Der große Cookie-Kater

Über den meisten österreichischen Websites liegt heute eine graue Schicht. Zwei Klicks später ist niemand schlauer: Die Besucherin wollte nur die Öffnungszeiten wissen, das Unternehmen bekommt Zahlen, die es ohnehin nie ansieht. Der Banner ist dabei nie die Ursache – er ist die Rechnung für eine Entscheidung, die lange vorher gefallen ist: Diese Seite sammelt mehr, als sie braucht.

Der Ausweg ist unbequemer, als es klingt, weil er nicht bei der Gestaltung des Banners beginnt, sondern bei der Frage, welche Werkzeuge überhaupt eingebaut werden. Dafür ist er dauerhaft: Was gar nicht erst erhoben wird, muss weder erklärt noch verwaltet noch verteidigt werden.

Nein – jedenfalls nicht automatisch. Ein Einwilligungsbanner wird in Österreich erst dann nötig, wenn eine Website Informationen auf dem Endgerät speichert oder von dort ausliest, die für den ausdrücklich gewünschten Dienst nicht unbedingt erforderlich sind. Baut eine Seite keine solchen Verbindungen auf, gibt es nichts, worin eingewilligt werden müsste.

Rechtsgrundlage ist in Österreich § 165 TKG 2021 und nicht in erster Linie die DSGVO – ein Unterschied, der in der Praxis regelmäßig untergeht. Die zugrunde liegende europäische Regelung knüpft nicht an personenbezogene Daten an, sondern an den Zugriff auf das Endgerät; der österreichische Wortlaut wird in der Fachliteratur unterschiedlich gelesen, über die richtlinienkonforme Auslegung führt der Weg aber dorthin. Deshalb ist selbst ein anonymer Zähler einwilligungspflichtig, sobald er dafür etwas im Browser ablegt. Umgekehrt fällt das Warenkorb-Cookie, ohne das ein Shop nicht funktioniert, unter die Ausnahme für unbedingt erforderliche Speicherung. Für den Vollzug dieser Bestimmung sind nach Auskunft der Datenschutzbehörde die Fernmeldebehörden zuständig; die Datenschutzbehörde kommt ins Spiel, sobald personenbezogene Daten verarbeitet werden.

Praktisch heißt das: Der Cookie-Banner ist ein Symptom, keine Pflichtübung. Wer ihn loswerden will, gestaltet nicht die Einwilligung schöner, sondern entfernt den Grund. Beim Relaunch für LASACO war genau das der Hebel: lokal gehostete Schriften, keine Drittanbieter-Skripte. Die Seite baut beim Aufruf keine Verbindungen zu Dritten auf – und damit gab es zum Zeitpunkt der Übergabe nichts, wofür eine Einwilligung einzuholen gewesen wäre.

Wirksam ist eine Einwilligung nur, wenn sie freiwillig, informiert und für einen bestimmten Zweck erteilt wurde – und wenn der Widerruf so einfach ist wie die Zustimmung. Ein Banner, auf dem „Alle akzeptieren“ leuchtet und „Ablehnen“ hinter zwei Untermenüs liegt, erfüllt das nicht, auch wenn er brav ein Ja protokolliert.

Der schnellste Test dauert fünf Sekunden: Zählen Sie die Klicks bis zum Ablehnen und vergleichen Sie sie mit den Klicks bis zum Annehmen. Sind es mehr, ist die Gestaltung bereits schief. Dazu kommen die üblichen Griffe – ein farbiger Zustimmen-Knopf neben einem grauen Link, vorangehakte Schalter für „berechtigtes Interesse“, eine Schließen-Schaltfläche, die als Zustimmung gewertet wird. Solche Dark Patterns sind keine Grauzone der Gestaltung, sondern der Grund, warum eine dokumentierte Einwilligung im Ernstfall wertlos ist.

Der zweite Test ist noch einfacher: Suchen Sie die Stelle, an der man eine einmal erteilte Einwilligung wieder zurücknimmt. Findet man sie nicht innerhalb weniger Sekunden, war die Zustimmung nie gleichwertig widerrufbar.

Nichts – und genau das ist der Punkt. Nach einer Ablehnung dürfen die betroffenen Informationen weder gespeichert noch ausgelesen werden. Praktisch heißt das: Die Skripte dürfen gar nicht erst laufen, auch nicht „nur zum Laden“ – zumal beim bloßen Verbindungsaufbau bereits die IP-Adresse übertragen wird, und das ist eine Frage der DSGVO. In der Praxis ist das die häufigste Lücke: Das Banner erscheint, die Einwilligung wird abgefragt, und die Skripte sind längst geladen, weil sie fest im Seitenkopf stehen. Wer prüfen will, ob die eigene Seite sauber ist, öffnet die Netzwerkanalyse des Browsers, lehnt ab und sieht nach, welche fremden Domains trotzdem angesprochen werden.

Die Ablehnung darf außerdem keinen Nachteil auslösen, der die Freiwilligkeit der Einwilligung in Frage stellt. Wo genau diese Grenze liegt, ist nicht abschließend geklärt: Die Datenschutzbehörde hält Bezahlmodelle als Alternative zur Einwilligung dem Grunde nach für zulässig, knüpft das aber an Bedingungen – kein Monopol auf den Inhalt, ein angemessener Preis, eine echte Wahlmöglichkeit – und weist selbst darauf hin, dass die Frage höchstgerichtlich nicht geklärt ist. Ob ein solches Modell im Einzelfall trägt, gehört rechtlich geprüft. Für kleine und mittlere Unternehmen ist es ohnehin selten die passende Antwort auf ein Problem, das sich am Werkzeugkasten lösen lässt.

