TL;DR
DSGVO und ePrivacy-Richtlinie teilen Cookies nach ihrem Zweck in vier Kategorien ein: unbedingt erforderliche, funktionale, Analyse- (Performance-) und Marketing-Cookies. Nur unbedingt erforderliche Cookies sind von der Einwilligungspflicht ausgenommen. Für alle anderen Kategorien brauchen Sie eine vorherige, freiwillige und informierte Einwilligung, bevor etwas auf dem Endgerät der Nutzer gespeichert wird. In Deutschland ergibt sich diese Pflicht aus § 25 TDDDG (früher TTDSG). Wer diese Einteilung verstanden hat, kann Cookie-Banner und CMP sauber konfigurieren.
Die vier Cookie-Kategorien nach der DSGVO
Das europäische Recht legt keine starre Liste von Cookie-Kategorien fest. In der Praxis haben sich aber, gestützt auf die Hinweise der Aufsichtsbehörden (in Deutschland die Orientierungshilfe der DSK, in Frankreich die CNIL, im Vereinigten Königreich das ICO) und der großen CMP-Anbieter, vier Gruppen durchgesetzt. Sie strukturieren das Cookie-Banner und entscheiden darüber, welche Cookies eine Einwilligung erfordern.
Die entscheidende Unterscheidung lautet: Entweder ist ein Cookie für den Betrieb der Website unbedingt erforderlich (dann ist keine Einwilligung nötig), oder er ist es nicht (dann ist eine vorherige Einwilligung Pflicht). Funktionale, Analyse- und Marketing-Cookies fallen alle in die zweite Gruppe.
Unbedingt erforderliche Cookies (essenziell)
Ein unbedingt erforderlicher Cookie ist einer, ohne den die Website nicht richtig funktioniert. Er wird als Reaktion auf eine Aktion der Nutzer gesetzt (Anmeldung, Artikel in den Warenkorb legen, Sprache wählen) und dient ausschließlich diesem Zweck.
Diese Cookies benötigen nach der ePrivacy-Richtlinie keine Einwilligung. In Deutschland regelt das § 25 Abs. 2 Nr. 2 TDDDG: Ausgenommen ist, was unbedingt erforderlich ist, damit der Anbieter einen ausdrücklich gewünschten digitalen Dienst bereitstellen kann.
Typische Beispiele: Session-Cookies für die Anmeldung, Warenkorb-Cookies, Sicherheits-Cookies (CSRF-Tokens), Cookies für die Lastverteilung (Load Balancing) und der Cookie, der die Einwilligungsentscheidung speichert (also der Cookie der CMP selbst).
Wichtig: Dass ein Cookie für die Website „nützlich“ oder „wichtig“ ist, macht ihn noch nicht unbedingt erforderlich. Die DSK legt diesen Maßstab ausdrücklich eng aus. Ein Analyse-Cookie mag für Ihre Geschäftsziele unverzichtbar sein, für den von den Nutzern gewünschten Dienst ist er es nicht.
Funktionale Cookies (Präferenzen)
Ein funktionaler Cookie speichert Angaben, die Nutzer bereits gemacht haben, um ihr Erlebnis zu personalisieren: Darstellungsmodus (Dark Mode oder Light Mode), gewählte Region, über mehrere Sitzungen gemerkte Anmeldedaten, Einstellungen des Videoplayers, Verlauf eines Live-Chats.
Diese Cookies sind für den Betrieb der Website nicht unbedingt erforderlich. Die Seite funktioniert auch ohne sie, nur weniger komfortabel. Nach DSGVO, ePrivacy-Richtlinie und TDDDG dürfen funktionale Cookies daher erst nach einer Einwilligung gesetzt werden.
Die Grenze zwischen „unbedingt erforderlich“ und „funktional“ ist nicht immer scharf. Eine einfache Faustregel: Kann die Website den gewünschten Dienst auch ohne diesen Cookie erbringen (selbst wenn es etwas umständlicher ist), dann ist der Cookie funktional und nicht unbedingt erforderlich.
