Gilt die Cookie-Einwilligung auch für localStorage, Pixel und Fingerprinting?

Ja. Die EU-Cookie-Regel in Artikel 5 Absatz 3 der ePrivacy-Richtlinie erwähnt Cookies überhaupt nicht. Sie erfasst das Speichern von Informationen auf dem Endgerät eines Nutzers und den Zugriff auf Informationen, die dort bereits gespeichert sind, gleich mit welcher Technologie. localStorage, IndexedDB, Tracking-Pixel und Fingerprinting-Skripte fallen allesamt darunter, und der Europäische Datenschutzausschuss hat das in seinen Leitlinien 2/2023 bestätigt.

Was sagt das Gesetz eigentlich?

Nach Artikel 5 Absatz 3 ist es nur mit Einwilligung des Nutzers zulässig, Informationen in seinem Endgerät zu speichern oder auf dort bereits gespeicherte Informationen zuzugreifen, und zwar nachdem er klar und umfassend informiert wurde. Es gibt zwei Ausnahmen: Speichern oder Zugriff, die allein der Übertragung einer Nachricht dienen, und Speichern oder Zugriff, die unbedingt erforderlich sind, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.

Das Wort „Cookie“ kommt nur in den Erwägungsgründen vor, und zwar als Beispiel. Die Pflicht selbst wird dadurch bestimmt, was auf dem Endgerät geschieht, nicht durch den Mechanismus. Deshalb ist „Cookie-Gesetz“ eine irreführende Bezeichnung, und deshalb fallen Tracking-Daten nicht aus dem Anwendungsbereich des Gesetzes, nur weil sie nicht mehr in Cookies liegen. Wie diese Regel mit der DSGVO zusammenwirkt, lesen Sie unter ePrivacy-Richtlinie vs. DSGVO.

Was haben die EDSA-Leitlinien 2/2023 klargestellt?

Der EDSA hat die Leitlinien 2/2023 veröffentlicht, um Streitfragen zum technischen Anwendungsbereich von Artikel 5 Absatz 3 zu klären, und sie 2024 finalisiert. Die Leitlinien zerlegen die Regel in einzelne Elemente und legen jedes davon weit aus.

• Informationen sind beliebige Informationen, nicht nur personenbezogene Daten. Auch eine zufällige Kennung oder eine Geräteeinstellung zählt.
• Endgerät ist jedes Gerät, das sich mit einem Netz verbindet: Laptop, Smartphone, Smart-TV oder vernetztes Auto.
• Speichern umfasst jeden Schreibvorgang auf dem Gerät, ob in Cookies, im Browserspeicher, im Cache oder in Dateien.
• Zugriff liegt immer dann vor, wenn eine Stelle Schritte unternimmt, um Informationen vom Gerät zu erhalten. Schon die Anweisung an den Browser, Informationen zu senden, zählt, auch wenn niemand den Speicher direkt ausliest.

Der letzte Punkt ist der wichtigste. Nach dieser Lesart verschafft sich ein Skript Zugriff, wenn es den Browser nach Bildschirmauflösung, installierten Schriftarten oder Grafik-Fingerprint fragt, und ebenso ein Bild-Tag, das den Browser veranlasst, einen Request mit Kennungen zu senden.

Der EDSA geht außerdem konkrete Anwendungsfälle durch, darunter Tracking-Pixel, Tracking-Links, lokal verarbeitete und anschließend zurückgesendete Daten, einige Formen des IP-basierten Trackings, vernetzte Geräte und eindeutige Kennungen. Die Frage ist jedes Mal dieselbe: Hat jemand veranlasst, dass Informationen auf dem Gerät des Nutzers gespeichert oder von dort gesendet werden?

Welche Technologien brauchen eine Einwilligung?

Wenden Sie auf jede Technologie denselben Test an: Wenn sie Informationen auf dem Gerät speichert oder ausliest und nicht unbedingt erforderlich ist für etwas, das der Nutzer angefordert hat, braucht sie eine Einwilligung.

