So läuft es heute in den meisten Unternehmen
Der Cookie-Banner kam mit dem Relaunch. Die Agentur hat ein WordPress-Plugin installiert oder ein kostenloses Banner-Tool eingebunden, die Standardtexte übernommen und die Schaltflächen an das Corporate Design angepasst. Parallel hat jemand im Marketing eine Liste angelegt, „Cookie-Liste_Website.xlsx", mit Name, Anbieter, Laufzeit und Zweck jedes Cookies. Die Datenschutzbeauftragte oder der Datenschutzbeauftragte hat daraus den Cookie-Abschnitt der Datenschutzerklärung geschrieben, von Hand, im Redaktionssystem der Website.
Seitdem hat sich die Website weiterentwickelt, die Dokumentation nicht. Das Marketing hat für eine Kampagne einen Pixel eingebaut, der Vertrieb ein Chat-Widget, die Personalabteilung bettet auf der Karriereseite Videos von YouTube ein. Jede dieser Änderungen war für sich vernünftig. Keine wurde dem Datenschutz gemeldet. Der typische Satz dazu lautet: „Das ist doch nur ein kleines Skript, das hat die Agentur eingebaut."
So entstehen drei Stände, die nicht zueinander passen: was tatsächlich auf der Website läuft, was der Banner abfragt und was in der Datenschutzerklärung steht. Die Excel-Liste ist seit dem Relaunch nicht mehr geöffnet worden. Ob das Plugin ein Cookie bis zur Einwilligung blockiert oder nur auflistet, weiß im Haus niemand genau. Und welche Einwilligungen Besuchende tatsächlich erteilt haben, steht, wenn überhaupt, in einer Datenbanktabelle des Plugins, die niemand auswerten kann.
Wer nachfragt, bekommt unterschiedliche Antworten. Das Marketing verweist auf die Agentur, die Agentur auf die Standardeinstellungen des Plugins, die Datenschutzbeauftragte auf die Datenschutzerklärung. In der Ablage liegen noch „Cookie-Liste_Website_alt.xlsx" und ein Screenshot des Banners vom Go-live.
Der Moment, in dem es auffällt
Auffällig wird das bei einer konkreten Frage von außen. Eine Besucherin beschwert sich bei der Aufsichtsbehörde, dass trotz Ablehnung ein Analyse-Cookie gesetzt wurde. Ein Geschäftskunde schickt im Rahmen einer Lieferantenprüfung einen Fragebogen und will wissen, wie Einwilligungen auf der Website dokumentiert werden. Oder die Agentur wird gewechselt, und mit ihr verschwindet das Wissen, welches Skript wofür eingebaut wurde.
Dann reicht es nicht, auf den Banner zu zeigen. Für Cookies, die nicht unbedingt erforderlich sind, verlangt § 25 TDDDG (bis Mai 2024: TTDSG) eine Einwilligung, und für diese Einwilligung gelten die Anforderungen der DSGVO. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass eingewilligt wurde. Gefragt wird also nicht „Haben Sie einen Banner?", sondern: Welche Version galt an diesem Tag, welche Dienste standen darin, und was hat diese Person ausgewählt?
Auf diese Frage hat weder das Plugin noch die Excel-Liste eine Antwort. Nicht, weil jemand nachlässig war, sondern weil Banner, Liste und Datenschutzerklärung nichts voneinander wissen und keiner von ihnen frühere Stände festhält.
Die Analyse
Fünf Lücken zwischen Website, Banner und Dokumentation
Sie entstehen nicht durch Nachlässigkeit, sondern weil Banner, Cookie-Liste und Datenschutzerklärung an drei Orten von drei verschiedenen Personen gepflegt werden.
preeco | datenschutz ansehenKein Nachweis der Einwilligung
Art. 7 Abs. 1 DSGVO verlangt, dass der Verantwortliche die Einwilligung nachweisen kann. Liegen die Entscheidungen nur in einer Plugin-Tabelle ohne Version und Export, bleibt bei einer Beschwerde nur die Behauptung, der Banner habe funktioniert.
