So lesen Sie einen Cookie-Scan-Bericht

In diesem Artikel

Lassen Sie eine beliebige Website durch einen Cookie-Scanner laufen, erhalten Sie eine lange Tabelle mit Namen, die Sie nie gewählt haben: _ga, _fbp, IDE, ein Dutzend Zeichenketten aus Zufallszeichen. Es ist verlockend, nur die Gesamtnote zu überfliegen und den Tab zu schließen. Das wäre ein Fehler, denn der nützliche Teil eines Scan-Berichts ist nicht die Note, sondern die Belege: was der Browser gespeichert hat, wann und mit wem er gesprochen hat. Lesen Sie diese Belege in der richtigen Reihenfolge, schrumpfen die meisten Berichte auf drei oder vier konkrete Korrekturen.

01Was ein Scan tatsächlich tut

Ein Scanner ist ein automatisierter Browser. Er öffnet Ihre Seiten mit einem sauberen Profil, wie ein Erstbesucher, und hält drei Arten von Dingen fest:

Speicher. Cookies, aber auch localStorage, sessionStorage, IndexedDB und ähnliche Mechanismen, mit denen eine Website Informationen auf dem Gerät des Besuchers ablegt.
Netzwerkanfragen. Jeder Host, den die Seite kontaktiert: Ihr eigener Server, Content-Delivery-Netzwerke, Schriftendienste, Analyse- und Werbe-Endpunkte, eingebettete Videoplayer.
Verhalten über die Zeit. Bessere Scanner wiederholen den Besuch in verschiedenen Einwilligungszuständen: vor jeder Entscheidung, nach einem Klick auf „Ablehnen“ und nach einem Klick auf „Akzeptieren“.

Alles andere im Bericht ist Auslegung auf Grundlage dieser Beobachtungen: die Kategorie, der ein Cookie zugeordnet wird, der Anbieter, dem er zugeschrieben wird, die Warnung daneben. Auslegungen können falsch sein. Die Beobachtungen sind, sofern der Scan sauber lief, Tatsachen darüber, was Ihre Website in diesem Moment getan hat.

02Die Regeln, an denen der Bericht misst

Zwei EU-Rechtsakte leisten die meiste Arbeit.

Art. 5 Abs. 3 der ePrivacy-Richtlinie (Richtlinie 2002/58/EG in der Fassung von 2009) erlaubt es, Informationen auf dem Gerät eines Nutzers zu speichern oder dort bereits gespeicherte Informationen auszulesen, nur mit dessen Einwilligung nach klarer und umfassender Information. Es gibt zwei Ausnahmen: Speicherung, die allein der Übertragung einer Nachricht dient, und Speicherung, die unbedingt erforderlich ist, um einen ausdrücklich gewünschten Dienst bereitzustellen. Die Regel ist weder auf Cookies noch auf personenbezogene Daten beschränkt. In seinen Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 erläutert der Europäische Datenschutzausschuss (EDSA), dass sie auch Techniken wie Zählpixel, lokalen Speicher und manche Formen des Fingerprintings erfassen kann. In Deutschland setzt § 25 TDDDG diese Vorschrift um.

Die DSGVO (Verordnung (EU) 2016/679) bestimmt, was eine wirksame Einwilligung ist: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich abgegeben, durch eine Erklärung oder eine eindeutige bestätigende Handlung (Art. 4 Nr. 11), und so leicht widerrufbar, wie sie erteilt wurde (Art. 7 Abs. 3). Der Gerichtshof der EU hat in der Rechtssache Planet49 (C-673/17, 2019) bestätigt, dass ein vorab angekreuztes Kästchen keine wirksame Einwilligung in Cookies ist, ganz gleich, ob die gespeicherten Informationen personenbezogen sind. Sobald die gespeicherten Informationen zur Verarbeitung personenbezogener Daten genutzt werden, gilt für diese Verarbeitung zusätzlich die DSGVO.

Art. 5 Abs. 3 wird im nationalen Recht jedes Mitgliedstaats umgesetzt und von nationalen Behörden durchgesetzt. Deshalb unterscheiden sich die Einzelheiten und das Klima der Durchsetzung von Land zu Land.

