Cookie-Banner richtig umsetzen

Es gibt wenig im Webdesign, das so falsch umgesetzt wird wie der Cookie-Banner. Auf praktisch jeder zweiten Website, die ich mir anschaue, ist mindestens etwas daran nicht korrekt. Manchmal aus Unwissenheit, manchmal aus Bequemlichkeit. Beides kann teuer werden.

Warum es Cookie-Banner überhaupt gibt

Cookies sind kleine Datenpakete, die deine Website auf den Geräten der Besucher ablegt. Manche davon sind technisch notwendig, etwa um einen Warenkorb zwischenzuspeichern. Andere dienen dem Tracking, also der Beobachtung des Nutzerverhaltens, oder dem Marketing, etwa für gezielte Werbung.

Die europäische Datenschutzgrundverordnung und die ePrivacy-Richtlinie schreiben vor, dass Tracking- und Marketing-Cookies nur mit ausdrücklicher Einwilligung des Besuchers gesetzt werden dürfen. Genau dafür ist der Cookie-Banner da. Er holt diese Einwilligung ein.

Wann du überhaupt einen brauchst

Es ist ein verbreitetes Missverständnis, dass jede Website einen Cookie-Banner haben muss. Das stimmt nicht. Wenn deine Website ausschließlich technisch notwendige Cookies setzt, also keine Tracking- oder Marketing-Werkzeuge wie Google Analytics, Facebook-Pixel oder ähnliches im Einsatz sind, brauchst du keinen Banner.

Sobald aber auch nur ein Werkzeug im Spiel ist, das Daten sammelt oder weitergibt, brauchst du eine Einwilligung. Und damit brauchst du einen Banner.

Was ein korrekter Banner können muss

Es gibt ein paar zentrale Anforderungen, an denen sich erkennen lässt, ob ein Banner sauber gemacht ist.

Erstens, die Einwilligung muss aktiv erfolgen. Der Besucher muss aktiv klicken, um zuzustimmen. Vorausgewählte Häkchen sind unzulässig. Bloßes Weiterklicken oder Wegklicken zählt nicht als Zustimmung.

Zweitens, das Ablehnen muss genauso einfach sein wie das Zustimmen. Wenn der Akzeptieren-Button groß und farbig ist, der Ablehnen-Button aber irgendwo im Kleingedruckten versteckt, ist das nicht zulässig. Die Wahl muss gleichberechtigt sein.

Drittens, die Einwilligung muss freiwillig sein. Du darfst die Nutzung deiner Website nicht davon abhängig machen, dass jemand allen Cookies zustimmt. Nutzer müssen die Möglichkeit haben, deine Seite auch ohne Tracking zu besuchen.

Viertens, der Besucher muss seine Einwilligung jederzeit widerrufen können, idealerweise mit demselben Aufwand wie die Einwilligung selbst.

Fünftens, vor der Einwilligung dürfen keine Cookies gesetzt werden, die nicht technisch notwendig sind. Das klingt selbstverständlich, ist aber bei vielen Bannern nicht der Fall. Hier wird gerne gemogelt.

Die häufigsten Fehler in der Praxis

Auf vielen Websites sehe ich Banner, bei denen es nur einen Akzeptieren-Button gibt und einen kleinen Verweis auf die Datenschutzerklärung. Ablehnen ist nicht möglich. Klar unzulässig.

Andere Banner haben einen großen grünen Akzeptieren-Knopf und daneben einen winzigen, grauen Mehr Optionen-Link, hinter dem man drei Klicks lang suchen muss, um Ablehnen zu finden. Das ist eine sogenannte Dark Pattern, also ein gestalterisches Mittel, das den Besucher bewusst zur Zustimmung drängt. Solche Patterns sind nicht zulässig.

Wieder andere Banner laden bereits Tracking-Skripte, bevor der Besucher überhaupt geklickt hat. Das ist nicht erkennbar, aber im Hintergrund passiert es. Auch das ist klarer Verstoß.

Welche Werkzeuge ich empfehle

Es gibt mehrere etablierte Anbieter, die einen rechtssicheren Cookie-Banner zur Verfügung stellen. Cookiebot und Usercentrics sind die bekanntesten. Sie sind etwas teurer, dafür aber rundum sauber. Für kleinere Websites reicht oft auch ein einfacheres Werkzeug, solange es die Grundanforderungen sauber umsetzt.

Bei einer professionell gebauten Website wird der Banner in das gesamte Konzept integriert. Bei einer Bastellösung wird er meistens nachträglich draufgeklebt und sieht entsprechend aus.

Was passiert, wenn du es falsch machst

Im besten Fall nichts. Im schlimmsten Fall eine Abmahnung oder ein Bußgeldverfahren. Die Datenschutzbehörden in den Bundesländern haben in den letzten Jahren bereits zahlreiche Verfahren wegen unzulässiger Cookie-Banner geführt. Auch privatrechtliche Abmahnungen sind möglich, wenn ein Wettbewerber oder ein Verbraucher einen Verstoß meldet.

Was du jetzt tun solltest

Schau dir deinen eigenen Cookie-Banner an, und zwar mit den Augen eines Datenschutzbeauftragten. Gibt es einen klar sichtbaren Ablehnen-Button auf der ersten Ebene? Werden Cookies erst nach Zustimmung gesetzt? Ist die Information verständlich? Wenn du bei einer dieser Fragen unsicher bist, hast du Handlungsbedarf.

Dein nächster Schritt

Wenn du nicht weißt, ob dein Cookie-Banner rechtlich sauber ist, schau ich gerne kostenlos drüber. Bei meinen eigenen Projekten ist eine korrekte Umsetzung selbstverständlich. Schick mir einfach deine Adresse und ich melde mich mit einer ehrlichen Einschätzung.