Warum diese Website kein Cookie-Banner hat
Ein Banner ist keine Pflicht, sondern eine Folge. Wer die Ursachen entfernt, entfernt auch das Banner. Was das technisch bedeutet und wo die Grenze liegt.
Sie haben beim Öffnen dieser Seite nichts weggeklickt. Das ist kein Versehen und auch kein Rechtsrisiko, sondern das Ergebnis einer Bauweise. Weil uns die Frage oft gestellt wird, hier die Begründung, mit den Quellen.
Woher die Einwilligung überhaupt kommt
Die entscheidende Vorschrift ist nicht die Datenschutz-Grundverordnung, sondern § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG. Das Gesetz hieß bis zum 14. Mai 2024 TTDSG; umbenannt wurde es durch das Digitale-Dienste-Gesetz. Der Inhalt von § 25 blieb.
Absatz 1 sagt sinngemäß: Informationen auf dem Endgerät einer Person zu speichern oder auf dort gespeicherte Informationen zuzugreifen, ist nur mit Einwilligung zulässig. Bemerkenswert ist, was dort nicht steht. Es steht nichts von Cookies. Die Vorschrift erfasst jede Speicherung und jeden Zugriff, unabhängig von der Technik und unabhängig davon, ob personenbezogene Daten im Spiel sind. Local Storage, Session Storage, IndexedDB, Gerätemerkmale: alles dasselbe.
Absatz 2 nennt zwei Ausnahmen. Die erste betrifft die reine Übertragung einer Nachricht. Die zweite ist die praktisch wichtige: Keine Einwilligung ist nötig, wenn die Speicherung unbedingt erforderlich ist, damit der Anbieter einen vom Nutzer ausdrücklich gewünschten digitalen Dienst zur Verfügung stellen kann.
Die Antwort einer Aufsichtsbehörde
Die klarste Aussage dazu stammt nicht von einer Agentur, sondern vom Landesbeauftragten für den Datenschutz Baden-Württemberg. In dessen FAQ zu Cookies und Tracking lautet die Antwort auf die Frage, ob jede Website ein Banner braucht, schlicht: Nein.
Weiter heißt es dort: Soweit keine einwilligungsbedürftigen Verarbeitungen vorgenommen werden, ist nach der Datenschutz-Grundverordnung auch keine Einwilligung nötig. Und nach dem TTDSG sei keine Einwilligung nötig, wenn keine Informationen auf den Endgeräten abgelegt oder von dort ausgelesen werden, die nicht unbedingt erforderlich sind.
Das Banner ist also kein Pflichtbestandteil einer Website. Es ist die Folge von Entscheidungen, die vorher getroffen wurden.
Was wir konkret weggelassen haben
Diese Website lädt nichts von fremden Servern. Keine Schriften von Google, keine eingebetteten Videos, keine Karten, keine Schaltflächen sozialer Netzwerke, kein Terminbuchungs-Widget, keine Analysesoftware, kein Spamschutz eines Drittanbieters. Alles, was der Browser anfordert, liegt auf demselben Server wie die Seite selbst.
Eine Ausnahme gibt es, und wir benennen sie lieber selbst: Wenn Sie den Newsletter abonnieren, geht Ihre Eingabe an unseren Versanddienst. Diese Verbindung entsteht erst in dem Moment, in dem Sie auf Abonnieren klicken, nie beim bloßen Aufruf einer Seite. Beim Lesen wird nichts übertragen.
Besonders die Schriften sind ein häufiger Stolperstein. Dieselbe Aufsichtsbehörde hält fest, dass die Einbindung externer Schriftarten eine Übermittlung personenbezogener Daten wie der IP-Adresse an den Anbieter bedingt, und dass eine Auslieferung ebenso gut lokal über die eigene Website erfolgen kann.
Bekannt wurde das Thema durch ein Urteil des Landgerichts München I vom 20. Januar 2022. Das Gericht sprach einer Website-Besucherin einhundert Euro Schadensersatz zu, weil ihre IP-Adresse durch dynamisch eingebundene Google Fonts übermittelt worden war. Ein berechtigtes Interesse lehnte das Gericht ab, weil dem Seitenbetreiber stets die Möglichkeit zugestanden habe, die Schriften lokal auf dem eigenen Server zu speichern.
Zur Einordnung, weil dieses Urteil viel zu groß gemacht wird: Es ist eine erstinstanzliche Entscheidung eines Landgerichts über einhundert Euro, keine höchstrichterliche Rechtsprechung. Es hat anschließend eine Welle massenhafter Abmahnschreiben ausgelöst, die andere Gerichte skeptisch beurteilt haben. Als Entscheidungsgrundlage taugt es trotzdem, aber aus einem einfacheren Grund: Schriften lokal auszuliefern ist sowieso schneller und macht die Seite unabhängig.
Die eine Sache, die wir speichern
Genau eine Information legt diese Seite auf Ihrem Gerät ab: ob Sie helle oder dunkle Darstellung gewählt haben und in welcher Sprache Sie lesen. Nichts anderes. Kein Kennzeichen, keine Kennung, kein Zeitstempel, kein Zähler.
Wir stützen das auf § 25 Absatz 2 Nummer 2 TDDDG: Die Speicherung ist unbedingt erforderlich, um genau die Darstellung bereitzustellen, die Sie ausdrücklich angefordert haben, indem Sie den Schalter betätigt haben. Sie verlässt Ihr Gerät nicht und erreicht uns nie.
Entscheidend ist dabei die Grenze: Sobald in einem solchen Eintrag eine eindeutige Kennung steckt, trägt die Begründung nicht mehr. Der Unterschied zwischen einer Einstellung und einem Wiedererkennungsmerkmal ist der ganze Unterschied.
Was ein fehlendes Banner nicht bedeutet
Hier wird es oft zu schnell. Kein Banner heißt nicht, dass keine Daten verarbeitet werden, und es heißt schon gar nicht, dass keine Pflichten bestehen.
Jeder Seitenaufruf erzeugt Server-Logfiles mit der IP-Adresse. Das ist eine Verarbeitung personenbezogener Daten und braucht eine Rechtsgrundlage, eine Speicherfrist und einen Eintrag in der Datenschutzerklärung. Der Newsletter braucht eine Einwilligung, ein Double-Opt-in und einen Nachweis. Die Informationspflichten aus Artikel 13 der Datenschutz-Grundverordnung gelten unverändert.
Das Banner verschwindet. Die Datenschutzerklärung wird eher länger, weil sie konkreter werden kann.
Was das kostet, und was es einbringt
Es kostet Bequemlichkeit. Kein eingebettetes Video, kein Kartenausschnitt mit einem Klick, keine Analysesoftware, die einem morgens eine Kurve zeigt. Wer messen will, muss es anders lösen, etwa serverseitig, und das ist Arbeit.
Es bringt drei Dinge. Die Seite lädt schneller, weil sie nichts anfordern muss, was woanders liegt. Es gibt keinen Dialog, der zwischen der Besucherin und dem Inhalt steht. Und es gibt keine Einwilligungsquote, die man verwalten müsste, weil es nichts gibt, worin eingewilligt werden müsste.
Ob sich das für Ihr Vorhaben rechnet, hängt davon ab, was Sie messen müssen. Es ist kein moralischer Punkt. Es ist eine Entscheidung mit Preis und Gegenwert, und sie lässt sich nur am Anfang billig treffen. Nachträglich ein halbes Dutzend eingebundener Dienste wieder auszubauen ist deutlich teurer, als sie nie einzubauen.