Das Wichtigste in Kürze
- § 25 TDDDG verlangt für das Speichern von Informationen im Endgerät und den Zugriff darauf grundsätzlich eine Einwilligung. Das betrifft nicht nur Cookies.
- Ausgenommen sind Speicherungen, die unbedingt erforderlich sind, damit ein ausdrücklich gewünschter Dienst bereitgestellt werden kann.
- Der Test dauert fünf Minuten: privates Fenster, F12, Seite laden, Banner nicht anklicken, Cookies und Netzwerkanfragen ansehen.
- Der Website-Check sieht davon nur einen Teil, nämlich die Cookies der ersten Serverantwort. Was per JavaScript entsteht, bleibt ihm verborgen.
Was § 25 TDDDG regelt
Nach § 25 Abs. 1 TDDDG ist das Speichern von Informationen in der Endeinrichtung des Endnutzers oder der Zugriff auf dort bereits gespeicherte Informationen nur zulässig, wenn der Endnutzer auf der Grundlage von klaren und umfassenden Informationen eingewilligt hat. Information und Einwilligung richten sich nach der Datenschutz-Grundverordnung.
Absatz 2 nennt Ausnahmen. Keine Einwilligung ist nötig, wenn der alleinige Zweck die Übertragung einer Nachricht über ein öffentliches Telekommunikationsnetz ist, oder wenn die Speicherung unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst bereitstellen kann. Ob das für ein bestimmtes Cookie zutrifft, ist eine Einzelfallfrage.
Die Vorschrift spricht von Informationen, die im Endgerät gespeichert werden, nicht von Cookies. Auch ein Eintrag im lokalen Speicher des Browsers kann darunter fallen.
Der Test in fünf Schritten
- Öffnen Sie in Chrome, Edge oder Firefox ein privates Fenster. So beginnen Sie ohne gespeicherte Cookies und ohne frühere Einwilligung.
- Drücken Sie F12 und öffnen Sie den Tab „Netzwerk“. Lassen Sie ihn offen.
- Laden Sie Ihre Startseite. Klicken Sie im Cookie-Banner nichts an.
- Öffnen Sie in Chrome und Edge den Tab „Anwendung“, in Firefox den Tab „Speicher“. Sehen Sie unter „Cookies“ und „Lokaler Speicher“ nach, was bereits eingetragen ist.
- Sehen Sie im Netzwerk-Tab nach Anfragen an andere Domains als Ihre eigene. Typisch sind google-analytics.com, googletagmanager.com, connect.facebook.net, doubleclick.net, fonts.googleapis.com und youtube.com.
Cookie-Namen deuten
Die Namen verraten oft, woher ein Cookie kommt. Die Zuordnung ist üblich, aber nicht garantiert:
| Cookie-Name beginnt mit | kommt typischerweise von |
|---|---|
| _ga, _gid, _gat | Google Analytics |
| _gcl | Google Ads (Conversion-Messung) |
| _fbp, _fbc | Meta Pixel (Facebook, Instagram) |
| _hj | Hotjar |
| _clck, _clsk | Microsoft Clarity |
| _uet | Microsoft Advertising |
| _pin |
Nicht jedes Cookie braucht eine Einwilligung
Ein Cookie, das den Warenkorb oder die Anmeldung einer Sitzung hält, kann zu den unbedingt erforderlichen gehören. Das Cookie, das sich die Banner-Entscheidung merkt, wird häufig ebenfalls als erforderlich angesehen. Zählcookies und Werbecookies dagegen dienen nicht dem gewünschten Dienst. Entscheidend ist der Zweck, nicht der Name. Bei Zweifeln hilft eine Fachperson.
Was der Website-Check dazu sagt
Mehrere Prüfungen im DSGVO-Check berühren das Thema. Jede hat eine Grenze, die hier offen steht:
- Keine Tracking-Cookies vor der Einwilligung: Der Check liest die Cookies, die die erste Serverantwort der Startseite setzt, und vergleicht ihre Namen mit bekannten Tracking-Cookies. Cookies, die erst per JavaScript im Browser entstehen, sieht er nicht, weil er kein JavaScript ausführt.
- Einwilligungslösung bei Tracking: Er erkennt, ob bei vorhandenem Tracking ein Consent-Manager oder Google Consent Mode im Code steht.
- Tracking-Skripte an die Einwilligung gebunden: Wo das aus dem Quelltext nicht erkennbar ist, steht „nicht prüfbar“.
- Ablehnen ist so leicht wie Zustimmen und Einwilligung jederzeit änderbar: Er sucht im Code nach einem Ablehnen-Knopf und nach einem Link zum Ändern.
- Videos und Karten laden erst nach Klick: Er meldet eingebettete Dienste, die schon beim Öffnen der Seite im HTML stehen.
Wenn Sie etwas finden
- Zähl- und Werbedienste erst laden, nachdem der Besucher im Banner zugestimmt hat. Viele Consent-Werkzeuge bieten dafür eine Einstellung.
- Videos und Karten durch ein Vorschaubild mit „Laden“-Knopf ersetzen.
- Schriften lokal einbinden, statt sie von Google abzurufen.
- Den Test nach jeder Änderung wiederholen, auch auf mehreren Seiten, nicht nur auf der Startseite.
Häufige Fragen
Muss ich Cookies nur bei der Startseite prüfen?
Nein. Prüfen Sie auch Seiten mit eingebetteten Videos, Karten oder Formularen. Diese laden oft zusätzliche Dienste.
Was, wenn ich gar keinen Cookie-Banner habe?
Dann sollten Sie im Test auch keine einwilligungspflichtigen Cookies oder Aufrufe Dritter finden. Finden Sie welche, fehlt eine Einwilligungslösung.
Reicht es, wenn der Banner nach dem Klick auf „Ablehnen“ alles stoppt?
Prüfen Sie beides: den Zustand vor jedem Klick und den nach „Ablehnen“. Der Test oben zeigt den ersten Zustand; wiederholen Sie ihn nach dem Klick und laden Sie die Seite neu.
Kann der Website-Check das für mich erledigen?
Zum Teil. Er sieht die Cookies der ersten Serverantwort und erkennt Hinweise im Quelltext. Den vollständigen Test im Browser ersetzt er nicht.
Quellen
Sie möchten das nicht selbst umsetzen? Kostenloses Beratungsgespräch anfragen – Bastian Scherzinger meldet sich persönlich.