Was ist eine Cookie-Wall?

Die Cookie-Wall ist eine konkrete Variante des üblichen Cookie-Hinweises. Ein normales Cookie-Banner bietet Zustimmen, Ablehnen oder Einstellungen an, und der Nutzer kann trotz Ablehnung weiter auf die Seite zugreifen. Die Cookie-Wall streicht diesen dritten Weg: Lehnt der Nutzer die Tracking-Cookies ab, bekommt er den Inhalt nicht zu sehen, es sei denn, er zahlt.

Deshalb heißt das Modell auch Consent-or-Pay, zu Deutsch Zustimmung oder Bezahlung. Der Begriff beschreibt die Wahl, die dem Besucher direkt beim Aufruf der Seite gestellt wird: der Verarbeitung seiner Daten zu Werbezwecken zustimmen oder eine Gebühr zahlen, meist ein Abonnement, um denselben Inhalt ohne diese Verarbeitung zu sehen.

Der Unterschied zu einem herkömmlichen Cookie-Banner ist nicht nur technischer Natur. Ein Banner, das die Datenschutz-Grundverordnung einhält, lässt dem Nutzer die echte Möglichkeit, abzulehnen, ohne den Zugang zum Dienst zu verlieren. Die Cookie-Wall knüpft den Zugang an eine der beiden Optionen, Zustimmung oder Zahlung, und genau diese Bedingung prüfen Datenschutzbehörden, wenn sie beurteilen, ob die erteilte Einwilligung wirksam ist.

Medien und Online-Shops setzen die Cookie-Wall vor allem ein, um kostenlosen Inhalt über verhaltensbasierte Werbung zu finanzieren, eine Einnahmequelle, die schrumpft, sobald der Nutzer das Tracking ohne eigene Kosten ablehnen kann.

Der Mechanismus greift beim ersten Seitenaufruf. Bevor der Inhalt lädt, prüft ein Skript, ob bereits eine gespeicherte Einwilligungsentscheidung vorliegt. Fehlt sie, erscheint ein Bildschirm, der die gesamte Seite verdeckt, genau das macht die Wall aus, mit zwei Wegen: Cookies von Drittanbietern für personalisierte Werbung akzeptieren oder über einen Zahlungslink zu einem Abo-Formular gelangen.

Stimmt der Nutzer zu, laden die Skripte von Drittanbietern (Werbenetzwerke, Reichweitenmessung), und die Entscheidung wird gespeichert, meist zwölf Monate lang, wie es die AEPD empfiehlt. Zahlt der Nutzer, setzt die Seite ein eigenes Cookie, das ihn als Abonnenten markiert und das Laden von Tracking-Skripten für die gebuchte Laufzeit unterbindet.

Der rechtliche Rahmen bestimmt die technische Ausgestaltung. Die Datenschutz-Grundverordnung verlangt, dass eine Einwilligung freiwillig, spezifisch, informiert und unmissverständlich ist. Eine Wall, die nur zwei Wege bietet, Zustimmen oder Zahlen, wirft die Frage auf, ob diese Freiwilligkeit wirklich besteht, wenn die Alternative zur Zustimmung Geld kostet. Genau diese Frage haben sowohl der Europäische Datenschutzausschuss als auch die spanische Datenschutzbehörde AEPD behandelt, mit Antworten, die nicht ganz übereinstimmen, wie der nächste Abschnitt zeigt.

In der Praxis bringen die meisten Consent-Management-Plattformen (CMP) bereits eine konfigurierbare Cookie-Wall-Vorlage mit: Text, Abopreis und Laufzeit des Zustimmungs-Cookies lassen sich über ein Panel einstellen, ohne den Code der Website anzufassen.

Die Entscheidung für eine Cookie-Wall stellt zwei Interessen gegeneinander: die Monetarisierung kostenloser Inhalte und das rechtliche Risiko einer Einwilligung, die eine Datenschutzbehörde für unwirksam hält. Keines der beiden wiegt für alle Betreiber gleich schwer, und genau das lohnt sich zu verstehen.

