Was sind Cookies? Arten und Einwilligung einfach erklärt

Was ist ein Cookie?

Ein Cookie ist eine kleine Textdatei, die eine Website über den Browser auf Ihrem Computer, Tablet oder Smartphone speichert. Beim nächsten Aufruf liest die Website den Cookie wieder aus. So kann sie sich etwa merken, dass Sie eingeloggt sind, was in Ihrem Warenkorb liegt oder welche Sprache Sie gewählt haben.

Ein Cookie enthält meist einen Namen, einen Wert (zum Beispiel eine zufällige Kennung), die Domain, die ihn lesen darf, und ein Ablaufdatum. Mit einer eindeutigen Kennung lässt sich ein Browser wiedererkennen. Genau das macht Cookies für Statistik und Werbung interessant und datenschutzrechtlich relevant.

Die Arten von Cookies

Nach Herkunft

• First-Party-Cookies setzt die Website, die Sie gerade besuchen, unter ihrer eigenen Domain.
• Third-Party-Cookies setzt ein anderer Anbieter, dessen Inhalt auf der Seite eingebunden ist, etwa ein Werbenetzwerk oder ein Videoportal. Mit ihnen lassen sich Nutzer über viele Websites hinweg verfolgen.

Nach Laufzeit

• Session-Cookies werden gelöscht, wenn Sie den Browser schließen.
• Dauerhafte (persistente) Cookies bleiben bis zu ihrem Ablaufdatum gespeichert. Der Cookie _ga von Google Analytics läuft zum Beispiel standardmäßig zwei Jahre.

Nach Zweck

• Unbedingt erforderlich: für Funktionen, die der Besucher ausdrücklich nutzen will, etwa Login, Warenkorb, Sicherheit oder die Speicherung der Cookie-Entscheidung.
• Präferenzen: merken sich Einstellungen wie Sprache oder Region.
• Statistik: messen, wie Besucher die Website nutzen.
• Marketing: erkennen Besucher für Werbung, Remarketing und Erfolgsmessung wieder.

Welche Cookies brauchen eine Einwilligung?

In Deutschland regelt das § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes (TDDDG, bis Mai 2024 TTDSG). Die Grundregel: Für das Speichern und Auslesen von Informationen auf dem Endgerät brauchen Sie eine Einwilligung. Ausgenommen ist nur, was unbedingt erforderlich ist, damit Sie einen vom Nutzer ausdrücklich gewünschten Dienst bereitstellen können.

Die Datenschutzkonferenz (DSK) legt diese Ausnahme eng aus. Entscheidend ist der Zweck, nicht der Name oder die Laufzeit des Cookies. Ein Cookie, der mehreren Zwecken dient, ist nur dann ausgenommen, wenn jeder einzelne Zweck die Ausnahme erfüllt.

Zur Statistik sagt die DSK: Reichweitenmessung gehört nicht automatisch zum gewünschten Dienst. Ob sie ohne Einwilligung zulässig ist, lässt sich nur für eine genau definierte Konfiguration und einen bestimmten Zweck beurteilen. Eine allgemeine Ausnahme für Analyse-Cookies, wie es sie in manchen anderen EU-Ländern gibt, kennt das deutsche Recht nicht.

Nicht nur Cookies: ähnliche Techniken

§ 25 TDDDG ist technikneutral formuliert. Er erfasst jede Speicherung von Informationen auf dem Endgerät und jeden Zugriff darauf. Die DSK nennt unter anderem:

• Local Storage und Session Storage im Browser;
• Browser-Fingerprinting, bei dem Merkmale des Geräts per JavaScript ausgelesen und zu einer möglichst eindeutigen Kennung verrechnet werden;
• auf Mobilgeräten den Zugriff auf Werbe-IDs und Gerätekennungen.

Auch der Europäische Datenschutzausschuss zählt in seinen Leitlinien 2/2023 Tracking-Pixel und Tracking-Links zu den Techniken, für die Art. 5 Abs. 3 der ePrivacy-Richtlinie gelten kann.

Wichtig: Ein Personenbezug ist nicht erforderlich. § 25 TDDDG greift auch dann, wenn ein Cookie keine personenbezogenen Daten enthält. Werden dabei personenbezogene Daten verarbeitet, etwa eine Cookie-ID oder die IP-Adresse, gilt zusätzlich die DSGVO.

Was das für Ihre Website bedeutet

1. Erfassen Sie alle Cookies und ähnlichen Techniken, auch die von Plugins und eingebetteten Inhalten. Ein Cookie-Scanner findet auch, was Sie nicht selbst eingebaut haben.
2. Ordnen Sie jeden Cookie einem Zweck zu und prüfen Sie streng, ob er unbedingt erforderlich ist.
3. Holen Sie für alles andere vorher eine Einwilligung ein, mit gleichwertigen Buttons zum Akzeptieren und Ablehnen. Details stehen in Cookie-Banner-Pflicht in Deutschland.
4. Informieren Sie in einer Cookie-Erklärung über Name, Anbieter, Zweck und Laufzeit jedes Cookies. Ein Muster finden Sie in Cookie-Richtlinie: Muster und Pflichtangaben.

Cookie Confirm scannt Ihre Website jeden Monat (und auf Wunsch jederzeit erneut), ordnet die gefundenen Cookies den Kategorien zu, blockiert einwilligungsbedürftige Skripte bis zur Zustimmung und hält die Cookie-Erklärung automatisch aktuell.

Quellen

• § 25 TDDDG (gesetze-im-internet.de)
• DSK: Orientierungshilfe Digitale Dienste, Version 1.2 (November 2024)
• EDSA: Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 ePrivacy-Richtlinie (PDF, deutsch)
• BGH, Urteil vom 28.05.2020, I ZR 7/16 (Cookie-Einwilligung II)
• Google Analytics-Hilfe: Cookie-Nutzung von Google Analytics auf Websites