So schreiben Sie eine Cookie-Richtlinie: Aufbau und Beispiele

Eine Cookie-Richtlinie ist eine Seite, die Besuchern erklärt, welche Cookies und ähnlichen Technologien Ihre Website verwendet, was jedes davon tut, wer es setzt, wie lange es besteht und wie sie ihre Einwilligung ändern können. Um eine zu schreiben, prüfen Sie die Cookies Ihrer Website, gruppieren sie nach Zweck, dokumentieren jedes in einer Tabelle, erklären die Wahlmöglichkeiten der Besucher in einfacher Sprache und aktualisieren die Richtlinie bei jeder Änderung Ihrer Tags.

Warum brauchen Sie eine Cookie-Richtlinie?

Weil Datenschutzgesetze verlangen, dass Sie Menschen informieren, bevor Sie Informationen auf ihren Endgeräten speichern oder auslesen. Eine Cookie-Richtlinie ist der praktischste Ort, diese Informationen vollständig bereitzustellen, und Ihr Consent-Banner verlinkt darauf.

Mehrere Vorschriften weisen in dieselbe Richtung:

• ePrivacy-Richtlinie, Artikel 5 Absatz 3: Die Einwilligung in Cookies muss auf klaren und umfassenden Informationen beruhen, insbesondere über ihre Zwecke.
• DSGVO: Verarbeiten Cookies personenbezogene Daten, gelten die Transparenzpflichten der DSGVO. Sie müssen also unter anderem mitteilen, wer Sie sind, warum Sie die Daten verarbeiten, wer sie erhält und wie lange Sie sie speichern. Eine Einwilligung ist nur wirksam, wenn sie informiert erfolgt.
• CCPA/CPRA: Unternehmen müssen über die personenbezogenen Informationen, die sie erheben, informieren und erklären, wie Verbraucher dem Verkauf oder der Weitergabe widersprechen können, was häufig Werbe-Cookies betrifft.

Eine Richtlinie ersetzt keine Einwilligung. In der EU und im Vereinigten Königreich liefert sie die Informationen für die Entscheidung, die Ihr Banner einholt.

Was sollte eine Cookie-Richtlinie enthalten?

Sie sollte abdecken, wer Sie sind, was Sie setzen und warum, wer die Daten erhält, wie lange sie gespeichert werden und wie Besucher ihre Auswahl ändern können:

• Wer Sie sind: die verantwortliche Organisation und wie man sie erreicht.
• Was Cookies und ähnliche Technologien sind: einschließlich localStorage, Pixeln und SDKs, sofern Sie diese einsetzen.
• Kategorien und Zwecke: unbedingt erforderlich, Präferenzen, Analyse und Marketing oder die Kategorien, die Ihr Banner verwendet.
• Eine Liste aller Cookies: Name, Anbieter, Kategorie, Zweck, Speicherdauer und ob es sich um ein First-Party- oder Third-Party-Cookie handelt.
• Dritte: die Anbieter, die Daten erhalten, Links zu deren Datenschutzinformationen und etwaige Übermittlungen außerhalb des EWR oder des Vereinigten Königreichs.
• Rechtsgrundlage: Einwilligung für nicht notwendige Cookies und die Ausnahme für unbedingt erforderliche.
• Wie sich die Einwilligung ändern oder widerrufen lässt: ein Link, der Ihre Einwilligungseinstellungen wieder öffnet.
• Browsereinstellungen: ein kurzer Hinweis, dass Nutzer Cookies auch über ihren Browser blockieren oder löschen können.
• US-Widerspruchsrechte, falls relevant: Ihr Link „Do Not Sell or Share My Personal Information“ und wie Sie Global Privacy Control berücksichtigen.
• Das Datum der letzten Aktualisierung.

Wenn Sie unsicher sind, wohin ein Cookie gehört, lesen Sie Cookie-Arten und Was gilt als unbedingt erforderliches Cookie?.

Wie sieht eine gute Gliederung für eine Cookie-Richtlinie aus?

Passen Sie diese Struktur aus zehn Abschnitten an Ihre Website an. Jeder Punkt besteht aus einer Abschnittsüberschrift und einem Beispielsatz.

