Fast jede Website zeigt heute ein Cookie-Banner, und viele Websitebetreiber fragen sich, ob das wirklich nötig ist.
Auch bei meinen eigenen Projekten und bei Kundenwebsites kommt immer wieder die Frage auf, ob es für die Besucherstatistik ein Banner braucht. Als ich Lienks gebaut habe, ein einfaches, datenschutzfreundliches Web-Analytics-Tool, musste ich mich deshalb genauer damit beschäftigen.
In diesem Artikel erkläre ich, worauf es dabei ankommt und wie Lienks damit umgeht. Ich bin kein Anwalt, und das hier ist keine Rechtsberatung. Für deine eigene Website solltest du das im Zweifel prüfen lassen.
Wann braucht man eine Einwilligung?
Ob du eine Einwilligung brauchst, hängt weniger vom Wort „Cookie“ ab als davon, ob etwas auf dem Gerät deiner Besucher gespeichert oder von dort gelesen wird.
In Deutschland regelt das § 25 TDDDG, früher TTDSG. Das Gesetz beruht auf einer EU-Richtlinie, der sogenannten ePrivacy-Richtlinie. Deshalb gelten in der ganzen EU ähnliche Regeln.
Vereinfacht gesagt: Wer Informationen auf dem Gerät eines Besuchers speichert oder von dort ausliest, braucht dafür eine Einwilligung. Das betrifft Cookies, aber genauso den localStorage im Browser. Auch wenn ein Script gezielt Eigenschaften des Geräts ausliest, um es wiederzuerkennen, fällt das laut den deutschen Datenschutzbehörden darunter.
Es gibt eine Ausnahme: Ist etwas unbedingt nötig, damit die Website einen Dienst bereitstellen kann, den der Besucher ausdrücklich nutzen möchte, braucht es keine Einwilligung. Typische Beispiele sind ein Login oder ein Warenkorb.
Ob Besucherstatistik zu dieser Ausnahme gehört, ist nicht eindeutig geklärt. Die deutschen Datenschutzbehörden schreiben in ihrer Orientierungshilfe, dass sich das nicht pauschal sagen lässt und man jedes Tool und jede Einstellung einzeln betrachten muss. In Frankreich ist die Datenschutzbehörde CNIL konkreter: Sie erlaubt Reichweitenmessung ohne Einwilligung, wenn bestimmte Bedingungen erfüllt sind.
Und selbst wenn nichts auf dem Gerät gespeichert wird, bist du damit noch nicht fertig. Denn neben dieser Regel gilt auch noch die DSGVO.
Reicht es, keine Cookies zu verwenden?
Keine Cookies zu verwenden ist ein guter Anfang, aber noch keine vollständige Antwort.
Denn es gibt zwei verschiedene Regeln. Das TDDDG aus dem letzten Abschnitt regelt, ob etwas auf dem Gerät gespeichert oder von dort ausgelesen wird. Die DSGVO regelt, wie personenbezogene Daten verarbeitet werden. Wer auf Cookies verzichtet, hat damit erst einmal nur das erste Thema gelöst.
Auch ohne Cookies schickt jeder Browser bei einem Seitenaufruf automatisch seine IP-Adresse mit. Die IP gilt in der Regel als personenbezogenes Datum, auch wenn sie nur kurz verarbeitet wird. Dafür braucht es nach der DSGVO eine Rechtsgrundlage, zum Beispiel eine Einwilligung oder ein berechtigtes Interesse.
Ganz einig sind sich die Behörden hier übrigens nicht. Der Europäische Datenschutzausschuss hält es in seinen Leitlinien für möglich, dass schon das Erfassen der IP-Adresse unter die Regel zum Gerätezugriff fällt. Ob sich diese Sicht durchsetzt, ist noch offen.
Außerdem heißt „cookieless“ nicht automatisch, dass nichts auf dem Gerät passiert. Manche Tools nutzen statt Cookies den localStorage oder lesen Eigenschaften des Geräts aus, um es wiederzuerkennen. Dann gilt wieder die Regel aus dem letzten Abschnitt. Es lohnt sich also nachzusehen, was ein Tool wirklich macht.
Zwei Dinge brauchst du in der Regel trotzdem: einen Hinweis in deiner Datenschutzerklärung, welches Tool du nutzt und welche Daten es verarbeitet. Und wenn ein externer Anbieter die Daten für dich verarbeitet, einen Vertrag zur Auftragsverarbeitung (AVV) mit ihm.
Auf lienks.com nutze ich Lienks selbst im Cookieless-Modus. Als Rechtsgrundlage nenne ich in meiner Datenschutzerklärung das berechtigte Interesse, die Nutzung meiner Website zu verstehen und zu verbessern. Das ist meine Entscheidung für meine Website, keine Empfehlung für deine.
Wie Lienks das konkret umsetzt, zeige ich im nächsten Abschnitt.
Wie zählt Lienks Besucher, mit und ohne Cookie?
Bei Lienks entscheidest du für jede Website selbst, ob und wie Besucher wiedererkannt werden. Dafür gibt es drei Modi.
Minimal zählt nur Seitenaufrufe und Events. Lienks versucht hier gar nicht, Besucher wiederzuerkennen. Du siehst also, wie oft eine Seite aufgerufen wurde, aber nicht, wie viele verschiedene Menschen das waren.
