Warum die Ausnahme wichtig ist

Nach der ePrivacy-Richtlinie (Artikel 5 Absatz 3) erfordert das Speichern oder Auslesen von Informationen auf dem Endgerät eines Nutzers normalerweise eine vorherige Einwilligung. Es gibt zwei Ausnahmen, und die, auf die sich Publisher am häufigsten berufen, betrifft Speichervorgänge, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen. Alles, was nicht unter diese Ausnahme fällt, gehört hinter Ihr Consent-Banner.

Viele Websites dehnen diese Ausnahme auf Analytics, A/B-Tests, Frequency Capping bei Anzeigen und Personalisierung aus. Die Aufsichtsbehörden haben dieser Lesart wiederholt widersprochen, deshalb lohnt es sich, genau zu verstehen, wo die Grenze verläuft.

Der zweistufige Test

Bei der Ausnahme geht es nicht darum, was für Sie bequem ist. Sie stellt zwei Fragen:

1. Hat der Nutzer den Dienst ausdrücklich angefordert? Das Laden eines Artikels ist eine Anforderung. Das Hinzufügen eines Artikels zum Warenkorb ist eine Anforderung. Das Öffnen eines Chat-Widgets, das Sie auf jeder Seite aufdrängen, ist keine.
2. Ist die Speicherung unbedingt erforderlich, um genau diesen Dienst zu erbringen? Wenn der Dienst auch ohne das Cookie oder die Kennung funktionieren würde, wenn auch weniger komfortabel, ist die Speicherung wahrscheinlich nicht unbedingt erforderlich.

Beachten Sie, dass „notwendig für unser Geschäftsmodell“ nicht dasselbe ist wie „notwendig für den Dienst, den der Nutzer angefordert hat“. Werbeeinnahmen halten eine kostenlose Website am Leben, aber Kennungen für Ad-Targeting werden nicht benötigt, um einen Artikel anzuzeigen.

Üblicherweise akzeptierte Beispiele

• Sitzungs- und Authentifizierungs-Cookies, die einen angemeldeten Nutzer während einer Sitzung angemeldet halten.
• Warenkorb-Cookies, die Artikel merken, während der Nutzer zur Kasse geht.
• Load-Balancing-Kennungen, die eine Anfrage an den richtigen Server leiten.
• Sicherheits-Cookies, die wiederholte fehlgeschlagene Anmeldungen erkennen oder vor gefälschten Anfragen schützen.
• Der Einwilligungsnachweis selbst, denn das Merken der Entscheidung des Nutzers ist erforderlich, um sie zu beachten.
• Oberflächeneinstellungen, die der Nutzer bewusst gewählt hat, etwa die Sprache, sofern sie für die Sitzung oder auf Wunsch des Nutzers gespeichert werden.

Häufig falsch eingestufte Beispiele

• Analytics-Cookies. Einige Behörden erlauben unter engen Bedingungen eine begrenzte, datenschutzfreundliche Reichweitenmessung, aber gängige Analytics-Tags erfordern in der Regel eine Einwilligung. Prüfen Sie die Hinweise der Behörde, die für Ihr Publikum zuständig ist.
• Werbe- und Retargeting-Kennungen. Diese werden nie benötigt, um den Inhalt selbst auszuliefern.
• Social-Sharing-Buttons und eingebettete Widgets, die beim Laden der Seite Drittanbieter-Cookies setzen.
• A/B-Tests und Personalisierung, die der Nutzer nicht angefordert hat.
• Frequency Capping bei Anzeigen. Es verbessert die Nutzererfahrung, ist aber für die Auslieferung der Seite nicht erforderlich.

Laufzeit und Umfang zählen weiterhin

Ein Cookie, das tatsächlich unverzichtbar ist, kann trotzdem problematisch werden, wenn es länger lebt oder mehr erfasst, als die Funktion braucht. Ein Sitzungs-Cookie, das ein Jahr lang bestehen bleibt, oder ein Sicherheits-Cookie, das zusätzlich ein Marketingprofil schreibt, verliert seinen Schutz. Halten Sie die Laufzeit kurz und den Inhalt minimal.

Dokumentieren Sie Ihre Begründung

Halten Sie für jedes Cookie und jeden Speichereintrag, den Sie als unbedingt erforderlich einstufen, drei Dinge fest: die vom Nutzer gewünschte Funktion, die es unterstützt, warum diese Funktion ohne es nicht funktionieren würde, und seine Laufzeit. Eine kurze Tabelle neben Ihrem Cookie-Inventar genügt. Hinterfragen Sie bei jeder Überprüfung der Liste jeden Eintrag: Wenn das einzige Argument „das haben wir schon immer so gemacht“ lautet, verschieben Sie ihn hinter die Einwilligung.

Die Ausnahme gilt auch für mehr als Cookies. Local Storage, Session Storage, Device Fingerprinting und SDK-Kennungen in Apps unterliegen derselben Logik von Artikel 5 Absatz 3, beziehen Sie sie also in Ihre Überprüfung ein.

Wo FlexyConsent ins Spiel kommt

FlexyConsent ist eine von Google zertifizierte CMP (CMP ID 317), von IAB Europe und IAB Canada zertifiziert, und bietet das Banner in 57 Sprachen an. Mit einer CMP können Sie nicht notwendige Tags zurückhalten, bis der Nutzer gewählt hat, während Ihre wirklich unverzichtbaren Elemente weiter geladen werden. Welcher Kategorie jedes Cookie angehört, entscheiden weiterhin Sie, halten Sie Ihre dokumentierte Begründung also aktuell.

Wichtigste Erkenntnisse

• Die Ausnahme deckt Speicherung ab, die für einen vom Nutzer ausdrücklich angeforderten Dienst unbedingt nötig ist, nicht Speicherung, die für Ihre Einnahmen nötig ist.
• Sitzungs-, Warenkorb-, Load-Balancing-, Sicherheits- und Einwilligungsnachweis-Cookies sind die typischen Beispiele.
• Analytics, Werbung, Social-Widgets und Personalisierung erfordern in der Regel eine Einwilligung.
• Laufzeit und Inhalt zählen: Halten Sie unverzichtbare Cookies kurzlebig und minimal.
• Wenden Sie denselben Test auf Local Storage, Session Storage und App-Kennungen an.
• Dokumentieren Sie die Begründung für jeden als unbedingt erforderlich eingestuften Eintrag und überprüfen Sie sie regelmäßig.