Dienste ohne Wissen des Datenschutzes
Pixel, Chat-Widgets und Videos kommen über das Marketing oder die Agentur auf die Website. Was der Datenschutz nicht kennt, steht weder im Banner noch in der Datenschutzerklärung und lädt im Zweifel vor jeder Einwilligung.
Blockieren wird nicht geprüft
Ein Banner, der Cookies nur auflistet, verhindert nicht, dass sie gesetzt werden. Ob ein Skript tatsächlich bis zur Einwilligung wartet, prüft im Alltag niemand, bis eine Beschwerde das Gegenteil zeigt.
Die Cookie-Liste veraltet
Die Excel-Liste bildet den Stand des Relaunchs ab. Laufzeiten, Anbieter und Drittlandbezüge ändern sich, ohne dass jemand die Liste erneut öffnet, und die Lücke wächst mit jeder Kampagne.
Datenschutzerklärung von Hand nachgezogen
Der Cookie-Abschnitt wird im Redaktionssystem abgetippt. Er stimmt mit dem Banner nur so lange überein, bis sich einer von beiden ändert, und dann widerspricht sich die eigene Website.
Der Soll-Prozess in sechs Schritten
1. Den Banner dort einrichten, wo die Dokumentation liegt. In preeco | datenschutz steht der Cookie-Banner im Menü „Websites" neben den Datenschutzerklärungen, im selben System wie Verarbeitungstätigkeiten und Datenverarbeitungssysteme. Die Administration legt ihn je Website an: Bezeichnung, bis zu drei Domains, Startseite für den Scan und Sprachen des Banners. Die Datenschutzerklärung derselben Domain wird zur Verknüpfung vorgeschlagen. Der Banner ist ein kostenpflichtiges Add-on, der Tarif richtet sich nach den monatlichen Seitenaufrufen.
2. Scannen, was die Website wirklich setzt. Mit der Bestellung startet der erste Scan. Nach der Freigabe läuft er automatisch am Ersten jedes Monats, bei Bedarf startet ihn jemand von Hand. Gefundene Cookies werden den Diensten zugeordnet, deren Skripte sie setzen. Was übrig bleibt, erscheint als „Nicht zugeordnete Cookies".
3. Dienste aus der Vorlagenbibliothek übernehmen. Für gängige Dienste wie Google Analytics, Google Maps oder YouTube wählt das Team einen Eintrag aus der Vorlagenbibliothek; Anbieter, Zweck und die dokumentierten Cookies kommen mit. Was die Bibliothek nicht kennt, wird als eigener Dienst angelegt. Jeder Dienst gehört zu einer der Kategorien Notwendig, Präferenzen, Statistik oder Marketing und lässt sich mit seiner Verarbeitungstätigkeit und seinem Datenverarbeitungssystem verknüpfen.
4. Design und Einbindung festlegen. Layout und Farben gelten für den ganzen Banner, die Texte werden je Sprache gepflegt, eine Vorschau zeigt den Banner wie auf der Website. „Alle ablehnen" und „Alle akzeptieren" stehen auf der ersten Ebene gleichwertig nebeneinander. Die IT fügt ein Skript in den Kopfbereich jeder Seite ein, markiert einwilligungspflichtige Skripte mit ihrer Kategorie und lässt eingebettete Videos und Karten bis zur Einwilligung durch einen Platzhalter ersetzen. Der nächste Scan prüft die Einbindung.
5. Freigeben und versionieren. Freigeben lässt sich der Banner erst, wenn er auf Datenschutzerklärung und Impressum verlinkt und jeder Dienst seinen Zweck in jeder Sprache nennt. Jede Freigabe erzeugt eine Version; bei wesentlichen Änderungen lassen sich alle Besuchenden erneut um Einwilligung bitten. Das Kapitel „Cookie-Erklärung" der Datenschutzerklärung übernimmt die zuletzt freigegebene Version.
6. Einwilligungen nachweisen. Jede Entscheidung wird mit Zeitpunkt, Version und Auswahl gespeichert, die IP-Adresse gekürzt. Die Nachweise lassen sich nach Zeitraum, Version, Entscheidung und Domain filtern und als CSV exportieren.
