Cookie-Banner und die DSGVO
Zusammenfassung:
- Auch weiterhin nervige Cookie-Hinweise?
- Nach DSGVO stellt sich zunächst eine andere Frage
- Wenn das Cookie nötig ist
- Anders aber bei Google Adsense und DoubleKlick
- Ebenfalls anders bei Tracking-Cookies
- Zwei Nutzerkommentare
- Bewertung für diese Seite
[Dieser Text richtet sich an Webdesigner und nicht an Laien.]
Auch weiterhin nervige Cookie-Hinweise?
Wen nervt es nicht: dieses ewige „diese Webseite verwendet Cookies [bla] - klick - Ja, Mann!” Viele Webseitenbetreiber fragen mich: brauche ich diesen Hinweis nach der DSGVO noch immer? Die Anwort verblüfft Viele: Nein, und Sie haben ihn auch noch nie wirklich gebraucht.
Nach DSGVO stellt sich zunächst eine andere Frage
– nämlich: Darf ich überhaupt Cookies verwenden? Viele berufen sich in ihrer Datenschutzerklärung pauschal auf Art. 6 Abs. 1, lit f DSGVO und begründen dies mit einem überwiegenden Interesse. Aber: Das ist zu kurz gedacht. Nach Art. 6 Abs. 1, lit f DSGVO ist vor der Verhältnismäßigkeit (also dem Überwiegen) noch zu prüfen, ob die Verarbeitung der Daten zur Wahrung der berechtigten Interessen des Verantwortlichen überhaupt erforderlich ist.
Wenn ich mir so manche Webseite ansehe, sehe ich oftmals nur Session-Cookies, allerdings ohne weiteren Sinn. Diese Webseiten erfordern keine Nutzerinteraktion oder Dateneingabe, es gibt also technisch überhaupt keinen Anlass, eine Session zu verwenden (geradezu absurd ist es, wenn es nur ein einziges Cookie gibt, das nur das Cookie-Banner ausblendet und sonst gar nichts tut). Meist gibt es die Session nur deshalb, weil das Content Management System (CMS) sie als Vorgabe verwendet.
Da die meisten CMS auf PHP basieren, sollte man also zuerst einmal prüfen, ob eine Suche nach
session_start();
in den .php- und .inc-Dateien und ein beherztes Auskommentieren aller Ergebnisse mittels einer Raute davor nicht schon das Problem erledigt. Wenn die Seite trotzdem benutzbar bleibt und das Problem „Cookies” damit beseitigt ist, hat man eine wichtige Datenschutz-Baustelle weniger. Ist die Seite hingegen nicht mehr vollständig benutzbar, obwohl man alles auskommentiert hat, dann war das Cookie offenbar erforderlich.
Wenn das Cookie nötig ist
Ist das jeweilige Cookie technisch nötig, dann kann man nach Art. 6 Abs. 1, lit f DSGVO abwägen, ob die Interessen des Verwenders überwiegen (meistens ja, wenn es sich nicht gerade um völlig nebensächliche Funktionen handelt, die das Cookie brauchen).
Dann muss man einen Cookie-Hinweis in die Datenschutzerklärung aufnehmen. Ein Consent-Layer (oder Banner-Hinweis oder „Cookie-Popup” oder wie auch immer man das nennt) ist hingegen nicht nötig. Es gibt keinerlei Vorschrift, wie genau der Nutzer datenschutzmäßig aufzuklären ist. Ein Hinweis in der Datenschutzerklärung ist hier m.E. völlig ausreichend.
Anders aber bei Google Adsense und DoubleKlick
Bei diesen beiden Diensten verlangt Google vertraglich die Einwilligung des Nutzers in das Setzen von Cookies. Aber auch das bedeutet: Ein einfacher Cookie-Hinweis genügt hier nicht, man braucht erst ein OK, und zwar bevor man das Cookie setzt und bevor die Seite weiter nutzbar ist. Ein bloßer Hinweis mit untergeschobener Einwilligung nach dem Motto: „durch Nutzung dieser Webseite stimmen Sie der Verwendung von Cookies zu” genügt hier keineswegs. Google hat ziemlich genaue Vorgaben, wie die Einwilligung auszusehen hat.
Ebenfalls anders bei Tracking-Cookies
Hier hat die Datenschutzkonferenz beschlossen, dass der User vor dem Setzen eines Tracking-Cookies gefragt werden muss. „gefragt” heißt: er kann „Ja” oder „Nein” wählen. Siehe dazu meinen Beitrag zu Tracking-Cookies.
Zwei Nutzerkommentare
Bewertung für diese Seite
Der Beitrag „Cookie-Banner und die DSGVO” hat durchschnittlich 5 von 5 basierend auf insgesamt 1 Bewertungen.
schwach perfekt
Hinweis: Bewertungen werden nicht geprüft. Es handelt sich um Bewertungen für diesen Beitrag durch Leser dieses Beitrags und nicht um Bewertungen für RA Thomas Meier-Bading oder dessen Leistungen.