Der große Cookie-Kater

Kaum eine österreichische Website kommt heute ohne die graue Schicht über dem Inhalt aus. Zwei Klicks später ist niemand schlauer: Die Besucherin wollte nur die Öffnungszeiten wissen, das Unternehmen bekommt Zahlen, die es ohnehin nie ansieht. Der Banner ist dabei nie die Ursache – er ist die Rechnung für eine Entscheidung, die lange vorher gefallen ist: Diese Seite sammelt mehr, als sie braucht.

Der Ausweg ist unbequemer, als es klingt, weil er nicht bei der Gestaltung des Banners beginnt, sondern bei der Frage, welche Werkzeuge überhaupt eingebaut werden. Dafür ist er dauerhaft: Was gar nicht erst erhoben wird, muss weder erklärt noch verwaltet noch verteidigt werden.

Nein – jedenfalls nicht automatisch. Ein Einwilligungsbanner wird in Österreich erst dann nötig, wenn eine Website Informationen auf dem Endgerät speichert oder von dort ausliest, die für den ausdrücklich gewünschten Dienst nicht unbedingt erforderlich sind. Baut eine Seite keine solchen Verbindungen auf, gibt es nichts, worin eingewilligt werden müsste.

Rechtsgrundlage ist in Österreich § 165 TKG 2021 und nicht in erster Linie die DSGVO – ein Unterschied, der in der Praxis regelmäßig untergeht. Die Bestimmung knüpft nicht an personenbezogene Daten an, sondern an den Zugriff auf das Endgerät. Deshalb ist selbst ein anonymer Zähler einwilligungspflichtig, sobald er dafür etwas im Browser ablegt. Umgekehrt fällt das Warenkorb-Cookie, ohne das ein Shop nicht funktioniert, unter die Ausnahme für unbedingt erforderliche Speicherung.

Praktisch heißt das: Der Cookie-Banner ist ein Symptom, keine Pflichtübung. Wer ihn loswerden will, gestaltet nicht die Einwilligung schöner, sondern entfernt den Grund. Beim Relaunch für LASACO war genau das der Hebel: lokal gehostete Schriften, keine Drittanbieter-Skripte – und damit nichts, worin jemand einwilligen müsste.

Wirksam ist eine Einwilligung nur, wenn sie freiwillig, informiert und für einen bestimmten Zweck erteilt wurde – und wenn der Widerruf so einfach ist wie die Zustimmung. Ein Banner, auf dem „Alle akzeptieren“ leuchtet und „Ablehnen“ hinter zwei Untermenüs liegt, erfüllt das nicht, auch wenn er brav ein Ja protokolliert.

Der schnellste Test dauert fünf Sekunden: Zählen Sie die Klicks bis zum Ablehnen und vergleichen Sie sie mit den Klicks bis zum Annehmen. Sind es mehr, ist die Gestaltung bereits schief. Dazu kommen die üblichen Griffe – ein farbiger Zustimmen-Knopf neben einem grauen Link, vorangehakte Schalter für „berechtigtes Interesse“, eine Schließen-Schaltfläche, die als Zustimmung gewertet wird. Solche Dark Patterns sind keine Grauzone der Gestaltung, sondern der Grund, warum eine dokumentierte Einwilligung im Ernstfall wertlos ist.

Der zweite Test ist noch einfacher: Suchen Sie die Stelle, an der man eine einmal erteilte Einwilligung wieder zurücknimmt. Findet man sie nicht innerhalb weniger Sekunden, war die Zustimmung nie gleichwertig widerrufbar.

Nichts – und genau das ist der Punkt. Nach einer Ablehnung darf keine der betroffenen Verbindungen aufgebaut werden, auch nicht „nur zum Laden“. In der Praxis ist das die häufigste Lücke: Das Banner erscheint, die Einwilligung wird abgefragt, und die Skripte sind längst geladen, weil sie fest im Seitenkopf stehen. Wer prüfen will, ob die eigene Seite sauber ist, öffnet die Netzwerkanalyse des Browsers, lehnt ab und sieht nach, welche fremden Domains trotzdem angesprochen werden.

Ebenso wenig darf die Ablehnung den Zugang zum Inhalt versperren oder ihn spürbar verschlechtern. Modelle, die stattdessen ein Abonnement anbieten, sind rechtlich umstritten und für kleine und mittlere Unternehmen ohnehin keine sinnvolle Antwort auf ein Problem, das sich am Werkzeugkasten lösen lässt.

Er kostet zuerst Vertrauen, dann Aufmerksamkeit und am Ende Datenqualität. Wer die Website mit einer Hürde eröffnet, verlangt eine Entscheidung, bevor er einen Nutzen geliefert hat. Und weil ein Teil der Besucherinnen und Besucher ablehnt, beschreiben die verbleibenden Zahlen eine Auswahl, nicht das Publikum.

