# Können Sie sich bei Cookies auf berechtigtes Interesse stützen?

> Berechtigtes Interesse ersetzt in der EU keine Einwilligung für nicht notwendige Cookies. Warum, wo es dennoch greift und was TCF 2.2 für Publisher geändert hat.

Source: https://www.cookiesh.eu/de/blog/legitimate-interest-and-cookies  
Published: 2026-02-17

## Key takeaways

- Für nicht notwendige Cookies kann berechtigtes Interesse in der EU keine Einwilligung ersetzen, denn die ePrivacy-Richtlinie lässt nur die Einwilligung oder eng gefasste Ausnahmen zu.
- Das berechtigte Interesse nach Artikel 6 DSGVO betrifft die Verarbeitung personenbezogener Daten, nicht das Speichern oder Auslesen von Informationen auf einem Endgerät.
- Es kann dennoch bestimmte Verarbeitungen im Zusammenhang mit unbedingt erforderlichen Cookies tragen, etwa für Sicherheit, Betrugsprävention und Lastverteilung.
- Mit IAB TCF v2.2 entfiel das berechtigte Interesse als Grundlage für die Werbe- und Personalisierungszwecke 3, 4, 5 und 6.
- Lehnt ein Besucher die Einwilligung ab oder widerruft sie, dürfen Sie dieselbe Verarbeitung nicht einfach auf Grundlage des berechtigten Interesses fortsetzen.

In der Regel nicht. In der EU verlangt die ePrivacy-Richtlinie eine Einwilligung, bevor Sie nicht notwendige Cookies speichern oder auslesen, und sie sieht keine Alternative über das berechtigte Interesse vor. Das berechtigte Interesse ist eine DSGVO-Rechtsgrundlage für die Verarbeitung personenbezogener Daten. Es kann daher für Daten relevant sein, die über ein unbedingt erforderliches Cookie verarbeitet werden, rechtfertigt aber für sich genommen keine Analyse- oder Werbe-Cookies.

## Warum kann berechtigtes Interesse die Cookie-Einwilligung nicht ersetzen?

Weil die Regel für Cookies nicht in der DSGVO steht. Sie steht in Artikel 5 Absatz 3 der ePrivacy-Richtlinie, der das Speichern oder Auslesen von Informationen auf einem Endgerät nur mit Einwilligung oder im Rahmen zweier eng gefasster Ausnahmen erlaubt, und das berechtigte Interesse gehört nicht dazu.

Die Verwirrung ist nachvollziehbar. Artikel 6 DSGVO nennt sechs Rechtsgrundlagen für die Verarbeitung personenbezogener Daten: Einwilligung, Vertrag, rechtliche Verpflichtung, lebenswichtige Interessen, öffentliche Aufgabe und berechtigte Interessen. Da bei Cookies häufig personenbezogene Daten im Spiel sind, liegt der Schluss nahe, dass jede dieser sechs genügt.

Der Denkfehler: Für den Zugriff auf ein Endgerät ist die ePrivacy-Regel das speziellere Gesetz, und sie gilt auch dann, wenn keine personenbezogenen Daten betroffen sind. Die Frage „Darf ich dieses Cookie setzen?“ beantwortet also allein die ePrivacy-Richtlinie. Die Rechtsgrundlagen der DSGVO kommen erst für das ins Spiel, was Sie anschließend mit personenbezogenen Daten tun. Unser Beitrag [ePrivacy-Richtlinie vs. DSGVO](/de/blog/eprivacy-directive-vs-gdpr) erläutert diese zweistufige Logik.

## Was ist berechtigtes Interesse nach der DSGVO?

Das berechtigte Interesse nach Artikel 6 Absatz 1 Buchstabe f erlaubt Verarbeitungen, die zur Wahrung Ihrer berechtigten Interessen oder derjenigen eines Dritten erforderlich sind, sofern nicht die Interessen oder Grundrechte der betroffenen Person überwiegen. Diese Rechtsgrundlage ist flexibel, bringt aber echte Pflichten mit sich.

Wer sich darauf stützt, muss einen dreistufigen Test bestehen, der meist in einer schriftlichen Interessenabwägung festgehalten wird:

- **Zweck.** Ist das Interesse berechtigt, klar definiert und rechtmäßig?
- **Erforderlichkeit.** Ist die Verarbeitung für diesen Zweck tatsächlich nötig, oder lässt er sich auf weniger eingreifende Weise erreichen?
- **Abwägung.** Überwiegen die Rechte und vernünftigen Erwartungen der betroffenen Person Ihr Interesse?

