Datenschutzerklärung, Cookie-Richtlinie und Cookie-Banner im Vergleich

Nutzen Sie diesen kurzen Entscheidungsweg:

1. Zählen Sie die nicht notwendigen Tools, die Ihre Website lädt: Analyse, Werbepixel, Chat-Widgets, Video-Embeds und Testing-Tools.
2. Wenn es nur wenige sind und sie sich selten ändern, setzen Sie einen Cookie-Abschnitt in die Datenschutzerklärung.
3. Wenn es viele sind oder Ihr Marketingteam häufig Tags hinzufügt, veröffentlichen Sie eine eigene Cookie-Seite und verlinken Sie sie sowohl aus der Datenschutzerklärung als auch aus Ihrem Einwilligungstool.
4. Wofür Sie sich auch entscheiden: Benennen Sie jedes Tool einheitlich und geben Sie Nutzern einen offensichtlichen Ort, an dem sie ihre Entscheidungen ändern können.

Es gibt noch eine Option, die viele kleine Websites übersehen: weniger Tracking-Technologien einsetzen. Jedes Tag, das Sie entfernen, ist eine Angabe weniger, die Sie pflegen, eine Einwilligung weniger, die Sie einholen, und ein Anbieter weniger, den Sie prüfen müssen. Datenschutzfreundliche Analyseeinstellungen, selbst gehostete Schriften und Click-to-load-Video-Embeds können Ihre Cookie-Liste drastisch verkürzen.

Wenn Sie die Website von Grund auf aufbauen, führt unser Ratgeber So erstellen Sie eine Datenschutzerklärung für eine Website durch den gesamten Ablauf, einschließlich der Frage, wo Cookie-Angaben hingehören.

Eine Datenschutzerklärung deckt jede Art ab, in der Sie personenbezogene Daten verarbeiten: Formulare, Konten, Käufe, E-Mails, Support, Analyse, Werbung und mehr. Sie erklärt Zwecke, Rechtsgrundlagen, Empfänger, Übermittlungen, Speicherdauer und Rechte.

Eine Cookie-Richtlinie behandelt eine engere Frage: welche Technologien Informationen auf dem Gerät eines Besuchers speichern oder darauf zugreifen, und warum. Dazu gehören:

• HTTP-Cookies, sowohl First-Party als auch Third-Party
• Local Storage und Session Storage
• Tracking-Pixel und Web-Beacons
• SDKs und Skripte, die Gerätekennungen auslesen
• Fingerprinting-Techniken

Die Überschneidung ist groß. Die meisten Analyse- und Werbe-Cookies verarbeiten personenbezogene Daten und gehören daher ohnehin in die Datenschutzerklärung. Was eine Cookie-Richtlinie hinzufügt, sind Details: einzelne Tools oder Cookie-Namen, Laufzeiten und wie man seine Entscheidungen ändert.

Die ehrliche Antwort auf die Frage Datenschutzerklärung oder Cookie-Richtlinie lautet daher: Eine Cookie-Richtlinie ist meist eine spezialisierte Erweiterung der Datenschutzerklärung, kein eigenes Rechtsregime mit eigener Dokumentpflicht. Die eigentlichen rechtlichen Fragen sind, ob Ihre Informationen vollständig sind und ob Sie eine Einwilligung haben, wo das Gesetz sie verlangt.

Gesetzlich nicht. Die Pflicht besteht darin, klare und umfassende Informationen zu geben, die Menschen leicht finden. Wo diese Informationen stehen, entscheiden Sie.

Ein Abschnitt innerhalb der Datenschutzerklärung funktioniert gut, wenn:

• Sie eine Handvoll Tools einsetzen, etwa einen Analysedienst und notwendige Sitzungs-Cookies
• die Cookie-Informationen in eine kurze Liste oder Tabelle passen
• Sie nur ein Dokument pflegen möchten

Eine eigene Seite mit einer Cookie-Richtlinie funktioniert besser, wenn:

• Sie viele Tags, Pixel oder Werbeanbieter laden
• sich die Anbieterliste oft ändert und Sie sie aktualisieren möchten, ohne die gesamte Datenschutzerklärung neu zu veröffentlichen
• Ihr Einwilligungstool auf eine detaillierte Cookie-Liste verlinkt

Wenn Sie beides trennen, verlinken Sie die beiden Seiten gegenseitig und verwenden Sie für jedes Tool dieselben Namen. Eine Datenschutzerklärung, die sagt, Sie setzten keine Werbe-Cookies ein, neben einer Cookie-Liste, die ein Werbepixel zeigt, ist genau die Art von Widerspruch, die Aufsichtsbehörden und beschwerdefreudige Besucher bemerken.

