Wie sollte die Cookie-Einwilligung aussehen? Annahme und Ablehnung gleichwertig anbieten

In vielen Shops beginnt das Cookie-Banner als Hinweis, der nur aus dem Satz „Mit der weiteren Nutzung der Website akzeptieren Sie Cookies“ besteht. Die türkische Datenschutzbehörde hält das nicht für ausreichend: Für nicht notwendige Cookies ist eine ausdrückliche Einwilligung erforderlich, und sie muss durch eine bewusste Handlung des Besuchers erteilt werden. Allein das Betreten der Website bedeutet keine Einwilligung.

In diesem Beitrag erklären wir, welche Cookies eine Erlaubnis brauchen, wie das Cookie-Banner aufgebaut wird, warum Annahme und Ablehnung gleichwertig angeboten werden sollten und wie die Einstellungen von SEPETYA dazu passen.

Welche Cookies benötigen eine Erlaubnis?

Der Ratsbeschluss Nr. 2022/229 zu einem E-Commerce-Unternehmen trifft die Unterscheidung klar: Für Cookies, die für das ordnungsgemäße Funktionieren der Website notwendig sind, ist keine ausdrückliche Einwilligung erforderlich; der Einsatz von Cookies zu Werbe-, Marketing- und Leistungszwecken unterliegt dagegen der ausdrücklichen Einwilligung der betroffenen Person. Der Leitfaden konkretisiert diese Unterscheidung mit zwei Kriterien: Keine Erlaubnis ist nötig, wenn das Cookie nur zur Übertragung der Kommunikation über ein elektronisches Kommunikationsnetz verwendet wird (Kriterium A) oder für einen vom Nutzer ausdrücklich angeforderten Dienst unbedingt erforderlich ist (Kriterium B).

Cookie-Art	Beispiel aus dem Shop	Erlaubnis nötig?
Warenkorb- und Formulareingabe-Cookies	Session-Cookie, das sich die Produkte im Warenkorb merkt	Nein
Authentifizierungs-Cookies	Anmeldesitzung im Konto	Nein; für eine dauerhafte Anmeldung über Sitzungen hinweg ist eine ausdrückliche Anforderung des Nutzers nötig (etwa das Kästchen „Angemeldet bleiben“)
Sicherheits-Cookies	Cookie, das wiederholte fehlgeschlagene Anmeldeversuche begrenzt	Nein
Cookie, das die Cookie-Wahl speichert	Cookie, das Ihre Einwilligungsentscheidung speichert	Nein
Sprach- und Währungswahl	Merken der Auswahl während der Sitzung	Als Session-Cookie nein; soll die Auswahl auch nach der Sitzung gespeichert bleiben, werden zusätzliche Information und Erlaubnis empfohlen
Eigene Reichweitenmessung	Cookie, das nur misst, keine Daten an Dritte weitergibt, die IP maskiert und kein websiteübergreifendes Tracking betreibt	Sind die Bedingungen erfüllt, ordnet der Leitfaden es dem erlaubnisfreien Kriterium B zu; andernfalls ja
Analysewerkzeuge	Google Analytics 4, Microsoft Clarity, Hotjar	Ja: Daten gehen an Dritte, Leistungs-Cookies sind erlaubnispflichtig
Werbung und Remarketing	Meta- und TikTok-Pixel, Werbe-Tags	Ja
Tracking-Cookies von Social Plugins	Drittanbieter-Cookies, die bei Nicht-Mitgliedern gesetzt werden	Ja

Für Warenkorb-Cookies müssen Sie keine gesonderte Einwilligung einholen, weil die Verarbeitung unmittelbar mit Abschluss und Erfüllung des Kaufvertrags zusammenhängt; der Leitfaden nennt genau dieses Beispiel. Cookies zu Werbezwecken gelten dagegen auch dann als Werbung und brauchen eine Erlaubnis, wenn sie scheinbar harmlosen Zwecken wie Frequenzbegrenzung, Marktanalyse oder Fehlersuche dienen.

Welche Merkmale hat eine wirksame ausdrückliche Einwilligung?