Die meisten Berichte führen jeden Cookie oder Speichereintrag mit einigen Spalten auf. Nach Wichtigkeit geordnet:

Vor der Einwilligung gesetzt? Die wichtigste Spalte überhaupt. Alles, was gespeichert wird, bevor der Besucher eine Wahl getroffen hat, muss unter eine der beiden Ausnahmen fallen.
Domain. Erstanbieter-Einträge werden auf Ihrer eigenen Domain gesetzt, Drittanbieter-Einträge gehören zu einem anderen Host. Eine fremde Domain ist ein starker Hinweis darauf, dass jemand anderes die Daten erhält, auch wenn Skripte von Drittanbietern häufig auch Erstanbieter-Cookies setzen.
Laufzeit. Ein Sitzungscookie verschwindet, wenn der Browser geschlossen wird; andere bleiben Monate oder Jahre. Lange Laufzeiten bei Cookies, die als „notwendig“ gelten, verdienen einen zweiten Blick.
Kategorie und Anbieter. Das ist die Vermutung des Scanners, meist aus einer Datenbank bekannter Cookie-Namen. Nehmen Sie sie als Ausgangspunkt, nicht als Befund.

Typische Beispiele für Speicherung, die unbedingt erforderlich sein kann, sind eine Sitzungskennung für einen Warenkorb, ein Cookie für die Lastverteilung, ein Sicherheitstoken für ein Formular und der Cookie, der die Einwilligungsentscheidung des Besuchers selbst speichert. Analyse- und Werbe-Cookies sind im Sinne von Art. 5 Abs. 3 in der Regel nicht unbedingt erforderlich. Einige nationale Behörden, darunter die französische CNIL, lassen eine eng konfigurierte Reichweitenmessung unter strengen Bedingungen ohne Einwilligung zu; das ist eine nationale Position, keine EU-weite Regel, prüfen Sie also die Leitlinien jedes Landes, auf das Sie abzielen.

04Vor der Einwilligung, nach Ablehnung, nach Zustimmung

Wenn Ihr Scanner mehr als einen Einwilligungszustand testet, vergleichen Sie diese nebeneinander. Das gewünschte Muster ist einfach:

Vor jeder Entscheidung: nur unbedingt erforderlicher Speicher und keine Anfragen an Analyse- oder Werbe-Hosts.
Nach „Ablehnen“: dasselbe wie vor jeder Entscheidung, plus der Cookie, der die Ablehnung speichert. Nichts Neues von Marketing- oder Analyseanbietern.
Nach „Akzeptieren“: genau die Werkzeuge, die Ihr Banner beschreibt, und nichts, was es nicht beschreibt.

Die beiden wichtigsten Warnsignale sind Tracker, die vor jeder Entscheidung laden, und Tracker, die weiter laden, nachdem der Besucher abgelehnt hat. Beides bedeutet, dass das Banner Dekoration ist und keine Steuerung. Ein drittes, leiseres Signal ist ein Zustand „nach Akzeptieren“ mit Anbietern, die Ihre Cookie-Richtlinie nie erwähnt: Informiert ist eine Einwilligung nur, wenn der Besucher erfahren hat, wer seine Daten erhält.

05Netzwerkanfragen und Drittanbieter-Hosts

Manche Berichte führen Anfragen getrennt von Cookies auf. Überspringen Sie diese Liste nicht. Eine Anfrage an einen Drittserver übermittelt diesem die IP-Adresse des Besuchers und oft die Adresse der gelesenen Seite. Nach der DSGVO ist eine IP-Adresse in der Regel ein personenbezogenes Datum; jeder Drittanbieter-Host, den Ihre Seite beim Laden kontaktiert, ist also ein Empfänger, für den Sie eine Rechtsgrundlage brauchen und den Sie in Ihrer Datenschutzerklärung nennen sollten. Sitzt der Host außerhalb des Europäischen Wirtschaftsraums, kommen zusätzlich die Regeln der DSGVO zu internationalen Übermittlungen ins Spiel.

Das bekannteste Beispiel sind Webfonts. Im Januar 2022 entschied das Landgericht München I (Az. 3 O 17493/20), dass eine Website, die Google Fonts von Googles Servern lud und dabei ohne Einwilligung die IP-Adressen der Besucher an Google weitergab, die Rechte eines Besuchers verletzt hatte, und sprach ihm 100 € Schadensersatz zu. Der Betrag war gering, die Lehre nicht. Wer Schriften, Skripte und Bilder selbst hostet, beseitigt auf einen Schlag eine ganze Kategorie von Befunden.

