Drei Dokumente, drei Begriffe, die oft synonym verwendet werden: Cookie-Hinweis, Cookie-Banner, Cookie-Richtlinie. Kommt noch die Datenschutzerklärung dazu, wissen viele Website-Betreiber nicht mehr, was das Gesetz tatsächlich verlangt. Dieser Artikel ordnet alles ein: was jedes Element ist, was es enthalten muss, wie die Ebenen zusammenhängen und welche Fehler Aufsichtsbehörden immer wieder beanstanden. Alles zum Banner selbst (Gestaltung, Schaltflächen, Speicherung der Einwilligung) finden Sie in unserem Leitfaden für ein DSGVO-konformes Cookie-Banner.
Was ist ein Cookie-Hinweis?
Ein Cookie-Hinweis ist jede Mitteilung, die Besucher darüber informiert, dass eine Website Cookies und ähnliche Technologien auf ihrem Endgerät speichert oder ausliest. In der Praxis meint der Begriff zwei verschiedene Dinge.
Bedeutung 1: das Banner beim ersten Besuch
Für die meisten ist der Cookie-Hinweis die Leiste oder das Pop-up, das beim Aufruf einer Website erscheint. In diesem Sinn sind Cookie-Hinweis und Cookie-Banner dasselbe.
Bedeutung 2: das Cookie-Dokument
Manche Organisationen überschreiben ihre vollständige Cookie-Seite mit „Cookie-Hinweis“: die Seite, die jedes Cookie mit Zweck und Speicherdauer auflistet. In diesem Sinn ist der Cookie-Hinweis eine Cookie-Richtlinie unter anderem Namen.
Beide Verwendungen sind in Ordnung. Entscheidend ist nicht die Bezeichnung, sondern die Aufgabe: rechtlich gibt es zwei Aufgaben, nämlich informieren (in Ebenen) und die Entscheidung einholen.
Cookie-Hinweis oder Cookie-Banner?
Wenn „Cookie-Hinweis“ die Mitteilung beim ersten Besuch meint, ist die nützliche Unterscheidung die zwischen einem Hinweis, der nur informiert, und einem Banner, das eine Einwilligung einholt.
- Reiner Informationshinweis: „Diese Website verwendet Cookies, um Ihr Erlebnis zu verbessern. OK.“ Er informiert, bietet aber keine echte Wahl. Ein Klick auf „OK“ ist keine Einwilligung, weil es keine Alternative gab.
- Einwilligungsbanner: Es erklärt die Zwecke, bietet „Alle akzeptieren“ und „Alle ablehnen“ gleichwertig an, ermöglicht Einstellungen pro Kategorie und blockiert nicht notwendige Cookies, bis der Besucher entschieden hat.
In Deutschland verlangt § 25 TDDDG (früher TTDSG), der Artikel 5 Absatz 3 der ePrivacy-Richtlinie umsetzt, eine vorherige Einwilligung, bevor nicht unbedingt erforderliche Informationen auf einem Endgerät gespeichert oder ausgelesen werden. Die Einwilligung muss den Anforderungen der DSGVO genügen: freiwillig, für den bestimmten Fall, informiert und unmissverständlich. Ein reiner Informationshinweis erfüllt keine dieser Bedingungen, sobald Analyse- oder Werbe-Cookies gesetzt werden. Die Datenschutzkonferenz (DSK) und der Europäische Datenschutzausschuss stellen klar, dass das bloße Weitersurfen keine Einwilligung ist.
Ein reiner Informationshinweis ist nur zulässig, wenn die Website ausschließlich unbedingt erforderliche Cookies setzt (Sitzung, Warenkorb, Lastverteilung, Sicherheit). Auch dann ist ein kurzer Hinweis mit Link auf die Cookie-Richtlinie gute Praxis, aber keine Pflicht.
Cookie-Hinweis vs. Cookie-Richtlinie
Die Cookie-Richtlinie ist die zweite Informationsebene. Das Banner sagt in zwei oder drei Sätzen, welche Arten von Cookies die Website nutzt und wozu. Die Cookie-Richtlinie liefert die Details, die in kein Banner passen.