Dazu kommt die technische Rechnung. Jedes eingebundene Drittanbieter-Skript ist eine zusätzliche Verbindung, ein zusätzlicher Codepfad und ein zusätzlicher Grund, warum eine Seite später reagiert als nötig. Werkzeuge zur Einwilligungsverwaltung sind darin besonders unangenehm, weil sie per Definition früh laufen müssen – vor dem Inhalt, um den es eigentlich geht. Der Banner verlangsamt also genau die Sekunden, in denen sich entscheidet, ob jemand bleibt.

Und schließlich ist da der Aufwand, den niemand einplant: Einwilligungen dokumentieren, Kategorien pflegen, nach jedem neuen Werkzeug nachziehen, den Text in zwei Sprachen halten. Das ist keine einmalige Aufgabe, sondern eine dauerhafte. Sie fällt ersatzlos weg, sobald es nichts mehr einzuwilligen gibt.

Häufig weiter, als der Banner vermuten lässt. Viele verbreitete Analyse- und Werbewerkzeuge übermitteln an Anbieter, die einer Rechtsordnung außerhalb der EU unterliegen. Der Europäische Gerichtshof hat die Anforderungen an solche Übermittlungen 2020 im Verfahren Schrems II deutlich geschärft – seither ist die Wahl des Anbieters eine Datenschutzentscheidung, keine Geschmacksfrage.

Für die Praxis ist die genaue rechtliche Konstruktion weniger entscheidend als die Frage dahinter: Wollen Sie diese Abhängigkeit überhaupt? Ein Statistikwerkzeug, das auf einem Server in der EU läuft und die Daten gar nicht erst weitergibt, macht die ganze Prüfkette überflüssig – EU-Hosting ist hier kein Etikett, sondern eine Vereinfachung.

Der zweite blinde Fleck sind Werkzeuge, die man gar nicht als Tracking wahrnimmt: eine eingebettete Karte, ein Video, eine Schriftart vom fremden Server, ein Chat-Fenster. Sie alle bauen beim Seitenaufruf eine Verbindung auf und übertragen dabei mindestens die IP-Adresse. Schriften lokal auszuliefern und Videos erst nach einem Klick zu laden, löst einen erstaunlich großen Teil des Problems – und ist nebenbei schneller. Dieser Artikel ersetzt allerdings keine Rechtsberatung; wo es um konkrete Verträge geht, gehört eine juristische Prüfung dazu.

Meistens deutlich weniger als eingebaut ist. Die DSGVO verlangt Datenminimierung: Personenbezogene Daten müssen dem Zweck angemessen und auf das notwendige Maß beschränkt sein. Übersetzt in den Alltag heißt das – jedes Werkzeug muss eine Frage beantworten, die Sie tatsächlich stellen und aus der eine Entscheidung folgt.

Diese fünf Fragen sortieren einen typischen Werkzeugkasten erfahrungsgemäß schneller aus als jede Grundsatzdiskussion. Was übrig bleibt, ist oft ein einziges Statistikwerkzeug – und dafür gibt es einwilligungsfreie Varianten, die ohne Kennung im Browser auskommen und deshalb gar keinen Banner auslösen.

Wichtig ist dabei die ehrliche Einordnung: Einwilligungsfreie Statistik liefert weniger. Sie zeigt, welche Inhalte gelesen werden, woher die Zugriffe kommen und wo Menschen abspringen. Sie zeigt nicht, welche einzelne Person vor drei Wochen schon einmal da war. Für die meisten Unternehmens-Websites ist das kein Verlust, sondern eine Befreiung – für einen großen Shop mit mehrstufigen Kampagnen kann es einer sein. Diese Abwägung gehört bewusst getroffen, nicht per Voreinstellung.

In vier Schritten, von denen keiner mit dem Banner anfängt: Bestandsaufnahme aller ausgehenden Verbindungen, Entscheidung je Werkzeug, Ersatz oder Entfernung, Nachmessung. Am Ende steht entweder eine Seite ganz ohne Einwilligung – oder ein Banner, der nur noch für das erscheint, was Sie bewusst behalten haben.

Ehrlich gesagt: Nicht jede Website kommt am Ende ohne Banner aus. Ein Shop mit Zahlungsdienstleister, eine Seite mit eingebetteter Buchungsstrecke, eine Kampagne, die belastbar auf Werbeplattformen abgerechnet werden muss – das sind echte Gründe. Der Unterschied liegt darin, dass der Banner dann für drei bewusst gewählte Dienste erscheint statt für achtzehn historisch gewachsene.

Wie wir Websites bauen, damit diese Frage gar nicht erst entsteht, steht auf unserer Seite zu Websites; die Begriffe rund um Einwilligung, Tracking und Drittstaatenübermittlung erklären wir im Glossar. Und wenn Sie wissen wollen, was auf Ihrer Seite tatsächlich lädt: Schicken Sie uns die Adresse, wir sehen nach und sagen Ihnen ehrlich, was davon weg kann. Gespräch vereinbaren.