Er kostet zuerst Vertrauen, dann Aufmerksamkeit und am Ende Datenqualität. Wer die Website mit einer Hürde eröffnet, verlangt eine Entscheidung, bevor er einen Nutzen geliefert hat. Und weil ein Teil der Besucherinnen und Besucher ablehnt, beschreiben die verbleibenden Zahlen eine Auswahl, nicht das Publikum.

Dazu kommt die technische Rechnung. Jedes eingebundene Drittanbieter-Skript ist eine zusätzliche Verbindung, ein zusätzlicher Codepfad und ein zusätzlicher Grund, warum eine Seite später reagiert als nötig. Werkzeuge zur Einwilligungsverwaltung sind darin besonders unangenehm, weil sie per Definition früh laufen müssen – vor dem Inhalt, um den es eigentlich geht. Der Banner verlangsamt also genau die Sekunden, in denen sich entscheidet, ob jemand bleibt.

Und schließlich ist da der Aufwand, den niemand einplant: Einwilligungen dokumentieren, Kategorien pflegen, nach jedem neuen Werkzeug nachziehen, den Text in zwei Sprachen halten. Das ist keine einmalige Aufgabe, sondern eine dauerhafte. Sie fällt ersatzlos weg, sobald es nichts mehr einzuwilligen gibt.

Häufig weiter, als der Banner vermuten lässt. Viele verbreitete Analyse- und Werbewerkzeuge übermitteln an Anbieter, die einer Rechtsordnung außerhalb der EU unterliegen. Seit 2020 gilt für solche Übermittlungen ein deutlich strengerer Maßstab; die Anforderungen stehen in Kapitel V der DSGVO. Für die USA gilt seit Juli 2023 ein Angemessenheitsbeschluss der Kommission, das EU-US Data Privacy Framework. Er ist in Kraft, und über seinen Bestand wird weiter gestritten. Erledigt ist das Thema damit nicht – die Wahl des Anbieters bleibt eine Datenschutzentscheidung, keine Geschmacksfrage.

Für die Praxis ist die genaue rechtliche Konstruktion weniger entscheidend als die Frage dahinter: Wollen Sie diese Abhängigkeit überhaupt? Ein Statistikwerkzeug, das auf einem Server in der EU läuft und die Daten gar nicht erst weitergibt, macht die ganze Prüfkette überflüssig – EU-Hosting ist hier kein Etikett, sondern eine Vereinfachung.

Der zweite blinde Fleck sind Werkzeuge, die man gar nicht als Tracking wahrnimmt: eine eingebettete Karte, ein Video, eine Schriftart vom fremden Server, ein Chat-Fenster. Sie alle bauen beim Seitenaufruf eine Verbindung auf und übertragen dabei mindestens die IP-Adresse. Schriften lokal auszuliefern und Videos erst nach einem Klick zu laden, löst einen erstaunlich großen Teil des Problems – und ist nebenbei schneller. Dieser Artikel ordnet ein und ersetzt keine Rechtsberatung; die Beurteilung des Einzelfalls gehört juristisch geprüft.

Meistens deutlich weniger als eingebaut ist. Die DSGVO verlangt Datenminimierung: Personenbezogene Daten müssen dem Zweck angemessen und auf das notwendige Maß beschränkt sein. Übersetzt in den Alltag heißt das – jedes Werkzeug muss eine Frage beantworten, die Sie tatsächlich stellen und aus der eine Entscheidung folgt.

Diese fünf Fragen sortieren einen typischen Werkzeugkasten erfahrungsgemäß schneller aus als jede Grundsatzdiskussion. Was übrig bleibt, ist oft ein einziges Statistikwerkzeug – und dafür gibt es einwilligungsfreie Varianten, die ohne Kennung im Browser auskommen und deshalb gar keinen Banner auslösen.

Wichtig ist dabei die ehrliche Einordnung: Einwilligungsfreie Statistik liefert weniger. Sie zeigt, welche Inhalte gelesen werden, woher die Zugriffe kommen und wo Menschen abspringen. Sie zeigt nicht, welche einzelne Person vor drei Wochen schon einmal da war. Für die meisten Unternehmens-Websites ist das kein Verlust, sondern eine Befreiung – für einen großen Shop mit mehrstufigen Kampagnen kann es einer sein. Diese Abwägung gehört bewusst getroffen, nicht per Voreinstellung.

In vier Schritten, von denen keiner mit dem Banner anfängt: Bestandsaufnahme aller ausgehenden Verbindungen, Entscheidung je Werkzeug, Ersatz oder Entfernung, Nachmessung. Am Ende steht entweder eine Seite ganz ohne Einwilligung – oder ein Banner, der nur noch für das erscheint, was Sie bewusst behalten haben.

Ehrlich gesagt: Nicht jede Website kommt am Ende ohne Banner aus. Ein Shop mit Zahlungsdienstleister, eine Seite mit eingebetteter Buchungsstrecke, eine Kampagne, die belastbar auf Werbeplattformen abgerechnet werden muss – das sind echte Gründe. Der Unterschied liegt darin, dass der Banner dann für drei bewusst gewählte Dienste erscheint statt für achtzehn historisch gewachsene.

Wie wir Websites bauen, damit diese Frage gar nicht erst entsteht, steht auf unserer Seite zu Websites; die Begriffe rund um Einwilligung, Tracking und Drittstaatenübermittlung erklären wir im Glossar. Und wenn Sie wissen wollen, was auf Ihrer Seite tatsächlich lädt: Schicken Sie uns die Adresse, wir sehen nach und sagen Ihnen ehrlich, was davon weg kann. Gespräch vereinbaren. Dieser Artikel ordnet ein und ersetzt keine Rechtsberatung.