Gegen Verarbeitungen auf Grundlage des berechtigten Interesses haben Betroffene in der Regel ein Widerspruchsrecht, über das Sie sie informieren müssen. Verdecktes websiteübergreifendes Tracking zu Werbezwecken lässt sich in der Abwägung kaum rechtfertigen, weil die meisten Menschen nicht damit rechnen.

## Wo kann berechtigtes Interesse bei Cookies noch greifen?

Es kann für personenbezogene Daten gelten, die über von der Einwilligungspflicht ausgenommene Cookies verarbeitet werden, und für Verarbeitungen, bei denen überhaupt nicht auf das Endgerät zugegriffen wird. Den Zugriff auf das Endgerät selbst für nicht notwendige Zwecke kann es nicht abdecken.

| Szenario | Speichern oder Auslesen auf dem Endgerät (ePrivacy) | Anschließende Verarbeitung der Daten (DSGVO) |
| --- | --- | --- |
| Login-Sitzungscookie | Als unbedingt erforderlich ausgenommen | Meist Vertrag, berechtigtes Interesse möglich |
| Cookie für Lastverteilung | Als unbedingt erforderlich ausgenommen | Berechtigtes Interesse ist üblich |
| Sicherheits- und Betrugsprüfungen bei einem angefragten Dienst | Oft ausgenommen, wenn unbedingt erforderlich; lokale Leitlinien prüfen | Berechtigtes Interesse ist üblich |
| Analyse-Cookies | Einwilligung, sofern keine eng gefasste nationale Ausnahme greift | Einwilligung ist die sichere Wahl |
| Werbung und Retargeting | Einwilligung | In der Praxis Einwilligung |
| Serverseitige Analyse ohne Zugriff auf das Endgerät | In der Regel nicht berührt; Art der Datenerhebung prüfen | Berechtigtes Interesse kann möglich sein |

Die oberen Zeilen setzen voraus, dass das Cookie wirklich unbedingt erforderlich ist. Wo diese Grenze verläuft, erklärt unser Leitfaden zu [unbedingt erforderlichen Cookies](/de/blog/strictly-necessary-cookies). Die letzte Zeile ist der Grundgedanke vieler Setups für [Cookieless Analytics](/de/blog/cookieless-analytics), wobei „cookielos“ nicht automatisch „einwilligungsfrei“ bedeutet.

Eine feste Regel stammt vom Europäischen Datenschutzausschuss (EDSA), der die EU-Aufsichtsbehörden koordiniert: Die Rechtsgrundlage lässt sich nicht nachträglich austauschen. Haben Sie um eine Einwilligung gebeten und der Besucher hat abgelehnt oder später widerrufen, dürfen Sie dieselbe Verarbeitung nicht auf Grundlage des berechtigten Interesses fortführen.

## Was hat IAB TCF 2.2 beim berechtigten Interesse geändert?

Version 2.2 des IAB Europe Transparency & Consent Framework (TCF), veröffentlicht 2023, hat das berechtigte Interesse als zulässige Grundlage für die Zwecke Werbung und Personalisierung von Inhalten gestrichen. Damit verschwand die häufigste Form, in der das berechtigte Interesse in Cookie-Bannern auftauchte.

Das TCF ist ein Branchenstandard, mit dem viele Publisher und Ad-Tech-Anbieter Einwilligungsentscheidungen erfassen und entlang der Werbelieferkette weitergeben. Vor Version 2.2 enthielten viele Banner einen separaten Reiter „Berechtigtes Interesse“ mit Anbietern und Zwecken, die standardmäßig aktiviert waren, samt einer Widerspruchsmöglichkeit, die kaum ein Besucher je fand.

Unter TCF v2.2 erfordern die Zwecke 3 bis 6 (Erstellung von Profilen für personalisierte Werbung, Verwendung von Profilen zur Auswahl personalisierter Werbung, Erstellung von Profilen zur Personalisierung von Inhalten und Verwendung von Profilen zur Auswahl personalisierter Inhalte) eine Einwilligung. Zweck 1, das Speichern von Informationen auf einem Endgerät oder der Zugriff darauf, erforderte bereits zuvor eine Einwilligung. Einige Zwecke zur Messung und Produktentwicklung können innerhalb des Frameworks weiterhin auf berechtigtes Interesse gestützt werden, doch das ändert nichts daran, was die ePrivacy-Richtlinie für die Cookies selbst verlangt.

Version 2.2 schreibt außerdem vor, dass die Zahl der Anbieter auf der ersten Ebene des Banners angezeigt wird. Unser Leitfaden zu [IAB TCF 2.2](/de/blog/iab-tcf-2-2-explained) behandelt die übrigen Änderungen.

