# So schreiben Sie eine Cookie-Richtlinie: Aufbau und Beispiele

> Praxisleitfaden für Ihre Cookie-Richtlinie: was das Gesetz erwartet, eine Gliederung nach Abschnitten, eine Beispieltabelle und Tipps, damit sie aktuell bleibt.

Source: https://www.cookiesh.eu/de/blog/how-to-write-a-cookie-policy  
Published: 2026-04-28

## Key takeaways

- Eine Cookie-Richtlinie erklärt, welche Cookies und ähnlichen Technologien eine Website verwendet, warum, wer sie setzt, wie lange sie bestehen und wie sich die Einwilligung ändern lässt.
- Schreiben Sie die Richtlinie auf Grundlage eines echten Cookie-Audits, nicht anhand einer generischen Vorlage, denn ungenaue Angaben untergraben die eingeholte Einwilligung.
- Führen Sie jedes Cookie mit Name, Anbieter, Kategorie, Zweck, Speicherdauer und der Angabe auf, ob es ein First-Party- oder Third-Party-Cookie ist.
- Verwenden Sie in Banner und Richtlinie dieselben Kategorienamen und verlinken Sie die Richtlinie auf der ersten Ebene des Banners.
- Aktualisieren Sie die Richtlinie bei jeder Änderung Ihrer Tags und geben Sie das Datum der letzten Aktualisierung an.

Eine Cookie-Richtlinie ist eine Seite, die Besuchern erklärt, welche Cookies und ähnlichen Technologien Ihre Website verwendet, was jedes davon tut, wer es setzt, wie lange es besteht und wie sie ihre Einwilligung ändern können. Um eine zu schreiben, prüfen Sie die Cookies Ihrer Website, gruppieren sie nach Zweck, dokumentieren jedes in einer Tabelle, erklären die Wahlmöglichkeiten der Besucher in einfacher Sprache und aktualisieren die Richtlinie bei jeder Änderung Ihrer Tags.

## Warum brauchen Sie eine Cookie-Richtlinie?

Weil Datenschutzgesetze verlangen, dass Sie Menschen informieren, bevor Sie Informationen auf ihren Endgeräten speichern oder auslesen. Eine Cookie-Richtlinie ist der praktischste Ort, diese Informationen vollständig bereitzustellen, und Ihr Consent-Banner verlinkt darauf.

Mehrere Vorschriften weisen in dieselbe Richtung:

- **ePrivacy-Richtlinie, Artikel 5 Absatz 3:** Die Einwilligung in Cookies muss auf klaren und umfassenden Informationen beruhen, insbesondere über ihre Zwecke.
- **DSGVO:** Verarbeiten Cookies personenbezogene Daten, gelten die Transparenzpflichten der DSGVO. Sie müssen also unter anderem mitteilen, wer Sie sind, warum Sie die Daten verarbeiten, wer sie erhält und wie lange Sie sie speichern. Eine Einwilligung ist nur wirksam, wenn sie informiert erfolgt.
- **CCPA/CPRA:** Unternehmen müssen über die personenbezogenen Informationen, die sie erheben, informieren und erklären, wie Verbraucher dem Verkauf oder der Weitergabe widersprechen können, was häufig Werbe-Cookies betrifft.

Eine Richtlinie ersetzt keine Einwilligung. In der EU und im Vereinigten Königreich liefert sie die Informationen für die Entscheidung, die Ihr Banner einholt.

## Was sollte eine Cookie-Richtlinie enthalten?

Sie sollte abdecken, wer Sie sind, was Sie setzen und warum, wer die Daten erhält, wie lange sie gespeichert werden und wie Besucher ihre Auswahl ändern können:

- **Wer Sie sind:** die verantwortliche Organisation und wie man sie erreicht.
- **Was Cookies und ähnliche Technologien sind:** einschließlich localStorage, Pixeln und SDKs, sofern Sie diese einsetzen.
- **Kategorien und Zwecke:** unbedingt erforderlich, Präferenzen, Analyse und Marketing oder die Kategorien, die Ihr Banner verwendet.
- **Eine Liste aller Cookies:** Name, Anbieter, Kategorie, Zweck, Speicherdauer und ob es sich um ein First-Party- oder Third-Party-Cookie handelt.
- **Dritte:** die Anbieter, die Daten erhalten, Links zu deren Datenschutzinformationen und etwaige Übermittlungen außerhalb des EWR oder des Vereinigten Königreichs.
- **Rechtsgrundlage:** Einwilligung für nicht notwendige Cookies und die Ausnahme für unbedingt erforderliche.
- **Wie sich die Einwilligung ändern oder widerrufen lässt:** ein Link, der Ihre Einwilligungseinstellungen wieder öffnet.
- **Browsereinstellungen:** ein kurzer Hinweis, dass Nutzer Cookies auch über ihren Browser blockieren oder löschen können.
- **US-Widerspruchsrechte, falls relevant:** Ihr Link „Do Not Sell or Share My Personal Information“ und wie Sie Global Privacy Control berücksichtigen.
- **Das Datum der letzten Aktualisierung.**

