SACHE
Cookie-Banner ablehnen darf nicht zur Suchaufgabe werden
Man möchte kurz die Öffnungszeiten eines Geschäfts prüfen, einen Fahrplan aufrufen oder eine Anleitung lesen. Statt der gesuchten Information erscheint zuerst eine Abfrage, die fast den gesamten Bildschirm verdeckt. „Alle akzeptieren“ ist sofort zu erkennen. Wer das Cookie-Banner ablehnen möchte, findet daneben häufig nur „Einstellungen“, „Auswahl verwalten“ oder einen unscheinbaren Link, hinter dem weitere Kategorien, Schalter und Bestätigungen warten.
Ein einziger Klick würde genügen, um alles freizugeben. Für ein Nein beginnt dagegen eine kleine Verwaltungsprüfung. Erst die zweite Ebene öffnen, optionale Zwecke suchen, möglicherweise bereits ausgewählte Felder kontrollieren und am Ende den richtigen Knopf finden, der die Ablehnung tatsächlich speichert. Manchmal bleibt sogar danach unklar, ob wirklich alles Optionale abgeschaltet wurde oder lediglich eine andere Auswahl gilt.
Cookie-Banner sind nicht grundsätzlich das Problem. Sie können verständlich erklären, welche Technik eine Website einsetzen möchte, und Besuchern eine echte Entscheidung geben. Sobald die Oberfläche jedoch nur den gewünschten Ausgang bequem macht, wird aus einer Einwilligung ein Geduldsspiel – und aus Datenschutz eine Frage der Klick-Ausdauer.
Nicht jeder Cookie braucht eine Zustimmung
Die Bezeichnung Cookie-Banner führt bereits ein wenig in die Irre, weil es rechtlich nicht allein um klassische Cookies geht. Der deutsche § 25 TDDDG erfasst grundsätzlich das Speichern von Informationen auf einem Endgerät und den Zugriff auf bereits gespeicherte Informationen. Darunter können neben Cookies auch andere Techniken fallen, mit denen ein Browser oder Gerät wiedererkannt wird.
Eine Einwilligung ist allerdings nicht für jeden technischen Vorgang erforderlich. Das Gesetz nennt Ausnahmen, wenn die Speicherung beziehungsweise der Zugriff ausschließlich der Übertragung einer Nachricht dient oder unbedingt notwendig ist, um einen ausdrücklich gewünschten digitalen Dienst bereitzustellen. Ein Warenkorb, eine laufende Anmeldung oder die gespeicherte Datenschutzentscheidung können je nach konkreter Umsetzung in diesen Bereich fallen.
Anders sieht es bei optionalen Analyse-, Werbe- und Profilbildungsdiensten aus, die für den eigentlichen Seitenaufruf nicht gebraucht werden. Möchte eine Website solche Techniken einsetzen, muss sie die dafür erforderliche Einwilligung einholen, bevor die entsprechenden Zugriffe stattfinden. Der Gesetzgeber hat also nicht angeordnet, dass jede Website ihre Besucher mit einem mehrstufigen Banner begrüßen muss. Das Banner wird vor allem dort nötig, wo der Betreiber zusätzliche Dienste verwenden möchte, die über die technisch erforderliche Bereitstellung des Angebots hinausgehen.
Diese Unterscheidung geht in vielen Abfragen beinahe vollständig unter. Alles landet unter der Überschrift „Cookies“, als wären Warenkorb, Reichweitenmessung, personalisierte Werbung und die Weitergabe an zahlreiche Dienstleister technisch untrennbare Bestandteile. Das macht die Oberfläche zwar übersichtlicher für ihren Betreiber, aber nicht verständlicher für den Menschen davor.
Das Ja bekommt die Abkürzung
Das typische Ungleichgewicht entsteht nicht durch eine einzelne Schaltfläche, sondern durch das Zusammenspiel aus Position, Beschriftung, Kontrast und Anzahl der notwendigen Schritte. Eine große Zustimmungsschaltfläche steht neben einem kleineren Einstellungslink. Die Ablehnung erscheint erst nach dem Öffnen einer zweiten Ebene. Dort werden technische Begriffe, Anbieterlisten und Zwecke angezeigt, bevor eine weitere Schaltfläche die Auswahl schließlich speichert.
