Neulich kam eine Anfrage eines Kunden rein. Das Anliegen: Die Umstellung aller Google-Dienste auf Cookieless Tracking. Der Kunde meine, dann die Einwilligung nicht mehr blocken zu müssen und damit immer Tracken zu können; quasi Tracking by Default. Die Argumentation des Kunden: Es würden keine Cookies gesetzt, keine direkt identifizierbaren Daten verarbeitet und alles rein zu statistischen Zwecken verwendet werden. Dadurch würde sich das Ganze auf das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DSGVO stützen.
Das ganze ist zwar technisch möglich, aber ohne entsprechende Umsetzung zu pauschal gedacht. Hier liegen einige Irrtümer vor. Warum man ohne Cookies trotzdem eine Einwilligung brauchst und das Cookie-Banner eigentlich kein Cookie-Banner ist, kannst du in diesem Blog-Beitrag nachlesen.
Einen ähnlichen Irrtum gibt es auch zu der NoCookie-Url von YouTube. Warum das auch nicht einfach ohne Einwilligung funktioniert, kannst du in unserem Beitrag zu YouTube NoCookie nachlesen.
Warum das Cookie-Banner mehr als nur ein Cookie-Banner ist
Das Problem beginnt eigentlich schon beim gängigen Begriff: Cookie-Banner. Der Name legt nahe, dass es darin ausschließlich darum geht, zu verwalten, welche Cookies gesetzt und welche blockiert werden sollen – nicht mehr und nicht weniger. Genau hier liegt jedoch die Crux. Tatsächlich handelt es sich nicht um ein Cookie-, sondern um ein Consent-Banner, also ein Einwilligungsbanner. Der Begriff „Cookie-Banner“ wäre streng genommen nur für reine Hinweise geeignet, die lediglich über die Nutzung von Cookies informieren. Etwa für einen schlichten Text wie: „Wir verwenden Cookies“.
Nach der DSGVO benötigt jede Form der Datenverarbeitung eine Rechtsgrundlage. Diese Rechtsgrundlage ist jedoch nicht immer zwingend eine Einwilligung. Technisch notwendige Verarbeitungen, die für den Betrieb oder die grundlegende Funktion einer Website erforderlich sind, können beispielsweise auf andere Rechtsgrundlagen gestützt werden. Sobald eine Verarbeitung jedoch über die rein funktionale Darstellung der Website hinausgeht – etwa zu Analyse-, Tracking- oder Marketingzwecken –, ist in der Regel eine Einwilligung der betroffenen Person erforderlich. Genau diese Einwilligung wird über entsprechende Banner eingeholt.
An dieser Stelle kommt oft der Gedanke auf, dass es deutlich mehr Tracking-Methoden gibt als nur Cookies: Local Storage, Fingerprinting, Profiling und viele weitere. Wenn es sich bei dem Banner tatsächlich nur um ein Cookie-Banner handeln würde, wie sollte man dann darüber entscheiden können, ob auch andere Tracking-Methoden eingesetzt werden dürfen? Auch für diese Formen der Nutzerverfolgung ist nach der DSGVO – sofern keine andere tragfähige Rechtsgrundlage greift – eine Einwilligung erforderlich.
Genau aus diesem Grund gibt es Consent-Banner. Über sie sollten im Normalfall sämtliche einwilligungspflichtigen Tracking-Methoden und externen Dienste gesteuert werden können – oder eben nicht. Es geht also nicht nur um Cookies. Passend dazu heißen die eingesetzten Werkzeuge auch Consent-Management-Tools (kurz: CMT). Im Kern geht es um die Verwaltung von Einwilligungen für externe Dienste, die personenbezogene Daten zu nicht notwendigen Zwecken verarbeiten, und nicht um Cookies im Speziellen.
Warum sich der Begriff „Cookie-Banner“ dennoch so stark etabliert und eingebürgert hat, lässt sich schwer sagen. Möglicherweise liegt es daran, dass häufig ausschließlich auf Cookies hingewiesen wird und andere Dienste unerwähnt bleiben. Vielleicht gibt es auch andere Gründe. Sicher ist jedoch: Die Verbreitung dieses irreführenden Begriffs hängt eng damit zusammen, dass das Verständnis für die Notwendigkeit einer Einwilligung verloren gegangen ist – sofern dieses Verständnis überhaupt jemals wirklich vorhanden war.
Daraus lässt sich letztlich eine einfache Schlussfolgerung ziehen: Keine Cookies zu verwenden bedeutet nicht automatisch, dass keine Einwilligung erforderlich ist. Wer Nutzerverhalten erfassen und nachverfolgen möchte, kommt auch ohne Cookies nicht um eine geeignete Rechtsgrundlage herum – und in den meisten Fällen eben nicht ohne eine Einwilligung.
Wer sich jetzt fragt, ob man Google Dienste mit Cookieless Tracking auch ohne Einwilligung nutzen kann: technisch geht das wahrscheinlich am besten über einen Proxy. Mehr zu der Umsetzung könnt ihr auf Dr. DSGVO nachlesen.