• Aktive Handlung: Die Einwilligung wird durch eine bewusste Handlung des Besuchers eingeholt. Eine Einwilligung, die auf keiner Handlung des Nutzers beruht, gilt nicht als ausdrücklich; das Betreten der Website ist keine Einwilligung.
• Bestimmtheit: Zweck, Dauer und Herkunft des Cookies (Erst- oder Drittanbieter) werden angegeben. Eine offene Formulierung wie „Ich stimme der Verarbeitung meiner personenbezogenen Daten zu“ gilt für sich nicht als ausdrückliche Einwilligung.
• Informiertheit: Worin eingewilligt wird, wird dem Besucher gesondert und verständlich erklärt.
• Freiwilligkeit: Die Einwilligung muss widerrufbar sein. Der Leitfaden nennt es ein gutes Beispiel, wenn das Einstellungsfeld als kleines Symbol in einer Seitenecke oder als schmales, den Inhalt nicht verdeckendes Band verfügbar bleibt.
• Keine Einwilligungsmüdigkeit: Statt bei jedem Besuch neu zu fragen, ist es angemessen, die Wahl in Abständen zu erneuern, die zur Lebensdauer des Cookies passen.
• Nicht in andere Texte einbetten: Die Einwilligung in Werbe-Cookies kann nicht über Nutzungsbedingungen oder Datenschutzerklärung eingeholt und nicht zur Vorbedingung des Dienstes gemacht werden.
• Keine Cookie-Wall: Eine Sperre, die Inhalte nur nach Annahme aller Cookies zeigt, kann die Freiwilligkeit beeinträchtigen; eine so eingeholte Einwilligung ist dann möglicherweise unwirksam.
• Opt-in: Der Rat erwartet, dass nicht notwendige Cookies standardmäßig nicht laufen und der Besucher beim Aufruf durch eine bewusste Handlung zustimmt; ein reines Informations-Pop-up ersetzt das nicht.

Annahme und Ablehnung gleichwertig anbieten

Die konkreteste Empfehlung des Leitfadens lautet: Beim Aufruf der Website sollte ein Cookie-Verwaltungsfenster erscheinen, in dem die Buttons „Akzeptieren“, „Ablehnen“ und „Einstellungen“ in Farbe, Größe und Schriftgröße gleichwertig angeboten werden. Das Fenster sollte einen Hinweis enthalten, dass über Cookies personenbezogene Daten verarbeitet werden, oder auf die Cookie-Richtlinie verlinken, und erlaubnispflichtige Cookies sollten zunächst deaktiviert sein. Außerdem muss es einen leicht zugänglichen Weg geben, die Wahl später zu ändern.

Warum ist Gleichwertigkeit wichtig? Wird der Ablehnungsbutton zu einem blassen Link herabgestuft oder in einer zweiten Ebene versteckt, lässt sich kaum noch vertreten, dass die Einwilligung freiwillig erteilt wurde; auch der Leitfaden knüpft die Wirksamkeit der Einwilligung an die Freiwilligkeit. Vermeiden sollten Sie:

• Den Text „Mit der Nutzung der Website gelten Cookies als akzeptiert“.
• Ein Fenster mit nur einem Button „Akzeptieren“.
• Eine Ablehnung, die mehrere Schritte erfordert oder deutlich blasser ist als die Annahme.
• Vorausgewählte Analyse- und Marketingkategorien.
• Eine Cookie-Wall, die den Seiteninhalt sperrt.

Wie funktioniert das Cookie-Banner von SEPETYA?

Die Einstellungen finden Sie unter Onlineshop › Shop-Einstellungen › Cookie-Einwilligung.

• Darstellung und Text: Das Banner erscheint als Leiste, Eckbox oder zentriertes Fenster; die Position wählen Sie. Titel, Beschreibung und Buttontexte können Sie bearbeiten; leer gelassene Felder verwenden den Standardtext.
• Drei Optionen zusammen: Die Buttons „Alle ablehnen“, „Einstellungen verwalten“ und „Alle akzeptieren“ stehen in derselben Zeile und in derselben Größe. Für die Ablehnung muss niemand in die Details gehen; ein Klick auf dem ersten Bildschirm genügt.
• Kategorien: Es gibt vier: notwendig, Analyse, Marketing und Präferenzen; Namen und Beschreibungen bearbeiten Sie. Die notwendige Kategorie kann nicht deaktiviert werden, die anderen sind deaktiviert, bis der Besucher sie aktiviert.
• Kein Laden ohne Erlaubnis: Nicht notwendige Cookies und Skripte werden erst geladen, wenn der Besucher der jeweiligen Kategorie zustimmt. Wird eine Kategorie später deaktiviert, wird die Seite neu geladen, damit die betreffenden Skripte nicht mehr laufen.
• Erweiterungen sind Kategorien zugeordnet: Google Analytics 4, Microsoft Clarity und Hotjar gehören zur Kategorie Analyse; Meta- und TikTok-Pixel zur Kategorie Marketing. Google Tag Manager liegt standardmäßig in Marketing, Sie können ihn auf Analyse umstellen. Auch beim Einfügen eigenen Codes wählen Sie die Kategorie.
• Google Consent Mode: Für Google-Tags werden alle Einwilligungsarten anfangs auf „verweigert“ gesetzt (außer dem Sicherheitsspeicher) und aktualisiert, sobald der Besucher entscheidet.
• Gültigkeit der Entscheidung: Die Wahl des Besuchers wird in einem Erstanbieter-Cookie etwa sechs Monate gespeichert und dann erneut abgefragt. Wenn Sie Texte oder eingesetzte Skripte wesentlich ändern, können Sie mit der Option „Beim Speichern Besucher erneut um Erlaubnis bitten“ von allen eine neue Einwilligung einholen.
• Spätere Änderung: Der Link „Cookie-Einstellungen“ im Footer öffnet die Auswahl jederzeit erneut.