Wie das Team zusammenarbeitet
Das Marketing muss einen neuen Dienst nicht mehr auf Zuruf melden, der nächste Scan zeigt das neue Cookie. Die Datenschutzbeauftragte prüft Zuordnung, Kategorie und Zweck und verknüpft den Dienst mit der Verarbeitungstätigkeit. Offene Punkte gehen als Aufgabe mit Fälligkeit an die IT, die das Skript markiert. Erst danach gibt jemand mit Freigaberecht die neue Version frei. Wer im Herbst fragt, warum ein Dienst seit März im Banner steht, findet die Antwort in den Versionen.
Vorher und nachher im direkten Vergleich
| Kriterium | Vorher: Plugin und Excel-Liste | Nachher: Cookie-Banner in preeco |
|---|---|---|
| Pflegeaufwand | Cookie-Liste und Datenschutzerklärung von Hand nachgezogen | Dienste einmal gepflegt, die Cookie-Erklärung folgt der Freigabe |
| Aktualität | Stand des letzten Relaunchs | Monatlicher Scan, neue Cookies werden als nicht zugeordnet gemeldet |
| Vollständigkeit | Nur, was das Marketing meldet | Was der Scan findet, plus Cookies aus der Vorlagenbibliothek |
| Nachweisfähigkeit | Entscheidungen in einer Plugin-Tabelle, kein Export | Einwilligungsnachweise mit Version und Auswahl, CSV-Export |
| Versionen | Kein früherer Stand rekonstruierbar | Jede Freigabe erzeugt eine Version |
| Zusammenarbeit | Zuruf zwischen Marketing, Agentur und Datenschutz | Aufgaben, Freigabe und Verknüpfung mit Verarbeitungstätigkeiten |
| Auskunft an Behörden und Kunden | Screenshots des Banners | Version, Cookie-Erklärung und Nachweise für den gefragten Zeitraum |
| Ausfallrisiko | Wissen liegt bei der Agentur | Dienste, Zwecke und Historie liegen im System |
In der Praxis
So sieht das in preeco | datenschutz aus
Die drei Bausteine, die den beschriebenen Prozess tragen.
Scan und Vorlagenbibliothek
Der Scan findet die Cookies Ihrer Website und ordnet sie den Diensten zu, deren Skripte sie setzen. Dienste kommen mit ihren dokumentierten Cookies aus der Vorlagenbibliothek oder werden selbst angelegt.
Freigabe und Einwilligungsnachweise
Jede Freigabe erzeugt eine Version, auf die sich jeder Einwilligungsnachweis bezieht. Die Nachweise lassen sich filtern und als CSV exportieren, das Kapitel „Cookie-Erklärung" folgt der letzten Freigabe.
Verarbeitungstätigkeiten und Systeme
Jeder Dienst im Banner lässt sich mit der Verarbeitungstätigkeit und dem Datenverarbeitungssystem verknüpfen, die ihn dokumentieren. So hängen Website und Verzeichnis zusammen.
Was der Umstieg praktisch bedeutet
Der Wechsel beginnt nicht mit einem leeren Banner, sondern mit einem Scan. Er zeigt, was die Website heute tatsächlich setzt, und damit meist auch, wie weit Excel-Liste und Wirklichkeit auseinanderliegen. Die gefundenen Cookies werden Diensten zugeordnet, die Zwecke in allen Sprachen ergänzt, dann folgt die erste Freigabe. Erst danach wird das alte Plugin entfernt, damit die Website zu keinem Zeitpunkt ohne Banner ist.
Der größere Teil der Arbeit ist inhaltlich: Welche Dienste braucht die Website wirklich, in welche Kategorie gehört das Chat-Widget, und wer entscheidet künftig, ob ein neues Skript eingebaut wird? Klären Sie das vor der ersten Freigabe, nicht danach.
Drei Fehler, die den Umstieg unnötig schwer machen
Das alte Plugin parallel weiterlaufen lassen. Zwei Banner auf einer Seite fragen doppelt und blockieren unzuverlässig. Entfernen Sie das alte Tool in derselben Änderung, mit der das neue Skript eingebunden wird.