Der Europäische Datenschutzausschuss hat sich in seiner Stellungnahme 8/2024 vom 17. April 2024 ausdrücklich zu großen Online-Plattformen geäußert, die das Consent-or-Pay-Modell für verhaltensbasierte Werbung einsetzen. Sein Ergebnis: In den meisten Fällen können diese großen Plattformen die Anforderungen an eine wirksame Einwilligung nicht erfüllen, wenn sie dem Nutzer nur die Wahl zwischen Zustimmung zur Verarbeitung oder einer Gebühr lassen, ohne eine gleichwertige Alternative ohne personalisierte Werbung.

Die spanische Datenschutzbehörde AEPD vertritt in ihrer Cookie-Leitlinie vom Mai 2024 eine allgemeinere Position: Eine Cookie-Wall mit kostenpflichtiger Alternative kann grundsätzlich gültig sein, wenn der Nutzer informiert wird und irgendeine Zugangsalternative existiert, die nicht zwingend kostenlos sein muss. Diese Position widerspricht der europäischen nicht, ist aber weniger streng, und sie gilt vor allem für Betreiber, die nicht in die Kategorie der großen Plattform fallen, die die europäische Stellungnahme untersucht hat. Für ein mittelgroßes Medienhaus oder einen Online-Shop entscheidet genau dieser Unterschied, welches Wall-Design vertretbar ist. Ein Beispiel für diese nationale Auslegung ist Spanien selbst, wo die AEPD-Leitlinie seit Mai 2024 gilt.

• Prüfe, ob deine Website in die Kategorie „große Online-Plattform“ fällt, die die Stellungnahme 8/2024 des EDSA behandelt; falls ja, erfüllt eine reine Zustimmen-oder-Zahlen-Wall die Anforderungen an eine wirksame Einwilligung kaum, damit du das Risiko vorab einschätzt, bevor eine Behörde es tut.
• Biete immer eine klare Alternative zum Tracking an, auch wenn sie kostenpflichtig ist, und dokumentiere, dass der Nutzer vor der Wahl informiert wurde, damit du im Streitfall belegen kannst, dass die Wahl transparent war.
• Stelle die Laufzeit des Einwilligungs-Cookies auf die von der AEPD empfohlenen zwölf Monate, nicht auf unbegrenzt, und erneuere die Abfrage automatisch, statt sie manuell zu verlängern.
• Prüfe, ob die kostenpflichtige Option echten Zugang zum gleichen Inhalt bietet und nicht zu einer reduzierten Version, etwa indem du Wortzahl, Werbefreiheit und Funktionsumfang vergleichst, damit die Alternative wirklich gleichwertig ist.
• Halte Rechtsgrundlage und Datum jeder veröffentlichten Wall-Version fest, am besten in einem Versionsprotokoll, das sich nicht nachträglich ändern lässt, falls eine Datenschutzbehörde eine Begründung verlangt.
• Prüfe regelmäßig, welche Skripte von Drittanbietern nach der Zustimmung tatsächlich laden, auch wenn der CMP-Anbieter behauptet, das übernehme die Plattform automatisch, damit nicht mehr Daten verarbeitet werden, als der Wall-Text ankündigt.

• Die Wall anzeigen, ohne zu erklären, welche konkreten Cookies bei Zustimmung aktiviert werden, denn eine allgemeine Formulierung wie „wir verwenden Cookies“ reicht dafür nicht aus und verstößt gegen die Pflicht zur spezifischen Information.
• Einen Abopreis festsetzen, der die Zahlalternative in der Praxis für die meisten Nutzer unerreichbar macht, wodurch die Wall faktisch zur reinen Zustimmungspflicht wird.
• Das Design einer großen Plattform kopieren, ohne zu prüfen, ob die Stellungnahme 8/2024 des EDSA überhaupt auf die eigene, kleinere Seite zutrifft, ein Fehler, der besonders häufig bei kleineren Verlagen vorkommt, die sich am Layout großer Portale orientieren.
• Die Einwilligungsentscheidung ohne Ablaufdatum speichern, sodass der Nutzer die Wall nie wieder zu sehen bekommt und die eigentlich vorgesehene zwölfmonatige Neuabfrage ins Leere läuft.
• Skripte von Drittanbietern laden, bevor der Nutzer eine Wahl getroffen hat, ein Fehler, der bei einer technischen Prüfung sofort auffällt und den Zweck der Wall selbst aushebelt.