Cookieless ist der Standardmodus. Damit ich trotzdem sehen kann, wie viele verschiedene Besucher an einem Tag da waren, bildet der Server aus der Website, der IP-Adresse und dem Browser eine Kennung. Das passiert mit einem geheimen Schlüssel, der jeden Tag neu abgeleitet wird. Dieselbe Person bekommt deshalb am nächsten Tag eine andere Kennung, und auf zwei verschiedenen Websites hat sie zwei verschiedene Kennungen.
Gespeichert wird nur diese Kennung. Die IP-Adresse landet nicht in den Analysedaten. Wenn du das Land aktivierst, bleibt von ihr nur der Ländercode übrig, zum Beispiel „DE“.
Im Minimal- und im Cookieless-Modus setzt das Lienks-Script keine Cookies und nutzt auch keinen localStorage. Es schickt den Seitenaufruf an Lienks, mehr nicht.
Cookie ist für Websites gedacht, die sowieso schon ein Einwilligungs-Banner haben. Nach der Einwilligung setzt Lienks ein Cookie mit einer zufälligen ID, das nach 24 Stunden abläuft. Ein eigenes Banner bringt Lienks nicht mit. Du gibst die Einwilligung aus deinem Banner an das Script weiter. Solange das nicht passiert, setzt Lienks kein Cookie und zählt wie im Cookieless-Modus.
Über mehrere Tage erkennt Lienks Besucher in keinem der Modi wieder, auch nicht mit Cookie. Der Unterschied zwischen Cookie und Cookieless ist kleiner: Wechselt jemand im Laufe des Tages vom WLAN ins Mobilfunknetz, ändert sich die IP-Adresse. Im Cookieless-Modus zählt Lienks ihn dann zweimal, mit Cookie nur einmal.
Welchen Modus du nimmst, hängt davon ab, was du wissen willst:
- Minimal, wenn dir Seitenaufrufe reichen und du so wenig Daten wie möglich verarbeiten willst.
- Cookieless, wenn du auch wissen willst, wie viele verschiedene Besucher da waren. Für die meisten Websites reicht das.
- Cookie, wenn du ohnehin ein Banner hast und Besucher innerhalb eines Tages etwas genauer zählen willst.
Land, Browser und Gerät erfasst Lienks übrigens nur, wenn du das für deine Website einschaltest. Alle Daten liegen auf Servern in Deutschland. Wie das Zählen ohne Cookies im Detail funktioniert, erkläre ich auf der Seite Cookieless Web Analytics.
Wann ist ein Cookie-Banner trotzdem nötig?
Auch mit einem Analytics-Tool ohne Cookies kann deine Website ein Banner brauchen, zum Beispiel wegen eingebetteter Videos, Werbung oder anderer Dienste.
Denn die Regel aus dem ersten Abschnitt gilt für alles, was auf deiner Website läuft, nicht nur für die Statistik. Typische Beispiele sind:
- eingebettete YouTube-Videos oder Google Maps
- Werbe- und Conversion-Pixel, zum Beispiel von Meta oder Google Ads
- Chat-Widgets, Newsletter-Popups oder andere Tools von Drittanbietern
Viele dieser Dienste setzen Cookies oder speichern etwas im Browser, sobald sie geladen werden. Dafür brauchst du dann oft eine Einwilligung, ganz egal, welches Analytics-Tool du nutzt.
Und wenn du Besucher mit einem Cookie wiedererkennen willst, auch mit Lienks im Cookie-Modus, brauchst du ebenfalls ein Banner.
Bei lienks.com habe ich deshalb auch beim Produktvideo darauf geachtet: Es liegt als Datei auf meinem eigenen Server und wird nicht über YouTube eingebunden.
Wenn du wissen willst, was deine eigene Website speichert, hilft ein kurzer Blick in die Entwicklertools deines Browsers. Unter „Application“ beziehungsweise „Speicher“ siehst du Cookies und localStorage, unter „Netzwerk“ siehst du, welche externen Dienste geladen werden.
Also: Brauche ich jetzt ein Cookie-Banner?
Eine einfache Antwort mit Ja oder Nein kann ich dir leider nicht geben, aber du kannst die Frage für deine Website jetzt deutlich besser einschätzen.
Für die meisten Websites helfen drei Fragen weiter:
- Speichert oder liest irgendetwas auf deiner Website Informationen im Browser deiner Besucher? Das kann die Statistik sein, aber auch ein Video, eine Karte oder ein Werbe-Pixel.
- Ist das unbedingt nötig, damit deine Website funktioniert? Bei einem Login oder Warenkorb ist das so, bei einer Statistik meistens nicht so eindeutig.
- Welche personenbezogenen Daten verarbeitest du, und auf welcher Grundlage? Auch ohne Cookies gehört das in deine Datenschutzerklärung.
Wenn du bei der ersten Frage überall „Nein“ sagen kannst, bist du schon ein gutes Stück weiter. Ob das für deine Website reicht, solltest du im Zweifel trotzdem prüfen lassen. Was du als Websitebetreiber sonst noch tun musst, steht auf der Seite DSGVO-konforme Web Analytics.
Ich habe Lienks so gebaut, dass du diese Entscheidung für jede Website selbst treffen kannst, und dass du weißt, was im jeweiligen Modus passiert. Wenn du es ausprobieren möchtest, kannst du Lienks 30 Tage kostenlos und ohne Zahlungsmethode testen.
Und falls du Fragen hast oder etwas in diesem Artikel nicht stimmt, schreib mir an philip@lienks.com.