Verwaltung von Cookies: Einwilligung und Tracker im E-Commerce

Die Regulierung von Cookies erschöpft sich nicht in der DSGVO. Sie beruht auf einem eigenständigen Text — der sogenannten Richtlinie über Privatsphäre und elektronische Kommunikation, umgesetzt in französisches Recht —, der eine vorherige Einwilligung für jedes Lesen oder Schreiben von Informationen auf dem Endgerät des Nutzers vorschreibt, unabhängig davon, ob es sich dabei um ein personenbezogenes Datum handelt oder nicht. Gerade diese Eigenständigkeit erklärt die meisten Abmahnungen: Ein nicht personenbezogener Tracker bleibt einwilligungspflichtig.

Was erfasst ist – und was nicht

Der Anwendungsbereich ist weiter, als der Begriff „Cookie“ vermuten lässt. Betroffen sind alle Verfahren zur Speicherung von oder zum Zugriff auf Informationen auf dem Endgerät: HTTP-Cookies, lokaler Speicher, unsichtbare Pixel, Geräte-Identifikatoren, digitaler Browser-Fingerabdruck.

Zwei Kategorien sind von der Einwilligungspflicht ausgenommen, und diese Ausnahmen sind eng auszulegen:

• Tracker, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich angeforderten Dienst zu erbringen: Warenkorb, Sitzungskennung, Speicherung einer Sprachauswahl, Lastverteilung.
• Tracker, deren ausschließlicher Zweck darin besteht, eine elektronische Kommunikation zu ermöglichen oder zu erleichtern.

Die Reichweitenmessung befindet sich in einer besonderen Grauzone: Sie kann unter strengen kumulativen Bedingungen von der Einwilligungspflicht ausgenommen werden — Zweck ausschließlich auf die Messung beschränkt, keine Verknüpfung mit anderen Verarbeitungen, keine Übermittlung an Dritte, begrenzte Speicherdauer. Eine weit verbreitete Analyselösung, die Daten zwischen Websites abgleicht oder an ihren Anbieter übermittelt, erfüllt diese Bedingungen nicht.

Die Regeln der Einholung

Drei Anforderungen strukturieren das Einwilligungsbanner, und jede davon hat bereits zu Sanktionen geführt.

Die Einwilligung muss vorherig erfolgen. Kein nicht ausgenommener Tracker darf vor der Handlung des Nutzers gesetzt werden. Eine Setzung beim Laden der Seite, vor jedem Klick, stellt für sich genommen einen Verstoß dar — es ist der am häufigsten festgestellte Mangel.

Ablehnen muss so einfach sein wie Zustimmen. Ein Banner, das eine gut sichtbare Schaltfläche „Alle akzeptieren“ anbietet, die Ablehnung jedoch auf eine zweite Einstellungsebene verweist, erfüllt diese Anforderung nicht. Beide Handlungen müssen auf derselben Ebene und mit der gleichen Anzahl an Klicks zugänglich sein.

Die Einwilligung muss freiwillig, spezifisch, informiert und unmissverständlich sein. Sie darf sich nicht aus dem Fortsetzen der Navigation, dem Scrollen der Seite oder einem vorangekreuzten Kästchen ergeben. Sie muss zweckbezogen eingeholt werden, wobei der Nutzer der Reichweitenmessung zustimmen können muss, ohne der zielgerichteten Werbung zustimmen zu müssen.

Hinzu kommt der Widerruf, der genauso einfach sein muss wie die ursprüngliche Einwilligung und jederzeit zugänglich sein muss, was einen dauerhaften Zugangspunkt auf der Website voraussetzt.

Laufzeiten und Speicherdauer

Zwei unterschiedliche Zeiträume werden häufig miteinander verwechselt.

Die Lebensdauer der Tracker ist in der Praxis auf dreizehn Monate begrenzt, ohne automatische Verlängerung bei jedem neuen Besuch. Die über diese Tracker erhobenen Informationen werden darüber hinaus nur für eine begrenzte Zeit gespeichert.

Die Gültigkeitsdauer der Einwilligung ist davon zu unterscheiden: Die Entscheidung des Nutzers, ob positiv oder negativ, muss gespeichert werden, um ihn nicht bei jedem Besuch erneut zu befragen. Die empfohlene Praxis ist, diese Entscheidung etwa sechs Monate lang zu speichern, wobei eine Ablehnung nicht häufiger erneut abgefragt werden darf als eine Zustimmung.

Der Verantwortliche muss schließlich in der Lage sein, die wirksame Einholung der Einwilligung nachzuweisen. Dieser Nachweis setzt voraus, für jeden Nutzer die angezeigte Bannerversion, die vorgestellten Zwecke und die ausgedrückte Entscheidung zu protokollieren. Ohne diese Protokollierung lässt sich die Aussage „wir holen die Einwilligung ein“ nicht belegen — dieselbe Beweislogik wie bei der Annahme der Allgemeinen Geschäftsbedingungen.

Geteilte Verantwortlichkeiten

Eine Website, die Tracker Dritter einbindet — Werbenetzwerk, soziales Netzwerk, Analysetool —, wird dadurch nicht von ihrer Verantwortung entlastet. Der Betreiber, der über die Einbindung eines Trackers entscheidet, bestimmt dessen Zweck und übernimmt die Verantwortung dafür, auch wenn der Tracker einem Dritten gehört.