Wenn Sie unsicher sind, wohin ein Cookie gehört, lesen Sie [Cookie-Arten](/de/blog/types-of-cookies) und [Was gilt als unbedingt erforderliches Cookie?](/de/blog/strictly-necessary-cookies).

## Wie sieht eine gute Gliederung für eine Cookie-Richtlinie aus?

Passen Sie diese Struktur aus zehn Abschnitten an Ihre Website an. Jeder Punkt besteht aus einer Abschnittsüberschrift und einem Beispielsatz.

1. **Einleitung.** „Diese Richtlinie erklärt, wie die Example Ltd auf example.com Cookies und ähnliche Technologien verwendet und wie Sie diese steuern können.“
2. **Was sind Cookies?** „Cookies sind kleine Textdateien, die beim Besuch einer Website auf Ihrem Gerät gespeichert werden. Wir verwenden auch ähnliche Technologien wie Local Storage und Pixel, und diese Richtlinie gilt auch für sie.“
3. **Wie wir Cookies verwenden.** Ein kurzer Absatz pro Kategorie, zum Beispiel: „Analyse-Cookies helfen uns zu verstehen, wie viele Menschen uns besuchen, welche Seiten sie nutzen und woher sie kommen. Wir setzen sie nur, wenn Sie zustimmen.“
4. **Von uns verwendete Cookies.** Die im nächsten Abschnitt beschriebene Cookie-Tabelle.
5. **Dritte.** „Einige Cookies werden von Partnern wie unseren Analyse- und Werbeanbietern gesetzt. Diese können die Daten so verwenden, wie es in ihren eigenen, unten verlinkten Datenschutzerklärungen beschrieben ist.“
6. **Ihre Wahlmöglichkeiten.** „Sie können nicht notwendige Cookies in unserem Banner akzeptieren oder ablehnen und Ihre Entscheidung jederzeit über ‚Cookie-Einstellungen‘ im Footer ändern.“
7. **Browsereinstellungen.** „Die meisten Browser ermöglichen es, Cookies zu blockieren oder zu löschen. Wenn Sie unbedingt erforderliche Cookies blockieren, funktionieren möglicherweise Teile der Website nicht mehr.“
8. **Ihre Datenschutzrechte in den USA** (falls zutreffend). „Um dem Verkauf oder der Weitergabe Ihrer personenbezogenen Informationen zu widersprechen, nutzen Sie den Link ‚Do Not Sell or Share My Personal Information‘. Global-Privacy-Control-Signale behandeln wir ebenfalls als gültigen Opt-out-Antrag.“
9. **Änderungen dieser Richtlinie.** „Wir aktualisieren diese Richtlinie, wenn sich unsere Verwendung von Cookies ändert. Zuletzt aktualisiert: [Datum].“
10. **Kontakt.** „Fragen zu dieser Richtlinie? Schreiben Sie an privacy@example.com.“

## Wie sieht eine gute Cookie-Tabelle aus?

In einer guten Tabelle findet ein Besucher jedes Cookie und versteht es anhand einer einzigen Zeile. Verwenden Sie dieselben Kategorienamen wie in Ihrem Banner und beschreiben Sie jeden Zweck konkret.

| Name | Anbieter | Kategorie | Zweck | Speicherdauer | Typ |
|---|---|---|---|---|---|
| `session_id` | example.com | Unbedingt erforderlich | Hält Sie angemeldet | Sitzung | First-Party |
| `cart` | example.com | Unbedingt erforderlich | Merkt sich die Artikel in Ihrem Warenkorb | 7 Tage | First-Party |
| `consent_state` | example.com | Unbedingt erforderlich | Speichert Ihre Cookie-Auswahl | 12 Monate | First-Party |
| `lang` | example.com | Präferenzen | Merkt sich Ihre Sprache | 12 Monate | First-Party |
| `_ga` | Google Analytics | Analyse | Unterscheidet Besucher für Nutzungsstatistiken | 2 Jahre (Standard) | First-Party, gesetzt durch das Google-Skript |
| `ad_uid` | Example Ads Network | Marketing | Misst Werbe-Conversions und erstellt Interessenprofile | 90 Tage | Third-Party |

Diese Zeilen dienen nur zur Veranschaulichung. Ihre tatsächlichen Namen und Speicherdauern stammen aus Ihrem eigenen Scan, und die Speicherdauer von Anbieter-Cookies kann je nach Konfiguration variieren.

