Verwaltung von Cookies: Zustimmung und Tracker im E-Commerce

Die Regulierung von Cookies erschöpft sich nicht in der DSGVO. Sie beruht auf einem eigenständigen Rechtstext – der sogenannten Richtlinie über den Schutz der Privatsphäre in der elektronischen Kommunikation, umgesetzt in französisches Recht –, der eine vorherige Einwilligung für jedes Lesen oder Schreiben von Informationen auf dem Endgerät des Nutzers verlangt, unabhängig davon, ob es sich dabei um personenbezogene Daten handelt oder nicht. Genau diese Eigenständigkeit erklärt die meisten Abmahnungen: Auch ein nicht personenbezogener Tracker unterliegt der Einwilligungspflicht.

Was erfasst ist – und was nicht

Der Anwendungsbereich ist weiter, als der Begriff „Cookie“ vermuten lässt. Erfasst sind alle Verfahren zur Speicherung von oder zum Zugriff auf Informationen auf dem Endgerät: HTTP-Cookies, lokaler Speicher, unsichtbare Pixel, Geräte-Identifikatoren, digitaler Browser-Fingerprint.

Zwei Kategorien sind von der Einwilligungspflicht ausgenommen, und diese Ausnahmen sind eng auszulegen:

• Tracker, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich angeforderten Dienst zu erbringen: Warenkorb, Sitzungskennung, Speicherung einer Sprachauswahl, Lastverteilung.
• Tracker, deren ausschließlicher Zweck es ist, eine elektronische Kommunikation zu ermöglichen oder zu erleichtern.

Die Reichweitenmessung befindet sich in einem besonderen Graubereich: Sie kann unter strengen, kumulativ zu erfüllenden Bedingungen von der Einwilligungspflicht ausgenommen werden – Zweck ausschließlich auf die Messung beschränkt, keine Verknüpfung mit anderen Verarbeitungen, keine Übermittlung an Dritte, begrenzte Aufbewahrungsdauer. Eine weit verbreitete Analyselösung, die Daten zwischen Websites abgleicht oder an ihren Anbieter übermittelt, erfüllt diese Bedingungen nicht.

Die Regeln der Einholung

Drei Anforderungen prägen das Einwilligungsbanner, und jede davon war bereits Gegenstand von Sanktionen.

Die Einwilligung muss vorab erfolgen. Kein von der Ausnahme nicht erfasster Tracker darf gesetzt werden, bevor der Nutzer eine Handlung vorgenommen hat. Das Setzen eines Trackers beim Laden der Seite, noch vor jedem Klick, stellt für sich genommen einen Verstoß dar – dies ist der am häufigsten festgestellte Mangel.

Ablehnen muss ebenso einfach sein wie Zustimmen. Ein Banner, das eine gut sichtbare Schaltfläche „Alle akzeptieren“ anbietet und die Ablehnung auf eine zweite Einstellungsebene verweist, erfüllt diese Anforderung nicht. Beide Handlungen müssen auf derselben Ebene und mit derselben Anzahl an Klicks zugänglich sein.

Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Sie darf sich nicht allein aus dem Fortsetzen der Navigation, dem Scrollen der Seite oder einem vorab angekreuzten Kästchen ergeben. Sie ist zweckbezogen einzuholen, wobei der Nutzer die Reichweitenmessung akzeptieren können muss, ohne zugleich der zielgerichteten Werbung zustimmen zu müssen.

Hinzu kommt der Widerruf, der ebenso einfach sein muss wie die ursprüngliche Einwilligung und jederzeit zugänglich sein muss, was einen dauerhaften Zugangspunkt auf der Website voraussetzt.

Fristen und Aufbewahrung

Zwei unterschiedliche Fristen werden häufig verwechselt.

Die Lebensdauer der Tracker ist in der Praxis auf 13 Monate begrenzt, ohne automatische Verlängerung bei jedem neuen Besuch. Die über diese Tracker erhobenen Informationen werden darüber hinaus nur für eine begrenzte Zeit aufbewahrt.

Die Gültigkeitsdauer der Einwilligung ist davon zu unterscheiden: Die Entscheidung des Nutzers, ob positiv oder negativ, ist aufzubewahren, um ihn nicht bei jedem Besuch erneut zu befragen. Empfohlen wird, diese Entscheidung etwa sechs Monate aufzubewahren, wobei eine Ablehnung nicht häufiger erneut abgefragt werden darf als eine Zustimmung.

Der Verantwortliche muss schließlich in der Lage sein, die wirksame Einholung der Einwilligung nachzuweisen. Dieser Nachweis setzt voraus, dass für jeden Nutzer die angezeigte Version des Banners, die dargestellten Zwecke und die getroffene Entscheidung protokolliert werden. Ohne diese Protokollierung ist die Behauptung „wir holen die Einwilligung ein“ nicht belegbar – nach derselben Beweislogik wie bei der Annahme der Allgemeinen Geschäftsbedingungen.

Die geteilte Verantwortung

Eine Website, die Tracker von Drittanbietern einbindet – Werbenetzwerk, soziales Netzwerk, Analysetool –, ist dadurch nicht von ihrer Verantwortung entlastet. Der Betreiber, der über die Einbindung eines Trackers entscheidet, legt dessen Zweck fest und übernimmt damit die Verantwortung, auch wenn der Tracker einem Dritten gehört.

