Was ein Einwilligungsbanner leistet
Ein Einwilligungsbanner, auch Cookie-Banner oder Cookie-Hinweis genannt, erscheint beim ersten Besuch. Meist ist es ein Overlay, eine Leiste am unteren Seitenrand oder ein modales Fenster. Nicht notwendige Verarbeitung darf erst beginnen, nachdem der Besucher mit dem Banner interagiert hat.
Der Banner ist der sichtbare Teil einer umfassenderen Pflicht im Bereich Datenschutz. Dahinter steht eine Consent-Management-Plattform oder ein eigenes Skript, das in drei Schritten arbeitet:
- 1
Zuerst informieren
Der Banner zeigt, wer welche Technologien für welche Zwecke setzt und welche Auswahlmöglichkeiten bestehen.
- 2
Bis zur Entscheidung blockieren
Nicht notwendige Cookies, Pixel und Skripte bleiben blockiert, bis der Besucher entschieden hat.
- 3
Speichern und erneut anbieten
Die Entscheidung wird mit Zeitstempel und Version des Hinweises protokolliert. Ein Link im Footer ermöglicht spätere Änderungen.
Die Rechtsgrundlage: ePrivacy und DSGVO
In der Europäischen Union folgt die Regel aus Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Das Speichern oder Auslesen von Informationen auf dem Gerät des Nutzers, wozu Cookies und ähnliche Tracker dienen, erfordert eine Einwilligung. Die Ausnahme gilt nur für Speicherung, die für einen ausdrücklich gewünschten Dienst unbedingt erforderlich ist, etwa Warenkorbinhalte oder eine Login-Sitzung. Analyse- und Werbe-Cookies fallen nie darunter.
Die DSGVO legt fest, welchen Anforderungen die Einwilligung genügen muss: freiwillig, bestimmt, informiert und unmissverständlich, abgegeben durch eine eindeutige bestätigende Handlung. Werden besondere Kategorien personenbezogener Daten auf Grundlage einer Einwilligung verarbeitet, muss diese ausdrücklich erfolgen. ePrivacy entscheidet, wann eine Einwilligung nötig ist, und die DSGVO, was eine gültige Einwilligung ist. Nationale Regeln ergänzen Details, deshalb unterscheidet sich der Wortlaut zwischen den Mitgliedstaaten leicht. Das Opt-in-Prinzip gilt in der EU, im EWR und im Vereinigten Königreich.
Opt-in- und Opt-out-Modelle
Nicht jeder Banner fragt auf die gleiche Weise nach Erlaubnis. Zwei Modelle dominieren, und eine internationale Website betreibt oft beide gleichzeitig. Nach US-Landesgesetzen wie dem CCPA muss ein vom Browser oder Gerät gesendetes Opt-out-Signal beachtet werden.
| Modell | Wo es gilt | Was es bedeutet |
|---|---|---|
| Opt-in | EU, EWR und Vereinigtes Königreich | Nichts Nicht-Notwendiges läuft, bevor der Besucher zustimmt. |
| Opt-out | US-Landesgesetze wie der CCPA | Tracking beginnt nach dem Hinweis. Besucher können dem Verkauf oder der Weitergabe widersprechen. |
| Mehrstufig | Internationale Websites | Eine Einrichtung erkennt die Region des Besuchers und zeigt den passenden Banner. |
Einwilligungsnachweise und Widerruf
Unabhängig vom Modell muss die Entscheidung nachweisbar sein, denn die Beweislast liegt beim Betreiber der Website. Eine konforme Einrichtung speichert für jede Entscheidung Folgendes, und das Führen dieses Nachweises gehört zum Compliance-Management:
- wann die Einwilligung erteilt oder verweigert wurde
- welche Zwecke und Anbieter die Entscheidung umfasste
- welche Version des Hinweises der Besucher gesehen hat
Dark Patterns und wann ein Banner unzulässig ist
Ein Banner kann auf dem Bildschirm stehen und trotzdem ungültig sein. Aufsichtsbehörden und Gerichte haben wiederholt Gestaltungen beanstandet, bei denen Zustimmen leichter ist als Ablehnen.
Aufsichtsbehörden wenden einen einfachen Test an: die Symmetrie. Ablehnen muss einen Klick erfordern und ebenso auffällig sein wie Zustimmen. Auch der Widerruf muss so einfach sein wie die Erteilung. Eine durch Manipulation erlangte Einwilligung ist nicht freiwillig, und eine nicht freiwillige Einwilligung gibt es nicht.
| Muster | Was schiefgeht | Status |
|---|---|---|
| Vorausgewählte Optionen | Angekreuzte Kästchen oder voreingestellte Schalter sind keine bestätigende Handlung. | Unwirksam |
| Ungleiche Schaltflächen | Ein auffälliges Alle akzeptieren neben einem blassen oder mehrstufigen Ablehnen. | Unwirksam |
| Versteckte Ablehnung | Alle ablehnen ist tiefer vergraben als Alle akzeptieren. | Unwirksam |
| Implizite Einwilligung | Weitersurfen oder Scrollen ist keine eindeutige Handlung. | Unwirksam |
| Drängen und Cookie-Walls | Schuldgefühle erzeugende Texte oder Inhalte, die bis zur Einwilligung gesperrt sind. | Umstritten |
Der TCF-Kontext
In der Online-Werbung ist das dominante Signalverfahren das IAB Transparency and Consent Framework, meist kurz TCF genannt. Eine Consent-Plattform, die es unterstützt, kodiert die Entscheidungen des Besuchers, etwa zugestimmte Zwecke, erlaubte Anbieter und Widersprüche gegen die Verarbeitung auf Basis berechtigter Interessen, in einen standardisierten Consent-String. Werbeanbieter in der Kette können diesen String lesen und sollen ihn beachten.
TCF ist ein Branchenstandard, kein Gesetz. Die Teilnahme beruht auf Vertrag, und sowohl das Framework als auch darauf aufbauende Hinweise standen unter behördlicher Prüfung. Wichtiger als das Werkzeug ist die Regel: keine nicht notwendige Verfolgung vor einer gültigen, symmetrischen Entscheidung, und Profiling für Werbezwecke braucht dieselbe eindeutige Einwilligung.
Weiterlesen: Anexet Ultimate DLP-System zur Einhaltung der DSGVO nutzen.
Ein Banner, der das Ablehnen schwerer macht als das Zustimmen, ist bereits gescheitert, egal wie sauber er gestaltet ist.
Anexet Team