TL;DR
Der Nachweis der Cookie-Einwilligung umfasst alle Aufzeichnungen, die belegen, dass ein Nutzer seine Einwilligung freiwillig, informiert und unmissverständlich erteilt (oder verweigert) hat. Die DSGVO verpflichtet den Verantwortlichen, jederzeit nachweisen zu können, dass die Einwilligung wirksam eingeholt wurde. Die CNIL empfiehlt, die Entscheidungen der Nutzer 6 Monate lang zu speichern und Aufzeichnungen über die Codeversionen des Banners, den Zeitpunkt der Entscheidung sowie die akzeptierten oder abgelehnten Kategorien aufzubewahren.
Was ist der Nachweis der Cookie-Einwilligung?
Der Einwilligungsnachweis ist die dokumentierte Aufzeichnung, die zeigt, dass ein Besucher dem Setzen von Cookies auf seinem Gerät tatsächlich zugestimmt (oder es abgelehnt) hat. Diese Pflicht ergibt sich aus Artikel 7 Absatz 1 DSGVO, wonach der Verantwortliche nachweisen können muss, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.
In der Praxis reicht es nicht aus, ein rechtskonformes Cookie-Banner anzuzeigen. Sie müssen bei einer Prüfung oder Beschwerde auch belegen können, dass das Banner korrekt funktioniert hat und die Entscheidungen der Nutzer erfasst wurden.
Der Nachweis der Cookie-Einwilligung ist eine mit Zeitstempel versehene Aufzeichnung, die die Entscheidung des Nutzers (Zustimmung, Ablehnung oder individuelle Auswahl), die zum Zeitpunkt der Entscheidung angezeigten Informationen und die technischen Folgen dieser Entscheidung (welche Skripte aktiviert oder blockiert wurden) dokumentiert.
Was sagt die DSGVO zum Einwilligungsnachweis?
Artikel 7 Absatz 1 DSGVO ist eindeutig: „Beruht die Verarbeitung auf einer Einwilligung, muss der Verantwortliche nachweisen können, dass die betroffene Person in die Verarbeitung ihrer personenbezogenen Daten eingewilligt hat.“ Die Beweislast liegt beim Websitebetreiber, nicht beim Nutzer.
Der Nachweis nützt nur, wenn die Einwilligung überhaupt gültig ist: Lesen Sie dazu die 7 Voraussetzungen für eine gültige DSGVO-Einwilligung.
Artikel 82 des französischen Datenschutzgesetzes, der die ePrivacy-Richtlinie in französisches Recht umsetzt, verschärft diese Anforderung speziell für Cookies. Organisationen, die Tracker einsetzen, müssen jederzeit nachweisen können, dass eine wirksame Einwilligung eingeholt wurde.
Bei einer Prüfung durch die CNIL oder einer Beschwerde eines Nutzers müssen Sie beweisen, dass eine rechtskonforme Einwilligung vorlag. Ohne Nachweis gilt die Einwilligung als nicht erteilt.
Was genau sollten Sie speichern?
Die CNIL schlägt in ihrer Cookie-Empfehlung von 2020 (Artikel 48) mehrere Methoden zur Speicherung des Nachweises vor. Diese Angaben sollten Sie für jede Einwilligungsinteraktion festhalten.
Kennung des Nutzers oder Geräts
Eine eindeutige Kennung (meist eine von der CMP erzeugte UUID), die eine Einwilligungsentscheidung einem Gerät oder Browser zuordnet. Sie muss die Person nicht identifizieren (kein Name, keine E-Mail-Adresse erforderlich). Die Kennung des Einwilligungs-Cookies selbst genügt in den meisten Fällen.
Zeitstempel der Entscheidung
Das genaue Datum und die genaue Uhrzeit, zu der der Nutzer seine Entscheidung getroffen hat. Der Zeitstempel belegt, dass die Einwilligung vor dem Setzen der Cookies eingeholt wurde, und ermöglicht die Berechnung ihrer Gültigkeitsdauer.
Die getroffene Entscheidung
Die Einzelheiten dessen, was der Nutzer akzeptiert oder abgelehnt hat: globale Einwilligung („Alle akzeptieren“ / „Alle ablehnen“) oder Einwilligung pro Kategorie (Statistik akzeptiert, Marketing abgelehnt usw.). Je detaillierter die Aufzeichnung, desto belastbarer der Nachweis.