Die aktuelle Orientierungshilfe der deutschen Datenschutzaufsichtsbehörden betrachtet solche Gestaltungen differenziert. Nicht jeder farbliche Unterschied macht ein Banner automatisch unzulässig, und die konkrete Wirkung muss im Einzelfall beurteilt werden. Eine Ablehnoption darf aber nicht im Fließtext, außerhalb des Banners oder durch schlechten Kontrast praktisch unsichtbar werden, während die Zustimmung deutlich hervorgehoben ist.
Besonders klar ist der Maßstab bei blockierenden Abfragen: Wenn Besucher mit dem Banner interagieren müssen, um die Website weiterzuverwenden, und auf der ersten Ebene eine pauschale Zustimmung angeboten wird, soll dort auch eine eindeutig erkennbare und gleichwertige Ablehnung möglich sein. Ein Knopf namens „Einstellungen oder Ablehnen“, der zunächst nur das nächste Menü öffnet, erfüllt diesen Zweck nicht automatisch.
Es gibt zugleich eine vernünftige Ausnahme. Bleibt der Inhalt vollständig erreichbar, setzt die Website ohne aktive Zustimmung keine optionalen Techniken ein und kann das Banner einfach ignoriert werden, muss die erste Ebene nicht zwingend einen zusätzlichen Ablehnknopf besitzen. In diesem Fall ist Nichtstun tatsächlich eine wirksame Entscheidung: Es wird nichts freigegeben, und die Website bleibt trotzdem nutzbar.
Eine Einwilligung ist mehr als ein erfolgreicher Klick
Nach der Datenschutz-Grundverordnung muss eine Einwilligung freiwillig, für den konkreten Fall, informiert und unmissverständlich erfolgen. Der Europäische Gerichtshof hat im Verfahren Planet49 bereits 2019 klargestellt, dass ein voreingestelltes Ankreuzkästchen nicht genügt. Wer erst ein Häkchen entfernen muss, damit keine Zustimmung entsteht, hat zuvor keine wirksame Einwilligung erteilt.
Der Bericht der europäischen Cookie-Banner-Taskforce nennt weitere problematische Muster. Eine große Mehrheit der beteiligten Aufsichtsbehörden bewertete Banner ohne erkennbare Möglichkeit zum Ablehnen als unvereinbar mit einer wirksamen Einwilligung. Auch eine Ablehnoption, die lediglich als unauffälliger Textlink zwischen längeren Erklärungen steht, kann die Entscheidung in eine gewünschte Richtung lenken.
Das bedeutet nicht, dass jede Schaltfläche exakt gleich aussehen muss oder dass eine Website ihre Gründe für Analyse und Werbung nicht erklären darf. Entscheidend ist, ob ein durchschnittlicher Besucher beide Möglichkeiten als echte Alternativen wahrnehmen kann. Wenn das Ja sofort ins Auge fällt und das Nein erst gesucht werden muss, beschreibt die Oberfläche keine Wahl mehr. Sie verteilt Chancen.
Besonders absurd wird es, wenn nach „Alles ablehnen“ eine weitere Ebene erscheint, auf der zusätzlich angebliche berechtigte Interessen einzeln ausgeschaltet werden sollen. Für die Speicherung oder das Auslesen einwilligungspflichtiger Informationen auf dem Endgerät kann ein Betreiber die fehlende Zustimmung nicht einfach durch eine anders beschriftete Rechtsgrundlage ersetzen. Nutzer sollten nicht zweimal widersprechen müssen, nur weil dieselbe Datenverarbeitung auf zwei Ebenen unterschiedlich einsortiert wurde.