Technologie	Fällt unter Artikel 5 Absatz 3?	Typische einwilligungspflichtige Nutzung
HTTP- und JavaScript-Cookies	Ja	Kennungen für Analyse und Werbung
localStorage und sessionStorage	Ja	Client-IDs für Analysen, Puffer für Session Replay
IndexedDB und Cache Storage	Ja	Zwischengespeicherte Werbe- oder Tracking-Daten
Tracking-Pixel (Web und E-Mail)	Ja, laut EDSA	Conversion-Tracking, Tracking von E-Mail-Öffnungen
Fingerprinting-Skripte	Ja, laut EDSA	Websiteübergreifende Identifizierung ohne Cookies
Tracking-Parameter in Links	Möglich, je nachdem, wie die Kennung gesetzt und ausgelesen wird	Klick- und Kampagnenattribution

Die Tabelle ist ein Ausgangspunkt, kein Urteil. Ein Pixel, das nur ein dekoratives Bild lädt, trackt nichts, während ein „cookieloses“ Analyseskript, das einen stabilen Geräte-Hash bildet, in der Regel sehr wohl trackt.

Gilt die Ausnahme für unbedingt erforderliche Zwecke weiterhin?

Ja, und auch sie ist technologieneutral. Ist etwas unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen, dürfen Sie es ohne Einwilligung speichern oder auslesen, unabhängig vom Speichermechanismus.

Typische Beispiele im localStorage:

// Unbedingt erforderlich: Der Nutzer hat diese Funktionen angefordert
localStorage.setItem('cart', JSON.stringify(cartItems));
localStorage.setItem('locale', 'de');
localStorage.setItem('consent', JSON.stringify(choices)); // die Entscheidung selbst speichern

// Einwilligungspflichtig: identifiziert das Gerät für Analyse oder Werbung
localStorage.setItem('analytics_client_id', crypto.randomUUID());

Entscheidend ist der Zweck, nicht die Technologie. Derselbe Schlüssel kann in einer Verwendung ausgenommen und in einer anderen einwilligungspflichtig sein. Verwenden Sie einen notwendigen Wert wie eine Session-ID deshalb nicht für Analysen weiter. Eine ausführlichere Liste finden Sie unter was als unbedingt erforderliches Cookie gilt.

Umgeht Fingerprinting die Einwilligungspflicht?

Nein. Fingerprinting wird oft als Weg vorbei am Cookie-Banner verkauft, beruht aber darauf, Gerätemerkmale über den Browser auszulesen, und das behandelt der EDSA als Zugriff auf Informationen im Endgerät. Es braucht eine Einwilligung, und weil Nutzer einen Fingerprint weder sehen noch löschen können, wie sie es bei Cookies können, betrachten Aufsichtsbehörden es eher als stärkeren Eingriff, nicht als schwächeren.

Dasselbe gilt für „cookielose“ Anbieter, die aus Gerätesignalen eine dauerhafte Kennung bilden. Wenn Sie Analysen ohne Einwilligung wollen, besteht der ehrliche Weg darin, weniger zu erheben: aggregierte Zählungen ohne dauerhafte Kennung. Die Optionen finden Sie unter Cookieless Analytics: Was ohne Einwilligung funktioniert.

Was sollte ich auf meiner Website tun?

Behandeln Sie jede Speicher- oder Zugriffstechnologie so, als wäre sie ein Cookie.

1. Alles erfassen. Ihr Cookie-Audit sollte nicht nur Cookies auflisten, sondern auch Schlüssel in localStorage, sessionStorage und IndexedDB, ausgehende Pixel-Requests und Skripte, die Gerätemerkmale auslesen.
2. Nach Zweck einordnen. Kennzeichnen Sie jeden Eintrag als unbedingt erforderlich oder als Analyse, Marketing oder Funktional, mit denselben Kategorien wie in Ihrem Banner.
3. Vor der Einwilligung blockieren. Halten Sie Skripte und Pixel, die nicht notwendige Daten schreiben oder auslesen, zurück, bis der Nutzer zustimmt. Siehe Drittanbieter-Skripte bis zur Einwilligung blockieren.
4. Offenlegen. Ihre Cookie-Richtlinie sollte auch Technologien jenseits von Cookies nennen, jeweils mit Zweck und Speicherdauer.
5. Bei Ablehnung oder Widerruf aufräumen. Entfernen Sie nicht notwendige Schlüssel aus dem Browserspeicher, wenn ein Nutzer Nein sagt, so wie Sie auch Cookies löschen würden.

Fazit

Die EU-Einwilligungsregeln richten sich danach, was auf dem Endgerät passiert, nicht danach, wie die Technologie heißt. Wenn Sie etwas für Analyse, Werbung oder Tracking speichern oder auslesen, ob in einem Cookie, im localStorage, über ein Pixel oder per Fingerprinting, brauchen Sie zuerst eine Einwilligung. Tools wie Cookiesh scannen Cookies, Speicherschlüssel und Drittanbieter-Requests gemeinsam, sodass Tracking ohne Cookies im selben Inventar auftaucht wie alles andere.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.