Strukturieren Sie diese Einträge anhand der 4 DSGVO-Cookie-Kategorien, die die meisten Banner verwenden.
Angezeigte Banner-Version
Die CNIL empfiehlt, die verschiedenen Versionen des Codes aufzubewahren, mit dem die Einwilligung eingeholt wird. Wenn Sie Text, Design oder Verhalten Ihres Banners ändern, müssen Sie nachweisen können, welche Version der Nutzer zum Zeitpunkt seiner Entscheidung gesehen hat.
Dem Nutzer angezeigte Informationen
Der Inhalt des Banners (Text, Optionen, Links zur Cookie-Richtlinie) so, wie er zum Zeitpunkt der Entscheidung angezeigt wurde. Damit belegen Sie, dass die Einwilligung „informiert“ erfolgte.
Eine informierte Einwilligung setzt ein Banner ohne Manipulation voraus, was die von der CNIL verbotenen Cookie Dark Patterns ausschließt.
Wie lange sollten Sie den Einwilligungsnachweis aufbewahren?
Weder die DSGVO noch die ePrivacy-Richtlinie schreiben eine feste Aufbewahrungsdauer für den Nachweis der Cookie-Einwilligung vor. Die CNIL gibt jedoch klare Orientierung.
Die CNIL empfiehlt, die Entscheidungen der Nutzer (Einwilligung oder Ablehnung) 6 Monate lang zu speichern. Danach sollte das Banner erneut erscheinen, um die Einwilligung neu einzuholen. Diese Dauer von 6 Monaten ist eine bewährte Praxis, keine strikte Pflicht. Sie kann je nach Art der Website und ihres Publikums im Einzelfall angepasst werden.
Für einwilligungsfreie Cookies zur Reichweitenmessung empfiehlt die CNIL eine maximale Lebensdauer der Tracker von 13 Monaten und eine maximale Aufbewahrungsdauer der Daten von 25 Monaten.
Woher diese Grenzen stammen, erklären wir in unserem Artikel zur 13-Monats-Regel für die Cookie-Speicherdauer.
Den eigentlichen Nachweis (Consent-Logs) sollten Sie so lange aufbewahren, wie es nötig ist, um bei einer Prüfung die Rechtskonformität belegen zu können. In der Praxis heißt das mindestens für die Gültigkeitsdauer der Einwilligung (6 Monate) und idealerweise länger, um mögliche Beschwerden oder spätere Prüfungen abzudecken. Eine Aufbewahrungsdauer von 3 bis 5 Jahren für Logs ist in der Branche üblich.
Wie verwaltet eine CMP den Einwilligungsnachweis?
Eine Consent-Management-Plattform (CMP) wie FlowConsent automatisiert das Erfassen, Speichern und Abrufen von Einwilligungsnachweisen. Das sollte eine CMP leisten.
Bei jeder Interaktion mit dem Banner zeichnet die CMP automatisch ein Consent-Log mit Gerätekennung, Zeitstempel, getroffener Entscheidung (pro Kategorie) und Banner-Version auf. Diese Logs werden sicher und mit Zeitstempel gespeichert.
Die CMP muss außerdem einen Cookie-Scan der Website durchführen, um sicherzustellen, dass Skripte nicht eingewilligter Kategorien tatsächlich blockiert werden. Ein Nachweis ist wertlos, wenn Cookies vor oder trotz einer Ablehnung gesetzt werden.
FlowConsent kann einen Scan mit abgelehnter Einwilligung in einen datierten, druckbaren Nachweisbericht für Ihren DSB umwandeln, der die Wirksamkeit der Blockierung dokumentiert.
Bei einer Prüfung muss die CMP den Export der Consent-Logs in einem verwertbaren Format (CSV, JSON) und die Rekonstruktion des Banner-Zustands zu einem bestimmten Datum ermöglichen.
Häufige Fehler (und wie Sie sie vermeiden)
Nur Einwilligungen speichern, keine Ablehnungen. Die CNIL empfiehlt, auch Ablehnungen zu speichern. Wenn Sie nur Zustimmungen erfassen, können Sie nicht belegen, dass Nutzer ohne Einwilligung keine Cookies erhalten haben. Lösung: Erfassen Sie Ablehnungen systematisch im selben Log.