Zwei praktische Konsequenzen. Ein aktuelles Verzeichnis der tatsächlich gesetzten Tracker ist unerlässlich, und es muss unter realen Bedingungen überprüft werden und nicht anhand der Dokumentation der Anbieter: Tags, die von Marketing-Tools hinzugefügt werden, entgehen dem deklarativen Verzeichnis häufig. Und die Beziehungen zu Dritten müssen vertraglich geregelt werden, wobei festzulegen ist, wer Verantwortlicher und wer Auftragsverarbeiter ist.

Sanktionen und Kontrollen

Der Verstoß gegen die Tracker-Regeln unterliegt einem eigenen Regime: Er wird auf Grundlage des spezialgesetzlichen Textes geahndet, was der nationalen Aufsichtsbehörde erlaubt, direkt zu handeln, ohne den europäischen Kooperationsmechanismus durchlaufen zu müssen. Das erklärt die Schnelligkeit und die Höhe der in diesem Bereich ergangenen Entscheidungen.

Die Kontrollen betreffen vorrangig drei von außen objektivierbare Punkte: das Setzen von Trackern vor der Einwilligung, die Asymmetrie zwischen Zustimmen und Ablehnen sowie das Fortbestehen von Trackern nach einer Ablehnung. Diese drei Punkte lassen sich mit den Entwicklertools eines Browsers innerhalb von Minuten überprüfen, was die Exponiertheit dauerhaft macht.

Anwendungsszenarien

Online-Shop mit Werbung. Die Zwecke trennen — Funktionsfähigkeit, Reichweitenmessung, Werbung — und für jeden davon eine gesonderte Einwilligung ermöglichen. Die Warenkorb-Tracker unterliegen nicht der Einwilligungspflicht, die des Werbe-Retargetings hingegen immer. Das ist ein struktureller Punkt des rechtlichen Rahmens eines Online-Shops.

Website mit Reichweitenmessung. Prüfen, ob die gewählte Konfiguration die Ausnahmebedingungen erfüllt. Wenn ja, ist für diesen Zweck kein Banner erforderlich; wenn nein, ist die Einwilligung wie für jeden anderen Tracker erforderlich.

Website-Relaunch. Das Tracker-Verzeichnis vor der Produktionsfreigabe auf der Testumgebung erstellen und anschließend in der Produktionsumgebung erneut durchführen: Tools, die von den Marketing-Teams nach der Auslieferung hinzugefügt werden, sind die häufigste Abweichungsquelle. Diese Disziplin knüpft an die für sichere Zahlungsstandards.

Häufige Fragen

Benötigen alle Cookies eine Einwilligung? Nein. Diejenigen, die unbedingt für einen ausdrücklich angeforderten Dienst erforderlich sind — Warenkorb, Sitzung, Sprachpräferenz — sind davon ausgenommen, ebenso solche, die ausschließlich der Ermöglichung einer Kommunikation dienen. Die Ausnahme ist eng auszulegen.

Gilt das Fortsetzen der Navigation als Einwilligung? Nein. Die Einwilligung muss unmissverständlich sein und aus einer positiven Handlung resultieren. Weder das Scrollen noch das Fortsetzen der Navigation noch ein vorangekreuztes Kästchen reichen aus.

Muss Ablehnen so einfach sein wie Zustimmen? Ja. Beide Optionen müssen auf derselben Ebene präsentiert werden, mit gleichwertigem Aufwand. Die Ablehnung hinter ein Einstellungsmenü zu verbannen, stellt einen eindeutigen Verstoß dar.

Wie lange muss die Entscheidung des Nutzers gespeichert werden? Die Entscheidung, positiv wie negativ, wird gespeichert, um eine erneute Befragung bei jedem Besuch zu vermeiden — in der Praxis etwa sechs Monate. Das ist von der Lebensdauer der Tracker zu unterscheiden, die auf dreizehn Monate begrenzt ist.

Ist die Reichweitenmessung ausgenommen? Nur unter strengen kumulativen Bedingungen: Zweck ausschließlich auf die Messung beschränkt, kein Datenabgleich, keine Übermittlung an Dritte, begrenzte Speicherung. Die meisten gängigen Lösungen erfüllen diese in der Standardkonfiguration nicht.

Wer ist für Tracker Dritter verantwortlich? Der Betreiber der Website, sobald er über deren Einbindung und Zweck entscheidet. Die Verantwortung wird nicht auf den Anbieter des Trackers übertragen.

Das Wichtigste in Kürze

Drei Verstöße machen den Großteil der Sanktionen aus, und alle drei lassen sich von außen innerhalb von Minuten feststellen: vor jeder Einwilligung gesetzte Tracker, eine Ablehnung, die aufwändiger auszudrücken ist als eine Zustimmung, sowie Tracker, die trotz Ablehnung fortbestehen.

Zwei Maßnahmen begegnen dem dauerhaft. Ein Tracker-Verzeichnis, das unter realen Bedingungen und nicht anhand von Dokumentation überprüft und nach jeder Produktionsfreigabe erneut erstellt wird. Und eine Protokollierung der Einwilligung, die die Bannerversion, die vorgestellten Zwecke und die ausgedrückte Entscheidung erfasst — ohne sie ist die Konformität behauptet, aber nicht nachweisbar, was bei einer Kontrolle auf dasselbe hinausläuft.