Zwei praktische Konsequenzen. Ein aktuelles Verzeichnis der tatsächlich gesetzten Tracker ist unerlässlich, und es sollte unter realen Bedingungen überprüft werden statt anhand der Dokumentation der Anbieter: Von Marketing-Tools nachträglich hinzugefügte Tags entgehen häufig dem deklarativen Verzeichnis. Und die Beziehungen zu Dritten müssen vertraglich geregelt werden, indem festgelegt wird, wer Verantwortlicher und wer Auftragsverarbeiter ist.

Sanktionen und Kontrollen

Ein Verstoß gegen die Regeln zu Trackern unterliegt einem eigenen Sanktionsregime: Er wird auf Grundlage des spezialgesetzlichen Textes geahndet, was der nationalen Aufsichtsbehörde ein direktes Handeln ermöglicht, ohne den europäischen Kooperationsmechanismus durchlaufen zu müssen. Dies erklärt die Geschwindigkeit und die Höhe der in diesem Bereich verhängten Entscheidungen.

Die Kontrollen konzentrieren sich vorrangig auf drei von außen objektiv überprüfbare Punkte: das Setzen von Trackern vor Einholung der Einwilligung, die Asymmetrie zwischen Zustimmen und Ablehnen sowie das Fortbestehen von Trackern nach einer Ablehnung. Diese drei Punkte lassen sich mit den Entwicklertools eines Browsers innerhalb weniger Minuten überprüfen, was das Risiko dauerhaft macht.

Anwendungsszenarien

Online-Shop mit Werbung. Die Zwecke trennen – Funktionsfähigkeit, Reichweitenmessung, Werbung – und für jeden davon eine gesonderte Einwilligung ermöglichen. Die Tracker des Warenkorbs unterliegen nicht der Einwilligungspflicht, jene des Retargetings hingegen immer. Das ist ein zentraler Punkt des rechtlichen Rahmens eines Online-Shops.

Website mit Reichweitenmessung. Prüfen, ob die gewählte Konfiguration die Ausnahmevoraussetzungen erfüllt. Wenn ja, ist für diesen Zweck kein Banner erforderlich; wenn nicht, ist die Einwilligung wie bei jedem anderen Tracker einzuholen.

Website-Relaunch. Das Tracker-Verzeichnis zunächst in der Testumgebung vor der Produktivstellung erstellen und anschließend in der Produktivumgebung erneut durchführen: Von den Marketing-Teams nach der Freigabe hinzugefügte Tools sind die häufigste Ursache für Abweichungen. Diese Sorgfalt entspricht den Anforderungen, die für die Standards für sichere Zahlungen.

Häufig gestellte Fragen

Erfordern alle Cookies eine Einwilligung? Nein. Jene, die für einen ausdrücklich angeforderten Dienst unbedingt erforderlich sind – Warenkorb, Sitzung, Sprachpräferenz –, sind davon ausgenommen, ebenso jene, die ausschließlich der Ermöglichung einer Kommunikation dienen. Die Ausnahme ist eng auszulegen.

Gilt das Fortsetzen der Navigation als Einwilligung? Nein. Die Einwilligung muss unmissverständlich sein und aus einer aktiven Handlung resultieren. Weder Scrollen noch das Fortsetzen der Navigation noch ein vorab angekreuztes Kästchen reichen aus.

Muss Ablehnen ebenso einfach sein wie Zustimmen? Ja. Beide Optionen müssen auf derselben Ebene mit vergleichbarem Aufwand angeboten werden. Die Ablehnung hinter ein Einstellungsmenü zu verbannen, stellt einen eindeutigen Verstoß dar.

Wie lange ist die Entscheidung des Nutzers aufzubewahren? Die Entscheidung, ob positiv oder negativ, wird aufbewahrt, um eine erneute Abfrage bei jedem Besuch zu vermeiden – in der Praxis etwa sechs Monate. Dies ist von der Lebensdauer der Tracker zu unterscheiden, die auf 13 Monate begrenzt ist.

Ist die Reichweitenmessung ausgenommen? Nur unter strengen, kumulativ zu erfüllenden Bedingungen: Zweck ausschließlich auf die Messung beschränkt, kein Datenabgleich, keine Übermittlung an Dritte, begrenzte Aufbewahrung. Die meisten gängigen Lösungen erfüllen diese Bedingungen in ihrer Standardkonfiguration nicht.

Wer ist für Tracker von Drittanbietern verantwortlich? Der Websitebetreiber, sobald er über deren Einbindung und Zweck entscheidet. Die Verantwortung wird nicht auf den Anbieter des Trackers übertragen.

Das Wichtigste in Kürze

Drei Verstöße machen den Großteil der Sanktionen aus, und alle drei lassen sich von außen innerhalb weniger Minuten feststellen: Tracker, die vor jeder Einwilligung gesetzt werden, eine Ablehnung, die aufwändiger auszudrücken ist als eine Zustimmung, und Tracker, die trotz einer Ablehnung fortbestehen.

Zwei Maßnahmen bieten dauerhaft Abhilfe. Ein unter realen Bedingungen – und nicht anhand von Dokumentation – überprüftes Tracker-Verzeichnis, das nach jeder Produktivstellung erneut erstellt wird. Und eine Protokollierung der Einwilligung, die die Version des Banners, die dargestellten Zwecke und die getroffene Entscheidung erfasst – ohne sie ist die Konformität nur behauptet, aber nicht nachweisbar, was im Rahmen einer Kontrolle auf dasselbe hinausläuft.