Was ist die Einwilligung?

Die Einwilligung ist die vorherige Zustimmung, die ein Nutzer durch eine aktive Handlung erteilt, damit eine Website Cookies oder ähnliche, nicht notwendige Technologien in seinem Browser setzt. Das verlangt Artikel 5.3 der ePrivacy-Richtlinie (2002/58/EG, geändert durch die Richtlinie 2009/136/EG), die konkret den Zugriff auf und die Speicherung von Informationen im Endgerät des Nutzers regelt.

Erlauben diese Cookies zusätzlich, eine Person zu identifizieren, etwa über eine Kennung, die an ihr Surfverhalten geknüpft ist, greift zusätzlich die DSGVO als allgemeiner Datenschutzrahmen. Die Beziehung beider Regelwerke ist klar: Die ePrivacy-Richtlinie entscheidet, ob das Cookie überhaupt auf dem Gerät landen darf, und die DSGVO regelt, was danach mit den personenbezogenen Daten geschieht, die dieses Cookie erzeugt.

Nicht jedes Cookie braucht eine Einwilligung. Cookies, die für den vom Nutzer angeforderten Dienst zwingend nötig sind, etwa der Warenkorb oder die aktive Anmeldung, sind laut Artikel 5.3 selbst davon ausgenommen. Einwilligung ist nur für Analytics-, Personalisierungs- oder Werbe-Cookies vorgeschrieben.

In der Europäischen Union gilt für jedes nicht notwendige Cookie ausschließlich das Opt-in-Modell: Nichts wird gesetzt, bevor der Nutzer mit einer klaren Handlung zustimmt, etwa durch Klick auf "Akzeptieren". Eine vorausgewählte Checkbox oder ein Banner, der nur "Mehr erfahren" anbietet, ohne einen ebenso sichtbaren Ablehnen-Button, erfüllt diese Anforderung nicht.

Technisch wird die Einwilligung über eine Consent-Management-Plattform (CMP) verwaltet. Bevor der Nutzer entscheidet, blockiert die CMP das Laden jedes nicht notwendigen Skripts: Auslöser für Tracking-Pixel, Analytics-Tools oder Werbe-Tags bleiben pausiert, bis eine ausdrückliche Entscheidung vorliegt. Die CMP ist meist mit dem Tag-Manager der Website verknüpft, sodass jedes Skript einer Kategorie zugeordnet ist (notwendig, Präferenzen, Statistik, Marketing) und nur startet, wenn genau diese Kategorie grünes Licht bekommen hat.

Akzeptiert, lehnt oder passt der Nutzer seine Wahl je Kategorie an, speichert die CMP diese Entscheidung mit einer Kennung und einem Zeitstempel und gibt erst dann die entsprechenden Skripte frei. Diese Protokollierung dient als Nachweis gegenüber einer Datenschutzbehörde, dass die Website vor dem Handeln um Einwilligung gebeten hat, nicht danach. Ändert der Nutzer später seine Meinung, muss dieselbe CMP erlauben, die Wahl mit demselben Aufwand zu überprüfen und zu ändern, mit dem sie erteilt wurde.

Ein häufiger Implementierungsfehler ist die Verwechslung von "Banner optisch ausblenden" mit "Skript blockieren". Hat sich ein Cookie schon im Hintergrund gesetzt, während der Banner noch sichtbar ist, wurde die Einwilligung nicht respektiert, selbst wenn der Nutzer noch nichts angeklickt hat. Dieser technische Fehler kommt bei Bannern vor, die schlecht mit dem Tag-Manager der Seite verzahnt sind, und macht aus einem Konfigurationsproblem einen rechtlichen Verstoß.

Die Einwilligung erfüllt eine konkrete rechtliche Funktion: Sie trennt eine Website, die den Nutzer respektiert, von einer, die ohne Erlaubnis Tracking installiert. Um gültig zu sein, muss sie mehrere Bedingungen gleichzeitig erfüllen: freiwillig, informiert, spezifisch, eindeutig, granular und mit demselben Aufwand widerrufbar, mit dem sie erteilt wurde. Das verlangen sowohl die ePrivacy-Richtlinie als auch die DSGVO, sobald personenbezogene Daten im Spiel sind.

Granular bedeutet in der Praxis, Analytics akzeptieren und Werbung oder die Nutzung von demografischen Daten getrennt ablehnen zu können, statt eines einzigen Schalters, der alle Zwecke vermischt. Der umstrittenste Punkt sind "Cookie-Walls", Banner, die den Zugang zur Website blockieren, wenn der Nutzer nicht zustimmt. Die Leitlinien 05/2020 des Europäischen Datenschutzausschusses gehen davon aus, dass diese Praxis ohne echte Alternative die Anforderung an eine freiwillig erteilte Einwilligung nicht erfüllt.

Die Stellungnahme 08/2024 desselben Ausschusses, die sich mit "Consent or Pay"-Modellen großer Plattformen befasst, differenziert diese Haltung: Sie kommt zu dem Schluss, dass in den meisten Fällen weder das reine Bezahlen noch das Akzeptieren von Werbung als einzige Optionen ausreichen, und dass eine gleichwertige, kostenlose Alternative nötig ist, damit die Einwilligung gültig ist. Bewertet wird das im Einzelfall, je nach Marktmacht der Plattform.

• Blockiere mit der CMP standardmäßig alle nicht notwendigen Skripte und gib nur die frei, die zur vom Nutzer akzeptierten Kategorie gehören.
• Gestalte den Banner so, dass der "Ablehnen"-Button genauso sichtbar und erreichbar ist wie "Akzeptieren", ohne Farben oder Größen, die zu einer Wahl verleiten.
• Biete granulare Einwilligung je Kategorie an (notwendig, Präferenzen, Statistik, Marketing), keinen einzigen Alles-oder-nichts-Schalter.
• Protokolliere jede Entscheidung mit Kennung, akzeptierter Kategorie und Zeitstempel, um sie gegenüber einer Aufsichtsbehörde belegen zu können.
• Mache den Widerruf der Einwilligung jederzeit über einen sichtbaren Link möglich, mit derselben Anzahl an Klicks, die die Erteilung gekostet hat.
• Formuliere die Banner-Information in klarer Sprache, statt alles an eine zwanzigseitige Datenschutzerklärung zu delegieren, um zu erklären, was jedes Cookie tut.

• Den Banner optisch ausblenden, ohne das Skript des Cookies oder des Tracking-Pixels wirklich zu blockieren, sodass das Tracking startet, bevor der Nutzer entscheidet.
• Eine vorausgewählte Checkbox bei "Alle akzeptieren" nutzen oder diesen Button hervorheben, während "Ablehnen" in einem Untermenü versteckt bleibt.
• Alle Zwecke in einem einzigen Schalter vermischen, ohne getrennt Analytics zu akzeptieren und Werbung abzulehnen.
• Ausbleibende Reaktion oder das bloße Weitersurfen als stillschweigende Zustimmung werten.
• Bei einer Prüfung des technischen SEO nicht kontrollieren, welche Skripte vor der Einwilligung laden, ein Fehler, der sowohl die Rechtskonformität als auch die Ladezeit belastet.