Einwilligung und Opt-in: Was eine gültige Cookie-Zustimmung ausmacht

Die Einwilligung ist die wichtigste Rechtsgrundlage für nicht technisch notwendige Cookies. Doch nicht jede Form der Zustimmung ist rechtlich wirksam. Dieser Ratgeber erklärt, was eine gültige Cookie-Einwilligung ausmacht und welche Anforderungen das Opt-in-Verfahren erfüllen muss.

Was ist eine Einwilligung?

Die DSGVO definiert Einwilligung in Artikel 4 Nr. 11 als jede freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegebene Willensbekundung. Bei Cookies bedeutet das: Der Nutzer muss aktiv zustimmen, bevor nicht notwendige Cookies gesetzt werden.

Das Gegenstück zur Einwilligung ist das Opt-out-Modell, bei dem Cookies standardmäßig aktiv sind und Nutzer sie nachträglich deaktivieren können. Dieses Modell ist nach DSGVO und TDDDG unzulässig.

Die vier Kernmerkmale einer gültigen Einwilligung

Freiwilligkeit: Die Einwilligung muss ohne Zwang erteilt werden. Das bedeutet auch, dass die Nutzung der Website nicht davon abhängig gemacht werden darf, dass der Nutzer allen Cookies zustimmt. Sogenannte Cookie-Walls, bei denen der Zugang zur Website nur nach Zustimmung möglich ist, werden von Datenschutzbehörden kritisch betrachtet. Ob sie in jedem Fall unzulässig sind, ist rechtlich nicht abschließend geklärt. Im Zweifel empfiehlt sich hier die Beratung durch einen Fachanwalt.

Informiertheit: Nutzer müssen verstehen, was sie genehmigen. Der Banner muss klar benennen, welche Cookies oder Tracking-Technologien eingesetzt werden, wer die Daten verarbeitet und zu welchem Zweck. Vage Formulierungen wie “Wir verwenden Cookies zur Verbesserung Ihrer Erfahrung” reichen nicht aus.

Eindeutigkeit: Die Einwilligung muss durch eine aktive Handlung erteilt werden. Weiterklicken, Scrollen oder die bloße Nutzung der Website gelten nicht als Einwilligung. Der Nutzer muss eine klare Aktion ausführen, zum Beispiel einen Button anklicken.

Spezifität: Werden Daten für mehrere unterschiedliche Zwecke verarbeitet, ist für jeden Zweck eine separate Einwilligung erforderlich. Eine einzige Zustimmung zu “allen Cookies” gilt nicht, wenn dahinter verschiedene Verarbeitungszwecke stehen.

Das Planet49-Urteil als Leitlinie

Der Europäische Gerichtshof hat im Oktober 2019 im Planet49-Urteil (C-673/17) wichtige Klarstellungen vorgenommen. Das Gericht stellte fest, dass eine Einwilligung, die durch ein voreingestelltes Ankreuzfeld erteilt wird, nicht den Anforderungen der DSGVO und der damaligen ePrivacy-Richtlinie entspricht. Außerdem muss der Nutzer darüber informiert werden, wie lange Cookies aktiv bleiben und ob Dritte Zugang zu den gespeicherten Daten erhalten.

Dieses Urteil ist bis heute maßgeblich für die Gestaltung von Cookie-Bannern.

Widerruf der Einwilligung

Eine einmal erteilte Einwilligung kann jederzeit widerrufen werden. Das ist in Artikel 7 Abs. 3 DSGVO ausdrücklich geregelt. Der Widerruf muss so einfach sein wie die ursprüngliche Zustimmung. Wenn die Einwilligung mit einem Klick erteilt wurde, muss der Widerruf ebenfalls mit wenigen Klicks möglich sein.

In der Praxis bedeutet das, dass auf der Website ein dauerhaft zugänglicher Weg zur Verfügung stehen muss, über den Nutzer ihre Cookie-Einstellungen ändern können. Häufig wird das durch einen Link in der Fußzeile umgesetzt, der das Cookie-Consent-Tool erneut öffnet.

Dokumentation und Nachweispflicht

Artikel 7 Abs. 1 DSGVO verpflichtet den Verantwortlichen, nachweisen zu können, dass eine Einwilligung erteilt wurde. Das bedeutet, dass Zeitpunkt, Version des Banners und die gewählten Einstellungen des Nutzers gespeichert werden sollten. Bei einem Audit durch eine Datenschutzbehörde kann dieser Nachweis verlangt werden.

Technische Consent-Management-Plattformen, wie sie auch hinter dem Generator auf cookie-consent-generator.de stehen, unterstützen dabei, diese Nachweise automatisiert zu führen.

Fazit

Eine wirksame Cookie-Einwilligung erfordert mehr als einen einfachen Zustimmungsbutton. Sie muss freiwillig, informiert, eindeutig und spezifisch sein. Voreingestellte Häkchen und passive Verhaltensweisen genügen nicht. Gleichzeitig muss der Widerruf einfach möglich sein und die erteilte Einwilligung dokumentiert werden. Wer unsicher ist, ob sein Cookie-Banner diese Anforderungen erfüllt, sollte einen Fachanwalt für Datenschutzrecht hinzuziehen.