## Wie schreiben Sie eine Cookie-Richtlinie in einfacher Sprache?

Schreiben Sie für Besucher, nicht für Aufsichtsbehörden. Kurze Sätze und konkrete Zwecke sind leichter zu lesen und tragen mehr zur Transparenz bei als juristische Textbausteine.

- Ersetzen Sie vage Formulierungen wie „um Ihr Erlebnis zu verbessern“ durch das, was tatsächlich passiert, etwa „um Besuche zu zählen und zu sehen, welche Seiten beliebt sind“.
- Beginnen Sie mit einer kurzen Zusammenfassung für alle, die nicht die ganze Seite lesen.
- Behaupten Sie nicht, Sie würden „niemals Daten weitergeben“, wenn Marketing-Pixel Kennungen an Werbeplattformen senden.
- Machen Sie Tabellen auf Mobilgeräten lesbar, zum Beispiel mit horizontalem Scrollen oder gestapelten Karten.
## Wie halten Sie eine Cookie-Richtlinie aktuell?

Behandeln Sie die Richtlinie als lebendes Dokument, das an Ihr Tag-Inventar gekoppelt ist. Cookies ändern sich jedes Mal, wenn jemand ein Tool hinzufügt, einen Tag-Manager-Container bearbeitet oder neue Inhalte einbettet.

Planen Sie regelmäßige Scans ein und zusätzlich einen bei jeder neuen Funktion und jedem neuen Anbieter. Unser Leitfaden zum [Cookie-Audit](/de/blog/how-to-run-a-cookie-audit) führt durch den Ablauf. Taucht ein neuer Zweck auf, aktualisieren Sie Banner und Richtlinie und holen Sie die Einwilligung erneut ein, wenn die Änderung das betrifft, dem Besucher zugestimmt haben.

Seien Sie vorsichtig bei generischen Vorlagen und Generatoren. Eine Richtlinie, die Cookies aufführt, die Sie nicht verwenden, oder solche auslässt, die Sie verwenden, informiert Besucher falsch und schwächt die Einwilligung, auf die Sie sich stützen.

## Fazit

Eine gute Cookie-Richtlinie ist konkret, korrekt und aktuell: auf Grundlage eines echten Audits erstellt, nach Zwecken gegliedert, mit einer übersichtlichen Tabelle und einem einfachen Weg, die Einwilligung zu ändern. Halten Sie sie im Einklang mit Ihrem Banner und Ihren Tags. Tools wie Cookiesh können Cookie-Scans automatisieren, damit das Inventar hinter Ihrer Richtlinie auf dem neuesten Stand bleibt.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Kann meine Cookie-Richtlinie Teil meiner Datenschutzerklärung sein?

Ja. Keine Vorschrift verlangt eine separate Seite. Viele Websites halten sie getrennt, weil sie sich häufiger ändert und das Banner direkt darauf verlinken muss, doch ein klar gekennzeichneter Abschnitt der Datenschutzerklärung kann ebenfalls funktionieren.

### Reicht eine Cookie-Richtlinie ohne Cookie-Banner aus?

Nein, nicht dort, wo Opt-in-Regeln gelten. In der EU und im Vereinigten Königreich liefert eine Richtlinie Informationen, doch nicht notwendige Cookies brauchen weiterhin eine vorherige Einwilligung durch eine aktive Entscheidung. Eine Richtlinie zu veröffentlichen macht Tracking allein noch nicht rechtmäßig.

### Muss ich Cookies aufführen, die durch eingebettete Inhalte wie Videos oder Karten gesetzt werden?

Ja, wenn sie bei der Nutzung Ihrer Website gesetzt werden. Besucher können nicht erkennen, welche Domain ein Cookie gesetzt hat. Führen Sie daher auch Third-Party-Cookies aus Einbindungen und Plugins auf, nennen Sie den Anbieter und verlinken Sie auf dessen Datenschutzinformationen.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [California Consumer Privacy Act (CCPA), California Attorney General](https://oag.ca.gov/privacy/ccpa)
- [ICO (UK Information Commissioner's Office)](https://ico.org.uk/)