierung nicht-notwendiger Cookies muss eine vorherige, ausdrückliche Zustimmung eingeholt werden.
• Die Einwilligung muss granular sein: Nutzer:innen müssen einzelne Cookie-Kategorien einzeln aktivieren können.
• Die Zustimmung muss freiwillig erfolgen und darf nicht erzwungen werden.
• Ein Widerruf muss genauso leicht möglich sein wie die Zustimmung selbst.
• Einwilligungen müssen als rechtssichere Dokumentation aufbewahrt werden.

Wie haben BGH und EuGH zu Cookies entschieden?

Am 1. Oktober 2019 entschied der Europäische Gerichtshof (EuGH) im Fall Planet49, dass die einzige gültige Form der Einwilligung eine aktive, spezifische Handlung der Nutzer:innen ist, etwa das Ankreuzen eines Kästchens.

Mit dem Urteil vom 28. Mai 2020 (Az. I ZR 7/16) folgte der Bundesgerichtshof (BGH) dieser Einschätzung: Die aktive und freie Einwilligung ist zwingend erforderlich, bevor nicht-notwendige Cookies gesetzt werden dürfen. Vorab angekreuzte Auswahlkästchen sind demnach unzulässig.

Was hat sich seit 2021 geändert? TDDDG § 25 und die DSK-Orientierungshilfe

Mit dem Inkrafttreten des Telekommunikation-Telemedien-Datenschutz-Gesetzes am 1. Dezember 2021 wurde die bis dahin nur richterlich entwickelte Einwilligungspflicht erstmals ausdrücklich gesetzlich geregelt. Am 13. Mai 2024 wurde das Gesetz im Zuge der Anpassung an den europäischen Digital Services Act umbenannt: Es heißt seither TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz). Die inhaltlichen Vorgaben zu Cookies blieben dabei unverändert.

Zentral ist weiterhin § 25 TDDDG: Die Speicherung von oder der Zugriff auf Informationen auf Endgeräten ist nur mit einer informierten, freiwilligen und ausdrücklichen Einwilligung zulässig. Ausnahmen bestehen nur für technisch unbedingt notwendige Zwecke, etwa Warenkorb- oder Session-Cookies.

Die Datenschutzkonferenz (DSK) hat ihre Orientierungshilfe für Anbieter:innen digitaler Dienste seither mehrfach aktualisiert, zuletzt im November 2024. Für die Praxis besonders relevant:

• Eine Ablehnungsmöglichkeit muss der Zustimmung gleichwertig gestaltet sein, etwa durch identische Schaltflächen auf derselben Ebene des Banners.
• Nudging durch Design, etwa auffällige Farben nur beim Zustimmen-Button, kann die Freiwilligkeit der Einwilligung infrage stellen.
• Sogenannte Cookie Walls, die den Websitezugang von einer Einwilligung abhängig machen, werden von den Datenschutzaufsichtsbehörden grundsätzlich kritisch bewertet und sind in vielen Fällen unzulässig.

Checkliste: Ist Ihr Cookie-Banner DSGVO- und TDDDG-konform?

Prüfen Sie Ihren Banner anhand dieser Kriterien:

Kein Kästchen ist vorab angekreuzt

Eine Ablehnen-Option ist auf der ersten Ebene genauso sichtbar wie die Zustimmen-Option

Nutzer:innen können einzelne Cookie-Kategorien granular auswählen

Der Banner blockiert alle nicht-notwendigen Cookies bis zur Einwilligung

Es gibt keine farbliche oder gestalterische Bevorzugung einer Option (kein Nudging)

Ein Widerruf ist jederzeit ebenso einfach möglich wie die Zustimmung

Die Einwilligung muss informiert erfolgen. Nutzer:innen müssen vor ihrer Entscheidung verständlich über Zweck, Anbieter und Speicherdauer informiert werden.

Alle Einwilligungen werden dokumentiert und rechtssicher gespeichert

Der Zugang zur Website ist nicht von einer Einwilligung abhängig (keine Cookie Wall)

Wenn Sie eine dieser Fragen mit „Nein" beantworten, besteht Handlungsbedarf.

Wie unterstützt Cookiebot CMP Sie auf dem Weg zur Datenschutzkonformität?

Cookiebot™ ist eine Consent Management Platform (CMP), die Ihre Domain scannt, alle Cookies und Tracker findet und diese blockiert, bis Nutzer:innen aktiv zugestimmt haben. Alle Einwilligungen werden anschließend sicher für die rechtssichere Dokumentation gespeichert.

Cookiebot CMP setzt dabei automatisch die Vorgaben aus BGH- und EuGH-Rechtsprechung, DSGVO, TDDDG § 25 und der aktuellen DSK-Orientierungshilfe um, ebenso wie weitere internationale Datenschutzgesetze vom CCPA bis zur LGPD.

Welche Informationen muss der Cookie Hinweis enthalten?

Ein DSGVO-konformer Cookie Hinweis bietet vollständige Transparenz über die auf Ihrer Website eingesetzten Cookies. Ein entsprechender Banner informiert Nutzer:innen darüber, welche Cookies aktiv sind, zu welchem Zweck sie eingesetzt werden, wie lange sie gespeichert bleiben und von welchem Anbieter sie stammen, sowie über die Möglichkeit, ihre Aktivierung zu verhindern.

Ein konformer Banner enthält dabei keine vorab angekreuzten Kontrollkästchen, außer bei Cookies, die für den Grundbetrieb der Website unbedingt notwendig sind. Nutzer:innen müssen zudem jederzeit die Möglichkeit haben, eine bereits erteilte Einwilligung ebenso leicht zu widerrufen, wie sie diese gegeben haben.

Mit dem Cookie Hinweis-Generator von Cookiebot CMP™ können Sie einen vorgefertigten Benachrichtigungstext nutzen oder einen eigenen Text mit Angaben zu Ihrer Website formulieren.