Nur das Skript einbinden, aber nichts markieren. Der Banner blockiert sicher nur, was als einwilligungspflichtig gekennzeichnet ist. Skripte und eingebettete Inhalte ohne Kennzeichnung laden weiter wie bisher; die Prüfung der Einbindung nach dem nächsten Scan zeigt, wo das noch der Fall ist.
Die Datenschutzerklärung weiter von Hand pflegen. Wer den alten Cookie-Abschnitt stehen lässt, hat wieder zwei Stände. Ersetzen Sie ihn durch das Kapitel „Cookie-Erklärung" und geben Sie nach jeder Freigabe des Banners auch die Datenschutzerklärung neu frei.
Woran Sie erkennen, dass es Zeit ist
Ein Plugin ist nicht per se falsch. Zeit für den Wechsel ist es, wenn einer dieser Punkte zutrifft:
- Niemand im Haus kann sagen, ob Ihr Banner Cookies bis zur Einwilligung blockiert oder nur auflistet.
- Die Cookie-Liste ist älter als die letzte Marketing-Kampagne.
- Neue Dienste kommen über Agentur oder Marketing auf die Website, ohne dass der Datenschutz davon erfährt.
- Sie könnten für einen bestimmten Tag nicht zeigen, welche Version des Banners galt.
- Kunden oder Auditoren fragen, wie Einwilligungen auf Ihrer Website dokumentiert werden.
FAQ
Häufige Fragen zu Cookie-Banner und Einwilligung
Ja. § 25 TDDDG verlangt für nicht unbedingt erforderliche Zugriffe auf das Endgerät eine Einwilligung, die sich nach der DSGVO richtet. Nach Art. 7 Abs. 1 DSGVO muss der Verantwortliche nachweisen können, dass eingewilligt wurde. Praktisch heißt das: Zeitpunkt, Version des Banners und Auswahl der Besuchenden müssen sich belegen lassen.
Cookies, die unbedingt erforderlich sind, damit ein ausdrücklich gewünschter Dienst bereitgestellt werden kann, etwa für Warenkorb, Login oder die Speicherung der Cookie-Entscheidung selbst (§ 25 Abs. 2 Nr. 2 TDDDG). Im Banner stehen sie in der Kategorie Notwendig, die sich nicht abwählen lässt. Statistik- und Marketing-Dienste brauchen in aller Regel eine Einwilligung.
Eine feste gesetzliche Frist gibt es nicht; der Nachweis muss möglich sein, solange Sie sich auf die Einwilligung stützen und mit Rückfragen rechnen müssen. In preeco | datenschutz werden die Nachweise zwölf Monate nach der Entscheidung aufbewahrt, gegen Aufpreis 36 Monate. Gilt eine Einwilligung länger, verlängert sich die Aufbewahrung bis zu ihrem Ablauf.
Der Cookie-Banner ist ein kostenpflichtiges Add-on zu preeco | datenschutz und wird je Banner gebucht. Der Tarif richtet sich nach den monatlichen Seitenaufrufen der Website, ein Banner deckt bis zu drei Domains ab. Wird das Kontingent überschritten, läuft der Banner weiter und speichert alle Einwilligungen; bei dauerhafter Überschreitung wird der Tarif angepasst, das kündigen wir vorher an. Die aktuellen Konditionen nennen wir Ihnen im Beratungstermin.
Inhaltlich ja, denn die Cookie-Erklärung muss den Diensten im Banner entsprechen. In preeco | datenschutz übernimmt das Kapitel mit den Stammdaten „Cookie-Erklärung" automatisch die zuletzt freigegebene Version des Banners. In der veröffentlichten Datenschutzerklärung erscheint sie mit deren nächster Freigabe; die Übersicht des Banners zeigt, ob beide auf demselben Stand sind.
Ihre Website gemeinsam prüfen
Bringen Sie Ihre aktuelle Cookie-Liste mit. In 30 Minuten zeigen wir, wie Scan, Freigabe und Einwilligungsnachweise in preeco | datenschutz zusammenspielen.