Warum die schiefe Oberfläche trotzdem attraktiv bleibt
Für Websitebetreiber besitzt eine Zustimmung einen wirtschaftlichen Wert. Sie kann detailliertere Reichweitenmessungen, personalisierte Werbung, die Zuordnung von Kampagnen und die Einbindung zusätzlicher Vermarktungsdienste ermöglichen. Je mehr Menschen zustimmen, desto größer kann die verfügbare Datenbasis werden. Daraus folgt nicht, dass jedes verwirrende Banner absichtlich manipulativ entworfen wurde. Viele Betreiber übernehmen vorgefertigte Vorlagen, Einstellungen ihrer Vermarktungspartner oder Konfigurationen eines Consent-Management-Systems, ohne jede gestalterische Folge selbst festgelegt zu haben.
Auch die Gegenposition verdient mehr als einen Pflichtsatz. Websites verursachen Kosten, journalistische Angebote müssen finanziert werden, und gerade kleinere Betreiber können nicht für jedes Analyse-, Werbe- und Datenschutzproblem eine eigene technische Infrastruktur entwickeln. Mehrere Verarbeitungszwecke getrennt zu erklären, ist zudem grundsätzlich sinnvoller, als eine einzige pauschale Erlaubnis für alles einzuholen.
Diese Komplexität rechtfertigt jedoch keine Oberfläche, die ihre eigene Geschäftslogik als Nutzerentscheidung verkleidet. Ein Anbieter darf erklären, weshalb er bestimmte Datenverarbeitungen wünscht. Er darf um Zustimmung bitten und eine freiwillige Unterstützung anbieten. Er muss aber ebenso akzeptieren, dass ein Besucher ablehnt. Eine Frage bleibt nur dann eine Frage, wenn beide Antworten vorgesehen sind.
Finanzierung und Wahlfreiheit schließen einander ebenfalls nicht vollständig aus. Werbung kann kontextbezogen statt personenbezogen ausgewählt werden, externe Inhalte können erst nach einem bewussten Klick geladen werden und einzelne Komfortfunktionen dürfen nachvollziehbar erklären, weshalb sie eine Verbindung zu einem Drittanbieter benötigen. Nicht jede Alternative erzielt dieselben Einnahmen oder liefert dieselben Messdaten. Genau diese wirtschaftliche Differenz darf aber nicht dadurch ausgeglichen werden, dass das unerwünschte Ergebnis in der Oberfläche versteckt wird.
Auch ein Nein darf gespeichert werden
Zu den besonders ermüdenden Varianten gehört ein Banner, das nach einer Ablehnung schon beim nächsten Besuch erneut fragt. Der Betreiber scheint die Entscheidung zwar entgegengenommen, aber nicht wirklich akzeptiert zu haben. Wer oft genug gestört wird, klickt irgendwann möglicherweise doch auf die schnellste Schaltfläche – nicht aus Überzeugung, sondern um endlich zur Seite zu gelangen.
Technisch lässt sich auch eine ablehnende Entscheidung speichern. Die Datenschutzaufsicht weist ausdrücklich darauf hin, dass das Ergebnis der Auswahl auf dem Endgerät hinterlegt werden kann, damit das Banner beim nächsten Aufruf nicht erneut erscheint. Dafür ist keine umfangreiche Werbe-ID erforderlich. Ein notwendiger Speichervermerk kann schlicht festhalten, dass keine optionalen Dienste freigegeben wurden.
Natürlich gibt es nachvollziehbare Gründe für eine erneute Abfrage. Wer Browserdaten löscht, den privaten Modus verwendet oder ein anderes Gerät nutzt, entfernt damit möglicherweise auch die gespeicherte Auswahl. Ändert eine Website ihre Zwecke oder bindet wesentlich andere Dienste ein, kann ebenfalls eine neue Entscheidung notwendig werden. Ein Nein lediglich in kurzen Abständen zu wiederholen, bis der Besucher mürbe wird, ist dagegen keine neue Einwilligungssituation, sondern digitaler Verschleiß.
