Die Cookie-Leitlinien der französischen CNIL: Was Publisher wissen müssen
Warum die CNIL auch außerhalb Frankreichs wichtig ist
Die französische Datenschutzbehörde CNIL gehört zu den aktivsten Durchsetzern von Cookie-Regeln in Europa. Ihre Leitlinien haben geprägt, wie viele Publisher in der EU ihre Banner gestalten, und ihre Entscheidungen werden von Ad-Ops- und Rechtsteams genau beobachtet. Wenn Sie Besucher in Frankreich bedienen oder einfach einen praxisnahen Maßstab für die Erwartungen einer strengen Aufsichtsbehörde suchen, lohnt es sich, den Ansatz der CNIL im Detail zu verstehen.
Die Rechtsgrundlage
Die französischen Cookie-Regeln verbinden zwei Ebenen. Die ePrivacy-Vorschriften, die in französisches Recht umgesetzt wurden, verlangen eine Einwilligung, bevor Informationen auf dem Gerät eines Besuchers gespeichert oder von dort gelesen werden, sofern keine Ausnahme greift. Die DSGVO definiert dann, was eine gültige Einwilligung ausmacht: freiwillig, für den bestimmten Fall, in informierter Weise und unmissverständlich. Die CNIL veröffentlichte im September 2020 aktualisierte Leitlinien und eine Empfehlung und räumte den Organisationen eine Übergangsfrist ein, bevor die Durchsetzung im Frühjahr 2021 begann.
Die zentralen Erwartungen
- Ablehnen muss so einfach sein wie Akzeptieren. Wenn die erste Ebene eine Schaltfläche zum Akzeptieren bietet, sollte sie eine vergleichbar einfache Möglichkeit zum Ablehnen bieten, etwa eine gut sichtbare Ablehnen-Schaltfläche auf derselben Ebene.
- Keine Einwilligung durch fortgesetztes Surfen. Scrollen, Klicken an anderer Stelle der Seite oder einfach die weitere Nutzung der Website ist keine gültige Entscheidung.
- Keine vorangekreuzten Kästchen. Zwecke müssen deaktiviert sein, bis der Besucher sie aktiviert.
- Spezifische, granulare Auswahl. Besucher sollten nach Zweck wählen können, mit verständlichen Beschreibungen.
- Namentlich genannte Drittanbieter. Wer Cookies setzen wird, sollte aus dem Banner oder seiner zweiten Ebene erkennbar sein.
- Widerruf so einfach wie die Einwilligung. Üblich ist ein dauerhafter Link oder ein Symbol, das die Auswahl wieder öffnet.
Gültigkeitsdauer der Einwilligung und Lebensdauer von Cookies
Die CNIL empfiehlt, eine erfasste Entscheidung, ob Zustimmung oder Ablehnung, nur für einen begrenzten Zeitraum zu speichern und Besucher nach etwa sechs Monaten erneut zu fragen. Davon getrennt hat sie Grenzen für die Lebensdauer bestimmter Tracking-Kennungen empfohlen. Betrachten Sie dies als die erklärten Erwartungen der Behörde und prüfen Sie den aktuellen Wortlaut der Empfehlung, wenn Sie Ihre eigenen Laufzeiten festlegen, da Leitlinien überarbeitet werden können.
Die Ausnahme für Reichweitenmessung
Die CNIL hat Bedingungen formuliert, unter denen einige Analysetools ohne Einwilligung laufen dürfen. Das Tool muss für streng begrenzte Zwecke eingesetzt werden, etwa zur Messung von Reichweite und Leistung Ihrer eigenen Website, und darf Daten weder mit anderen Verarbeitungen verknüpfen noch Nutzer websiteübergreifend verfolgen. Viele gängige Analysekonfigurationen erfüllen diese Bedingungen standardmäßig nicht. Gehen Sie nicht davon aus, dass Ihr Analyseanbieter sie erfüllt; prüfen Sie seine Konfiguration anhand der von der CNIL veröffentlichten Kriterien.
Worauf die CNIL in der Praxis achtet
- Zeigt das Banner eine Ablehnen-Option auf derselben Ebene wie Akzeptieren?
- Werden nicht notwendige Cookies und Skripte tatsächlich zurückgehalten, bis eine Einwilligung vorliegt?
- Erscheinen nach einer Ablehnung weiterhin Tracking-Cookies? Die CNIL kann das technisch überprüfen.
- Kann ein Besucher seine Meinung jederzeit ändern?
- Sind Wortwahl und Gestaltung neutral, ohne optische Tricks, die zur Zustimmung drängen?
Eine praktische Prüfroutine
Öffnen Sie Ihre Website in einem sauberen Browserprofil mit französischer IP-Adresse oder Regionseinstellung, lehnen Sie alles ab und untersuchen Sie Speicher und Netzwerkanfragen. Akzeptieren Sie dann nur einen Zweck und wiederholen Sie den Test. Wenn nach einer Ablehnung Tracker geladen werden, liegt das Problem fast immer an einem fest eingebauten Tag außerhalb Ihrer Consent-Tools. Beheben Sie das zuerst, denn genau solche Probleme kann eine Aufsichtsbehörde in wenigen Minuten nachvollziehen.
So hilft FlexyConsent
FlexyConsent ist von IAB Europe und IAB Canada zertifiziert, ein von Google zertifiziertes CMP (ID 317), unterstützt IAB TCF 2.4 und Google Consent Mode v2 und zeigt das Banner in 57 Sprachen an, darunter Französisch. Es deckt die EU/den EWR und das Vereinigte Königreich ab, sodass ein einziges Setup französische Besucher zusammen mit dem Rest Ihres Publikums bedienen kann.
Die wichtigsten Erkenntnisse
- Die CNIL erwartet, dass Ablehnen so einfach ist wie Akzeptieren, ohne Einwilligung durch Scrollen oder fortgesetztes Surfen.
- Die Auswahl sollte granular sein, mit namentlich genannten Drittanbietern und einer einfachen Möglichkeit zum Widerruf.
- Nach einem begrenzten Zeitraum erneut fragen; die CNIL nennt etwa sechs Monate.
- Die Ausnahme für Reichweitenmessung ist eng gefasst, also prüfen Sie Ihr Analyse-Setup, statt es vorauszusetzen.
- Testen Sie, indem Sie alles ablehnen und kontrollieren, dass Tracker wirklich ausbleiben.