Analyse-Cookies (Performance und Statistik)
Ein Analyse-Cookie (auch Performance-Cookie) erfasst, wie Besucher die Website nutzen: aufgerufene Seiten, Verweildauer, Absprungrate, Traffic-Quellen, Fehlermeldungen. Die Daten werden zusammengefasst ausgewertet, um Inhalte und Leistung der Website zu verbessern.
Das bekannteste Beispiel ist Google Analytics (Cookies _ga und _gid). Auch Matomo, Plausible, Piano Analytics oder Adobe Analytics arbeiten mit Analyse-Cookies.
Grundsätzlich brauchen Analyse-Cookies eine Einwilligung. In Frankreich sieht die CNIL eine Ausnahme für streng konfigurierte Reichweitenmessung vor (nur für den Betreiber selbst, ausschließlich anonyme Statistiken, keine Verknüpfung mit anderen Verarbeitungen, keine Weitergabe an Dritte). Die DSK ist hier zurückhaltender: Reichweitenmessung gilt in Deutschland nur in engen Ausnahmefällen als unbedingt erforderlich im Sinne von § 25 Abs. 2 TDDDG. Google Analytics erfüllt diese Voraussetzungen in der Standardkonfiguration in keinem Fall.
Marketing-Cookies (Werbung und Targeting)
Ein Marketing-Cookie (auch Werbe- oder Targeting-Cookie) verfolgt das Surfverhalten, um personalisierte Werbung auszuspielen. Solche Cookies bilden ein Nutzerprofil aus Interessen, Käufen und Suchanfragen und teilen diese Informationen mit Werbenetzwerken.
Typische Beispiele: Facebook Pixel, Google Ads (Remarketing-Cookies), DoubleClick, Retargeting-Cookies, Cookies von Social-Media-Buttons und Cookies von Affiliate-Plattformen.
Marketing-Cookies brauchen immer eine vorherige Einwilligung, ohne Ausnahme. Häufig handelt es sich um Drittanbieter-Cookies (gesetzt von einer anderen Domain als der besuchten Website), was sie aus Datenschutzsicht besonders heikel macht.
Welche Einwilligung für welche Kategorie?
Unbedingt erforderliche Cookies benötigen keine Einwilligung, Sie müssen die Nutzer aber trotzdem darüber informieren. Funktionale Cookies brauchen eine vorherige Einwilligung. Analyse-Cookies ebenfalls, abgesehen von eng begrenzten Ausnahmen für streng konfigurierte Messwerkzeuge. Marketing-Cookies setzen immer eine vorherige Einwilligung voraus. Um diese Einwilligungssignale an Google-Dienste weiterzugeben, sollten Sie Google Consent Mode v2 einrichten.
Die Einwilligung muss freiwillig sein (keine Cookie Wall, außer unter strengen Bedingungen), für den konkreten Fall erteilt werden (pro Kategorie, keine Pauschaleinwilligung), informiert erfolgen (die Nutzer wissen, worauf sie sich einlassen) und unmissverständlich sein (durch eine aktive Handlung, keine vorausgewählten Kästchen). Ablehnen muss so einfach sein wie Zustimmen, und ein Widerruf muss jederzeit möglich sein.
So konfigurieren Sie Ihre CMP nach Kategorien
Eine Consent-Management-Plattform (CMP) wie FlowConsent zeigt die Cookie-Kategorien im Cookie-Banner an und lässt die Nutzer für jede Kategorie einzeln zustimmen oder ablehnen.
Die übliche Konfiguration hat vier Stufen:
- Unbedingt erforderliche Cookies: immer aktiv, nicht abwählbar.
- Funktionale Cookies: standardmäßig deaktiviert, Einwilligung erforderlich.
- Analyse-Cookies: standardmäßig deaktiviert, Einwilligung erforderlich.
- Marketing-Cookies: standardmäßig deaktiviert, Einwilligung erforderlich.
Jede Kategorie braucht eine verständliche Beschreibung ihres Zwecks und idealerweise eine Liste der zugehörigen Cookies mit Laufzeit und Anbieter. Der Cookie-Scanner von FlowConsent erkennt die Cookies auf Ihrer Website automatisch und ordnet sie den Kategorien zu.