Das Banner nicht versionieren. Wenn Sie Text oder Design Ihres Banners ändern, ohne frühere Versionen zu archivieren, können Sie nicht nachweisen, welchen Inhalt der Nutzer gesehen hat. Lösung: Archivieren Sie jede Banner-Version mit Versionsnummer und Datum der Inbetriebnahme.
Die Lebensdauer des Cookies mit der Aufbewahrungsdauer des Nachweises verwechseln. Das Einwilligungs-Cookie (das die Entscheidung des Nutzers in seinem Browser speichert) hat eine begrenzte Lebensdauer (empfohlen: 6 Monate). Der Einwilligungsnachweis (serverseitiges Log) sollte länger aufbewahrt werden. Lösung: Trennen Sie beides und legen Sie für die Logs eine eigene Aufbewahrungsrichtlinie fest.
Entscheidungen nicht mit Zeitstempel versehen. Ohne Zeitstempel lässt sich nicht beweisen, dass die Einwilligung vor dem Setzen der Cookies erteilt wurde. Lösung: Jedes Consent-Log muss einen genauen Zeitstempel enthalten (Datum + Uhrzeit + Zeitzone).
Unnötige personenbezogene Daten in den Logs speichern. Für den Einwilligungsnachweis brauchen Sie weder die E-Mail-Adresse noch den Namen des Nutzers. Eine technische Kennung (UUID des Einwilligungs-Cookies) genügt. Wer überflüssige personenbezogene Daten in Logs speichert, schafft eine zusätzliche Datenverarbeitung, die ihrerseits DSGVO-konform sein muss. Lösung: Beschränken Sie die Logs auf die unbedingt erforderlichen Daten.
Sich allein auf das clientseitige Cookie verlassen. Das Einwilligungs-Cookie im Browser des Nutzers kann jederzeit gelöscht werden. Ist es Ihr einziger Nachweis, bleibt Ihnen nichts. Lösung: Ergänzen Sie es durch ein serverseitiges Log, verwaltet von Ihrer CMP.
Checkliste: rechtskonformer Einwilligungsnachweis
- Jede Interaktion mit dem Banner (Zustimmung, Ablehnung, individuelle Auswahl) wird in einem serverseitigen Log erfasst.
- Das Log enthält: Gerätekennung (UUID), Zeitstempel (Datum + Uhrzeit + Zeitzone), Entscheidung pro Kategorie, Banner-Version.
- Die Ablehnung wird genauso sorgfältig erfasst wie die Zustimmung.
- Aufeinanderfolgende Banner-Versionen (Text, Design, Verhalten) werden mit Datum der Inbetriebnahme archiviert.
- Die Speicherdauer der Entscheidung im Browser (Cookie) beträgt 6 Monate (Empfehlung der CNIL).
- Serverseitige Consent-Logs werden mindestens 3 bis 5 Jahre aufbewahrt.
- Die Logs lassen sich bei einer Prüfung in einem verwertbaren Format (CSV, JSON) exportieren.
- Ein regelmäßiges Audit überprüft, dass Skripte nicht eingewilligter Kategorien tatsächlich blockiert werden.
- Die Logs enthalten keine überflüssigen personenbezogenen Daten (keine E-Mail-Adresse, kein Name, die UUID genügt).
- Der Widerruf der Einwilligung wird ebenso detailliert erfasst wie die ursprüngliche Einwilligung.
Fazit
Der Einwilligungsnachweis ist kein Extra. Er ist eine gesetzliche Pflicht. Die DSGVO verlangt, dass der Verantwortliche jederzeit nachweisen kann, dass die Einwilligung wirksam eingeholt wurde. Ohne Nachweis gilt die Einwilligung als nicht vorhanden, was einem Setzen von Cookies ohne Rechtsgrundlage gleichkommt.
In der Praxis bedeutet das, eine CMP einzusetzen, die jede Interaktion automatisch erfasst, die Logs sicher speichert und die Banner-Versionen archiviert. Die CNIL empfiehlt eine Speicherdauer von 6 Monaten für die Entscheidungen und eine längere Aufbewahrung der Logs, um Prüfungen abzudecken.
Um zu prüfen, ob Ihre Website Einwilligungsnachweise korrekt erfasst und speichert, starten Sie einen kostenlosen Scan mit FlowConsent.