## Wie sollten Sie berechtigtes Interesse in Ihrem Consent-Setup handhaben?

Trennen Sie einwilligungsbasierte Cookies und Verarbeitungen auf Grundlage des berechtigten Interesses klar voneinander und nutzen Sie das berechtigte Interesse nie als Ausweichlösung, wenn keine Einwilligung vorliegt. Ein einfacher Ablauf hilft:

1. **Jedes Cookie und jeden Tracker einem Zweck zuordnen.** Berücksichtigen Sie auch Tags, die über Tag-Manager und Plugins geladen werden.
2. **Zuerst die ePrivacy-Frage beantworten.** Entscheiden Sie für jedes Element, ob es unbedingt erforderlich ist oder eine Einwilligung braucht. Eine dritte Möglichkeit gibt es nicht.
3. **Eine DSGVO-Rechtsgrundlage für die anschließende Verarbeitung wählen.** Dokumentieren Sie sie und erstellen Sie überall dort eine Interessenabwägung, wo Sie sich auf das berechtigte Interesse stützen.
4. **Verarbeitungen auf Basis des berechtigten Interesses verständlich erklären.** Beschreiben Sie sie in Ihrer Datenschutzerklärung und bieten Sie eine einfache Widerspruchsmöglichkeit an, statt vorab aktivierter Schalter, die auf einer zweiten Ebene versteckt sind.
5. **Ablehnungen über alle Rechtsgrundlagen hinweg respektieren.** Lehnt ein Besucher Analyse ab, stoppen Sie die Analyseverarbeitung, nicht nur das Cookie.
6. **Bei Anbieterwechseln erneut prüfen.** Neue Tools bringen oft eigene Annahmen über Rechtsgrundlagen mit, die nicht unbedingt zu Ihren passen.

## Fazit

Das berechtigte Interesse ist eine echte Rechtsgrundlage der DSGVO, wirkt bei Cookies aber nur nachgelagert zur ePrivacy-Frage, nie an ihrer Stelle. Ist ein Cookie nicht unbedingt erforderlich, fragen Sie nach einer Einwilligung. Ist es das, können Sie für die anschließende Verarbeitung das berechtigte Interesse in Betracht ziehen, gestützt auf eine dokumentierte Interessenabwägung. Tools wie Cookiesh können Analyse- und Marketing-Skripte bis zur Einwilligung zurückhalten und notwendige Skripte trotzdem laufen lassen, sodass diese Grenze auch in der Praxis klar bleibt.

*Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.*

## FAQ

### Können Analyse-Cookies auf berechtigtem Interesse beruhen?

In den meisten EU-Ländern nicht. Das Setzen oder Auslesen von Analyse-Cookies erfordert eine Einwilligung, sofern keine nationale Ausnahme greift. Einige Aufsichtsbehörden erlauben eng konfigurierte First-Party-Reichweitenmessung ohne Einwilligung, die Bedingungen sind jedoch streng und unterscheiden sich von Land zu Land.

### Was ist eine Interessenabwägung?

Eine schriftliche Dokumentation, die zeigt, dass Ihr Zweck berechtigt ist, dass die Verarbeitung dafür erforderlich ist und dass Ihr Interesse nicht durch die Rechte und Erwartungen der betroffenen Person überwogen wird. Aufsichtsbehörden erwarten eine solche Abwägung, wenn Sie sich auf diese Rechtsgrundlage stützen.

### Warum haben manche Consent-Banner einen Reiter „Berechtigtes Interesse“?

Banner auf Basis des IAB Transparency & Consent Framework listen Zwecke und Anbieter auf, und für manche Zwecke kann weiterhin berechtigtes Interesse mit einer Widerspruchsmöglichkeit geltend gemacht werden. Seit TCF v2.2 ist das für die Zwecke Werbung und Personalisierung von Inhalten nicht mehr möglich.

### Was ist die Rechtsgrundlage für unbedingt erforderliche Cookies?

Das Cookie selbst braucht dank der ePrivacy-Ausnahme für unbedingt erforderliche Speicherung keine Einwilligung. Personenbezogene Daten, die darüber verarbeitet werden, brauchen aber weiterhin eine DSGVO-Rechtsgrundlage, je nach Zweck häufig Vertragserfüllung oder berechtigtes Interesse.

## Sources

- [Directive 2002/58/EC (ePrivacy Directive), EUR-Lex](https://eur-lex.europa.eu/eli/dir/2002/58/oj)
- [Regulation (EU) 2016/679 (GDPR), EUR-Lex](https://eur-lex.europa.eu/eli/reg/2016/679/oj)
- [EDPB Guidelines 05/2020 on consent](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en)
- [IAB Europe Transparency & Consent Framework](https://iabeurope.eu/transparency-consent-framework/)