1. Einleitung. „Diese Richtlinie erklärt, wie die Example Ltd auf example.com Cookies und ähnliche Technologien verwendet und wie Sie diese steuern können.“
2. Was sind Cookies? „Cookies sind kleine Textdateien, die beim Besuch einer Website auf Ihrem Gerät gespeichert werden. Wir verwenden auch ähnliche Technologien wie Local Storage und Pixel, und diese Richtlinie gilt auch für sie.“
3. Wie wir Cookies verwenden. Ein kurzer Absatz pro Kategorie, zum Beispiel: „Analyse-Cookies helfen uns zu verstehen, wie viele Menschen uns besuchen, welche Seiten sie nutzen und woher sie kommen. Wir setzen sie nur, wenn Sie zustimmen.“
4. Von uns verwendete Cookies. Die im nächsten Abschnitt beschriebene Cookie-Tabelle.
5. Dritte. „Einige Cookies werden von Partnern wie unseren Analyse- und Werbeanbietern gesetzt. Diese können die Daten so verwenden, wie es in ihren eigenen, unten verlinkten Datenschutzerklärungen beschrieben ist.“
6. Ihre Wahlmöglichkeiten. „Sie können nicht notwendige Cookies in unserem Banner akzeptieren oder ablehnen und Ihre Entscheidung jederzeit über ‚Cookie-Einstellungen‘ im Footer ändern.“
7. Browsereinstellungen. „Die meisten Browser ermöglichen es, Cookies zu blockieren oder zu löschen. Wenn Sie unbedingt erforderliche Cookies blockieren, funktionieren möglicherweise Teile der Website nicht mehr.“
8. Ihre Datenschutzrechte in den USA (falls zutreffend). „Um dem Verkauf oder der Weitergabe Ihrer personenbezogenen Informationen zu widersprechen, nutzen Sie den Link ‚Do Not Sell or Share My Personal Information‘. Global-Privacy-Control-Signale behandeln wir ebenfalls als gültigen Opt-out-Antrag.“
9. Änderungen dieser Richtlinie. „Wir aktualisieren diese Richtlinie, wenn sich unsere Verwendung von Cookies ändert. Zuletzt aktualisiert: [Datum].“
10. Kontakt. „Fragen zu dieser Richtlinie? Schreiben Sie an privacy@example.com.“

Wie sieht eine gute Cookie-Tabelle aus?

In einer guten Tabelle findet ein Besucher jedes Cookie und versteht es anhand einer einzigen Zeile. Verwenden Sie dieselben Kategorienamen wie in Ihrem Banner und beschreiben Sie jeden Zweck konkret.

Name	Anbieter	Kategorie	Zweck	Speicherdauer	Typ
session_id	example.com	Unbedingt erforderlich	Hält Sie angemeldet	Sitzung	First-Party
cart	example.com	Unbedingt erforderlich	Merkt sich die Artikel in Ihrem Warenkorb	7 Tage	First-Party
consent_state	example.com	Unbedingt erforderlich	Speichert Ihre Cookie-Auswahl	12 Monate	First-Party
lang	example.com	Präferenzen	Merkt sich Ihre Sprache	12 Monate	First-Party
_ga	Google Analytics	Analyse	Unterscheidet Besucher für Nutzungsstatistiken	2 Jahre (Standard)	First-Party, gesetzt durch das Google-Skript
ad_uid	Example Ads Network	Marketing	Misst Werbe-Conversions und erstellt Interessenprofile	90 Tage	Third-Party

Diese Zeilen dienen nur zur Veranschaulichung. Ihre tatsächlichen Namen und Speicherdauern stammen aus Ihrem eigenen Scan, und die Speicherdauer von Anbieter-Cookies kann je nach Konfiguration variieren.

Wie schreiben Sie eine Cookie-Richtlinie in einfacher Sprache?

Schreiben Sie für Besucher, nicht für Aufsichtsbehörden. Kurze Sätze und konkrete Zwecke sind leichter zu lesen und tragen mehr zur Transparenz bei als juristische Textbausteine.

• Ersetzen Sie vage Formulierungen wie „um Ihr Erlebnis zu verbessern“ durch das, was tatsächlich passiert, etwa „um Besuche zu zählen und zu sehen, welche Seiten beliebt sind“.
• Beginnen Sie mit einer kurzen Zusammenfassung für alle, die nicht die ganze Seite lesen.
• Behaupten Sie nicht, Sie würden „niemals Daten weitergeben“, wenn Marketing-Pixel Kennungen an Werbeplattformen senden.
• Machen Sie Tabellen auf Mobilgeräten lesbar, zum Beispiel mit horizontalem Scrollen oder gestapelten Karten.

Wie halten Sie eine Cookie-Richtlinie aktuell?

Behandeln Sie die Richtlinie als lebendes Dokument, das an Ihr Tag-Inventar gekoppelt ist. Cookies ändern sich jedes Mal, wenn jemand ein Tool hinzufügt, einen Tag-Manager-Container bearbeitet oder neue Inhalte einbettet.

Planen Sie regelmäßige Scans ein und zusätzlich einen bei jeder neuen Funktion und jedem neuen Anbieter. Unser Leitfaden zum Cookie-Audit führt durch den Ablauf. Taucht ein neuer Zweck auf, aktualisieren Sie Banner und Richtlinie und holen Sie die Einwilligung erneut ein, wenn die Änderung das betrifft, dem Besucher zugestimmt haben.

Seien Sie vorsichtig bei generischen Vorlagen und Generatoren. Eine Richtlinie, die Cookies aufführt, die Sie nicht verwenden, oder solche auslässt, die Sie verwenden, informiert Besucher falsch und schwächt die Einwilligung, auf die Sie sich stützen.

Fazit

Eine gute Cookie-Richtlinie ist konkret, korrekt und aktuell: auf Grundlage eines echten Audits erstellt, nach Zwecken gegliedert, mit einer übersichtlichen Tabelle und einem einfachen Weg, die Einwilligung zu ändern. Halten Sie sie im Einklang mit Ihrem Banner und Ihren Tags. Tools wie Cookiesh können Cookie-Scans automatisieren, damit das Inventar hinter Ihrer Richtlinie auf dem neuesten Stand bleibt.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.