Auch Anfragen ganz ohne Cookie können unter Art. 5 Abs. 3 fallen, wenn sie Informationen auf dem Gerät lesen oder speichern; so funktionieren Zählpixel und viele Fingerprinting-Skripte. Ein Bericht, der vor der Einwilligung eine Anfrage an einen Werbe-Host zeigt, verdient eine Prüfung, auch wenn daneben kein Cookie steht.

06Was der Bericht übersehen haben kann

Automatische Scans haben vorhersehbare blinde Flecken, und wer sie kennt, kann einen sauberen Bericht ebenso einordnen wie einen unordentlichen:

Seiten hinter einem Login oder einem Bestellschritt werden meist nicht gescannt.
Durch Interaktion ausgelöste Tags, etwa Skripte, die beim Scrollen, bei einem Klick oder nach einer Verzögerung laden, feuern während eines kurzen automatischen Besuchs womöglich nicht.
Standort und Gerät. Viele Consent-Plattformen zeigen je nach Land oder Gerät unterschiedliche Banner. Ein Scan von außerhalb der EU oder mit einem Desktop-Profil sieht womöglich eine andere Website als Ihre Besucher.
Serverseitiges Tracking sendet Daten von Ihrem Server statt aus dem Browser des Besuchers. Ein browserbasierter Scan sieht es nicht, das Recht gilt trotzdem.
Fehlzuordnungen. Unbekannte Cookie-Namen landen oft unter „nicht klassifiziert“ oder werden falsch geraten. Prüfen Sie die Skripte, die sie setzen.

07Vom Bericht zu den Korrekturen

Arbeiten Sie die Befunde in dieser Reihenfolge ab. Sie entspricht ungefähr der Reihenfolge, in der Aufsichtsbehörden und Beschwerdeführer eine Website betrachten.

Alles Nicht-Notwendige, was vor der Einwilligung gesetzt oder gesendet wird. Verschieben Sie das Tag hinter Ihr Einwilligungstool, sodass es erst nach „Akzeptieren“ feuert, oder entfernen Sie es.
Alles, was „Ablehnen“ überlebt. Meist ein Tag, das außerhalb des Einwilligungstools geladen wird, oft fest im Theme verankert oder von einem Plugin hinzugefügt.
Vermeidbare Drittanfragen. Hosten Sie Schriften und Bibliotheken selbst; ersetzen Sie eingebettete Player und Karten durch einen Platzhalter, der erst auf Klick lädt.
Das Banner selbst. Machen Sie Ablehnen so einfach wie Akzeptieren, ohne vorab angekreuzte Kästchen. Unser Ratgeber zu Dark Patterns in Cookie-Bannern behandelt die Gestaltungen, die Aufsichtsbehörden beanstanden.
Cookie-Richtlinie und Datenschutzerklärung. Sie sollten dieselben Werkzeuge, Zwecke, Empfänger und Laufzeiten nennen, die der Scan nach „Akzeptieren“ gefunden hat.

Scannen Sie danach erneut und bewahren Sie die Berichte auf. Nach Art. 5 Abs. 2 DSGVO muss ein Verantwortlicher die Einhaltung nachweisen können; eine datierte Reihe von Berichten, die gefundene und behobene Probleme zeigt, ist genau die Art von Dokumentation, die dabei hilft.

08Quellen und weiterführende Literatur

Die oben genannten Rechtstexte und offiziellen Leitlinien. Die Links führen zu den offiziellen Herausgebern.

Richtlinie 2002/58/EG (ePrivacy-Richtlinie), konsolidierte Fassung (eur-lex.europa.eu)
Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung) (eur-lex.europa.eu)
§ 25 TDDDG (Umsetzung von Art. 5 Abs. 3 ePrivacy-Richtlinie in Deutschland) (gesetze-im-internet.de)
Gerichtshof der EU, Rechtssache C-673/17 Planet49 (curia.europa.eu)
EDSA-Leitlinien 2/2023 zum technischen Anwendungsbereich von Art. 5 Abs. 3 ePrivacy-Richtlinie (edpb.europa.eu)
EDSA-Leitlinien 05/2020 zur Einwilligung gemäß Verordnung 2016/679 (edpb.europa.eu)