Ein nicht konformes Cookie-Banner ist der am leichtesten feststellbare Verstoß in einem Shop: Startseite und Browser-Inspektor öffnen genügt. Es ist auch einer, den die Datenschutzaufsichtsbehörden regelmäßig aufgreifen.
Hier die Checkliste und die Fehler, die immer wiederkehren.
Die fünf inhaltlichen Regeln
Die Einwilligung muss freiwillig sein. Die Ablehnung darf keine Folgen für den Zugang zum Dienst haben, außerhalb des eng gefassten Falls einer Tracking-Schranke.
Spezifisch. Die Einwilligung wird je Zweck erteilt: Reichweitenmessung, Werbung, soziale Netzwerke, Personalisierung. Eine einzige pauschale Zustimmung genügt dieser Anforderung nicht.
Informiert. Der Besucher muss vor der Wahl wissen, wer setzt, wozu und für wie lange.
Unmissverständlich. Sie setzt eine aktive Handlung voraus. Keine vorangekreuzten Kästchen, keine aus dem Scrollen abgeleitete Einwilligung, keine aus dem Weitersurfen.
So leicht widerruflich wie erteilbar. Ein dauerhafter Link muss jederzeit erlauben, auf die Wahl zurückzukommen.
Die acht klassischen Fehler
- Die Ablehnen-Schaltfläche auf der zweiten Ebene. Annehmen mit einem Klick, ablehnen erst nach dem Öffnen eines Einstellungsbereichs. Das ist der häufigste und am härtesten geahndete Verstoß. Beide Schaltflächen gehören auf dieselbe Ebene, in den ersten Bildschirm.
- Die Ablehnung optisch abgewertet. Annehmen in kräftiger Farbe, ablehnen in hellem Grau oder als schlichter unterstrichener Link. Der Unterschied in der optischen Behandlung gilt als Hindernis für die Ablehnung.
- Setzen vor der Wahl. Die Skripte laden mit der Seite, das Banner erscheint danach. Zu diesem Zeitpunkt sind die Tracker bereits gesetzt und die Einwilligung ist wertlos. Das ist der häufigste technische Fehler.
- Aus dem Scrollen abgeleitete Einwilligung. Eine seit Jahren aufgegebene Praxis, die dennoch auf produktiven Websites vorkommt.
- Kein Widerruf. Kein Link, um auf die Wahl zurückzukommen, oder ein im Impressum vergrabener Link.
- Unbegrenzte Dauer. Eine ohne Ablauf gespeicherte Einwilligung, die nie erneuert wird.
- Ausgenommene Tracker wie alle anderen behandelt, oder umgekehrt. Das Warenkorb-Cookie bis zur Einwilligung zu blockieren zerstört den Shop; einen Werbetracker als ausgenommen zu behandeln ist ein Verstoß.
- Das dekorative Banner. Die Leiste ist da, die Entscheidungen werden gespeichert, und kein Skript hängt tatsächlich davon ab. Der Mechanismus blockiert nichts.
DataFirefly Cookie Manager — auf Basis der Open-Source-Engine tarteaucitron.jsDas DSGVO-konforme Cookie-Banner – ohne Abstriche bei der Messung.220,00€
Was ausgenommen ist
Nicht jeder Tracker unterliegt der Einwilligung. Ausgenommen sind die, die für die Erbringung des ausdrücklich gewünschten Dienstes unbedingt erforderlich sind.
In einem Shop deckt das den Warenkorb, die Anmeldung, die Sitzung, die Sprach- oder Währungsauswahl, die Lastverteilung und das Cookie ab, das die Einwilligungsentscheidung selbst speichert.
Auch die Reichweitenmessung kann ausgenommen sein, unter strengen Bedingungen: Zweck auf die Messung für den Anbieter beschränkt, keine Zusammenführung mit anderen Verarbeitungen, keine Verfolgung über Websites oder Anwendungen hinweg, keine Weitergabe an Dritte und eine begrenzte Speicherdauer. Die Standardkonfiguration eines verbreiteten Analysewerkzeugs erfüllt diese Bedingungen nicht von selbst.
Der Nachweis der Einwilligung
Sie müssen belegen können, dass jede Einwilligung wirksam eingeholt wurde. Das setzt voraus, je Besucher einen mit Zeitstempel versehenen Eintrag aufzubewahren, der enthält: Datum und Uhrzeit, die angenommenen und abgelehnten Zwecke, die angezeigte Bannerversion und eine technische Kennung zur Zuordnung.
Oft übersehen: die Bannerversion. Ändern Sie Ihre Zwecke oder Ihre Partner, decken die früheren Einwilligungen den neuen Umfang nicht mehr ab.
Die Fristen
Drei verschiedene Fristen, die oft verwechselt werden.
Die Gültigkeitsdauer der Einwilligung, nach deren Ablauf Sie den Besucher erneut fragen müssen. Eine feste Zahl gibt es im deutschen Recht nicht; in der Praxis werden sechs bis zwölf Monate angesetzt, und die Orientierungshilfen der Aufsichtsbehörden sind hier maßgeblich.
Die Lebensdauer der gesetzten Tracker, die als weithin gebräuchlicher Richtwert dreizehn Monate nicht überschreiten sollte.
Die Speicherdauer der über diese Tracker erhobenen Daten, in der Praxis auf fünfundzwanzig Monate begrenzt.
Ein praktischer Punkt: Die Ablehnung ist genauso lange zu speichern wie die Zustimmung. Jemanden, der abgelehnt hat, bei jedem Besuch erneut zu fragen, ist lästig und gilt als Praxis, die Einwilligung durch Ermüdung zu erlangen.
Das Banner in zehn Minuten testen
Fünf Prüfungen, in dieser Reihenfolge.
1. Öffnen Sie die Website im privaten Fenster mit geöffnetem Netzwerk-Tab. Sehen Sie vor jedem Klick die ausgehenden Anfragen und die gesetzten Cookies an. Nur ausgenommene Tracker dürfen erscheinen.
2. Zählen Sie die Klicks zum Annehmen und dann zum Ablehnen. Die Zahl muss gleich sein.
3. Lehnen Sie ab, laden Sie neu und prüfen Sie, dass kein einwilligungspflichtiger Tracker vorhanden ist.
4. Suchen Sie den Widerrufslink. Brauchen Sie länger als zehn Sekunden, findet ihn ein Besucher nicht.
5. Prüfen Sie, ob die Skripte Ihrer Drittmodule tatsächlich über den Blockiermechanismus laufen. Ein Chat-, Karten- oder Videomodul, das nach der Einrichtung des Banners hinzukam, wird oft vergessen.
Der Cookie Manager für PrestaShop richtet das unter PrestaShop 8 und 9 ein: Skripte werden vor der Einwilligung blockiert, Ablehnung auf derselben Ebene wie Zustimmung, Verwaltung je Zweck, Speicherung der Entscheidungen mit Zeitstempel und dauerhafter Widerrufslink.