Cookieless Tracking ohne Einwilligung: Was Websitebetreiber beachten müssen
Cookieless Tracking einfach erklärt bedeutet daher nicht, dass Tracking ohne Einwilligung automatisch erlaubt ist. Auch Tracking ohne Cookie-Banner kann einwilligungspflichtig sein, wenn dabei personenbezogene Daten verarbeitet, Nutzer wiedererkannt oder Informationen aus ihrem Endgerät ausgelesen werden. Eine Website ohne Cookie-Banner ist nur dann möglich, wenn ausschließlich technisch notwendige Dienste eingesetzt werden oder für sämtliche weiteren Verarbeitungen eine andere tragfähige Rechtsgrundlage besteht. Das gilt ebenso für Werbung ohne Cookies: Der Verzicht auf klassische Tracking-Cookies sagt noch nichts darüber aus, ob andere Identifikatoren, Geräteinformationen oder Tracking-Methoden verwendet werden.
Wer die Cookie-Einwilligung prüfen möchte, sollte deshalb nicht nur kontrollieren, welche Cookies nach dem Aufruf der Website gespeichert werden. Entscheidend ist auch, ob Analyse-, Marketing- und andere externe Dienste bereits vor der Einwilligung geladen werden. Ein Tracking- oder Cookie-Banner muss diese Dienste zuverlässig blockieren, bis eine wirksame Zustimmung vorliegt. Das gilt unabhängig davon, ob ein kostenloses Cookie-Banner, ein kostenpflichtiges Consent-Management-Tool oder beispielsweise ein Nextcloud Cookie Banner eingesetzt wird. Der häufig kritisierte „Cookie-Banner-Wahnsinn“ entsteht daher nicht allein durch Cookies, sondern vor allem durch die Vielzahl externer Dienste und Tracking-Technologien, für die Einwilligungen eingeholt und verwaltet werden müssen.
FAQ zum Cookie-Banner-Missverständnis
Warum ist ein Cookie-Banner eigentlich ein Consent-Banner?
Weil darüber nicht nur die Verwendung von Cookies gesteuert werden sollte. Ein Consent-Banner verwaltet Einwilligungen für sämtliche einwilligungspflichtigen Tracking-Methoden und externen Dienste. Dazu können neben Cookies beispielsweise Local Storage, Fingerprinting oder Profiling gehören.
Bedeutet Cookieless Tracking automatisch, dass keine Einwilligung erforderlich ist?
Nein. Keine Cookies zu verwenden bedeutet nicht automatisch, dass keine personenbezogenen Daten verarbeitet oder Nutzer nachverfolgt werden. Auch Cookieless Tracking benötigt eine geeignete Rechtsgrundlage und kann weiterhin einwilligungspflichtig sein.
Welche Tracking-Methoden gibt es neben Cookies?
Neben klassischen Cookies können unter anderem Local Storage, Fingerprinting, Profiling und weitere technische Verfahren zur Erfassung oder Wiedererkennung von Nutzern eingesetzt werden. Auch diese Methoden sollten über ein Consent-Management-Tool gesteuert werden, sofern sie einwilligungspflichtig sind.
Kann Cookieless Tracking auf das berechtigte Interesse gestützt werden?
Das kann nicht pauschal angenommen werden. Allein der Verzicht auf Cookies, die Verwendung zu statistischen Zwecken oder der Verzicht auf direkt identifizierende Daten reichen dafür nicht aus. Die konkrete technische Umsetzung und die jeweilige Datenverarbeitung müssen geprüft werden.
Kann Google Cookieless Tracking ohne Einwilligung eingesetzt werden?
Eine entsprechende technische Umsetzung kann möglicherweise über einen Proxy erfolgen. Ob dadurch tatsächlich keine Einwilligung mehr erforderlich ist, hängt jedoch von der konkreten Umsetzung, den verarbeiteten Daten und den eingesetzten Diensten ab. Ein Proxy macht das Tracking nicht automatisch einwilligungsfrei.
Kann eine Website ohne Cookie-Banner betrieben werden?
Ja, grundsätzlich kann eine Website ohne Cookie-Banner auskommen. Voraussetzung ist, dass keine einwilligungspflichtigen Cookies, Tracking-Methoden oder externen Dienste eingesetzt werden. Technisch notwendige Verarbeitungen können unter Umständen ohne Einwilligung erfolgen.
Welches Cookie-Banner blockiert Tracking vor der Einwilligung zuverlässig?
Entscheidend ist weniger, ob das Cookie-Banner kostenlos oder kostenpflichtig ist. Es muss technisch so eingebunden sein, dass einwilligungspflichtige Analyse-, Marketing- und externe Dienste erst nach der Zustimmung geladen werden. Ob die Blockierung zuverlässig funktioniert, sollte nach der Einrichtung praktisch geprüft werden.
Sie möchten Ihre Website datenschutzkonform aufstellen? Mehr über Datenschutz für Websites erfahren
.webp)
