Grundlage der Einwilligung ist § 25 des Telekommunikation-Digitale-Dienste-Datenschutz-Gesetzes, kurz TDDDG. Danach darf eine Website Informationen auf dem Endgerät eines Besuchers nur mit dessen Zustimmung speichern oder abrufen. Maßgeblich ist dabei bereits der Zugriff auf das Gerät, unabhängig davon, ob personenbezogene Daten im Spiel sind.
Wann keine Einwilligung nötig ist
Von der Zustimmungspflicht ausgenommen sind Cookies, die für den gewünschten Dienst technisch unbedingt erforderlich sind. Dazu zählen etwa die Anmeldung in einem Kundenbereich, der Warenkorb eines Shops oder die Speicherung der Spracheinstellung. Eine Website, die allein mit derart notwendigen Cookies auskommt und auf externe Dienste verzichtet, benötigt in der Regel kein Zustimmungsfenster.
Die Abgrenzung zur Datenschutz-Grundverordnung fällt leicht: Das TDDDG regelt den Zugriff auf das Gerät, die DSGVO die anschließende Verarbeitung der Daten.
Anforderungen an die Zustimmung
An die Einwilligung selbst stellt die Datenschutz-Grundverordnung eigene Anforderungen: Sie erfolgt freiwillig, für den konkreten Zweck und nach verständlicher Information darüber, was geschieht. Voreingestellte Häkchen erfüllen das nicht, ebenso wenig eine Gestaltung, bei der die Ablehnung schwerer zu finden ist als die Annahme. Ebenso lässt sich eine einmal erteilte Zustimmung jederzeit widerrufen, weshalb auf der Website eine Möglichkeit dazu bereitstehen sollte. Eingeholt und dokumentiert wird sie meist über eine Consent-Management-Plattform. Wie sich die Anforderungen insgesamt umsetzen lassen, behandelt der Ratgeber zur rechtssicheren Website. Für den Einzelfall gibt eine fachliche Beratung Auskunft.