Ob Sie zusätzlich ein Cookie-Banner brauchen, ist eine andere Frage, die Brauchen Sie ein Cookie-Banner? behandelt.

Ob als eigene Seite oder als Abschnitt der Datenschutzerklärung: Nützliche Cookie-Angaben decken Folgendes ab:

1. Was die Technologien sind, in einfachen Worten: Cookies, Local Storage, Pixel, SDKs.
2. Kategorien und Zwecke: unbedingt erforderlich, Einstellungen, Analyse, Werbung, und was jede davon auf Ihrer Website tatsächlich tut.
3. Wer sie setzt: Ihre eigenen First-Party-Cookies und namentlich genannte Dritte, etwa ein Analyse- oder Werbeanbieter.
4. Laufzeit: nur für die Sitzung oder wie lange jedes Cookie bestehen bleibt.
5. Einwilligung und Wahlmöglichkeiten: welche Kategorien eine Einwilligung brauchen, wie man annimmt oder ablehnt und wie man später widerruft.
6. Browser-Einstellungen: ein Hinweis auf die Browsereinstellungen und auf Opt-out-Tools, die Sie tatsächlich unterstützen.
7. Links: zu Ihrer Datenschutzerklärung für Rechte, Rechtsgrundlagen, Übermittlungen und Kontaktdaten.
8. Ein Datum der letzten Aktualisierung.

Ein kleines Beispiel für einen Eintrag: „Analyse. Unser Analyseanbieter setzt Cookies, die aufgerufene Seiten und die Besuchsdauer erfassen, damit wir verstehen, wie die Website genutzt wird. Wird nur mit Ihrer Einwilligung gesetzt. Läuft nach 12 Monaten ab.“ Das ist konkret, überprüfbar und ehrlich.

Für toolspezifische Formulierungen siehe Datenschutzangaben für Analysetools und den Ratgeber zur Datenschutzerklärung für Google Analytics.

Diese drei Dinge werden oft verwechselt:

• Cookie-Banner oder Einwilligungstool: die Oberfläche, die um Einwilligung bittet, bevor nicht notwendige Technologien laden, und Nutzern erlaubt, ihre Entscheidung später zu ändern. Es geht um das Verhalten auf Ihrer Website.
• Cookie-Richtlinie oder Cookie-Abschnitt: die schriftliche Erklärung der Technologien, Zwecke, Anbieter und Laufzeiten. Es geht um Information.
• Datenschutzerklärung: der vollständige Hinweis zu jeder Verarbeitung personenbezogener Daten, einschließlich Cookies, soweit personenbezogene Daten betroffen sind.

Ein Banner ohne Richtlinie bittet Nutzer, in etwas einzuwilligen, worüber sie nichts lesen können. Eine Richtlinie ohne Banner erklärt dort, wo eine Einwilligung erforderlich ist, zwar, was Sie tun, macht es aber nicht rechtmäßig. In der EU und im Vereinigten Königreich braucht eine Website, die Analyse- oder Werbe-Cookies verwendet, typischerweise beides: eine Einwilligung über einen funktionierenden Mechanismus und Informationen über die Richtlinie.

Zur Klarstellung, was die Tools angeht: Legal Policy Generator schreibt den Text der Datenschutzerklärung, einschließlich Angaben zu Cookies, Analyse und Tracking auf Grundlage Ihrer Antworten. Es stellt weder ein Cookie-Banner noch ein Consent-Management-Tool bereit. Sie kombinieren die Datenschutzerklärung mit einem Einwilligungsmechanismus Ihrer Wahl und stellen sicher, dass beide dieselben Tools auf dieselbe Weise beschreiben.

In der EU stammt die Regel aus Artikel 5 Abs. 3 der ePrivacy-Richtlinie. Das Speichern von Informationen oder der Zugriff auf Informationen, die bereits auf dem Gerät eines Nutzers gespeichert sind, ist nur zulässig, wenn der Nutzer eingewilligt hat, nachdem er klare und umfassende Informationen erhalten hat, insbesondere über die Zwecke. Die Ausnahmen betreffen Speicherung oder Zugriff, die ausschließlich zur Durchführung einer Nachrichtenübertragung nötig oder unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.