Häufige Fehler bei der Einordnung
Google Analytics als „unbedingt erforderlich“ einstufen. Google Analytics setzt Tracking-Cookies, die für den Betrieb der Website nicht nötig sind. Sie gehören in die Kategorie Analyse und brauchen eine Einwilligung.
Cookies von Drittanbieter-Widgets übersehen. Social-Media-Buttons, eingebettete Videoplayer (YouTube, Vimeo), Google Maps und Chat-Tools setzen alle Cookies. Sie müssen der passenden Kategorie zugeordnet und bis zur Einwilligung blockiert werden.
Funktionale Cookies als „unbedingt erforderlich“ behandeln. Ein Cookie, der den Darstellungsmodus oder Navigationseinstellungen speichert, ist funktional. Die Website funktioniert auch ohne ihn.
Cookies in der Cookie-Richtlinie nicht nach Kategorien aufschlüsseln. Die Cookie-Richtlinie sollte jede Kategorie mit den zugehörigen Cookies, ihrem Zweck, ihrer Laufzeit und ihrem Anbieter beschreiben.
Nicht erforderliche Kategorien vorab aktivieren. Eine Einwilligung setzt eine aktive Handlung voraus. Funktionale, Analyse- und Marketing-Kategorien müssen im Cookie-Banner standardmäßig deaktiviert sein.
So prüfen Sie die Cookies Ihrer Website nach Kategorien
Ein Cookie-Audit beginnt mit einem vollständigen Scan der Website, der alle Cookies und Tracker erfasst. Anschließend ordnen Sie jeden Cookie einer der vier Kategorien zu.
Dokumentieren Sie für jeden gefundenen Cookie Namen, Domain (First Party oder Third Party), Laufzeit, Zweck und Kategorie. Lässt sich der Zweck eines Cookies nicht klären, behandeln Sie ihn vorsorglich als Marketing-Cookie, also nach der strengsten Kategorie.
Prüfen Sie alle Seiten Ihrer Website, nicht nur die Startseite. Manche Unterseiten enthalten Widgets oder iframes, die zusätzliche Cookies setzen (eingebettete YouTube-Videos, Formulare von Drittanbietern, Conversion-Pixel).
Checkliste: Cookies nach Kategorien einordnen und verwalten
- Website scannen und alle aktiven Cookies und Tracker erfassen.
- Jeden Cookie einer der vier Kategorien zuordnen (unbedingt erforderlich, funktional, Analyse, Marketing).
- CMP so konfigurieren, dass das Cookie-Banner die Kategorien getrennt anzeigt.
- Unbedingt erforderliche Cookies dauerhaft aktiv lassen (nicht abwählbar).
- Funktionale, Analyse- und Marketing-Cookies standardmäßig deaktivieren.
- Skripte nicht eingewilligter Kategorien tatsächlich blockieren (nicht nur das Banner ausblenden).
- Jede Kategorie mit den zugehörigen Cookies in der Cookie-Richtlinie beschreiben.
- Prüfen, ob für Ihre Analyse-Cookies ausnahmsweise keine Einwilligung nötig ist (strenge Kriterien nach § 25 Abs. 2 TDDDG).
- Website regelmäßig prüfen, um neue Cookies aus Updates oder neuen Widgets zu erkennen.
- Für jede Kategorie die Ablehnung testen und kontrollieren, dass die zugehörigen Cookies nicht gesetzt werden.
Fazit
Die Einteilung in vier Kategorien (unbedingt erforderlich, funktional, Analyse, Marketing) ist die Grundlage jeder DSGVO-konformen Cookie-Verwaltung. Nur unbedingt erforderliche Cookies sind von der Einwilligung ausgenommen. Alle anderen Kategorien müssen standardmäßig blockiert und erst nach ausdrücklicher Einwilligung aktiviert werden. Anregungen, wie Sie diese Kategorien Ihren Besuchern präsentieren, finden Sie in unseren Beispielen für Cookie-Banner.
Um die Cookies Ihrer Website zu erkennen und einzuordnen, starten Sie einen kostenlosen Scan mit FlowConsent.