Was gilt als unbedingt erforderliches Cookie?

Ein unbedingt erforderliches Cookie ist eines, ohne das Ihre Website einen vom Nutzer ausdrücklich gewünschten Dienst nicht bereitstellen kann, etwa ihn angemeldet zu halten, Artikel im Warenkorb zu speichern oder sich seine Cookie-Auswahl zu merken. Nach EU-Recht sind diese Cookies von der Einwilligungspflicht ausgenommen. Cookies, die vor allem Ihrem Unternehmen dienen, etwa für Analyse, Werbung oder A/B-Tests, sind es in der Regel nicht.

Was sagt das Gesetz eigentlich?

Die Ausnahme stammt aus Artikel 5 Absatz 3 der ePrivacy-Richtlinie. Das Speichern von Informationen auf dem Endgerät eines Nutzers oder der Zugriff darauf erfordert eine Einwilligung, es sei denn, es dient ausschließlich der Übertragung einer Nachricht über ein Netz oder ist unbedingt erforderlich, um einen vom Nutzer ausdrücklich gewünschten Dienst bereitzustellen.

Zwei Formulierungen tragen dabei die Hauptlast:

• „Unbedingt erforderlich“ setzt die Messlatte hoch. Nützlich, effizient oder wirtschaftlich wichtig reicht nicht. Ohne das Cookie muss der Dienst scheitern oder unmöglich bereitzustellen sein.
• „Ausdrücklich gewünscht“ bedeutet, dass der Dienst aus Sicht des Besuchers beurteilt wird. Ein Besucher fordert eine Seite, einen Login oder einen Checkout an. Reichweitenmessung oder Ad-Targeting fordert er nicht an.

Die britischen PECR enthalten eine entsprechende Ausnahme, die vom ICO durchgesetzt wird. Die EU-Mitgliedstaaten setzen die Richtlinie durch nationale Gesetze um, daher unterscheiden sich Wortlaut und Leitlinien der Aufsichtsbehörden von Land zu Land leicht. Die angrenzenden Kategorien beschreibt unser Beitrag zu Cookie-Arten.

Wie prüfe ich, ob ein Cookie unbedingt erforderlich ist?

Fragen Sie, ob der vom Nutzer gewünschte Dienst ohne das Cookie nicht mehr funktionieren würde und ob das Cookie noch etwas anderes tut. Gehen Sie für jedes Cookie diese Fragen durch:

1. Welchen Dienst hat der Nutzer angefordert? Benennen Sie ihn konkret: die Seite ansehen, sich anmelden, den Checkout abschließen.
2. Würde dieser Dienst ohne das Cookie scheitern? Lautet die ehrliche Antwort „Er würde funktionieren, aber uns würden Erkenntnisse fehlen“, ist das Cookie nicht unbedingt erforderlich.
3. Wird das Cookie ausschließlich für diesen Zweck verwendet? Fließt dieselbe Kennung auch in Analyse oder Werbung ein, deckt die Ausnahme diese Nutzungen nicht ab.
4. Ist seine Lebensdauer angemessen? Ein Sitzungscookie oder ein kurzlebiges Cookie lässt sich leichter rechtfertigen als eines, das jahrelang besteht.
5. Verwendet sonst jemand die Daten weiter? Nutzt ein Anbieter die Informationen für eigene Zwecke, etwa zur Profilbildung, wird die Ausnahme kaum greifen.

Ein Cookie, das alle fünf Fragen besteht, ist ein starker Kandidat für die Kategorie „notwendig“. Scheitert es auch nur an einer, behandeln Sie es als einwilligungspflichtig.

Welche Cookies erfüllen die Voraussetzungen in der Regel?

Die meisten unbedingt erforderlichen Cookies betreffen Sitzungen, Sicherheit und das Speichern von Entscheidungen, die der Nutzer getroffen hat. Die Tabelle zeigt typische Fälle, wenden Sie den Test aber immer auf Ihre eigene Konfiguration an.

Anwendungsfall	In der Regel unbedingt erforderlich?	Hinweise
Login und Sitzungsverwaltung	Ja	Für Bereiche, in denen sich der Nutzer bewusst angemeldet hat
Warenkorb	Ja	Speichert die vom Nutzer hinzugefügten Artikel
Lastverteilung	Ja	Leitet Anfragen während der Sitzung weiter
Sicherheit, etwa CSRF-Tokens oder Betrugsprüfungen beim Login	In der Regel ja	Wenn sie an den angeforderten Dienst gebunden ist
Speichern der Einwilligungsentscheidung des Nutzers	Ja	Nötig, um diese Entscheidung zu respektieren
Vom Nutzer gewählte Sprach- oder Barrierefreiheitseinstellungen	Häufig	Wenn sie durch eine ausdrückliche Handlung des Nutzers gesetzt und für eine angemessene Dauer gespeichert werden
Analyse und Reichweitenmessung	In der Regel nein	Siehe den Abschnitt zu Analyse weiter unten
A/B-Tests und Personalisierung	In der Regel nein	Dient Ihrer Optimierung, nicht der Anfrage des Nutzers
Werbung, Retargeting und Conversion-Tracking	Nein	Braucht in der EU eine Einwilligung
Social-Media-Einbindungen, die Besucher tracken	Nein	Erst nach der Einwilligung laden

Welche Fehler machen aus „notwendig“ einen Verstoß?