Die Leitlinien 2/2023 des Europäischen Datenschutzausschusses bestätigen, dass diese Regel über klassische Cookies hinaus auch Technologien wie Tracking-Pixel, Tracking-Links, Local Storage und einige Formen des Device Fingerprinting erfasst.

Im Vereinigten Königreich legt Regulation 6 der Privacy and Electronic Communications Regulations die entsprechende Regel fest. Die aktuellen Leitlinien des ICO zu Speicher- und Zugriffstechnologien besagen, dass die Informationen die eingesetzten Technologien, ihre Zwecke, beteiligte Dritte und die Speicherdauer der Informationen abdecken sollten. Das Vereinigte Königreich hat außerdem einige neue Ausnahmen von seiner Einwilligungsregel eingeführt, prüfen Sie daher die aktuellen Leitlinien des ICO für Details.

Wo Cookies personenbezogene Daten betreffen, gelten zusätzlich die Transparenzpflichten der Artikel 12 bis 14 von DSGVO und UK GDPR. Keine dieser Regeln schreibt einen Dokumenttitel vor.

Das US-Recht kennt keine allgemeine Cookie-Einwilligungsregel wie die ePrivacy-Richtlinie, aber Cookie-Angaben sind trotzdem wichtig.

• CalOPPA verlangt, dass die Datenschutzerklärung einer kommerziellen Website offenlegt, wie sie auf Do-Not-Track-Signale von Browsern reagiert und ob andere Parteien im Laufe der Zeit und über verschiedene Websites hinweg personenbezogene Daten über die Online-Aktivitäten von Nutzern erheben dürfen.
• CCPA und CPRA behandeln über Cookies erhobene Kennungen als personenbezogene Daten. Ihre Datenschutzerklärung muss die erhobenen Kategorien beschreiben und angeben, ob Sie personenbezogene Daten verkaufen oder teilen, was viele kontextübergreifende Werbe-Setups einschließen kann, sowie wie Menschen widersprechen können.
• Andere bundesstaatliche Datenschutzgesetze verlangen ähnliche Hinweise auf zielgerichtete Werbung und das Recht, ihr zu widersprechen.

Keines davon verlangt eine eigens so betitelte Cookie-Richtlinie. Ein gut strukturierter Abschnitt zu Cookies und Tracking in Ihrer Datenschutzerklärung deckt meist die Informationsseite ab, während Opt-out-Links und Präferenzsignale auf der Website selbst umgesetzt werden.

Einzelheiten finden Sie in den Anforderungen von CCPA und CPRA an die Datenschutzerklärung und unter Datenschutzangaben für Werbung.

Cookie-Informationen veralten schneller als fast jeder andere Teil einer Datenschutzerklärung, weil sich Marketing-Tools oft ohne Code-Review ändern. Etablieren Sie eine einfache Routine:

• Regelmäßig scannen. Öffnen Sie Ihre Website in einem sauberen Browserprofil, lehnen Sie die Einwilligung zuerst ab und erteilen Sie sie dann, und notieren Sie, was in jedem Zustand lädt.
• Jedes neue Tag prüfen. Nehmen Sie die Prüfung der Angaben in die Launch-Checkliste für jedes neue Pixel, Embed oder Skript auf.
• Datenschutzerklärung, Banner und Wirklichkeit vergleichen. Alle drei sollten dieselben Tools nennen.
• Das Datum aktualisieren, sobald sich die Liste ändert.

Wenn Sie eine Datenschutzerklärung mit Legal Policy Generator generieren, geben Sie an, welche Analyse-, Werbe- und Tracking-Technologien Sie einsetzen, und die Angaben zu Cookies und Tracking ergeben sich aus diesen Antworten. Wenn sich Ihre Tools ändern, aktualisieren Sie die Antworten und generieren neu, statt den Text von Hand zu flicken. Fragebogen und vollständige Vorschau sind kostenlos und ohne Konto verfügbar, und ein einfacher HTML- oder PDF-Download ist kostenlos.

Generierter Text spiegelt Ihre Antworten wider und ist keine Rechtsberatung. Die Einwilligung selbst muss weiterhin über den Einwilligungsmechanismus Ihrer Website eingeholt werden.