Dasselbe Prinzip gilt für den späteren Widerruf. Nach Artikel 7 der Datenschutz-Grundverordnung muss der Widerruf so einfach möglich sein wie die Erteilung. Wer mit einem Klick zustimmen konnte, sollte nicht anschließend Datenschutzerklärung, Fußzeile und mehrere Untermenüs durchsuchen müssen, um diese Entscheidung zu ändern. Ein dauerhaft erreichbarer Punkt für Privatsphäre-Einstellungen ist kein Luxus, sondern die logische zweite Hälfte einer freiwilligen Zustimmung.
Ein gutes Banner braucht keine Tricks
Eine faire erste Ebene kann erstaunlich schlicht sein. Sie erklärt knapp, wofür die Website eine Zustimmung benötigt, und bietet drei verständliche Wege: optionale Dienste akzeptieren, optionale Dienste ablehnen oder die Auswahl im Detail anpassen. Akzeptieren und Ablehnen müssen als gleichwertige Handlungen erkennbar sein; die Einstellungen dürfen ergänzen, aber nicht als Versteck für das Nein dienen.
Auf der zweiten Ebene können einzelne Zwecke und Anbieter verständlich beschrieben werden. Optionale Kategorien bleiben deaktiviert, bis der Nutzer sie bewusst auswählt. Unbedingt erforderliche Funktionen werden erklärt, aber nicht so dargestellt, als könnten sie mit einem dekorativen Schalter doch abgeschaltet werden. Vor der Entscheidung startet kein einwilligungspflichtiges Tracking.
Ebenso wichtig ist die Zugänglichkeit. Die Auswahl muss auf kleinen Bildschirmen funktionieren, per Tastatur bedienbar und für Hilfsmittel verständlich beschriftet sein. Ein winziger Textlink ist nicht plötzlich fair, nur weil er technisch anklickbar bleibt. Gestaltung entscheidet darüber, ob eine Möglichkeit praktisch existiert oder lediglich im Quelltext vorhanden ist.
Nervensache: Das muss besser gehen
Cookie-Banner werden nicht verschwinden, solange Websites optionale Analyse-, Werbe- und Drittanbieterdienste einsetzen. Sie müssen deshalb aber nicht wie kleine Hindernisparcours gebaut sein. Der faire Maßstab ist leicht verständlich: Wenn sich alles mit einem deutlichen Klick akzeptieren lässt, muss sich alles Optionale mit einem ebenso deutlichen Klick ablehnen lassen.
Bleibt die Website ohne Interaktion nutzbar und optionales Tracking ausgeschaltet, darf ein zurückhaltender Hinweis eine andere Form wählen. Wird der Bildschirm dagegen blockiert, darf die Zustimmung keine bevorzugte Notausgangstür erhalten, während das Nein hinter „Einstellungen“ auf die nächste Etage geschickt wird.
Websitebetreiber dürfen ihre Finanzierung erklären, um Unterstützung bitten und sinnvolle Auswahlmöglichkeiten anbieten. Nutzer sollten dafür weder juristische Begriffe entschlüsseln noch Schalterlisten durchsuchen müssen. Eine freiwillige Einwilligung zeigt sich nicht daran, dass am Ende irgendwo ein Klick protokolliert wurde. Sie zeigt sich daran, dass der andere Klick genauso einfach gewesen wäre.
Hauptquellen
- Bundesministerium der Justiz: § 25 TDDDG
- Datenschutzkonferenz: Orientierungshilfe für Anbieter digitaler Dienste
- Europäischer Datenschutzausschuss: Bericht der Cookie-Banner-Taskforce
- Europäischer Gerichtshof: Urteilshinweis zur Rechtssache Planet49
- Hamburgischer Datenschutzbeauftragter: Fragen und Antworten zum Tracking durch Drittdienste
- Europäische Union: Datenschutz-Grundverordnung
Technik-Deals im Überblick
Ausgewählte Angebote und zeitlich begrenzte Preisaktionen rund um Technik und Gadgets.