Das häufigste Problem besteht darin, nicht notwendige Cookies in die Kategorie „notwendig“ einzuordnen, damit sie vor der Einwilligung geladen werden. Genau darauf achten Aufsichtsbehörden, wenn sie Banner und Cookie-Listen prüfen.

Achten Sie auf diese Muster:

• Argumentation mit betrieblicher Notwendigkeit. „Wir brauchen Analyse, um das Geschäft zu führen“ mag stimmen, doch die Ausnahme bezieht sich auf den vom Nutzer gewünschten Dienst, nicht auf Ihre betrieblichen Bedürfnisse.
• Blindes Vertrauen in Anbieterangaben. Bezeichnet ein Anbieter sein Cookie als „essenziell“, ist das eine Produktbeschreibung, keine rechtliche Bewertung. Prüfen Sie, was das Cookie tatsächlich tut.
• Mehrzweck-Cookies. Eine einzige Kennung, die sowohl für die Sitzungsverwaltung als auch für die Werbeattribution verwendet wird, braucht für die Werbenutzung eine Einwilligung. Trennen Sie die Funktionen nach Möglichkeit auf separate Cookies auf.
• Tags, die mit notwendigen Skripten mitlaufen. Ein Tag-Manager-Container darf vor der Einwilligung geladen werden, die Tags darin müssen aber trotzdem auf die Entscheidung des Besuchers warten.
• Verwechslung der Ausnahme mit dem berechtigten Interesse. Das berechtigte Interesse nach der DSGVO ersetzt nicht die ePrivacy-Einwilligungspflicht für das Speichern von Informationen auf einem Endgerät. Mehr dazu in Können Sie sich bei Cookies auf berechtigtes Interesse stützen?

Müssen unbedingt erforderliche Cookies trotzdem offengelegt werden?

In der Praxis ja. Die Ausnahme macht eine Einwilligung entbehrlich, doch wenn das Cookie personenbezogene Daten verarbeitet, gelten weiterhin die Transparenzpflichten der DSGVO, und Aufsichtsbehörden erwarten, dass notwendige Cookies zusammen mit allen anderen aufgeführt werden.

Das bedeutet dreierlei. Führen Sie jedes notwendige Cookie mit Zweck und Speicherdauer in Ihrer Cookie-Richtlinie auf, wie in So schreiben Sie eine Cookie-Richtlinie beschrieben. Zeigen Sie die Kategorie „notwendig“ in den Banner-Einstellungen als „immer aktiv“ statt als Schalter an. Und überprüfen Sie die Liste, sobald Sie einen Anbieter hinzufügen, denn ein Cookie, das heute ausgenommen ist, kann diesen Status verlieren, wenn sich seine Verwendung ändert.

Gibt es Ausnahmen für Analyse?

Grundsätzlich nein. Nach der ePrivacy-Richtlinie brauchen Analyse-Cookies in den meisten EU-Ländern eine Einwilligung. Einige nationale Aufsichtsbehörden haben eng gefasste Bedingungen beschrieben, unter denen eine einfache First-Party-Reichweitenmessung ausgenommen sein kann. Verlangt werden typischerweise ein streng begrenzter Zweck, kein websiteübergreifendes Tracking und ausschließlich aggregierte Ergebnisse.

Diese Positionen gelten national, nicht EU-weit, und ihre Bedingungen sind streng. Auch das Vereinigte Königreich hat die Einwilligungsregeln für einige risikoarme Nutzungen gelockert, darunter bestimmte Analysen. Wie das im Einzelfall gilt, hängt jedoch von der Gesetzgebung und den Leitlinien des ICO ab. Prüfen Sie daher die aktuelle Lage, bevor Sie sich darauf verlassen. Wenn Sie eine Messung wünschen, die weniger von Einwilligungen abhängt, lohnt sich ein Blick auf Cookieless Analytics, auch wenn diese nicht automatisch außerhalb der Regeln liegt.

Fazit

„Unbedingt erforderlich“ ist eine enge Kategorie: Cookies, ohne die der vom Nutzer gewünschte Dienst nicht funktioniert, die für nichts anderes verwendet werden und eine angemessene Lebensdauer haben. Prüfen Sie jedes Cookie an diesem Maßstab, lassen Sie alles andere hinter der Einwilligung und legen Sie die notwendigen Cookies trotzdem offen. Tools wie Cookiesh können Cookie-Scans automatisieren, sodass neue Cookies leichter auffallen, bevor sie in der falschen Kategorie landen.

Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Für Entscheidungen zu Ihrer konkreten Situation wenden Sie sich an qualifizierte Datenschutzfachleute.