Widerruf der Cookie-Einwilligung: Rechte der Nutzer und Pflichten der Betreiber

Die Einwilligung in Cookies ist kein einmaliger Vorgang, der dauerhaft gilt. Nutzer haben nach der DSGVO das Recht, eine einmal erteilte Einwilligung jederzeit und ohne Angabe von Gründen zu widerrufen. Für Websitebetreiber bedeutet das konkrete technische und organisatorische Pflichten.

Die rechtliche Grundlage

Artikel 7 Absatz 3 DSGVO legt fest: Die betroffene Person hat das Recht, ihre Einwilligung jederzeit zu widerrufen. Durch den Widerruf wird die Rechtmäßigkeit der aufgrund der Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt.

Daraus folgen drei wesentliche Punkte.

Erstens ist der Widerruf immer möglich, ohne dass der Nutzer Gründe nennen muss. Betreiber dürfen den Widerruf nicht von einer Begründung oder Bestätigung abhängig machen.

Zweitens wirkt der Widerruf ex nunc, also für die Zukunft. Daten, die während einer wirksamen Einwilligung verarbeitet wurden, bleiben rechtmäßig erhoben.

Drittens muss der Widerruf gleich einfach sein wie die Einwilligung. Diese Formulierung aus Artikel 7 Absatz 3 DSGVO ist für die technische Umsetzung von zentraler Bedeutung.

Was „gleich einfach” in der Praxis bedeutet

Wenn ein Nutzer die Einwilligung über einen einzelnen Klick auf eine Schaltfläche erteilt hat, darf der Widerruf nicht über ein mehrseitiges Formular, das Aufrufen einer separaten E-Mail-Adresse oder das manuelle Löschen von Cookies im Browser erfolgen müssen.

Akzeptable Lösungen umfassen:

Einen dauerhaft sichtbaren Link oder ein Symbol am Seitenrand, über das der Cookie-Banner erneut geöffnet werden kann.

Einen Eintrag im Footer der Website mit dem Text „Cookie-Einstellungen” oder „Datenschutzeinstellungen”, der die Einwilligungsoptionen erneut öffnet.

Einen Button oder Link im Datenschutzhinweis, der direkt zur Einwilligungsverwaltung führt.

Nicht ausreichend ist ein Hinweis, der Nutzer auffordert, Cookies manuell im Browser zu löschen, da das keine gezielte Steuerung der Einwilligungskategorien ermöglicht.

Technische Umsetzung des Widerrufs

Der Widerruf muss technisch sofort wirksam werden. Das bedeutet:

Cookies der abgewählten Kategorien müssen unverzüglich gelöscht werden. Skripte, die Nutzerdaten erfassen oder übertragen, dürfen ab dem Zeitpunkt des Widerrufs nicht mehr ausgeführt werden.

Bei der Umsetzung über ein Consent Management System werden die Einwilligungseinstellungen in einem persistenten Cookie oder im Local Storage gespeichert. Beim nächsten Seitenaufruf prüft die Seite diesen Status und lädt nur die erlaubten Skripte.

Wichtig: Wenn ein Nutzer alle Analyse-Cookies widerruft, aber das Consent-Status-Cookie selbst noch im Browser liegt, ist das zulässig. Dieses Cookie ist technisch notwendig, um den Widerrufsstatus zu speichern.

Häufige Implementierungsfehler

Kein Widerruf nach Ersteinwilligung: Manche Websites zeigen den Cookie-Banner nur einmal und bieten danach keine Möglichkeit mehr, die Einstellungen zu ändern. Das verstößt gegen die Widerrufspflicht.

Erschwerter Widerruf durch Design: Wenn die Schaltfläche zum Widerruf deutlich kleiner, heller oder schwerer auffindbar ist als die Einwilligungsschaltfläche, ist das als Dark Pattern zu werten. Mehrere Datenschutzbehörden haben solche Designs beanstandet.

Verzögerter Widerruf: Wenn nach dem Widerruf Tracking-Skripte noch für eine kurze Übergangszeit weiterlaufen, ist das nicht zulässig. Der Widerruf muss sofort technisch wirksam sein.

Keine Löschung vorhandener Cookies: Nach dem Widerruf müssen bereits gesetzten Cookies der betroffenen Kategorien aus dem Browser des Nutzers gelöscht werden, nicht nur das Setzen neuer Cookies verhindert werden.

Widerruf und Datenlöschung

Der Widerruf der Einwilligung und das Recht auf Löschung sind zwei verschiedene Rechte, die unabhängig voneinander ausgeübt werden können.

Der Widerruf stoppt die zukünftige Verarbeitung. Er verpflichtet den Betreiber nicht automatisch, bereits erhobene Daten zu löschen.

Das Recht auf Löschung nach Artikel 17 DSGVO ermöglicht es dem Nutzer, die Löschung bereits vorhandener personenbezogener Daten zu verlangen. Für Analytics-Daten bedeutet das beispielsweise, dass bereits erfasste Sitzungsdaten auf Anfrage gelöscht werden müssen.

Betreiber sollten in ihrem Datenschutzhinweis beide Rechte klar erklären und angeben, wie Nutzer von ihnen Gebrauch machen können.

Widerruf in der Praxis dokumentieren

Wie die Einwilligung selbst muss auch der Widerruf technisch dokumentiert werden. Der neue Status mit Zeitstempel sollte gespeichert werden, damit bei einer Prüfung durch die Datenschutzbehörde nachgewiesen werden kann, dass die Einwilligung korrekt verwaltet wurde.

Der Generator auf dieser Seite erzeugt Consent-Verwaltungscode, der sowohl Einwilligungen als auch Widerrufe mit Zeitstempel protokolliert.

Besonderheiten bei Minderjährigen

Für Kinder und Jugendliche gelten verschärfte Anforderungen. In Deutschland dürfen Minderjährige unter 16 Jahren keine wirksame Einwilligung in die Datenverarbeitung erteilen; in diesem Fall müssen Erziehungsberechtigte einwilligen. Websites, die sich gezielt an Minderjährige richten, müssen entsprechende Altersverifikationsmechanismen einbauen.

Zusammenfassung

Der Widerruf der Cookie-Einwilligung ist ein Grundrecht der Nutzer nach DSGVO. Websitebetreiber müssen ihn technisch so umsetzen, dass er jederzeit, ohne Begründung und mit vergleichbarem Aufwand wie die ursprüngliche Einwilligung möglich ist. Nach dem Widerruf müssen betroffene Cookies sofort gelöscht und Tracking-Skripte gestoppt werden. Erschwerter oder versteckter Widerruf gilt als Dark Pattern und kann von Datenschutzbehörden beanstandet werden.