Technisch notwendige Cookies: Was ohne Einwilligung erlaubt ist

Nicht jeder Cookie auf einer Website erfordert eine Einwilligung des Nutzers. Das TDDDG enthält eine Ausnahme für Cookies, die technisch unbedingt notwendig sind. Diese Ausnahme ist aber enger gefasst, als viele Website-Betreiber annehmen. Dieser Ratgeber erklärt, was technisch notwendige Cookies sind und wo die Grenzen liegen.

Die gesetzliche Grundlage

Paragraph 25 Abs. 2 TDDDG regelt, unter welchen Bedingungen auf eine Einwilligung verzichtet werden kann. Eine Ausnahme besteht, wenn das Speichern oder der Zugriff auf dem Endgerät unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich gewünschten Dienst zur Verfügung zu stellen.

Zwei Voraussetzungen müssen also gleichzeitig vorliegen: Erstens muss der Nutzer den Dienst ausdrücklich gewünscht haben. Zweitens muss das Cookie für die Erbringung dieses Dienstes unbedingt erforderlich sein. Wenn eine der beiden Voraussetzungen fehlt, gilt die Ausnahme nicht.

Was gilt als technisch notwendig?

Folgende Cookie-Typen werden in der Regel als technisch notwendig anerkannt:

Session-Cookies für Logins: Wenn ein Nutzer sich auf einer Website anmeldet, wird ein Session-Cookie benötigt, um die Anmeldung über mehrere Seiten aufrechtzuerhalten. Ohne diesen Cookie müsste der Nutzer sich auf jeder Unterseite neu anmelden. Der Cookie ist damit direkt an die gewünschte Funktion gebunden.

Warenkorb-Cookies: In Online-Shops speichern Cookies die im Warenkorb abgelegten Artikel. Ohne diesen Mechanismus wäre ein Kaufvorgang nicht möglich. Auch diese Cookies gelten als technisch notwendig.

Sicherheits-Cookies: Cookies zum Schutz vor Cross-Site-Request-Forgery (CSRF) oder ähnlichen Angriffen dienen der Sicherheit der Verbindung und des Nutzers. Sie sind funktional unbedingt erforderlich und daher einwilligungsfrei.

Lastverteilung: Cookies, die sicherstellen, dass Anfragen an denselben Server weitergeleitet werden (sogenannte Sticky-Session-Cookies), können technisch notwendig sein, wenn dies für die Funktionsfähigkeit der Anwendung erforderlich ist.

Cookie-Consent selbst: Der Cookie, der die Einwilligung oder Ablehnung des Nutzers speichert, damit der Banner nicht bei jedem Seitenaufruf erneut erscheint, gilt als technisch notwendig.

Was nicht als technisch notwendig gilt

Die Ausnahme ist eng auszulegen. Folgende Cookies fallen nicht darunter:

Analyse- und Tracking-Cookies: Google Analytics, Matomo mit aktiviertem IP-Tracking und ähnliche Dienste dienen der Auswertung von Nutzerverhalten. Sie sind für den Betrieb der Website nicht erforderlich und brauchen eine Einwilligung.

Marketing-Cookies: Retargeting und Werbe-Cookies dienen dem kommerziellen Interesse des Betreibers, nicht einer vom Nutzer gewünschten Funktion.

Komfort-Cookies: Cookies, die eine Sprachpräferenz oder Darstellungseinstellungen speichern, die der Nutzer nicht ausdrücklich angefordert hat, fallen in der Regel nicht unter die Ausnahme. Es gibt hier Grenzfälle, die rechtlich nicht abschließend geklärt sind.

Externe Einbindungen: Dienste wie Google Fonts, wenn sie über externe Server eingebunden werden, YouTube-Videos oder Social-Media-Buttons übertragen beim Laden Daten an Dritte. Das ist kein technisch notwendiger Vorgang.

Grenzfälle und offene Fragen

Die Abgrenzung ist in manchen Fällen nicht eindeutig. Die Datenschutzkonferenz (DSK) hat in einer Orientierungshilfe zu Telemedien Klarstellungen vorgenommen, aber nicht alle Konstellationen abgedeckt. Website-Betreiber, die unsicher sind, ob ein bestimmter Cookie als technisch notwendig einzustufen ist, sollten im Zweifel eine Einwilligung einholen oder einen Fachanwalt für Datenschutzrecht konsultieren.

Praktische Umsetzung

In der Praxis empfiehlt sich eine vollständige Bestandsaufnahme aller Cookies und Technologien, die auf der Website eingesetzt werden. Für jede Technologie sollte geprüft werden, ob sie wirklich technisch notwendig ist oder ob sie einwilligungspflichtig ist.

Der Generator auf cookie-consent-generator.de unterstützt dabei, diese Kategorisierung vorzunehmen und den Cookie-Banner entsprechend zu konfigurieren. Technisch notwendige Cookies werden dabei als vorausgewählt dargestellt und können vom Nutzer nicht deaktiviert werden, da sie für den Betrieb der Website unbedingt gebraucht werden.

Fazit

Technisch notwendige Cookies sind von der Einwilligungspflicht ausgenommen, aber die Ausnahme ist eng. Sie gilt nur, wenn der Nutzer eine bestimmte Funktion aktiv gewünscht hat und das Cookie ohne Alternative für diese Funktion benötigt wird. Komfort-Funktionen, Analyse und Marketing fallen nicht darunter. Wer unsicher ist, sollte im Zweifel eine Einwilligung einholen.