Der Unterschied lässt sich an drei Punkten festmachen:
- Umfang und Ort. Das Banner ist kurz und erscheint bei jedem ersten Besuch. Die Cookie-Richtlinie ist eine eigene Seite, erreichbar über einen Link im Banner, im Footer und in den Datenschutzeinstellungen.
- Zweck. Das Banner holt eine Entscheidung ein. Die Cookie-Richtlinie dokumentiert, worüber entschieden wird, und ist der Ort, an dem Besucher ihre Wahl nachvollziehen oder ändern.
- Detailtiefe. Das Banner nennt Kategorien (Statistik, Marketing, Präferenzen). Die Cookie-Richtlinie listet jedes Cookie mit Name, Anbieter, Zweck, Speicherdauer und Herkunft (Erstanbieter oder Drittanbieter).
Diese Detailtiefe ist keine Kür. Im Urteil Planet49 (C-673/17, 2019) hat der Gerichtshof der EU entschieden, dass die Information die Funktionsdauer der Cookies und die Frage umfassen muss, ob Dritte Zugriff darauf haben. Das passt in kein Banner, also gehört es in die Cookie-Richtlinie. Unser Leitfaden zur Cookie-Richtlinie zeigt, was hineingehört, mit einer Mustergliederung.
FlowConsent ist ein konkretes Beispiel dafür, wie beide Ebenen zusammenhängen: Das Einstellungsfenster des Banners zeigt die Cookie-Liste, die aus den aktivierten Diensten erzeugt wird, sodass Besucher dieselben Namen und Laufzeiten sehen wie in der Cookie-Richtlinie, ohne die Seite zu verlassen.
Wo die Datenschutzerklärung hingehört
Die Datenschutzerklärung ist umfassender als beide. Die Artikel 13 und 14 DSGVO verlangen Informationen über jede Verarbeitung personenbezogener Daten: Verantwortlicher, Zwecke, Rechtsgrundlagen, Speicherdauer, Empfänger, Übermittlungen in Drittländer und Betroffenenrechte. Cookies sind nur eine Datenquelle unter vielen (Kontaktformular, Bestellungen, Newsletter, Kundenkonto).
Daraus ergibt sich eine einfache Hierarchie:
- Datenschutzerklärung: alle personenbezogenen Daten, alle Verarbeitungen, alle Rechte.
- Cookie-Richtlinie: nur Cookies und ähnliche Technologien, Cookie für Cookie.
- Cookie-Banner: die erste Ebene, eine Zusammenfassung plus die Wahl.
Sie können die Cookie-Richtlinie als Abschnitt der Datenschutzerklärung veröffentlichen oder als eigene Seite. Beides ist zulässig. Eine eigene Seite lässt sich meist leichter aktuell halten und aus dem Banner verlinken, deshalb erzeugen die meisten CMPs eine.
Was jedes Dokument enthalten muss
Das Cookie-Banner (erste Ebene)
- Die Zwecke der Cookies in einfachen Worten (Reichweitenmessung, Werbung, Speichern von Einstellungen).
- Die wichtigsten Drittanbieter oder einen Link zur Liste.
- „Alle akzeptieren“ und „Alle ablehnen“ mit gleichem visuellen Gewicht sowie Zugang zu den Einstellungen.
- Einen Link zur Cookie-Richtlinie.
- Eine Möglichkeit, die Wahl später zu ändern (schwebendes Symbol oder Link im Footer).
Formulierungen zum Anpassen finden Sie in unseren Cookie-Banner-Textvorlagen.
Die Cookie-Richtlinie (zweite Ebene)
- Eine kurze Erklärung, was Cookies und ähnliche Technologien sind.
- Die Liste der Cookies nach Kategorie mit Name, Anbieter, Zweck, Speicherdauer und Herkunft.
- Welche Kategorien einwilligungspflichtig sind und welche nicht.
- Wie Besucher ihre Einwilligung widerrufen oder ändern und Cookies im Browser verwalten.
- Das Datum der letzten Aktualisierung.
Die Datenschutzerklärung
- Den Verantwortlichen mit Kontaktdaten (und gegebenenfalls den Datenschutzbeauftragten).