Bedenken Sie, dass die optische Gewichtung der Buttons je nach Stil Ihres Themes variieren kann: Öffnen Sie das Banner selbst und prüfen Sie, ob „Alle ablehnen“ und „Alle akzeptieren“ in ähnlicher Größe, ähnlicher Schrift und mit ähnlichem optischem Gewicht erscheinen; das ist die gleichwertige Darstellung, die der Leitfaden empfiehlt.

Was gehört in Ihre Cookie-Richtlinie?

Der Leitfaden empfiehlt, dass die Information Name, Zweck und Dauer des Cookies sowie die Angabe enthält, ob es sich um ein Erst- oder Drittanbieter-Cookie handelt; er betont, dass die Information leicht zugänglich und verständlich sein muss und dass komplexe Datenschutzerklärungen, die viele andere Themen behandeln, für sich allein keine ausreichende Information sind. Auch der Ratsbeschluss Nr. 2022/229 verlangt, dass die Cookie-Angaben aus der Datenschutzerklärung auch in der Cookie-Richtlinie stehen und die Datenschutzerklärung direkt auf die Cookie-Richtlinie verlinkt. Werden über Drittanbieter-Cookies Daten ins Ausland übermittelt, muss dies nach Art. 9 des Gesetzes erfolgen.

Die Vorlage „Datenschutz- und Cookie-Richtlinie“ von SEPETYA beschreibt notwendige, Analyse-, Marketing- und Präferenz-Cookies und erklärt, wie die Einwilligung verwaltet wird. Den Abschnitt „Dienste Dritter“ müssen Sie selbst ausfüllen: Nennen Sie die eingesetzten Mess- und Marketingwerkzeuge, jeweils mit Zweck, Speicherdauer und Link zur Datenschutzerklärung. Die Vorlage ist nur ein Ausgangspunkt; passen Sie sie vor der Veröffentlichung an Ihre Erweiterungen an. Zum Unterschied zwischen Information und Einwilligung siehe den Leitfaden zu Datenschutzhinweis und ausdrücklicher Einwilligung.

Checkliste für das Cookie-Banner

• Beim ersten Aufruf der Website erscheint das Banner; nicht notwendige Cookies und Skripte werden bis dahin nicht geladen (in den Entwicklertools des Browsers geprüft).
• Die Buttons „Ablehnen“, „Einstellungen“ und „Akzeptieren“ sind in Größe, Schrift und optischem Gewicht ähnlich.
• Analyse-, Marketing- und Präferenzkategorien sind standardmäßig deaktiviert.
• Das Banner verlinkt auf die Cookie-Richtlinie.
• Über den Link „Cookie-Einstellungen“ im Footer lässt sich die Wahl später ändern.
• Die Nutzung der Website hängt nicht von der Annahme von Cookies ab; es gibt keine Cookie-Wall.
• Jede Analyse- und Werbeerweiterung ist der richtigen Kategorie zugeordnet; für eigenen Code habe ich eine Kategorie gewählt.
• Die Cookie-Richtlinie nennt Name, Zweck und Dauer jedes Cookies und ob es ein Erst- oder Drittanbieter-Cookie ist.
• Datenschutzerklärung und Cookie-Richtlinie sind stimmig und verlinken aufeinander.
• Ich habe die Texte an mein Geschäft angepasst und einer Rechtsberatung vorgelegt.

Nächster Schritt

Die übrigen Rechtsseiten, die auf der Website stehen sollten, beschreiben wir im Leitfaden zu den 12 Seiten, die Einwilligungen in Werbenachrichten im İYS-Leitfaden.

Wenn Sie das Cookie-Banner mit SEPETYA ausprobieren möchten, legen Sie Ihr Konto an; öffnen Sie die Einstellungen und gehen Sie wie ein Besucher durch Ihren Shop, um den Einwilligungsablauf selbst zu prüfen.

Dieser Beitrag ist keine Rechts- oder Steuerberatung.