- Jeden Zweck mit Rechtsgrundlage, Speicherdauer, Empfängern und Drittlandübermittlungen.
- Die Betroffenenrechte und das Beschwerderecht bei der Aufsichtsbehörde.
- Einen Link zur Cookie-Richtlinie.
Bevor Sie etwas davon schreiben, müssen Sie wissen, welche Cookies Ihre Website tatsächlich setzt, nicht welche Sie vermuten. Prüfen Sie in 30 Sekunden mit dem kostenlosen Cookie-Scanner, welche Cookies Ihre Website setzt, und vergleichen Sie das Ergebnis mit Ihrer aktuellen Cookie-Richtlinie.
Genügt ein reiner Cookie-Hinweis?
Das hängt davon ab, wo Ihre Besucher sind.
- EU und EWR: nein, sobald nicht notwendige Cookies gesetzt werden. Eine vorherige Einwilligung ist Pflicht, und die Ablehnung muss so einfach sein wie die Zustimmung.
- Vereinigtes Königreich: nein. Regulation 6 der PECR verlangt klare und umfassende Informationen sowie eine Einwilligung für nicht notwendige Cookies.
- USA (Kalifornien): Der CCPA funktioniert anders. Er verlangt keine Einwilligung vor dem Setzen von Cookies, aber einen Hinweis bei der Erhebung und, wenn Sie personenbezogene Daten verkaufen oder teilen, einen Link „Do Not Sell or Share My Personal Information“ sowie die Beachtung von Global-Privacy-Control-Signalen. Siehe unsere Seite zu CCPA und CPRA.
Eine weitere Versuchung ist die Cookie-Wall, bei der Besucher zustimmen müssen, um die Website zu nutzen. Aufsichtsbehörden sehen darin in der Regel ein Hindernis für eine freiwillige Einwilligung; unser Artikel zur Cookie-Wall und ihren Alternativen erklärt die Feinheiten.
Häufige Fehler
- Ein „OK“-Button als Einwilligung. Ein einzelner Button, der nur zur Kenntnis nimmt, ist Information, keine Einwilligung.
- Eine Cookie-Richtlinie, die nicht zur Website passt. Die Richtlinie nennt fünf Cookies, die Website setzt zwanzig. Das ist einer der häufigsten Befunde bei Audits. Scannen Sie nach jedem neuen Tag oder Plugin erneut.
- Keine Verbindung zwischen den Ebenen. Das Banner sollte auf die Cookie-Richtlinie verlinken, und die Cookie-Richtlinie sollte das Banner erneut öffnen können.
- Eine kopierte Vorlage. Eine Vorlage liefert die Struktur, nicht den Inhalt. Namen, Laufzeiten und Anbieter müssen Ihre eigenen sein.
- Kein Aktualisierungsdatum. Ohne Datum lässt sich nicht erkennen, ob die Richtlinie die aktuelle Website abbildet.
- Eine unstrukturierte Datenschutzerklärung. Wenn Sie die Cookies dort integrieren, geben Sie ihnen einen eigenen, klar betitelten Abschnitt.
Wie FlowConsent Cookie-Hinweis und Cookie-Richtlinie umsetzt
FlowConsent verbindet die erste und die zweite Ebene. Das Banner zeigt die Zwecke nach Kategorie, die Schaltflächen „Alle akzeptieren“ und „Alle ablehnen“ sowie ein Einstellungsfenster, und es blockiert Skripte vor der Einwilligung. Die Cookie-Liste dahinter wird aus den Diensten erzeugt, die Sie aktivieren, mit Name, Zweck, Anbieter, Speicherdauer und Herkunft jedes Cookies; eigene Erstanbieter-Cookies ergänzen Sie von Hand. Ein automatischer Scan vergleicht die tatsächlich auf Ihrer Website beobachteten Cookies mit dieser Liste und meldet jedes nicht deklarierte Cookie, damit die Information für Ihre Besucher korrekt bleibt. Einwilligungen lassen sich als Nachweis exportieren. FlowConsent ist bis 25.000 Sitzungen pro Monat kostenlos und wird in Europa gehostet. Sehen Sie, wie die Cookie-Deklaration funktioniert.